GDPR tại biểu mẫu liên hệ: những điểm quan trọng trong thực tế

Mọi biểu mẫu liên hệ đều xử lý dữ liệu cá nhân: tên, địa chỉ e-mail, thường cả số điện thoại và tin nhắn tự do có thể chứa gần như bất kỳ nội dung nào. GDPR không cấm những việc đó nhưng đặt ra một số yêu cầu — với bản thân biểu mẫu, những gì tải xung quanh nó và những gì xảy ra với tin nhắn sau đó.

Ngay tại biểu mẫu: thông báo và chỉ hỏi ít dữ liệu

Điều 13 GDPR yêu cầu thông báo cho mọi người tại thời điểm thu thập dữ liệu của họ. Với biểu mẫu liên hệ, điều đó nghĩa là ngay tại biểu mẫu, không chỉ qua liên kết chân trang ở xa phía dưới. Cách phổ biến là chia lớp: một câu ngắn bên cạnh nút gửi, chẳng hạn “Chúng tôi chỉ dùng thông tin của bạn để trả lời yêu cầu — xem thêm trong chính sách quyền riêng tư”, có liên kết tới chính sách. Chính sách sau đó trình bày đầy đủ chi tiết.

Nguyên tắc thứ hai là tối thiểu hóa dữ liệu (Điều 5(1)(c)). Để trả lời, thường cần một cách liên lạc lại và chính tin nhắn. Tên có ích, số điện thoại đôi khi hữu ích, địa chỉ bưu chính hiếm khi cần. Hãy bỏ những gì không cần và đánh dấu các trường chỉ mang tính thuận tiện là tùy chọn. Hình dung một phòng khám nha khoa bắt buộc số điện thoại trong biểu mẫu: mọi người thích e-mail đều bị buộc cung cấp nhiều hơn mức mục đích đòi hỏi.

Trả lời yêu cầu thường không cần ô đồng ý

Nhiều biểu mẫu có ô bắt buộc ghi “Tôi đồng ý cho xử lý dữ liệu của mình”. Trông có vẻ cẩn trọng nhưng thường là công cụ không phù hợp. Khi có người đặt câu hỏi hoặc yêu cầu báo giá, cơ sở pháp lý thường là Điều 6(1)(b) — các bước thực hiện theo yêu cầu của người đó trước khi giao kết hợp đồng — hoặc Điều 6(1)(f), lợi ích chính đáng của bên trả lời trong việc phản hồi. Sự đồng ý kéo theo nghĩa vụ riêng: phải được đưa ra tự nguyện và có thể rút lại bất cứ lúc nào. Dữ liệu thuộc nhóm đặc biệt thì khác: nếu biểu mẫu hỏi thông tin sức khỏe, chẳng hạn tại phòng khám y khoa hoặc nha khoa, Điều 9 GDPR được áp dụng và cơ sở pháp lý cần được xem xét riêng.
Tiếp thị lại khác. Bản tin cần sự đồng ý thực sự: ô riêng, không đánh dấu sẵn — đoạn 32 phần mở đầu nêu rằng ô đánh dấu sẵn không được tính — và biểu mẫu phải hoạt động dù không chọn ô đó.

Những gì khác tải trên trang biểu mẫu

Các trường hiếm khi đứng một mình trên trang. CAPTCHA từ nhà cung cấp bên ngoài, pixel quảng cáo hoặc phân tích hay công cụ ghi lại phiên có thể chạy trong lúc ai đó gõ. Mỗi thứ đều có thể gửi dữ liệu — ít nhất là địa chỉ IP — cho bên thứ ba, và lưu hoặc đọc thông tin trên thiết bị nhìn chung cần sự đồng ý theo quy tắc ePrivacy được triển khai ở từng quốc gia, tại Đức và Ba Lan cũng như nơi khác, trừ khi việc đó là hoàn toàn cần thiết. Ghi lại phiên nhạy cảm nhất: nếu không che dữ liệu, nó có thể ghi lại nội dung người dùng gõ trước cả khi nhấp Gửi.
Đây là lúc biểu ngữ đồng ý phải thực hiện đúng chức năng: sau “Từ chối”, pixel phải im lặng. CAPTCHA bên thứ ba có hoàn toàn cần thiết hay không vẫn còn tranh luận. Nếu nó chỉ tải sau khi đồng ý, hãy cho người từ chối cách liên hệ khác, chẳng hạn địa chỉ e-mail thông thường. Bảo vệ không dùng bên thứ ba — trường honeypot, kiểm tra thời gian, thử thách bằng chứng công việc — tránh được hẳn câu hỏi này.

• Mở trang biểu mẫu trong cửa sổ riêng tư, từ chối biểu ngữ rồi kiểm tra thẻ mạng trong công cụ nhà phát triển: yêu cầu nào tới bên ngoài vẫn được gửi?
• Kiểm tra pixel quảng cáo và phân tích trên trang biểu mẫu và trang cảm ơn sau khi gửi.
• Nếu dùng ghi lại phiên, bảo đảm các trường biểu mẫu được che dữ liệu hoặc loại trừ các trang biểu mẫu.
• Ghi lại nhà cung cấp CAPTCHA nào được tải và khi nào — trước hay sau sự đồng ý.
• Nêu tên từng bên thứ ba còn lại cùng mục đích của họ trong chính sách quyền riêng tư.

Tin nhắn đi đâu — và được giữ bao lâu

Mọi dịch vụ xử lý tin nhắn thay bạn — lưu trữ web, nhà cung cấp e-mail, SaaS biểu mẫu nhận nội dung gửi, bộ phận hỗ trợ hoặc CRM — đều là bên xử lý dữ liệu theo Điều 28 GDPR. Cần có thỏa thuận xử lý dữ liệu (DPA) với từng bên; phần lớn nhà cung cấp có mẫu tiêu chuẩn. Nếu dữ liệu được xử lý ngoài EU/EEA, việc chuyển dữ liệu còn cần cơ sở theo Chương V, chẳng hạn quyết định công nhận mức bảo vệ đầy đủ — ví dụ Khung bảo vệ dữ liệu EU–US cho công ty được chứng nhận — hoặc điều khoản hợp đồng tiêu chuẩn.

Không nên giữ các yêu cầu mãi mãi. Theo nguyên tắc giới hạn thời gian lưu trữ (Điều 5(1)(e)), cần đặt thời hạn và thực sự xóa dữ liệu, kể cả bản sao trong hộp thư, cơ sở dữ liệu tiện ích và CRM. Nếu yêu cầu trở thành quan hệ kinh doanh, quy định thương mại và thuế — cả Đức lẫn Ba Lan đều có — có thể đòi hỏi giữ một số thư từ nhiều năm; khi đó nghĩa vụ ấy quyết định thời hạn. Cuối cùng là bảo mật: Điều 32 nêu mã hóa như ví dụ về biện pháp phù hợp. Biểu mẫu được cung cấp không qua HTTPS hoặc có chứng chỉ hết hạn sẽ gửi dữ liệu cá nhân mà không được bảo vệ.

Trình quét formexposed xem xét một số điểm này từ bên ngoài: liên kết tới chính sách quyền riêng tư tại biểu mẫu, việc từ chối biểu ngữ cookie có thực sự dừng theo dõi không, pixel và công cụ ghi lại phiên trên trang biểu mẫu, cùng địa chỉ người nhận có lộ trong mã nguồn trang không. Nó không gửi gì. Kiểm tra miễn phí không cần tài khoản cung cấp mức tổng thể và các phát hiện bảo vệ cốt lõi; chi tiết GDPR nằm trong báo cáo đầy đủ.