GDPR na webu: kontaktní formulář, zásady a co skutečně musíte
GDPR je evropské nařízení o ochraně osobních údajů a platí od května 2018. Pro malý firemní web neznamená desítky stran dokumentů, ale několik konkrétních věcí: lidé musí vědět, co s jejich údaji děláte, údaje musíte mít z dobrého důvodu, nesmíte je držet věčně a ti, kdo vám s nimi pomáhají, musí mít smlouvu.
Aktualizováno
Nejde o právní radu, ale o praktický přehled pro weby malých firem a živnostníků. U zdravotnictví, práce s dětmi nebo velkých databází zákazníků se obraťte na právníka.
Co jsou osobní údaje na webu
Osobní údaj je jakákoli informace, podle které lze poznat konkrétního člověka. Na webu je to typicky jméno, e-mail a telefon z formuláře, údaje z rezervace nebo objednávky, adresa pro doručení, ale také IP adresa a identifikátory v měřicích a reklamních nástrojích. Kdo o údajích rozhoduje (vy jako provozovatel webu), je podle GDPR správce.
Na jakém základě údaje zpracováváte
Každé zpracování potřebuje právní základ podle článku 6 GDPR. Souhlas je jen jeden z nich a u webu malé firmy často ne ten hlavní:
| Situace na webu | Obvyklý právní základ |
|---|---|
| Poptávka, dotaz, žádost o nabídku | Kroky před uzavřením smlouvy na žádost člověka. Souhlas není potřeba. |
| Objednávka v e-shopu, rezervace | Plnění smlouvy. Údaje jsou nutné k tomu, abyste službu poskytli. |
| Faktura a účetní doklady | Právní povinnost (účetní a daňové předpisy). |
| Newsletter a obchodní sdělení | Souhlas, nebo u stávajících zákazníků oprávněný zájem s možností se odhlásit – viz níže. |
| Analytika a reklamní měření | U neanonymního měření zpravidla souhlas přes cookies lištu. |
Častá chyba je vynucený souhlas u kontaktního formuláře („bez zaškrtnutí nelze odeslat“). Souhlas, který nelze odmítnout, není svobodný – a u dotazu ho stejně nepotřebujete.
Informace u formuláře (článek 13)
Když od lidí údaje získáváte, musíte jim v tu chvíli říct, co s nimi bude. Prakticky stačí krátká věta u tlačítka a odkaz na zásady, kde je všechno podrobně. V zásadách ochrany osobních údajů má být:
- kdo je správce a jak ho kontaktovat,
- jaké údaje, k jakému účelu a na jakém právním základě,
- komu je předáváte – zpracovatelé jako hosting, e-mail, CRM, rezervační nebo platební systém – a jestli mimo EU,
- jak dlouho je uchováváte,
- jaká práva lidé mají a že si mohou stěžovat u Úřadu pro ochranu osobních údajů.
Zásady pište pro svůj web, ne opsané z cizího. Text, který zmiňuje věrnostní program nebo mobilní aplikaci, které nemáte, je špatně stejně jako žádný.
Newsletter a obchodní sdělení
Pro zasílání obchodních sdělení e-mailem platí kromě GDPR i zákon č. 480/2004 Sb., o některých službách informační společnosti. Zjednodušeně:
- Novým kontaktům posílejte newsletter jen s jejich souhlasem. Přihlášení k newsletteru proto má být samostatné políčko, ne automatická součást poptávky.
- Stávajícím zákazníkům můžete posílat nabídky podobných produktů nebo služeb bez souhlasu, pokud měli možnost to odmítnout už při získání kontaktu a mají ji v každé zprávě.
- Každý e-mail musí obsahovat jednoduchý způsob odhlášení.
Zpracovatelé: kdo s údaji pracuje za vás
Formulář na webu obvykle neposílá data jen vám. Prochází hostingem, přistane v e-mailové schránce, někdy v CRM nebo tabulce, rezervace běží v cizí službě. Každý z těchto dodavatelů je zpracovatel a s každým potřebujete smlouvu o zpracování podle článku 28. Udělejte si jednoduchý seznam: jaká služba, jaké údaje, kde je smlouva. Pomůže to i při psaní zásad.
