Vad din integritetspolicy bör säga om ett kontaktformulär
Artikel 13 i GDPR ber dig informera personer om vissa saker i det ögonblick du samlar in deras uppgifter. För ett kontaktformulär är det ögonblicket formuläret självt, så informationen måste finnas där eller ett klick bort. Den goda nyheten är att ett kontaktformulär bara behöver ett kort avsnitt, och det mesta kan du skriva en gång och återanvända.
En praktisk guide, inte juridisk rådgivning. Vid beslut om din egen behandling av personuppgifter, kontakta ditt dataskyddsombud eller en jurist.
Vad artikel 13 kräver för ett kontaktformulär
Inte alla punkter gäller för alla formulär, men dessa är de som ett kontaktformulär normalt berör:
- Vem du är
- Ditt namn eller företagsnamn och kontaktuppgifter, samt ditt dataskyddsombud om du har ett. Artikel 13.1 a och b.
- Varför du samlar in uppgifterna, och på vilken grund
- För att besvara meddelandet, och den rättsliga grunden för det. Oftast berättigade intressen eller åtgärder före ett avtal. Artikel 13.1 c. Om du grundar dig på berättigade intressen, ange vilka de är, artikel 13.1 d.
- Vem som tar emot dem
- Din formulärtjänst och e-postleverantör, och alla du vidarebefordrar inskick till, till exempel ett CRM. Artikel 13.1 e.
- Överföringar utanför EU
- Om någon mottagare finns utanför EU och EES, och vilket skyddsmått som används. Artikel 13.1 f.
- Hur länge du sparar dem
- En period, eller de kriterier som avgör den. Artikel 13.2 a.
- Personens rättigheter
- Tillgång, rättelse, radering, begränsning, invändning och dataportabilitet, rätten att återkalla samtycke där du grundar dig på det, och rätten att klaga till en tillsynsmyndighet. Artikel 13.2 b till d.
- Om de måste lämna uppgifterna
- Vilka fält som är obligatoriska och vad som händer om de lämnas tomma. Artikel 13.2 e.
Om formuläret matar automatiserade beslut med betydande effekter tillkommer enligt artikel 13.2 f en skyldighet att förklara dem. Ett vanligt kontaktformulär gör sällan det.
Exempeltext att anpassa
Detta exempel är för ett litet företag som använder Formward. Ersätt delarna inom hakparentes, perioderna och kontaktadressen med dina egna, och ta bort det som inte stämmer med vad du faktiskt gör.
Kontaktformulär. När du skickar ett meddelande till oss via kontaktformuläret på den här webbplatsen använder vi ditt namn, din e-postadress och ditt meddelande för att svara dig. Om du begär en offert använder vi även uppgifterna för att ta fram den. Vår rättsliga grund är vårt berättigade intresse av att besvara förfrågningar (artikel 6(1)(f) GDPR), och för offertförfrågningar är den rättsliga grunden att vidta åtgärder som du begär innan ett avtal ingås (artikel 6(1)(b) GDPR).
Formuläret drivs åt oss av Formward (EGF Fastighetsservice AB, Sverige), som tar emot och lagrar meddelandena för vår räkning som personuppgiftsbiträde, på servrar i Sverige. Vi tar emot varje meddelande via e-post i vår brevlåda hos [your email provider, location]. Vi använder inte ditt meddelande för marknadsföring.
Vi sparar meddelanden i 12 månader efter vårt senaste svar och raderar dem därefter, om inte meddelandet leder till ett avtal. I så fall sparar vi det tillsammans med avtalshandlingarna. Namn, e-post och meddelande är obligatoriska, eftersom vi inte kan svara utan dem.
Du kan begära en kopia av ditt meddelande, begära att vi rättar eller raderar det, eller invända mot vår användning av det genom att skriva till privacy@example.com. Du kan också klaga till din tillsynsmyndighet för dataskydd; i Sverige är det Integritetsskyddsmyndigheten (IMY).
Om du lägger till en rad för nyhetsbrev, beskriv det syftet separat, med samtycke som rättslig grund och hur man avregistrerar sig. Om du aktiverar Cloudflare Turnstile, lägg till en mening om att Cloudflare, Inc. (USA) kör botkontrollen och tar emot tekniska uppgifter som IP-adressen.
Att nämna din formulärtjänst som personuppgiftsbiträde
Tjänsten som tar emot ditt formulär är ditt personuppgiftsbiträde enligt artikel 28, och du behöver ett avtal med den. I integritetspolicyn är den en mottagare. Artikel 29-arbetsgruppens riktlinjer om öppenhet (WP260 rev.01), godkända av EDPB, säger att utgångspunkten bör vara att namnge mottagarna, och att om du bara anger kategorier bör de vara så specifika som möjligt.
Håll policyn i takt med din uppsättning. Om inskick skickas vidare till ett CRM via webhook, eller om din brevlåda för notiser är hostad utanför EU, är det mottagare och eventuellt överföringar, och de hör hemma i policyn också. Formwards register över underleverantörer och DPA ger dig uppgifterna att fylla i.
Var den ska placeras
En länk till policyn direkt intill skickaknappen uppfyller kravet på ”vid insamlingstillfället” för de flesta formulär. En rad räcker, till exempel: ”Vi använder dina uppgifter för att svara dig. Läs hur vi hanterar dina uppgifter.” Riktlinjerna om öppenhet rekommenderar detta skiktade upplägg: de viktigaste fakta vid formuläret, all detalj ett klick bort.
På en Formward-sida som du hostar lägger du samma länk i formulärbeskrivningen, så att besökare ser den innan de skickar.
Frågor
- Behöver ett kontaktformulär en egen integritetspolicy?
- Nej. Den behöver täckas av din integritetsinformation, och informationen bör vara lätt att nå från formuläret. Ett kort avsnitt om kontaktformuläret i din huvudsakliga integritetspolicy, länkat bredvid skickaknappen, är det vanliga upplägget.
- Måste jag ange namnet på min formulärleverantör?
- Artikel 13 kräver mottagarna eller kategorier av mottagare. Att ange leverantören är det tydligaste alternativet, och vägledningen från Artikel 29-arbetsgruppen, som EDPB ställt sig bakom, ser namngivning som standard. Om du använder kategorier, gör dem specifika, till exempel en tjänst för formulärhantering i Sverige.
- Ska besökare bocka i en ruta för att godkänna integritetspolicyn?
- Nej. En integritetsinformation informerar, den är inget man godkänner. En ruta med texten Jag godkänner integritetspolicyn tillför ingenting och kan förväxlas med samtycke. Länka informationen i stället, och använd kryssrutor för samtycke till de syften som faktiskt kräver samtycke.
- Vad händer om mitt formulär använder en CAPTCHA?
- Nämn det. Ange vilken tjänst som utför kontrollen, att den tar emot tekniska uppgifter som IP-adressen och var den har sitt säte. Med Formward gäller det bara om du aktiverar Cloudflare Turnstile.
Ett kontaktformulär som din policy kan beskriva på en rad
Formward lagrar meddelanden i Sverige som ditt personuppgiftsbiträde, med publicerat personuppgiftsbiträdesavtal (DPA) och lista över underleverantörer.