Formularz kontaktowy a RODO – klauzula informacyjna i zgody

Pod wieloma formularzami kontaktowymi wisi ten sam zestaw: trzy obowiązkowe pola wyboru i akapit drobnego druku dłuższy niż sam formularz. Właściciel strony ma poczucie, że jest „zgodnie z RODO”, a klient – że musi podpisać umowę, żeby zadać jedno pytanie o termin.

Tymczasem formularz zgodny z przepisami może być krótszy i przyjaźniejszy. Wymaga tylko zrozumienia trzech rzeczy: jakiej informacji użytkownik potrzebuje, na jakiej podstawie przetwarzasz jego dane i ile tych danych naprawdę musisz zebrać.

Co się dzieje z danymi z formularza

Gdy ktoś wpisuje imię, adres e-mail i treść wiadomości, a następnie klika „Wyślij”, stajesz się administratorem jego danych osobowych. Dane trafiają zwykle w kilka miejsc naraz: do Twojej skrzynki pocztowej, często do bazy danych strony (wiele wtyczek formularzy zapisuje kopie wiadomości), czasem do systemu do obsługi klientów. Każde z tych miejsc trzeba uwzględnić, gdy myślisz o bezpieczeństwie i o tym, jak długo dane przechowujesz.

Klauzula informacyjna – krótko, przy formularzu

Art. 13 RODO wymaga, by osoba, od której zbierasz dane, otrzymała określone informacje w chwili ich pozyskania. Nie oznacza to, że cały tekst musi wisieć pod przyciskiem. Dobrze sprawdza się podejście warstwowe: przy formularzu krótka informacja z najważniejszymi danymi, a pełny opis w polityce prywatności, do której prowadzi link.

Szkic takiej krótkiej klauzuli dla firmy remontowej (w nawiasach kwadratowych wstaw własne dane):

Administratorem Twoich danych jest [imię i nazwisko lub nazwa firmy, adres]. Dane z formularza wykorzystamy, aby odpowiedzieć na wiadomość i przygotować wycenę. Szczegóły, w tym Twoje prawa, znajdziesz w polityce prywatności.

W pełnej wersji muszą się znaleźć m.in. cele i podstawy prawne, odbiorcy danych, okres przechowywania, prawa użytkownika oraz informacja o prawie do skargi do Prezesa UODO. Krótka wersja ma po prostu pozwolić zorientować się, z kim użytkownik ma do czynienia, zanim kliknie przycisk.

Zgoda czy inna podstawa prawna

To najczęstsze nieporozumienie. Zgoda jest tylko jedną z podstaw przetwarzania danych wymienionych w art. 6 ust. 1 RODO i nie zawsze najlepszą. Przy formularzu kontaktowym zwykle w grę wchodzą inne:

• działania przed zawarciem umowy na żądanie osoby (lit. b) – gdy ktoś prosi o wycenę, termin wizyty czy szczegóły oferty,
• prawnie uzasadniony interes administratora (lit. f) – gdy ktoś zadaje ogólne pytanie, a Ty po prostu na nie odpowiadasz.

Obowiązkowe pole „Wyrażam zgodę na przetwarzanie moich danych”, bez którego nie da się wysłać wiadomości, bywa wręcz mylące. Zgoda w rozumieniu RODO ma być dobrowolna i można ją w każdej chwili cofnąć. Trudno mówić o dobrowolności, gdy bez zaznaczenia pola nie da się nawet zapytać o cenę, a cofnięcie zgody nie zmienia faktu, że na wiadomość trzeba odpowiedzieć.

Pole wyboru ma sens wtedy, gdy dotyczy dodatkowego celu, bez którego kontakt jest możliwy. Typowy przykład to zapis na newsletter przy okazji wysyłania pytania. Takie pole powinno być niezaznaczone, nieobowiązkowe i opisane konkretnie, np. „Chcę otrzymywać e-mailem informacje o nowych terminach warsztatów (mniej więcej raz w miesiącu)”. Więcej o tym piszemy we wpisie o zgodach na newsletter.

Mniej pól, mniej kłopotu

RODO wymaga minimalizacji danych: zbierasz tylko to, co jest potrzebne do celu. To dobra wiadomość także dla skuteczności formularza, bo każde zbędne pole zniechęca. Zadaj sobie przy każdym polu pytanie: czy bez tej informacji odpowiem na wiadomość? Jeśli tak, pole jest zbędne albo powinno być opcjonalne.

W wielu firmach usługowych wystarczą trzy pola: imię, telefon lub e-mail i treść wiadomości. Pytanie o adres zamieszkania, datę urodzenia czy PESEL na etapie pierwszego kontaktu zwykle nie ma uzasadnienia. Praktyczne wskazówki dotyczące układu znajdziesz w tekście o tym, ile pól powinien mieć formularz kontaktowy.

Gabinety i dane o zdrowiu

Formularz na stronie gabinetu fizjoterapii, stomatologii czy psychologa ma jedną specyfikę: ludzie chętnie opisują w nim swoje dolegliwości. A informacje o zdrowiu to szczególna kategoria danych (art. 9 RODO), wymagająca większej ostrożności. Zamiast pola „Opisz swój problem” lepiej zastosować pole „W czym możemy pomóc?” z podpowiedzią: „Wystarczy krótka informacja, np. »chcę umówić pierwszą konsultację«. Szczegóły omówimy podczas wizyty”.

Nie wyeliminuje to wszystkich takich wiadomości, ale ograniczy ich liczbę. Te, które mimo to przyjdą, traktuj jak dokumentację wrażliwą: bez przekazywania dalej, bez trzymania w ogólnodostępnej skrzynce, do której ma dostęp cały zespół.

Bezpieczeństwo po wysłaniu

RODO wymaga odpowiednich zabezpieczeń, a w przypadku formularza oznacza to kilka konkretnych spraw:

• strona działa w całości przez HTTPS, więc dane są szyfrowane w drodze,
• kopie wiadomości w bazie danych strony są regularnie usuwane albo wtyczka w ogóle ich nie zapisuje, jeśli nie są potrzebne,
• wiadomości trafiają na firmową skrzynkę z silnym hasłem i weryfikacją dwuetapową, a nie na prywatne konto, którego nikt nie kontroluje,
• formularz ma zabezpieczenie przed spamem, które nie wymaga od użytkownika rozwiązywania zagadek.

Szybka kontrola Twojego formularza

1. Czy przy formularzu jest krótka informacja o administratorze i celu, z linkiem do polityki prywatności?
2. Czy formularz da się wysłać bez zaznaczania zgody, której cofnięcie i tak niczego by nie zmieniło?
3. Czy każde pole jest naprawdę potrzebne?
4. Czy wiesz, gdzie zapisują się kopie wiadomości i jak długo tam zostają?
5. Czy dodatkowe zgody, np. na newsletter, są osobne, nieobowiązkowe i niezaznaczone?

Ten tekst ma charakter informacyjny i nie zastępuje porady prawnej.