Jak může vypadat cesta poptávky z webu do CRM, aby se nic neztratilo a zároveň nekopírovalo zbytečně na víc míst, popisuje stránka Automatické zpracování poptávek.
Práva lidí a jak na ně reagovat
Každý, čí údaje máte, může požádat o přístup k nim, o opravu, výmaz, omezení zpracování nebo vznést námitku. Na žádost musíte odpovědět bez zbytečného odkladu, nejpozději do měsíce. Pro malou firmu stačí vědět, kde všude údaje leží (e-mail, CRM, rezervace, fakturace), aby je šlo dohledat a smazat. Právě proto se vyplatí nemít je na deseti místech.
Citlivé údaje
Údaje o zdraví, náboženství, politických názorech a další zvláštní kategorie (článek 9) mají přísnější pravidla. Pokud je web sbírat nemusí, ať je nesbírá. Týká se to hlavně zdravotnických a terapeutických oborů – viz například web pro zubní ordinaci nebo web pro psychologa.
Kontrolní seznam GDPR pro firemní web
- Formulář chce jen údaje, které opravdu potřebujete.
- U formuláře je informace o zpracování a odkaz na zásady.
- Zásady popisují váš skutečný web a vaše dodavatele.
- Newsletter má samostatný souhlas a odkaz na odhlášení.
- Se zpracovateli máte smlouvy o zpracování.
- Máte stanovenou dobu uchování poptávek a dodržujete ji.
- Měřicí a reklamní nástroje se spouští až se souhlasem – podrobnosti v hesle Cookies lišta.
- Web běží na HTTPS, formuláře neposílají data nešifrovaně.
Další povinné náležitosti webu podnikatele (identifikační údaje, obchodní podmínky) shrnuje průvodce Co musí obsahovat firemní web.
Časté otázky
Musí mít kontaktní formulář zaškrtávací políčko se souhlasem?
U běžného poptávkového nebo kontaktního formuláře zpravidla ne. Údaje zpracováváte, abyste mohli odpovědět na dotaz a případně připravit nabídku, což je krok před uzavřením smlouvy na žádost člověka. Souhlas by byl potřeba, pokud chcete údaje použít k něčemu dalšímu, typicky k zasílání newsletteru. U formuláře ale musí být informace o zpracování, obvykle odkazem na zásady.
Potřebuju na webu zásady ochrany osobních údajů, když mám jen kontakt?
Pokud web sbírá osobní údaje – formulář, rezervace, newsletter, měřicí nástroje – musíte lidem dát informace podle článku 13 GDPR, a zásady jsou na to nejjednodušší místo. Web, který nesbírá vůbec nic, je dnes výjimka.
Jak dlouho smím uchovávat poptávky z webu?
GDPR konkrétní lhůtu neurčuje. Údaje můžete mít, dokud je potřebujete k účelu, pro který jste je získali. U poptávky, ze které nebyla zakázka, je rozumné stanovit si konkrétní dobu, napsat ji do zásad a pak údaje opravdu smazat. Pokud zakázka vznikne, řídí se uchovávání dokladů jinými předpisy, například účetními.
Kdo je zpracovatel a proč s ním mám mít smlouvu?
Zpracovatel je firma, která osobní údaje zpracovává pro vás: hosting, poskytovatel e-mailu, CRM, nástroj na newslettery nebo rezervace. Článek 28 GDPR vyžaduje, abyste s ním měli smlouvu o zpracování. Velcí poskytovatelé ji mají jako součást podmínek, u menších dodavatelů se na ni zeptejte.
Kdo kontroluje dodržování GDPR v Česku?
Úřad pro ochranu osobních údajů (ÚOOÚ). Na jeho webu najdete i výklady a doporučení pro podnikatele. Na ÚOOÚ si může stěžovat každý, kdo má pocit, že s jeho údaji nakládáte nesprávně, a to musíte uvést i v informacích pro lidi.