GDPR pri kontaktnom formulári: body, na ktorých v praxi záleží

Každý kontaktný formulár spracúva osobné údaje: meno, e-mailovú adresu, často telefónne číslo a voľný text správy, ktorý môže obsahovať takmer čokoľvek. GDPR nič z toho nezakazuje, ale stanovuje niekoľko očakávaní – pre samotný formulár, pre to, čo sa okolo neho načítava, a pre to, čo sa so správou deje potom.

Pri formulári: informovať a žiadať málo

Článok 13 GDPR vyžaduje, aby ste ľudí informovali v čase, keď získavate ich údaje. Pri kontaktnom formulári to znamená pri formulári – nielen prostredníctvom odkazu v päte stránky hlboko dole. Bežný prístup je viacúrovňový: jedna krátka veta vedľa odosielacieho tlačidla, napríklad „Vaše údaje použijeme len na odpoveď na Váš dopyt – viac v našich zásadách ochrany osobných údajov“, s odkazom na zásady. Zásady potom obsahujú všetky podrobnosti.

Druhou zásadou je minimalizácia údajov (článok 5(1)(c)). Na odpoveď zvyčajne potrebujete spôsob, ako odpovedať, a samotnú správu. Meno pomôže, telefónne číslo je niekedy užitočné, poštová adresa zriedka. Vynechajte, čo nepotrebujete, a polia, ktoré sú len „dobré mať“, označte ako voliteľné. Predstavte si zubnú ambulanciu, ktorej formulár vyžaduje telefónne číslo ako povinné: každý, kto uprednostňuje e-mail, je nútený poskytnúť viac, ako účel vyžaduje.

Odpoveď na dopyt zvyčajne nepotrebuje zaškrtávacie políčko súhlasu

Mnohé formuláre obsahujú povinné políčko s textom „Súhlasím so spracúvaním mojich údajov“. Pôsobí to starostlivo, ale zvyčajne je to nesprávny nástroj. Keď sa niekto na niečo pýta alebo žiada o cenovú ponuku, právnym základom je spravidla článok 6(1)(b) – opatrenia prijaté na žiadosť dotknutej osoby pred uzavretím zmluvy – alebo článok 6(1)(f), Váš oprávnený záujem odpovedať. Súhlas so sebou prináša vlastné povinnosti: musí byť slobodne daný a možno ho kedykoľvek odvolať. Osobitné kategórie údajov sú iný prípad: ak formulár žiada informácie o zdraví, napríklad v lekárskej alebo zubnej ambulancii, uplatňuje sa čl. 9 GDPR a právny základ treba osobitne preskúmať.
Marketing je iný prípad. Newsletter potrebuje skutočný súhlas: samostatné zaškrtávacie políčko, predvolene nezaškrtnuté – odôvodnenie 32 uvádza, že vopred zaškrtnuté políčka sa nepočítajú – a formulár musí fungovať aj bez neho.

Čo ďalšie sa načítava na stránke s formulárom

Polia sú na stránke zriedka samy. Kým niekto píše, môže bežať CAPTCHA od externého poskytovateľa, reklamný alebo analytický pixel alebo nástroj na záznam relácií. Každý z nich môže posielať údaje – prinajmenšom IP adresu – tretej strane a ukladanie informácií do zariadenia alebo ich čítanie si podľa pravidiel ePrivacy v ich vnútroštátnom vykonaní, v Nemecku a Poľsku rovnako ako inde, spravidla vyžaduje súhlas, pokiaľ nie je nevyhnutne potrebné. Najcitlivejší je záznam relácií: bez maskovania môže zaznamenať, čo ľudia píšu, ešte predtým, ako vôbec kliknú na Odoslať.
Práve tu musí cookie lišta splniť svoju úlohu: po kliknutí na „Odmietnuť“ musia pixely mlčať. Či je CAPTCHA tretej strany nevyhnutne potrebná, je predmetom diskusie. Ak sa načíta až po udelení súhlasu, dajte ľuďom, ktorí ho odmietli, inú možnosť, ako Vás kontaktovať, napríklad obyčajnú e-mailovú adresu. Ochrana bez tretej strany – pole honeypot, časová kontrola, výzva proof-of-work – sa tejto otázke úplne vyhne.

• Otvorte stránku s formulárom v súkromnom okne, odmietnite cookie lištu a pozrite sa na kartu Sieť vo vývojárskych nástrojoch: ktoré externé požiadavky stále odchádzajú?
• Skontrolujte reklamné a analytické pixely na stránke s formulárom a na ďakovnej stránke po odoslaní.
• Ak používate záznam relácií, uistite sa, že polia formulára sú maskované alebo stránky s formulármi vylúčené.
• Zaznamenajte si, ktorý poskytovateľ CAPTCHA sa načítava a kedy – pred udelením súhlasu alebo po ňom.
• Každú zostávajúcu tretiu stranu uveďte spolu s jej účelom vo svojich zásadách ochrany osobných údajov.

Kam správy idú – a ako dlho zostávajú

Každá služba, ktorá so správami zaobchádza v mene Vás – hosting, poskytovateľ e-mailu, SaaS služba formulárov, na ktorú formulár odosiela, helpdesk alebo CRM –, je sprostredkovateľom podľa článku 28 GDPR. S každým z nich potrebujete zmluvu o spracúvaní osobných údajov; väčšina poskytovateľov ponúka štandardnú. Ak sa údaje spracúvajú mimo EÚ/EHP, prenos potrebuje aj základ podľa kapitoly V, napríklad rozhodnutie o primeranosti – napríklad rámec ochrany osobných údajov EÚ – USA (Data Privacy Framework) pre certifikované spoločnosti – alebo štandardné zmluvné doložky.

Dopyty by sa nemali uchovávať navždy. Podľa zásady minimalizácie uchovávania (článok 5(1)(e)) stanovíte dobu uchovávania a skutočne vymazávate – vrátane kópií v schránkach, databázach pluginov a v CRM. Ak sa z dopytu stane obchodný vzťah, obchodné a daňové predpisy – Nemecko aj Poľsko ich majú – môžu vyžadovať uchovávanie časti korešpondencie celé roky; potom túto dobu určuje táto povinnosť. A napokon bezpečnosť: článok 32 uvádza šifrovanie ako príklad primeraného opatrenia. Formulár poskytovaný bez HTTPS alebo s neplatným certifikátom posiela osobné údaje nechránené.

Skener formexposed sa na viaceré z týchto bodov pozerá zvonku: odkaz na zásady ochrany osobných údajov pri formulári, či odmietnutie cookie lišty skutočne zastaví sledovanie, pixely a nástroje na záznam relácií na stránkach s formulármi a či je adresa príjemcu viditeľná v zdrojovom kóde stránky. Nič neodosiela. Bezplatná kontrola bez účtu Vám ukáže celkovú úroveň a hlavné zistenia o ochrane; podrobnosti o GDPR sú v úplnej správe.