İletişim formunda GDPR: pratikte önemli noktalar

Her iletişim formu kişisel veri işler: ad, e-posta adresi, çoğu zaman telefon numarası ve neredeyse her şeyi içerebilecek bir serbest metin mesajı. GDPR bunları yasaklamaz, ancak hem formun kendisi hem çevresinde yüklenenler hem de sonrasında mesaja ne olduğu için bazı beklentiler belirler.

Formda: bilgilendirin ve az bilgi isteyin

Art. 13 GDPR, kişileri verilerini topladığınız anda bilgilendirmenizi gerektirir. İletişim formu için bu, çok aşağıdaki bir altbilgi bağlantısı üzerinden değil, formun yanında demektir. Yaygın yaklaşım katmanlıdır: gönder düğmesinin yanında, politikaya bağlantı içeren “Bilgilerinizi yalnızca talebinizi yanıtlamak için kullanırız; ayrıntılar gizlilik politikamızda” gibi kısa bir cümle. Politika da tüm ayrıntıları kapsar.

İkinci ilke veri minimizasyonudur (Art. 5(1)(c)). Yanıt vermek için genellikle bir yanıt yolu ve mesajın kendisi gerekir. Ad yardımcı olur, telefon numarası bazen yararlıdır, posta adresi ise nadiren gereklidir. İhtiyacınız olmayanları çıkarın ve yalnızca yararlı olabilecek alanları isteğe bağlı işaretleyin. Formunda telefon numarasını zorunlu tutan bir diş kliniği düşünün: e-postayı tercih eden herkes, amacın gerektirdiğinden fazla bilgi vermeye zorlanır.

Bir talebi yanıtlamak genellikle rıza kutusu gerektirmez

Birçok formda “Verilerimin işlenmesine rıza gösteriyorum” diyen zorunlu bir kutu bulunur. Özenli görünür, ancak genellikle yanlış araçtır. Birisi soru sorduğunda veya fiyat teklifi istediğinde hukuki dayanak tipik olarak Art. 6(1)(b), yani sözleşme kurulmadan önce kişinin talebi üzerine alınan önlemler, ya da Art. 6(1)(f), yani yanıt verme konusundaki meşru menfaatinizdir. Rıza kendi yükümlülüklerini getirir: özgürce verilmelidir ve her zaman geri çekilebilir. Özel kategorilerdeki veriler farklıdır: örneğin bir hekim veya diş kliniğinde form sağlık bilgisi istiyorsa Art. 9 GDPR uygulanır ve hukuki dayanak ayrı kontrol gerektirir.
Pazarlama farklıdır. Bülten gerçek rıza gerektirir: varsayılan olarak işaretlenmemiş ayrı bir onay kutusu. Gerekçe 32, önceden işaretlenmiş kutuların geçerli olmadığını belirtir; form bu kutu olmadan da çalışmalıdır.

Form sayfasında başka neler yüklenir?

Alanlar sayfada nadiren yalnızdır. Harici sağlayıcıdan bir CAPTCHA, reklam veya analiz pikseli ya da oturum tekrarı aracı, biri yazarken çalışabilir. Her biri üçüncü tarafa en azından IP adresi olmak üzere veri gönderebilir. Cihazda bilgi saklamak veya okumak, kesinlikle gerekli olmadıkça, Almanya ve Polonya'da da diğer yerlerde olduğu gibi ulusal hukuka aktarılmış eGizlilik kuralları uyarınca genellikle rıza gerektirir. En hassas olan oturum tekrarıdır: maskeleme olmadan, kişiler henüz Gönder'e tıklamadan yazdıklarını kaydedebilir.
Rıza bildiriminin işini yapması gereken yer burasıdır: “Reddet” sonrasında pikseller sessiz kalmalıdır. Üçüncü taraf CAPTCHA'nın kesinlikle gerekli olup olmadığı tartışmalıdır. Yalnızca rızadan sonra yükleniyorsa reddeden kişilere düz bir e-posta adresi gibi başka bir ulaşım yolu verin. Tuzak alan, zaman kontrolü veya iş ispatı görevi gibi üçüncü taraf içermeyen koruma, soruyu tamamen ortadan kaldırır.

• Form sayfasını özel pencerede açın, bildirimi reddedin ve geliştirici araçlarının ağ sekmesini kontrol edin: hangi harici istekler hâlâ gönderiliyor?
• Form sayfasında ve gönderimden sonraki teşekkür sayfasında reklam ve analiz pikselleri olup olmadığını kontrol edin.
• Oturum tekrarı kullanıyorsanız form alanlarının maskelendiğinden veya form sayfalarının kapsam dışı bırakıldığından emin olun.
• Hangi CAPTCHA sağlayıcısının ne zaman yüklendiğini not edin: rızadan önce mi sonra mı?
• Kalan her üçüncü tarafı amacıyla birlikte gizlilik politikanızda belirtin.

Mesajlar nereye gider ve ne kadar kalır?

Mesajları adınıza işleyen her hizmet — barındırma, posta sağlayıcısı, formun gönderim yaptığı form SaaS'ı, yardım masası veya CRM — Art. 28 GDPR kapsamında veri işleyendir. Her biriyle veri işleme sözleşmesi (DPA) yapmanız gerekir; çoğu sağlayıcı standart sözleşme sunar. Veriler AB/AEA dışında işleniyorsa aktarım ayrıca Bölüm V kapsamında bir dayanak gerektirir; örneğin bir yeterlilik kararı — sertifikalı şirketler için AB–ABD Veri Gizliliği Çerçevesi gibi — veya standart sözleşme maddeleri.

Talepler sonsuza kadar saklanmamalıdır. Saklama süresinin sınırlandırılması ilkesi (Art. 5(1)(e)) uyarınca bir saklama süresi belirler ve gerçekten silersiniz; posta kutularındaki, eklenti veri tabanlarındaki ve CRM'deki kopyalar dahil. Bir talep iş ilişkisine dönüşürse hem Almanya'da hem Polonya'da bulunan ticaret ve vergi kuralları bazı yazışmaların yıllarca tutulmasını gerektirebilir; bu durumda süreyi bu yükümlülük belirler. Son olarak güvenlik: Art. 32, uygun önleme örnek olarak şifrelemeyi belirtir. HTTPS olmadan veya süresi dolmuş sertifikayla sunulan form, kişisel verileri korumasız gönderir.

formexposed tarayıcısı bu noktaların birkaçını dışarıdan inceler: formdaki gizlilik politikası bağlantısı, çerez bildirimini reddetmenin izlemeyi gerçekten durdurup durdurmadığı, form sayfalarındaki pikseller ve oturum tekrarı araçları, alıcı adresinin sayfa kaynağında görünüp görünmediği. Hiçbir şey göndermez. Hesapsız ücretsiz kontrol genel düzeyi ve temel koruma bulgularını verir; GDPR ayrıntıları tam rapordadır.