GDPR för webbformulär
Ett kontaktformulär verkar vara en liten sak, men varje meddelande som kommer in via det är personuppgifter, och GDPR kräver att webbplatsägaren fattar ett antal beslut kring dem. Den här guiden går igenom besluten i den ordning ett inskick lever: innan det samlas in, vart det tar vägen, hur länge det sparas och vad som händer när personen frågar om det.
Varje steg länkar till en längre sida. Där Formward har en inställning för steget förklarar vi vad den gör och vad den inte gör.
En praktisk guide, inte juridisk rådgivning. Vid beslut om din egen behandling av personuppgifter, kontakta ditt dataskyddsombud eller en jurist.
Innan du samlar in: rättslig grund och information
Varje behandling av personuppgifter behöver en av de sex rättsliga grunderna i artikel 6.1 i GDPR. För ett kontaktformulär är grunden ofta inte samtycke: att svara på någon som ställt en fråga till dig kan grundas på åtgärder som vidtas på personens begäran eller på berättigade intressen. Samtycke blir aktuellt när du vill göra något som personen inte bett om, till exempel att lägga till den i ett nyhetsbrev. När en kryssruta för samtycke behövs, och vad den ska säga.
Artikel 13 kräver en kort information vid insamlingstillfället: vem du är, varför du samlar in uppgifterna, den rättsliga grunden, vem som tar emot dem och hur länge du sparar dem. En länk till din integritetspolicy bredvid skickaknappen räcker oftast (vad informationen bör innehålla, med exempeltext). Be bara om de fält du behöver för att svara (dataminimering, artikel 5.1 c): ett telefonnummerfält som du aldrig använder är en risk, inte en bekvämlighet.
Vart uppgifterna tar vägen: underbiträden och överföringar
Tjänsten som tar emot din formulär-POST är ett personuppgiftsbiträde. Artikel 28 kräver ett avtal med den, ett personuppgiftsbiträdesavtal, och du ansvarar för att veta vilka underbiträden den använder och var de finns. Om något av dem lagrar uppgifterna utanför EU/EES gäller även reglerna om överföring i kapitel V. Att använda en amerikansk formulärleverantör enligt GDPR tar upp Schrems II, Data Privacy Framework och vad du bör fråga en leverantör om.
Formward lagrar inskick i Sverige, och dess register över underbiträden listar varje tredje part med plats och syfte. Personuppgiftsbiträdesavtalet (DPA) publiceras i sin helhet och kan godkännas i kontrollpanelen. För överföringsdelen, se var varje del av uppgifterna finns och förklaringen om Schrems II.
Aviseringar och kopior
Det lagrade inskicket är sällan den enda kopian. Ett e-postmeddelande med avisering hamnar i en inkorg, en webhook skickar uppgifterna till ett CRM och en synkning fyller i ett kalkylblad. Var och en av dem är en kopia med egen plats och egen livslängd, och den lagringstid du anger för formuläret når inte dem.
Om din mottagaradress är en brevlåda som hostas utanför EU kan e-postmeddelandet föra med sig innehåll från inskicket ut ur EU. Formwards aviseringsläge med enbart länk skickar ett e-postmeddelande utan fältvärden, ämnesrad eller bilagenamn, så att du i stället läser inskicket i kontrollpanelen som hostas i EU. Mer om konfiguration av aviseringar i formulär till e-post.
Hur länge du behåller uppgifterna
Principen om lagringsbegränsning (artikel 5.1 e) säger att personuppgifter inte ska sparas längre än vad syftet kräver. GDPR anger ingen siffra åt dig; du väljer en, dokumenterar den och följer den. Formward raderar inskick automatiskt efter den period du anger per formulär, och Free-planen är fast på 30 dagar. Så väljer du en lagringstid.
När människor frågar om sina uppgifter
Alla som har fyllt i ditt formulär kan begära ett utdrag av sina uppgifter (artikel 15) eller att de raderas (artikel 17), och du har normalt en månad på dig att svara (artikel 12.3). Det svåra är att hitta alla inskick som nämner personen. Formwards DSAR-konsol söker i alla formulär i dina arbetsytor på e-postadress, exporterar det som hittas och raderar det med ett intyg. Så hanterar du en registrerads begäran.
Dokumentera det
Många organisationer för ett register över behandlingar enligt artikel 30. För ett formulär är det en post: syfte, fält, rättslig grund, lagringstid, mottagare och personuppgiftsbiträden. Om ditt formulär skickar till Formward finns de uppgifter om biträden du behöver i vårt register enligt artikel 30 och registret över underbiträden. Formwards honeypot-fält _gotcha och IP-hashning med nyckel beskrivs på säkerhetssidan om du behöver beskriva de tekniska åtgärderna.
Fler ämnen
- IP-adresser: om de är personuppgifter, varför en enkel hash inte är anonym och hur länge de ska sparas.
- Filuppladdningar: CV:n, foton och dokument, med minimering, lagringstid och åtkomstkontroll.
- Amerikanska formulärleverantörer: överföringar, Schrems II, Data Privacy Framework och standardavtalsklausuler.
- Integritetsinformation för ett kontaktformulär: punkterna i artikel 13 och formuleringar du kan anpassa.
- Välja formulärtjänst: sju frågor att ställa till varje leverantör innan dina besökares data hamnar hos dem.
Frågor
- Omfattas ett enkelt kontaktformulär av GDPR?
- Oftast ja. Ett namn och en e-postadress identifierar en person, så formuläret samlar in personuppgifter och du, som webbplatsägare, är personuppgiftsansvarig för dem. Kraven är dock proportionerliga: för ett litet kontaktformulär handlar de framför allt om en kort integritetspolicy, en rimlig lagringstid och ett sätt att hitta och radera en persons meddelanden.
- Är Formward personuppgiftsansvarig eller personuppgiftsbiträde?
- Formward behandlar formulärinskick för din räkning, som ditt personuppgiftsbiträde enligt artikel 28. Du bestämmer varför formuläret finns och vad som händer med uppgifterna, så du förblir personuppgiftsansvarig. Villkoren finns i personuppgiftsbiträdesavtalet (DPA) på formward.eu/dpa.
- Gör användningen av en formulärbackend som hostas i EU mitt formulär GDPR-kompatibelt?
- Inget verktyg kan göra det på egen hand. Hosting i EU tar bort en fråga (överföringar av lagrade uppgifter utanför EU), men den rättsliga grunden, integritetspolicyn, lagringstiden och hur du besvarar förfrågningar är beslut du fattar som personuppgiftsansvarig. Formward erbjuder inställningar för flera av dem, men valen är fortfarande dina.
Börja med standardinställningarna
Samtyckesinsamling finns på alla planer, även Free. Lagringstid, DSAR-konsolen och DPA:n är redo när du behöver dem.