AVG voor webformulieren
Een contactformulier lijkt iets kleins, maar elk bericht dat er binnenkomt bevat persoonsgegevens, en de AVG vraagt de eigenaar van de website om een handvol beslissingen daarover te nemen. Deze gids loopt die beslissingen langs in de volgorde waarin een inzending zijn weg aflegt: voordat de gegevens worden verzameld, waar ze naartoe gaan, hoe lang ze blijven en wat er gebeurt als iemand ernaar vraagt.
Elke stap verwijst naar een uitgebreidere pagina. Waar Formward een instelling voor die stap heeft, leggen we uit wat die doet en wat die niet doet.
Een praktische gids, geen juridisch advies. Voor een beslissing over je eigen verwerking van persoonsgegevens: overleg met je functionaris voor gegevensbescherming of een jurist.
Voordat je verzamelt: rechtmatigheidsgrondslag en kennisgeving
Elke verwerking van persoonsgegevens heeft een van de zes rechtmatigheidsgrondslagen uit artikel 6(1) van de AVG nodig. Voor een contactformulier is de grondslag vaak geen toestemming: antwoorden aan iemand die jou een vraag stelde, kan berusten op maatregelen op verzoek van die persoon of op gerechtvaardigde belangen. Toestemming komt erbij wanneer je iets wilt doen wat de persoon niet heeft gevraagd, zoals diegene aan een nieuwsbrief toevoegen. Wanneer een toestemmingsvakje nodig is en wat er op moet staan.
Artikel 13 vereist een korte kennisgeving op het moment van verzamelen: wie je bent, waarom je de gegevens verzamelt, de rechtmatigheidsgrondslag, wie ze ontvangt en hoe lang je ze bewaart. Een link naar je privacybeleid naast de verzendknop volstaat meestal (wat de kennisgeving moet zeggen, met voorbeeldtekst). Vraag alleen om de velden die je nodig hebt om te antwoorden (dataminimalisatie, artikel 5(1)(c)): een telefoonveld dat je nooit gebruikt, is een risico, geen gemak.
Waar de gegevens naartoe gaan: verwerkers en doorgiften
De dienst die de POST van je formulier ontvangt, is een verwerker. Artikel 28 vereist een contract met die dienst, een verwerkersovereenkomst, en jij bent verantwoordelijk om te weten welke subverwerkers die gebruikt en waar die gevestigd zijn. Als een van hen de gegevens buiten de EU/EER opslaat, gelden daarnaast de regels voor doorgiften uit hoofdstuk V. Een Amerikaanse formulierdienst gebruiken onder de AVG behandelt Schrems II, het Data Privacy Framework en wat je een aanbieder moet vragen.
Formward slaat inzendingen op in Zweden, en het register van subverwerkers vermeldt elke derde partij met locatie en doel. De DPA is volledig gepubliceerd en kan in het dashboard worden geaccepteerd. Voor de doorgifte kun je kijken naar waar elk deel van de gegevens staat en de uitleg over Schrems II.
Meldingen en kopieën
De opgeslagen inzending is zelden de enige kopie. Een meldingsmail belandt in een inbox, een webhook zet de gegevens in een CRM, een synchronisatie vult een spreadsheet. Elk daarvan is een kopie met een eigen locatie en een eigen levensduur, en de bewaartermijn die je op het formulier instelt, geldt daar niet voor.
Als je meldingsadres een mailbox is die buiten de EU wordt gehost, kan de e-mail inzendingsinhoud buiten de EU brengen. De modus met alleen een link van Formward stuurt een e-mail zonder veldwaarden, onderwerp of bijlagenamen, zodat je de inzending bekijkt in het dashboard dat in de EU wordt gehost. Meer over het instellen van meldingen vind je bij formulier naar e-mail.
