GDPR a kontaktní formulář: co musí splňovat
U běžného kontaktního formuláře zpravidla nepotřebujete zaškrtávací souhlas – potřebujete ale lidem říct, co s jejich údaji uděláte, mít je zabezpečené a po čase je smazat. Tady je praktický postup přímo pro formulář: text pod tlačítko, lhůty, cesta dat a samostatný souhlas s newsletterem.
Aktualizováno
Nejde o právní radu. Obecná pravidla GDPR vysvětluje heslo GDPR na webu; tento článek se drží jen formuláře. Pro konkrétní nastavení doporučujeme konzultaci s právníkem.
Proč u poptávky obvykle nepotřebujete souhlas
Kdo vyplní formulář, chce od vás odpověď nebo nabídku. Údaje proto zpracováváte na jeho žádost kvůli jednání o smlouvě a souhlas k tomu nepotřebujete. Povinné zaškrtávací pole „souhlasím“ tedy nic neřeší, jen přidá krok navíc. Co ale udělat musíte, je člověka v okamžiku odeslání informovat.
Souhlas přichází na řadu ve chvíli, kdy chcete údaje použít k něčemu jinému než k odpovědi – typicky k zasílání novinek. O tom níže.
Co napsat pod formulář
Stačí dvě věty a odkaz. Příklad pro vymyšlenou firmu, kterou si upravte podle sebe:
„Údaje z formuláře zpracovává Petra Malá, IČO …, abychom vám mohli odpovědět a připravit nabídku. Poptávky, ze kterých nevznikne zakázka, mažeme po 12 měsících. Více v zásadách ochrany osobních údajů.“
Podrobnosti patří do zásad, na které věta odkazuje. Pro formulář v nich nesmí chybět:
- správce – vaše firma nebo jméno, IČO a kontakt,
- účel (odpověď a nabídka) a právní základ, o který se opíráte,
- dodavatelé, přes které poptávka prochází (hosting, e-mail, CRM), včetně informace o předání mimo EU,
- doba, po kterou poptávky držíte,
- práva lidí a možnost obrátit se na ÚOOÚ.
Formulář sám má chtít jen to, co k odpovědi opravdu potřebujete. Návrh polí a povinných údajů rozebírá průvodce kontaktní formulář.
Jak dlouho poptávky uchovávat
GDPR pevnou lhůtu neurčuje – údaje smíte mít, dokud slouží účelu. Rozumné je stanovit si vlastní pravidla, napsat je do zásad a dodržovat je. Ilustrační příklad, ne doporučení pro váš obor:
| Co se stalo s poptávkou | Příklad lhůty | Proč |
|---|---|---|
| Zůstala bez odpovědi zákazníka | 6–12 měsíců | Člověk se může ozvat znovu a navázat. |
| Vznikla zakázka | Podle smlouvy a účetních předpisů | Údaje už neslouží poptávce, ale plnění smlouvy. |
| Spam nebo omyl | Smazat hned | Nemáte důvod je držet. |
Zabezpečení: od prohlížeče po schránku
Formulář je tak bezpečný, jak bezpečné je nejslabší místo na cestě poptávky.
- Šifrovaný přenos. Web musí běžet na HTTPS, jinak data cestují čitelně – viz SSL certifikát.
- Kam poptávka dorazí. Firemní schránka, ne osobní e-mail zaměstnance. Přístupy chraňte silným heslem a dvoufázovým ověřením.
- Kopie navíc. Každá notifikace, tabulka a integrace je další místo s osobními údaji. Všechna patří do zásad a do lhůt pro mazání.
- Měření. Obsah formuláře nepatří do analytiky ani reklamních nástrojů; měřte jen to, že k odeslání došlo.
- Přílohy. Pokud formulář přijímá soubory, omezte typy a velikost a nenechávejte je veřejně dostupné na serveru.
Pro příklad: z našeho vlastního formuláře jde poptávka do CRM, my dostaneme upozornění v Telegramu a odesílatel e-mail s potvrzením. To jsou tři místa a všechna musí být popsaná v zásadách. Jak taková cesta poptávky může vypadat, ukazuje zpracování poptávek.
Pokud formulář neběží na vašem webu, ale vkládáte ho z cizí služby (formulářový nástroj, rezervační systém, chat), je provozovatel té služby vaším zpracovatelem. Ověřte si, kde data ukládá, jestli s ním máte smlouvu o zpracování, a uveďte ho v zásadách. Vložený formulář navíc často načítá vlastní skripty a cookies, které mohou spadat pod souhlas v cookies liště.
Newsletter jako samostatné políčko
Chcete z formuláře sbírat i odběratele? Pak potřebujete souhlas a ten musí být dobrovolný:
- samostatné zaškrtávací pole, ve výchozím stavu nezaškrtnuté,
- formulář jde odeslat i bez něj,
- jasně řečeno, co bude chodit, a že se dá kdykoli odhlásit,
- uložený záznam, kdy a v jakém znění člověk souhlasil.
Pro e-mailové nabídky platí vedle GDPR i zákon o některých službách informační společnosti. Jak napojit přihlášku na e-mailingovou službu, popisuje stránka newsletter na webu.
Kolik úprava formuláře stojí u nás
Kontaktní formulář s textem o zpracování údajů má už vizitkový web za 15 000 Kč. Na webu, který provozujeme v tarifu Light, je doplnění textu pod formulář běžná úprava obsahu. U webu od jiného dodavatele nejdřív posoudíme převzetí; samostatné úpravy formuláře nebo napojení naceníme předem a účtujeme 1 000 Kč za hodinu. Text zásad by měl zkontrolovat právník.
Časté otázky
Stačí pod formulář napsat „Odesláním souhlasíte se zpracováním údajů“?
Taková věta je spíš na škodu. Tváří se jako souhlas, který ale nejde odmítnout, a přitom neříká, kdo údaje zpracovává a proč. Lepší je informovat: kdo je správce, k čemu údaje použijete a kde jsou podrobnosti.
Co když mě někdo požádá o smazání poptávky?
Pokud už údaje nepotřebujete k jednání o zakázce ani k jiné povinnosti, smažte je ze všech míst, kde leží, a potvrďte to. Odpovědět musíte bez zbytečného odkladu, nejpozději do měsíce. Usnadní to přehled, kam formulář data posílá.
Co když lidé do zprávy napíšou údaje o zdraví?
Do volného textového pole může člověk napsat cokoli. Pokud váš obor k tomu svádí, upozorněte u pole, ať citlivé údaje neuvádí, a nevyžadujte je. U zdravotnických a terapeutických služeb si postup ověřte s právníkem nebo u příslušné komory.
Musím poptávky mazat i z e-mailové schránky?
Ano, lhůta, kterou si stanovíte, platí pro všechna místa, kde poptávka leží – schránku, CRM, tabulku i zálohy v rozumné míře. Nejjednodušší je mít poptávky na co nejméně místech a jednou za čas je projít podle data.
Potřebuju souhlas kvůli ochraně proti spamu ve formuláři?
Záleží na řešení. Neviditelná ochrana na vlastním serveru (skryté pole, kontrola času) žádná data třetí straně neposílá. Služby, které načítají skripty a vyhodnocují chování návštěvníka u cizího poskytovatele, je potřeba posoudit z pohledu GDPR i cookies – poraďte se s právníkem.