Formularz kontaktowy a RODO: co musi się znaleźć na stronie
Damian Baranowski, strony dla małych firm
Aktualizacja:
Formularz kontaktowy zbiera dane osobowe (imię, e-mail, telefon, treść wiadomości), więc z RODO wynika obowiązek poinformowania osoby, kto i po co je przetwarza. Wystarczy krótka informacja przy przycisku „Wyślij” i link do polityki prywatności. Zgoda w polu wyboru jest potrzebna tylko wtedy, gdy chcesz użyć danych do czegoś więcej, np. do newslettera.
Co zbiera formularz i dlaczego to RODO
Imię, e-mail, telefon i treść wiadomości to dane osobowe. Wystarczy więc jeden formularz kontaktowy, żeby odpowiadać za dane osoby, która go wypełnia. Dwie rzeczy zrobisz najprościej: poprosisz tylko o to, co potrzebne (zasada minimalizacji z art. 5 ust. 1 lit. c RODO, więc np. telefon może być opcjonalny) i poinformujesz, co dzieje się z danymi.
Co musi zawierać informacja
Gdy zbierasz dane bezpośrednio od osoby, obowiązuje art. 13 RODO (tekst rozporządzenia). Informację przekazujesz w momencie zbierania danych, więc przed wysłaniem formularza. Powinna zawierać:
- kto odpowiada za dane i jak się z Tobą skontaktować,
- cele przetwarzania i podstawę prawną (np. odpowiedź na zapytanie),
- podmioty otrzymujące dane (np. dostawca poczty, hostingu, systemu formularza),
- jak długo przechowujesz dane albo według jakiego kryterium to ustalasz,
- prawa osoby: dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie,
- prawo do skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO),
- czy podanie danych jest obowiązkowe i co się stanie, gdy ktoś ich nie poda,
- zamiar przekazania danych poza Europejski Obszar Gospodarczy, jeśli taki jest.
Gdzie to umieścić
Najczęściej robi się to dwustopniowo: krótka informacja przy przycisku „Wyślij” i link do pełnej polityki prywatności. Taką politykę potrzebujesz mieć tak czy inaczej, bo zbiera się w niej też informacje o plikach cookies i statystykach. Link ma być widoczny, a nie schowany w stopce.
Zgoda czy nie
Na odpowiedź na zapytanie zgoda nie jest potrzebna: wystarcza podstawa z art. 6 ust. 1 lit. b (działania przed zawarciem umowy na żądanie osoby) albo lit. f (prawnie uzasadniony interes, np. obsługa zapytań). Zgoda w polu wyboru jest potrzebna, gdy chcesz użyć danych do czegoś więcej, np. wysłać newsletter. Pole zgody musi wtedy być odznaczone domyślnie i oddzielne od zgody na kontakt w sprawie zapytania. Wiele osób prowadzących strony stawia pole „Zgadzam się na kontakt w sprawie mojej wiadomości” także przy samym zapytaniu, dla jasności. Nie jest to wymagane, ale nie szkodzi.
Jak długo przechowywać wiadomości
Nie ma jednego ustawowego terminu. Zasada ograniczenia przechowywania mówi, że dane trzymasz nie dłużej, niż to potrzebne, więc okres ustalasz samodzielnie i podajesz w polityce. W moich systemach rezerwacji i formularzy dane są automatycznie usuwane z bazy po 12 miesiącach. Pamiętaj o kopiach: wiadomość, która trafiła na skrzynkę mailową, nie znika sama.
Kto jeszcze widzi te dane
Formularz zwykle korzysta z kilku usług: hostingu, poczty, systemu do obsługi formularza, czasem z ochrony przed spamem. Firmy, które przetwarzają dane w Twoim imieniu, to podmioty przetwarzające. Z każdą potrzebujesz umowy powierzenia (art. 28 RODO), a w polityce prywatności wymieniasz je jako podmioty otrzymujące dane. Przy moich wdrożeniach, jeśli mam dostęp do danych, podpisujemy umowę powierzenia, a konta (baza, poczta) zakładasz na siebie.
Lista kontrolna formularza
| Sprawdź | Dlaczego |
|---|---|
| Formularz prosi tylko o niezbędne dane | Minimalizacja danych (art. 5 RODO) |
| Przy przycisku jest krótka informacja i link do polityki | Obowiązek informacyjny (art. 13 RODO) |
| Polityka wskazuje podmiot odpowiedzialny za dane, cele, podmioty otrzymujące dane, okres i prawa | Pełna informacja dla osoby |
| Pole zgody (jeśli jest) nie jest zaznaczone z góry | Zgoda ma być dobrowolna i świadoma |
| Masz umowy powierzenia z usługodawcami | Art. 28 RODO |
| Wiesz, kto i jak długo trzyma wiadomości | Ograniczenie przechowywania |
To wskazówki dla osób prowadzących małe firmy, a nie porada prawna. W razie wątpliwości co do swojej sytuacji skorzystaj z konsultacji prawnej lub konsultacji z zakresu ochrony danych.
Pytania i odpowiedzi
Czy formularz kontaktowy wymaga zgody w polu wyboru?
Nie na samą odpowiedź na zapytanie. Zgoda jest potrzebna, gdy wykorzystujesz dane do dodatkowego celu, np. do wysyłki newslettera. Informację z art. 13 RODO musisz jednak przekazać zawsze.
Czy polityka prywatności jest obowiązkowa?
Jeśli zbierasz dane osobowe, musisz poinformować o ich przetwarzaniu. Najwygodniej zrobić to w polityce prywatności i linkować do niej z formularza.
Czy przekazywanie wiadomości mailem to przetwarzanie danych?
Tak, mail z danymi to przetwarzanie, a dostawca poczty jest podmiotem otrzymującym dane albo podmiotem przetwarzającym. Wymień go w polityce.
Jak długo mogę trzymać wiadomości od osób korzystających z usług?
Tak długo, jak jest to potrzebne do celu, np. obsługi zapytania i ewentualnych roszczeń. Okres ustalasz samodzielnie i opisujesz w polityce.