RGPD no formulário de contacto: os pontos que importam na prática

Todos os formulários de contacto tratam dados pessoais: um nome, um endereço de e-mail, muitas vezes um número de telefone e uma mensagem de texto livre que pode conter quase tudo. O RGPD não proíbe nada disto, mas estabelece algumas expectativas – para o próprio formulário, para o que é carregado à sua volta e para o que acontece depois à mensagem.

No formulário: informar e pedir pouco

O artigo 13.º do RGPD exige que informe as pessoas no momento em que recolhe os seus dados. Num formulário de contacto, isso significa junto ao formulário – e não apenas através de uma ligação no rodapé, muito mais abaixo. A abordagem comum é por camadas: uma frase curta junto ao botão de envio, como «Utilizamos os seus dados apenas para responder ao seu pedido – mais informações na nossa política de privacidade», com ligação para a política. A política contém depois todos os pormenores.

O segundo princípio é a minimização dos dados (artigo 5.º, n.º 1, alínea c)). Para responder, precisa normalmente de uma forma de responder e da própria mensagem. Um nome ajuda, um número de telefone é por vezes útil, um endereço postal raramente o é. Deixe de fora o que não precisa e assinale como opcionais os campos que são apenas úteis. Imagine uma clínica dentária cujo formulário torna obrigatório o número de telefone: todos os que preferem o e-mail são forçados a fornecer mais do que a finalidade exige.

Responder a um pedido normalmente não exige uma caixa de consentimento

Muitos formulários têm uma caixa obrigatória a dizer «Dou o meu consentimento para o tratamento dos meus dados». Parece cuidadoso, mas normalmente é a ferramenta errada. Quando alguém faz uma pergunta ou pede um orçamento, o fundamento jurídico é tipicamente o artigo 6.º, n.º 1, alínea b) – diligências pré-contratuais a pedido da pessoa – ou o artigo 6.º, n.º 1, alínea f), o seu interesse legítimo em responder. O consentimento traz obrigações próprias: tem de ser dado livremente e pode ser retirado a qualquer momento. As categorias especiais de dados são diferentes: se um formulário pedir informações de saúde, por exemplo numa clínica médica ou dentária, aplica-se o art. 9.º do RGPD e o fundamento jurídico exige uma análise separada.
O marketing é diferente. Uma newsletter exige um consentimento genuíno: uma caixa de verificação separada, desmarcada por predefinição – o considerando 32 estabelece que as caixas pré-assinaladas não contam – e o formulário tem de funcionar sem ela.

O que mais é carregado na página do formulário

Os campos raramente estão sozinhos na página. Um CAPTCHA de um fornecedor externo, um pixel de publicidade ou de análise ou uma ferramenta de gravação de sessões podem estar a ser executados enquanto alguém escreve. Cada um pode enviar dados – pelo menos o endereço IP – a um terceiro, e o armazenamento ou a leitura de informações no dispositivo exige, em regra, consentimento ao abrigo das regras de privacidade eletrónica transpostas a nível nacional, na Alemanha e na Polónia como noutros países, a menos que seja estritamente necessário. A gravação de sessões é a mais delicada: sem ocultação, pode registar o que as pessoas escrevem antes mesmo de clicarem em Enviar.
É aqui que o banner de consentimento tem de cumprir: após «Recusar», os pixels têm de ficar em silêncio. É discutível se um CAPTCHA de terceiros é estritamente necessário. Se só for carregado após o consentimento, dê a quem recusou outra forma de o contactar, como um simples endereço de e-mail. Uma proteção sem terceiros – um campo honeypot, uma verificação de tempo, um desafio de proof-of-work – evita totalmente a questão.

• Abra a página do formulário numa janela privada, recuse o banner e verifique o separador de rede nas ferramentas de programador: que pedidos externos continuam a ser enviados?
• Verifique se existem pixels de publicidade e de análise na página do formulário e na página de agradecimento após o envio.
• Se utilizar gravação de sessões, certifique-se de que os campos dos formulários são ocultados ou de que as páginas de formulários são excluídas.
• Anote que fornecedor de CAPTCHA é carregado, e quando – antes ou depois do consentimento.
• Indique na sua política de privacidade todos os terceiros restantes, com a respetiva finalidade.

Para onde vão as mensagens – e durante quanto tempo ficam

Cada serviço que trata as mensagens por sua conta – alojamento, fornecedor de correio eletrónico, um SaaS de formulários para o qual o formulário envia, um helpdesk ou CRM – é um subcontratante na aceção do artigo 28.º do RGPD. Precisa de um acordo de tratamento de dados com cada um deles; a maioria dos fornecedores oferece um modelo normalizado. Se os dados forem tratados fora da UE/EEE, a transferência precisa também de um fundamento nos termos do capítulo V, como uma decisão de adequação – por exemplo, o Quadro de Privacidade de Dados UE-EUA para empresas certificadas – ou cláusulas contratuais-tipo.

Os pedidos de contacto não devem ser conservados para sempre. Ao abrigo do princípio da limitação da conservação (artigo 5.º, n.º 1, alínea e)), define um prazo de conservação e apaga efetivamente – incluindo as cópias em caixas de correio, bases de dados de plugins e no CRM. Se um pedido de contacto se transformar numa relação comercial, as regras comerciais e fiscais – que existem tanto na Alemanha como na Polónia – podem exigir a conservação de alguma correspondência durante anos; nesse caso, é essa obrigação que determina o prazo. Por fim, a segurança: o artigo 32.º refere a cifragem como exemplo de medida adequada. Um formulário servido sem HTTPS ou com um certificado expirado envia dados pessoais sem proteção.

O scanner da formexposed analisa vários destes pontos a partir do exterior: uma ligação para a política de privacidade junto ao formulário, se recusar o banner de cookies trava realmente o rastreio, pixels e ferramentas de gravação de sessões nas páginas de formulários e se o endereço do destinatário é visível no código-fonte da página. Não submete nada. Uma verificação gratuita sem conta dá-lhe o nível global e as principais constatações sobre a proteção; os pormenores relativos ao RGPD constam do relatório completo.