Co musi wiedzieć osoba, która wypełnia formularz
Artykuł 13 RODO mówi, jakie informacje trzeba przekazać w chwili zbierania danych. Przy formularzu kontaktowym to zwykle kilka zdań i link do polityki prywatności.
Sprawdza się układ warstwowy: dwa, trzy zdania tuż przy przycisku „Wyślij” i link do pełnej polityki prywatności. Nikt nie czyta ściany tekstu nad formularzem.
Zgoda: kiedy tak, kiedy nie
| Sytuacja | Podstawa przetwarzania | Czy potrzebna kratka ze zgodą? |
|---|---|---|
| Odpowiedź na zapytanie z formularza | Działanie na żądanie osoby przed zawarciem umowy albo prawnie uzasadniony interes | Nie |
| Newsletter albo oferty wysyłane mailem | Zgoda | Tak: osobna i niezaznaczona |
| Przechowywanie CV na przyszłe rekrutacje | Zgoda | Tak |
Kratka zaznaczona z góry nie jest zgodą. Tak samo zgoda „wliczona” w akceptację regulaminu. Zgoda musi być osobnym, świadomym działaniem i musi dać się ją wycofać równie łatwo, jak się ją wyraziło.
Mniej pól, mniej kłopotu
- E-mail i wiadomość wystarczą. Telefon jako pole opcjonalne.
- Nie pytaj w ogólnym formularzu o dane wrażliwe, na przykład o zdrowie. Gabinety, które ich potrzebują, robią to osobnym, lepiej zabezpieczonym kanałem.
- Nie zapisuj adresu IP ani innych danych technicznych, jeśli nie są Ci do niczego potrzebne.
- Usuń pola, których nikt nie czyta, choćby „Skąd o nas wiesz?”.
Technika: dokąd trafiają dane
- HTTPS na całej stronie to podstawa.
- Usługa formularzy i skrzynka pocztowa to odbiorcy danych. Wpisz ich do polityki prywatności.
- Ochrona przed spamem bez śledzenia: ukryte pole-pułapka zamiast usług, które wysyłają dane odwiedzających do zewnętrznej firmy.
- Okres przechowywania wdrożony w praktyce, na przykład raz w roku czyszczenie starych zgłoszeń w panelu formularzy i w poczcie.
reCAPTCHA i podobne usługi przekazują dane odwiedzających zewnętrznej firmie. Trzeba je opisać w polityce prywatności i rozważyć, czy nie wymagają zgody.
Przykład krótkiej informacji przy formularzu
Administratorem danych jest [imię i nazwisko albo firma], [e-mail]. Dane z formularza przetwarzam, żeby odpowiedzieć na Twoją wiadomość (art. 6 ust. 1 lit. b lub f RODO), przez [okres, np. 12 miesięcy od ostatniej wiadomości]. Odbiorcy danych: dostawca hostingu i poczty. Masz prawo dostępu do danych, ich poprawienia, usunięcia, sprzeciwu i skargi do Prezesa UODO. Więcej w polityce prywatności: [link].
To szablon, a nie porada prawna. Dopasuj go do swojej sytuacji, a przy danych wrażliwych albo dużej skali przetwarzania skonsultuj się z prawnikiem.
Pojęcia z tego poradnika
- Klauzula informacyjna
Informacja wymagana przez art. 13 RODO: kto przetwarza dane, po co, na jakiej podstawie, komu je przekazuje i jak długo przechowuje.
Pytania i odpowiedzi
Czy przy formularzu musi być kratka ze zgodą na przetwarzanie danych?
Do odpowiedzi na wiadomość zwykle nie. Podstawą jest samo zapytanie albo prawnie uzasadniony interes. Kratka jest potrzebna dopiero przy marketingu, na przykład newsletterze.
Gdzie umieścić informację o przetwarzaniu danych?
Bezpośrednio przy formularzu, krótko, z linkiem do pełnej polityki prywatności.
Nie mam zarejestrowanej firmy. Czy RODO mnie dotyczy?
Tak, jeśli zbierasz dane w związku z pracą dla klientów, nawet bez rejestracji działalności. Wyłączenie dotyczy tylko celów czysto osobistych i domowych.
Źródła i dokumentacja
- Rozporządzenie (UE) 2016/679 (RODO): pełny tekst w EUR-Lexeur-lex.europa.eu
- EROD: wytyczne 05/2020 w sprawie zgodyedpb.europa.eu