AVG bij het contactformulier: de punten die in de praktijk tellen

Elk contactformulier verwerkt persoonsgegevens: een naam, een e-mailadres, vaak een telefoonnummer en een vrij tekstbericht dat vrijwel alles kan bevatten. De AVG verbiedt niets daarvan, maar stelt een paar verwachtingen – aan het formulier zelf, aan wat er omheen wordt geladen en aan wat er daarna met het bericht gebeurt.

Bij het formulier: informeren en weinig vragen

Artikel 13 AVG verplicht u mensen te informeren op het moment dat u hun gegevens verzamelt. Bij een contactformulier betekent dat: bij het formulier – niet alleen via een link ver beneden in de voettekst. De gangbare aanpak is gelaagd: één korte zin naast de verzendknop, zoals “Wij gebruiken uw gegevens alleen om uw vraag te beantwoorden – meer in onze privacyverklaring”, met een link naar de verklaring. Die verklaring bevat dan alle details.

Het tweede beginsel is minimale gegevensverwerking (artikel 5(1)(c)). Om te antwoorden hebt u meestal een manier nodig om te reageren en het bericht zelf. Een naam helpt, een telefoonnummer is soms nuttig, een postadres zelden. Laat weg wat u niet nodig hebt en markeer velden die alleen handig zijn als optioneel. Stel u een tandartspraktijk voor waarvan het formulier het telefoonnummer verplicht maakt: iedereen die liever e-mailt, wordt gedwongen meer af te staan dan het doel vereist.

Voor het beantwoorden van een vraag is meestal geen toestemmingsvakje nodig

Veel formulieren hebben een verplicht vakje met “Ik geef toestemming voor de verwerking van mijn gegevens”. Dat oogt zorgvuldig, maar is meestal het verkeerde instrument. Wanneer iemand een vraag stelt of een offerte aanvraagt, is de rechtsgrondslag doorgaans artikel 6(1)(b) – maatregelen die op verzoek van de betrokkene vóór de sluiting van een overeenkomst worden genomen – of artikel 6(1)(f), uw gerechtvaardigd belang bij het antwoorden. Toestemming brengt eigen verplichtingen met zich mee: zij moet vrijelijk worden gegeven en kan op elk moment worden ingetrokken. Bijzondere categorieën van gegevens zijn een ander verhaal: vraagt een formulier om gezondheidsinformatie, bijvoorbeeld bij een huisarts- of tandartspraktijk, dan is Art. 9 AVG van toepassing en moet de rechtsgrondslag afzonderlijk worden getoetst.
Marketing is iets anders. Een nieuwsbrief vereist echte toestemming: een apart vakje dat standaard niet is aangevinkt – overweging 32 stelt dat vooraf aangevinkte vakjes niet tellen – en het formulier moet ook zonder dat vakje werken.

Wat er verder op de formulierpagina laadt

De velden staan zelden alleen op de pagina. Een CAPTCHA van een externe aanbieder, een advertentie- of analysepixel of een session-replaytool kan draaien terwijl iemand typt. Elk daarvan kan gegevens – op zijn minst het IP-adres – naar een derde sturen, en het opslaan of uitlezen van informatie op het apparaat vereist volgens de nationaal omgezette ePrivacy-regels in de regel toestemming, in Duitsland en Polen net als elders, tenzij het strikt noodzakelijk is. Session replay is het gevoeligst: zonder maskering kan het vastleggen wat mensen typen nog voordat ze op Verzenden klikken.
Hier moet de toestemmingsbanner zijn werk doen: na “Weigeren” moeten pixels stil blijven. Of een CAPTCHA van derden strikt noodzakelijk is, staat ter discussie. Laadt hij pas na toestemming, geef mensen die hebben geweigerd dan een andere manier om u te bereiken, zoals een gewoon e-mailadres. Bescherming zonder derde – een honeypotveld, een tijdcontrole, een proof-of-work-uitdaging – omzeilt de vraag helemaal.

• Open de formulierpagina in een privévenster, weiger de banner en bekijk het netwerktabblad in de ontwikkelaarstools: welke externe verzoeken gaan er nog uit?
• Controleer op advertentie- en analysepixels op de formulierpagina en op de bedankpagina na het verzenden.
• Gebruikt u session replay, zorg er dan voor dat formuliervelden worden gemaskeerd of formulierpagina’s worden uitgesloten.
• Noteer welke CAPTCHA-aanbieder laadt, en wanneer – vóór of na de toestemming.
• Noem elke overgebleven derde, met het doel, in uw privacyverklaring.

Waar de berichten naartoe gaan – en hoe lang ze blijven

Elke dienst die de berichten namens u verwerkt – hosting, mailprovider, een formulier-SaaS waarnaar het formulier post, een helpdesk of CRM – is een verwerker in de zin van artikel 28 AVG. U hebt met elk daarvan een verwerkersovereenkomst nodig; de meeste aanbieders bieden een standaardovereenkomst aan. Worden gegevens buiten de EU/EER verwerkt, dan heeft de doorgifte bovendien een grondslag nodig op grond van hoofdstuk V, zoals een adequaatheidsbesluit – bijvoorbeeld het EU-VS-gegevensprivacykader voor gecertificeerde bedrijven – of standaardcontractbepalingen.

Aanvragen horen niet eeuwig bewaard te worden. Volgens het beginsel van opslagbeperking (artikel 5(1)(e)) stelt u een bewaartermijn vast en verwijdert u daadwerkelijk – ook kopieën in mailboxen, plug-indatabases en het CRM. Wordt een aanvraag een zakelijke relatie, dan kunnen handels- en belastingregels – die zowel Duitsland als Polen kennen – vereisen dat een deel van de correspondentie jarenlang wordt bewaard; dan bepaalt die plicht de termijn. Tot slot de beveiliging: artikel 32 noemt versleuteling als voorbeeld van een passende maatregel. Een formulier dat zonder HTTPS of met een verlopen certificaat wordt aangeboden, verstuurt persoonsgegevens onbeschermd.

De scanner van formexposed bekijkt verschillende van deze punten van buitenaf: een link naar de privacyverklaring bij het formulier, of het weigeren van de cookiebanner tracking echt stopt, pixels en session-replaytools op formulierpagina’s, en of het ontvangstadres in de broncode van de pagina zichtbaar is. Hij verzendt niets. Een gratis controle zonder account geeft u het algemene niveau en de belangrijkste bevindingen over de bescherming; de AVG-details staan in het volledige rapport.