联系表单中的 GDPR：实践中重要的事项

每个联系表单都处理个人数据：姓名、电子邮件地址，通常还有电话号码，以及几乎可能包含任何内容的自由文本消息。GDPR 并未禁止这些处理，但对表单本身、周围加载的内容及消息后续处理提出一些要求。

表单处：告知，并少问

GDPR 第 13 条要求在收集数据时告知本人。对联系表单而言，这意味着在表单处，而非仅在远下方页脚放链接。常用分层方式：在提交按钮旁写一句简短说明，例如“我们仅使用您的资料回复咨询——详情见隐私政策”，并链接政策。政策再提供完整细节。

第二项原则是数据最小化（第 5(1)(c) 条）。回复通常只需联系方式和消息本身。姓名有帮助，电话号码有时有用，邮政地址则很少需要。删去不需要的内容，将非必要字段标为可选。设想牙科诊所表单将电话号码设为必填：所有偏好邮件的人，都被迫提供超出目的所需的数据。

回复请求通常不需要同意复选框

许多表单带有“我同意处理我的数据”的必选框。看似谨慎，却通常用错了方法。当某人提问或请求报价时，法律依据通常为第 6(1)(b) 条——应本人请求在订立合同前采取措施——或第 6(1)(f) 条，即您回复的合法利益。同意本身带来义务：必须自由作出，且可随时撤回。特殊类别数据则不同：如果表单询问健康信息，例如医疗或牙科诊所，适用 GDPR 第 9 条，需单独核实法律依据。
营销不同。新闻通讯需要真正同意：单独的复选框，默认不勾选——序言第 32 段明确预先勾选不算同意——且不勾选也必须能够使用表单。

表单页面还加载了什么

页面上通常不只有字段。外部提供商的 CAPTCHA、广告或分析像素、会话回放工具，都可能在人输入时运行。每种都可能向第三方发送数据——至少是 IP 地址——且依据各国实施的电子隐私规则，在设备上存储或读取信息通常需要同意，德国、波兰及其他国家均如此，严格必要的情况除外。会话回放最敏感：若未遮蔽，甚至可能在点击发送前记录输入内容。
此时，同意横幅必须真正发挥作用：“拒绝”后，像素必须保持静默。第三方 CAPTCHA 是否严格必要存在争议。如果仅在同意后加载，应为拒绝者提供其他联系方式，例如普通电子邮件地址。无第三方防护——蜜罐字段、时间检查、工作量证明挑战——可完全避免此问题。

• 在隐私窗口中打开表单页面，拒绝横幅，并检查开发者工具的网络选项卡：哪些外部请求仍被发出？
• 检查表单页面及发送后的感谢页面是否有广告和分析像素。
• 如果使用会话回放，确保遮蔽表单字段或排除表单页面。
• 记录加载了哪个 CAPTCHA 提供商，以及加载时间——在同意之前还是之后。
• 在隐私政策中列明所有仍使用的第三方及其目的。

消息去向，以及保留多久

代表您处理消息的每项服务——托管、邮件提供商、接收表单提交的表单 SaaS、客服系统或 CRM——均是 GDPR 第 28 条下的处理者。您需要与每个服务签订数据处理协议（DPA）；多数提供商有标准版本。如果数据在欧盟/欧洲经济区外处理，传输还需第五章下的依据，例如充分性决定——如对已认证企业适用的欧盟—美国数据隐私框架——或标准合同条款。

咨询不应永久保留。依存储限制原则（第 5(1)(e) 条），您须设定保留期限并实际删除——包括邮箱、插件数据库和 CRM 中的副本。如果咨询转为业务关系，商业和税务规则——德国和波兰均有——可能要求部分往来保留数年；此时由该义务决定期限。最后是安全：第 32 条将加密列为适当措施的示例。没有 HTTPS 或证书过期的表单，会在缺乏保护的情况下发送个人数据。

formexposed 扫描器从外部查看其中多项：表单处的隐私政策链接、拒绝 Cookie 横幅是否真正停止跟踪、表单页面上的像素和会话回放工具，以及页面源代码是否暴露收件人地址。它不提交任何内容。无需账户的免费检查提供整体等级和核心防护发现；GDPR 详情在完整报告中。