GDPR pri kontaktnem obrazcu: točke, ki so pomembne v praksi

Vsak kontaktni obrazec obdeluje osebne podatke: ime, e-poštni naslov, pogosto telefonsko številko in prosto besedilo sporočila, ki lahko vsebuje skoraj karkoli. GDPR ničesar od tega ne prepoveduje, postavlja pa nekaj pričakovanj – za sam obrazec, za to, kar se naloži okoli njega, in za to, kaj se s sporočilom zgodi pozneje.

Pri obrazcu: obvestite in zahtevajte malo

Člen 13 GDPR zahteva, da ljudi obvestite ob zbiranju njihovih podatkov. Pri kontaktnem obrazcu to pomeni pri obrazcu – ne le prek povezave v nogi daleč spodaj. Običajen pristop je večplasten: en kratek stavek ob gumbu za oddajo, na primer »Vaše podatke uporabimo le za odgovor na Vaše povpraševanje – več v naši politiki zasebnosti«, s povezavo do politike. Politika nato zajema vse podrobnosti.

Drugo načelo je najmanjši obseg podatkov (člen 5(1)(c)). Za odgovor običajno potrebujete način za odgovor in samo sporočilo. Ime pomaga, telefonska številka je včasih koristna, poštni naslov redko. Izpustite, česar ne potrebujete, in polja, ki so le zaželena, označite kot neobvezna. Predstavljajte si zobozdravniško ordinacijo, katere obrazec zahteva telefonsko številko kot obvezno: vsakdo, ki ima raje e-pošto, je prisiljen dati več, kot zahteva namen.

Za odgovor na povpraševanje običajno ni potrebno potrditveno polje za privolitev

Veliko obrazcev ima obvezno polje z besedilom »Privolim v obdelavo svojih podatkov«. Videti je skrbno, a običajno je napačno orodje. Ko nekdo zastavi vprašanje ali zahteva ponudbo, je pravna podlaga običajno člen 6(1)(b) – ukrepi na zahtevo osebe pred sklenitvijo pogodbe – ali člen 6(1)(f), Vaš zakoniti interes, da odgovorite. Privolitev prinaša lastne obveznosti: dana mora biti prostovoljno in jo je mogoče kadar koli preklicati. Posebne vrste podatkov so drugačne: če obrazec zahteva podatke o zdravju, na primer v zdravniški ali zobozdravniški ordinaciji, se uporablja člen 9 GDPR in pravno podlago je treba posebej preveriti.
Trženje je drugačno. E-novice zahtevajo pravo privolitev: ločeno potrditveno polje, privzeto neoznačeno – uvodna izjava 32 navaja, da vnaprej označena polja ne štejejo – in obrazec mora delovati brez njega.

Kaj še se naloži na strani z obrazcem

Polja so na strani redko sama. Medtem ko nekdo tipka, lahko tečejo CAPTCHA zunanjega ponudnika, oglaševalska ali analitična slikovna pika ali orodje za snemanje sej. Vsako lahko pošlje podatke – vsaj naslov IP – tretji osebi, shranjevanje informacij na napravi ali branje z nje pa na splošno zahteva privolitev po pravilih o e-zasebnosti, kot so prenesena v nacionalno pravo, v Nemčiji in na Poljskem tako kot drugod, razen če je to nujno potrebno. Snemanje sej je najobčutljivejše: brez maskiranja lahko posname, kar ljudje natipkajo, še preden kliknejo Pošlji.
Tu mora pasica za privolitev opraviti svoje: po »Zavrni« morajo slikovne pike molčati. Ali je CAPTCHA tretje osebe nujno potrebna, je sporno. Če se naloži šele po privolitvi, ljudem, ki so zavrnili, ponudite drug način, da Vas dosežejo, na primer navaden e-poštni naslov. Zaščita brez tretje osebe – past-polje, preverjanje časa, izziv z dokazom dela – se vprašanju v celoti izogne.

• Stran z obrazcem odprite v zasebnem oknu, zavrnite pasico in preverite zavihek omrežja v razvijalskih orodjih: katere zunanje zahteve še vedno odhajajo?
• Preverite, ali so na strani z obrazcem in na zahvalni strani po pošiljanju oglaševalske in analitične slikovne pike.
• Če uporabljate snemanje sej, poskrbite, da so polja obrazcev maskirana ali strani z obrazci izključene.
• Zabeležite, kateri ponudnik CAPTCHA se naloži in kdaj – pred privolitvijo ali po njej.
• Vsako preostalo tretjo osebo z njenim namenom navedite v svoji politiki zasebnosti.

Kam gredo sporočila – in kako dolgo ostanejo

Vsaka storitev, ki sporočila obravnava v Vašem imenu – gostovanje, ponudnik e-pošte, storitev SaaS za obrazce, kamor obrazec pošilja, sistem za pomoč uporabnikom ali CRM – je obdelovalec po členu 28 GDPR. Z vsakim od njih potrebujete pogodbo o obdelavi podatkov; večina ponudnikov ponuja standardno. Če se podatki obdelujejo zunaj EU/EGP, prenos potrebuje tudi podlago iz poglavja V, kot je sklep o ustreznosti – na primer okvir EU-ZDA za zasebnost podatkov za certificirana podjetja – ali standardne pogodbene klavzule.

Povpraševanj ne bi smeli hraniti večno. Po načelu omejitve shranjevanja (člen 5(1)(e)) določite rok hrambe in dejansko izbrišete – vključno s kopijami v poštnih predalih, podatkovnih bazah vtičnikov in CRM. Če se povpraševanje razvije v poslovni odnos, lahko trgovinska in davčna pravila – ima jih tako Nemčija kot Poljska – zahtevajo hrambo dela korespondence več let; takrat rok določa ta obveznost. Nazadnje varnost: člen 32 kot primer ustreznega ukrepa navaja šifriranje. Obrazec, ki se streže brez HTTPS ali s potečenim certifikatom, pošilja osebne podatke nezaščitene.

Pregledovalnik formexposed od zunaj preveri več teh točk: povezavo do politike zasebnosti pri obrazcu, ali zavrnitev pasice za piškotke res ustavi sledenje, slikovne pike in orodja za snemanje sej na straneh z obrazci ter ali je naslov prejemnika viden v izvorni kodi strani. Ničesar ne odda. Brezplačno preverjanje brez računa Vam da skupno raven in ključne ugotovitve o zaščiti; podrobnosti GDPR so v celotnem poročilu.