RGPD no formulário de contato: os pontos importantes na prática

Todo formulário de contato trata dados pessoais: um nome, um endereço de e-mail, muitas vezes um telefone e uma mensagem de texto livre que pode conter quase qualquer coisa. O RGPD não proíbe nada disso, mas estabelece algumas expectativas — para o próprio formulário, para o que é carregado ao redor dele e para o que acontece com a mensagem depois.

No formulário: informe e peça pouco

O Artigo 13 do RGPD exige que você informe as pessoas no momento em que coleta seus dados. Para um formulário de contato, isso significa no formulário — não apenas por um link no rodapé bem abaixo. A abordagem comum é em camadas: uma frase curta ao lado do botão de envio, como “Usamos seus dados apenas para responder à sua solicitação — saiba mais na nossa política de privacidade”, com um link para a política. A política então cobre todos os detalhes.

O segundo princípio é a minimização dos dados (Artigo 5(1)(c)). Para responder, normalmente você precisa de um meio de resposta e da própria mensagem. Um nome ajuda, um telefone às vezes é útil e um endereço postal raramente é. Retire o que não precisa e marque como opcionais os campos apenas convenientes. Imagine um consultório odontológico cujo formulário exige o telefone: quem prefere e-mail é pressionado a fornecer mais do que a finalidade exige.

Responder a uma solicitação geralmente não exige caixa de consentimento

Muitos formulários têm uma caixa obrigatória dizendo “Consinto com o tratamento dos meus dados”. Parece cuidadoso, mas geralmente é a ferramenta errada. Quando alguém faz uma pergunta ou pede um orçamento, a base legal costuma ser o Artigo 6(1)(b) — medidas tomadas a pedido da pessoa antes da celebração de um contrato — ou o Artigo 6(1)(f), seu interesse legítimo em responder. O consentimento traz obrigações próprias: deve ser dado livremente e pode ser retirado a qualquer momento. Categorias especiais de dados são diferentes: se um formulário pede informações de saúde, por exemplo, em um consultório médico ou odontológico, aplica-se o Art. 9 do RGPD, e a base legal exige uma análise separada.
Marketing é diferente. Uma newsletter exige consentimento real: uma caixa de seleção separada, desmarcada por padrão — o Considerando 32 afirma que caixas pré-marcadas não contam —, e o formulário deve funcionar sem ela.

O que mais é carregado na página do formulário

Os campos raramente estão sozinhos na página. Um CAPTCHA de provedor externo, um pixel de publicidade ou análise ou uma ferramenta de reprodução de sessões pode funcionar enquanto alguém digita. Cada um pode enviar dados — pelo menos o endereço IP — a terceiros, e armazenar ou ler informações no dispositivo geralmente exige consentimento conforme as regras de privacidade eletrônica implementadas nacionalmente, tanto na Alemanha e na Polônia quanto em outros lugares, salvo se for estritamente necessário. A reprodução de sessões é a mais delicada: sem mascaramento, pode registrar o que as pessoas digitam antes mesmo de clicarem em Enviar.
É aqui que o banner de consentimento precisa cumprir sua função: após “Recusar”, os pixels devem ficar inativos. É discutível se um CAPTCHA de terceiros é estritamente necessário. Se ele só carregar após o consentimento, ofereça a quem recusou outra forma de contato, como um endereço de e-mail simples. Proteção sem terceiros — campo honeypot, verificação de tempo, desafio de prova de trabalho — evita completamente essa questão.

• Abra a página do formulário em uma janela privativa, recuse no banner e confira a aba de rede nas ferramentas de desenvolvedor: quais requisições externas ainda são enviadas?
• Procure pixels de publicidade e análise na página do formulário e na página de agradecimento após o envio.
• Se usar reprodução de sessões, garanta que os campos estejam mascarados ou que as páginas de formulário sejam excluídas.
• Observe qual provedor de CAPTCHA é carregado e quando — antes ou depois do consentimento.
• Identifique cada terceiro restante, com sua finalidade, na sua política de privacidade.

Para onde vão as mensagens — e por quanto tempo ficam

Todo serviço que trata as mensagens em seu nome — hospedagem, provedor de e-mail, um SaaS de formulário ao qual os dados são enviados, suporte ou CRM — é um operador nos termos do Artigo 28 do RGPD. Você precisa de um acordo de tratamento de dados (DPA) com cada um deles; a maioria oferece um modelo padrão. Se os dados forem tratados fora da UE/EEE, a transferência também precisará de uma base conforme o Capítulo V, como uma decisão de adequação — por exemplo, o Quadro de Privacidade de Dados UE–EUA para empresas certificadas — ou cláusulas contratuais padrão.

As solicitações não devem ser mantidas para sempre. Pelo princípio da limitação da conservação (Artigo 5(1)(e)), você define um prazo e realmente exclui os dados — incluindo cópias em caixas de correio, bancos de dados de plugins e CRM. Se uma solicitação virar uma relação comercial, regras comerciais e fiscais — tanto a Alemanha quanto a Polônia as têm — podem exigir a conservação de parte da correspondência por anos; nesse caso, esse dever define o prazo. Por fim, segurança: o Artigo 32 cita a criptografia como exemplo de medida adequada. Um formulário disponibilizado sem HTTPS ou com certificado expirado envia dados pessoais sem proteção.

O verificador formexposed examina vários desses pontos externamente: link para a política de privacidade no formulário, se recusar no banner de cookies realmente impede o rastreamento, pixels e ferramentas de reprodução de sessões nas páginas de formulário e se o endereço do destinatário está visível no código-fonte da página. Ele não envia nada. Uma verificação gratuita sem conta fornece o nível geral e as principais constatações de proteção; os detalhes de RGPD estão no relatório completo.