RODO a formularz kontaktowy: co naprawdę liczy się w praktyce

Każdy formularz kontaktowy przetwarza dane osobowe: imię i nazwisko, adres e-mail, często numer telefonu i wiadomość, w której może się znaleźć niemal wszystko. RODO niczego z tego nie zabrania, ale stawia kilka wymagań – wobec samego formularza, wobec tego, co ładuje się wokół niego, i wobec tego, co dzieje się z wiadomością po wysłaniu.

Przy formularzu: poinformuj i pytaj o niewiele

Art. 13 RODO wymaga, żeby poinformować ludzi w momencie zbierania ich danych. W przypadku formularza kontaktowego oznacza to: przy formularzu – a nie tylko w linku gdzieś na dole stopki. Przyjęło się podejście warstwowe: jedno krótkie zdanie obok przycisku wysyłki, np. „Twoje dane wykorzystamy tylko do odpowiedzi na zapytanie – więcej w polityce prywatności”, z linkiem do polityki. Pełne szczegóły znajdują się już w polityce.

Druga zasada to minimalizacja danych (art. 5 ust. 1 lit. c). Żeby odpowiedzieć, zwykle wystarczy sposób kontaktu zwrotnego i sama wiadomość. Imię się przydaje, numer telefonu czasem, adres pocztowy rzadko. Pomiń to, czego nie potrzebujesz, a pola, które tylko „mogą się przydać”, oznacz jako opcjonalne. Wyobraź sobie gabinet stomatologiczny, którego formularz wymaga numeru telefonu: każdy, kto woli kontakt mailowy, musi podać więcej, niż wymaga cel.

Odpowiedź na zapytanie zwykle nie wymaga checkboxa ze zgodą

Wiele formularzy ma obowiązkowe pole w stylu „Wyrażam zgodę na przetwarzanie moich danych”. Wygląda to na staranność, ale zwykle to złe narzędzie. Gdy ktoś zadaje pytanie albo prosi o wycenę, podstawą prawną jest zazwyczaj art. 6 ust. 1 lit. b RODO – działania podejmowane na żądanie osoby przed zawarciem umowy – albo lit. f, czyli Twój prawnie uzasadniony interes w udzieleniu odpowiedzi. Zgoda niesie własne obowiązki: musi być dobrowolna i można ją w każdej chwili wycofać. Inaczej jest ze szczególnymi kategoriami danych: jeśli formularz, np. w gabinecie lekarskim lub stomatologicznym, pyta o dane o zdrowiu, zastosowanie ma art. 9 RODO i podstawę prawną trzeba ocenić osobno.
Z marketingiem jest inaczej. Newsletter wymaga prawdziwej zgody: osobnego checkboxa, domyślnie niezaznaczonego – motyw 32 wprost mówi, że zaznaczone z góry pola nie oznaczają zgody – a formularz musi działać także bez niego.

Co jeszcze ładuje się na stronie z formularzem

Pola rzadko są na stronie same. Zewnętrzna CAPTCHA, piksel reklamowy lub analityczny czy narzędzie do nagrywania sesji (session replay) mogą działać, gdy ktoś pisze wiadomość. Każde z nich może przesyłać dane – co najmniej adres IP – podmiotom trzecim, a zapisywanie lub odczytywanie informacji na urządzeniu wymaga co do zasady zgody na podstawie przepisów ePrivacy w ich krajowym wdrożeniu (w Polsce i w Niemczech tak samo jak gdzie indziej), chyba że jest to niezbędne. Najbardziej drażliwy jest session replay: bez maskowania może nagrywać to, co ktoś wpisuje, zanim jeszcze kliknie „Wyślij”.
Tu baner cookies musi dotrzymać słowa: po kliknięciu „Odrzuć” piksele mają milczeć. Czy CAPTCHA zewnętrznego dostawcy jest niezbędna, pozostaje kwestią sporną. Jeśli ładuje się dopiero po zgodzie, daj osobom, które odmówiły, inną drogę kontaktu, np. zwykły adres e-mail. Ochrona bez podmiotów trzecich – pole honeypot, kontrola czasu, zadanie proof-of-work – w ogóle omija ten problem.

• Otwórz stronę z formularzem w oknie prywatnym, odrzuć baner i zajrzyj do zakładki Sieć w narzędziach deweloperskich: jakie zewnętrzne żądania nadal wychodzą?
• Sprawdź, czy piksele reklamowe i analityczne odpalają się na stronie z formularzem albo na stronie z podziękowaniem po wysłaniu.
• Jeśli używasz session replay, upewnij się, że pola formularza są maskowane albo strony z formularzami wyłączone z nagrywania.
• Zanotuj, który dostawca CAPTCHA się ładuje i kiedy – przed zgodą czy po niej.
• Wymień w polityce prywatności każdy pozostały podmiot zewnętrzny wraz z celem.

Dokąd trafiają wiadomości – i jak długo zostają

Każda usługa, która obsługuje wiadomości w Twoim imieniu – hosting, dostawca poczty, zewnętrzna usługa formularzy (SaaS), do której formularz wysyła dane, helpdesk czy CRM – jest podmiotem przetwarzającym w rozumieniu art. 28 RODO. Z każdym z nich potrzebujesz umowy powierzenia przetwarzania danych; większość dostawców ma gotowy wzór. Jeśli dane są przetwarzane poza UE/EOG, przekazanie wymaga dodatkowo podstawy z rozdziału V, np. decyzji stwierdzającej odpowiedni stopień ochrony – takiej jak EU-US Data Privacy Framework dla certyfikowanych firm – albo standardowych klauzul umownych.

Zapytania nie powinny leżeć wiecznie. Zgodnie z zasadą ograniczenia przechowywania (art. 5 ust. 1 lit. e) ustalasz okres przechowywania i faktycznie usuwasz dane – także kopie w skrzynkach, bazach wtyczek i w CRM. Jeśli z zapytania wyniknie współpraca, przepisy handlowe i podatkowe – mają je zarówno Polska, jak i Niemcy – mogą wymagać przechowywania części korespondencji przez lata; wtedy to ten obowiązek wyznacza okres. Na koniec bezpieczeństwo: art. 32 wymienia szyfrowanie jako przykład odpowiedniego środka. Formularz bez HTTPS albo z wygasłym certyfikatem przesyła dane osobowe bez ochrony.

Skaner formexposed sprawdza z zewnątrz kilka z tych punktów: link do polityki prywatności przy formularzu, to, czy odrzucenie banera cookies naprawdę zatrzymuje śledzenie, piksele i narzędzia session replay na stronach z formularzami oraz to, czy adres odbiorcy widać w kodzie źródłowym strony. Niczego nie wysyła. Darmowy test bez konta pokazuje ogólny poziom i najważniejsze wyniki dotyczące ochrony; szczegóły RODO zawiera pełny raport.