GDPR i kontaktformuläret: de punkter som spelar roll i praktiken

Varje kontaktformulär behandlar personuppgifter: ett namn, en e-postadress, ofta ett telefonnummer och ett fritextmeddelande som kan innehålla nästan vad som helst. GDPR förbjuder inget av detta, men ställer några förväntningar – på själva formuläret, på det som laddas runt det och på vad som händer med meddelandet efteråt.

Vid formuläret: informera och be om lite

Artikel 13 i GDPR kräver att du informerar människor vid den tidpunkt då du samlar in deras uppgifter. För ett kontaktformulär innebär det vid formuläret – inte bara via en länk i sidfoten långt nedanför. Det vanliga tillvägagångssättet är skiktat: en kort mening bredvid skicka-knappen, till exempel ”Vi använder dina uppgifter endast för att besvara din förfrågan – mer i vår integritetspolicy”, med en länk till policyn. Policyn täcker sedan alla detaljer.

Den andra principen är uppgiftsminimering (artikel 5(1)(c)). För att svara behöver du oftast ett sätt att svara och själva meddelandet. Ett namn hjälper, ett telefonnummer är ibland användbart, en postadress sällan. Utelämna det du inte behöver och markera fält som är bra att ha som valfria. Tänk dig en tandläkarmottagning vars formulär gör telefonnumret obligatoriskt: alla som föredrar e-post tvingas lämna mer än ändamålet kräver.

Att besvara en förfrågan kräver oftast ingen samtyckesruta

Många formulär har en obligatorisk ruta med texten ”Jag samtycker till behandlingen av mina uppgifter”. Det ser omsorgsfullt ut, men är oftast fel verktyg. När någon ställer en fråga eller begär en offert är den rättsliga grunden vanligtvis artikel 6(1)(b) – åtgärder som vidtas på begäran av den registrerade innan ett avtal ingås – eller artikel 6(1)(f), ditt berättigade intresse av att svara. Samtycke för med sig egna skyldigheter: det måste vara frivilligt och kan återkallas när som helst. Särskilda kategorier av uppgifter är en annan sak: om ett formulär frågar efter hälsouppgifter, till exempel på en läkar- eller tandläkarmottagning, gäller Art. 9 GDPR och den rättsliga grunden behöver prövas separat.
Marknadsföring är annorlunda. Ett nyhetsbrev kräver ett verkligt samtycke: en separat kryssruta, som inte är förkryssad – skäl 32 anger att förkryssade rutor inte räknas – och formuläret måste fungera utan den.

Vad mer som laddas på formulärsidan

Fälten är sällan ensamma på sidan. En CAPTCHA från en extern leverantör, en annons- eller analyspixel eller ett verktyg för sessionsinspelning kan köras medan någon skriver. Vart och ett kan skicka uppgifter – åtminstone IP-adressen – till en tredje part, och lagring av eller åtkomst till information på enheten kräver i regel samtycke enligt ePrivacy-reglerna så som de har genomförts nationellt, i Tyskland och Polen liksom på andra håll, såvida det inte är strikt nödvändigt. Sessionsinspelning är det känsligaste: utan maskering kan den spela in vad folk skriver innan de ens har klickat på Skicka.
Det är här samtyckesbannern måste leverera: efter ”Avvisa” ska pixlarna vara tysta. Om en CAPTCHA från tredje part är strikt nödvändig är omdiskuterat. Om den bara laddas efter samtycke, ge dem som avvisade ett annat sätt att nå dig, till exempel en vanlig e-postadress. Skydd utan tredje part – ett honeypot-fält, en tidskontroll, en proof-of-work-utmaning – undviker frågan helt.

• Öppna formulärsidan i ett privat fönster, avvisa bannern och kontrollera nätverksfliken i utvecklarverktygen: vilka externa förfrågningar går fortfarande ut?
• Leta efter annons- och analyspixlar på formulärsidan och på tacksidan efter inskicket.
• Om du använder sessionsinspelning, se till att formulärfält maskeras eller att formulärsidor undantas.
• Notera vilken CAPTCHA-leverantör som laddas, och när – före eller efter samtycket.
• Nämn varje kvarvarande tredje part, med dess ändamål, i din integritetspolicy.

Vart meddelandena tar vägen – och hur länge de stannar

Varje tjänst som hanterar meddelandena för din räkning – webbhotell, e-postleverantör, en formulär-SaaS som formuläret skickar till, en helpdesk eller ett CRM – är ett personuppgiftsbiträde enligt artikel 28 i GDPR. Du behöver ett personuppgiftsbiträdesavtal (PUB-avtal) med var och en av dem; de flesta leverantörer erbjuder ett standardavtal. Om uppgifter behandlas utanför EU/EES behöver överföringen dessutom en grund enligt kapitel V, till exempel ett beslut om adekvat skyddsnivå – exempelvis ramverket för dataskydd mellan EU och USA för certifierade företag – eller standardavtalsklausuler.

Förfrågningar bör inte sparas för evigt. Enligt principen om lagringsminimering (artikel 5(1)(e)) fastställer du en lagringstid och raderar faktiskt – inklusive kopior i brevlådor, plugindatabaser och CRM. Om en förfrågan leder till en affärsrelation kan handels- och skatteregler – både Tyskland och Polen har sådana – kräva att viss korrespondens sparas i flera år; då är det den skyldigheten som bestämmer tidsfristen. Slutligen säkerheten: artikel 32 nämner kryptering som exempel på en lämplig åtgärd. Ett formulär som levereras utan HTTPS eller med ett utgånget certifikat skickar personuppgifter oskyddade.

formexposed-skannern tittar på flera av dessa punkter utifrån: en länk till integritetspolicyn vid formuläret, om ett avvisande av cookiebannern verkligen stoppar spårningen, pixlar och verktyg för sessionsinspelning på formulärsidor och om mottagaradressen syns i sidans källkod. Den skickar ingenting. En gratisgranskning utan konto ger dig den övergripande nivån och de centrala fynden om skyddet; GDPR-detaljerna finns i den fullständiga rapporten.