Hoe lang je ze bewaart
Het beginsel van opslagbeperking (artikel 5, lid 1, onder e) stelt dat persoonsgegevens niet langer bewaard mogen worden dan het doel vereist. De AVG schrijft geen termijn voor; jij kiest er een, legt die vast en houdt je eraan. Formward verwijdert inzendingen automatisch na de termijn die je per formulier instelt, en het Free-abonnement heeft een vaste termijn van 30 dagen. Hoe je een bewaartermijn kiest.
Wat te doen als mensen naar hun gegevens vragen
Iedereen die je formulier heeft ingevuld, kan om een kopie van de eigen gegevens vragen (artikel 15) of om wissing (artikel 17), en je hebt daar meestal een maand de tijd voor (artikel 12, lid 3). Het moeilijke is elke inzending te vinden waarin de persoon voorkomt. De DSAR-console van Formward doorzoekt alle formulieren in je werkruimtes op e-mailadres, exporteert wat hij vindt en wist het met een certificaat. Hoe je een verzoek van een betrokkene afhandelt.
Het op papier zetten
Veel organisaties houden een register van verwerkingsactiviteiten bij volgens artikel 30. Voor een formulier is dat één item: doel, velden, grondslag, bewaartermijn, ontvangers en verwerkers. Als je formulier naar Formward verstuurt, staan de gegevens over verwerkers die je nodig hebt in ons register van verwerkingsactiviteiten (artikel 30) en in het overzicht van sub-verwerkers. Het honeypotveld _gotcha van Formward en het hashen van IP-adressen met een sleutel staan beschreven op de beveiligingspagina, als je de technische maatregelen wilt omschrijven.
Meer onderwerpen
- IP-adressen: of ze persoonsgegevens zijn, waarom een eenvoudige hash niet anoniem is en hoelang je ze bewaart.
- Bestandsuploads: cv's, foto's en documenten, met minimalisatie, bewaartermijn en toegangsbeheer.
- Amerikaanse formulierproviders: doorgiften, Schrems II, het Data Privacy Framework en standaardcontractbepalingen.
- Privacyverklaring voor een contactformulier: de punten uit artikel 13 en tekst die je kunt aanpassen.
- Een formulierdienst kiezen: zeven vragen voor elke leverancier voordat de gegevens van je bezoekers erin gaan.
Vragen
- Valt een eenvoudig contactformulier onder de AVG?
- Meestal wel. Een naam en een e-mailadres identificeren een persoon, dus het formulier verzamelt persoonsgegevens en jij, als eigenaar van de website, bent daarvoor de verwerkingsverantwoordelijke. De verplichtingen zijn wel evenredig: bij een klein contactformulier komt het vooral neer op een korte privacyverklaring, een verstandige bewaartermijn en een manier om berichten van iemand te vinden en te verwijderen.
- Is Formward de verwerkingsverantwoordelijke of de verwerker?
- Formward verwerkt formulierinzendingen namens jou, als jouw verwerker onder artikel 28. Jij bepaalt waarom het formulier bestaat en wat er met de gegevens gebeurt, dus jij blijft de verwerkingsverantwoordelijke. De voorwaarden staan in de verwerkersovereenkomst (DPA) die gepubliceerd is op formward.eu/dpa.
- Maakt het gebruik van een in de EU gehoste formulierbackend mijn formulier AVG-conform?
- Geen enkele tool kan dat in zijn eentje. Hosting in de EU neemt één vraag weg (doorgifte van de opgeslagen gegevens buiten de EU), maar de rechtmatigheidsgrondslag, de privacyverklaring, de bewaartermijn en de manier waarop je verzoeken beantwoordt, zijn beslissingen die jij als verwerkingsverantwoordelijke neemt. Formward biedt instellingen voor een aantal daarvan; de keuzes blijven van jou.
Begin met de standaardinstellingen
Het vastleggen van toestemming zit op elk abonnement, ook op Free. Bewaartermijnen, de DSAR-console en de DPA staan klaar wanneer je ze nodig hebt.