Kontaktní formulář a zásady ochrany osobních údajů: GDPR a vzorový text

Krátká informace vedle tlačítka pro odeslání je vrstvený přístup GDPR v praxi: to podstatné v místě získávání údajů a podrobnosti na jedno kliknutí. Omezte ji na jednu či dvě věty.

Tři krátké příklady, které můžete upravit:

• Obecný dotaz: „Vaše jméno, e-mail a zprávu používáme jen k odpovědi na váš dotaz a konverzaci uchováváme 12 měsíců. Podrobnosti a vaše práva najdete v našich Zásadách ochrany osobních údajů.“
• Žádost o cenovou nabídku: „Tyto údaje používáme k přípravě vaší nabídky a k navazující komunikaci o ní. Pokud se stanete zákazníkem, uchováváme je jako součást vašeho účtu. Viz naše Zásady ochrany osobních údajů.“
• S možností newsletteru: „Vaše údaje používáme k odpovědi na váš dotaz. Pokud chcete dostávat i náš měsíční newsletter, zaškrtněte políčko; odhlásit se můžete kdykoli.“

Z textu Zásady ochrany osobních údajů udělejte funkční odkaz na celý dokument. Informaci nechte viditelnou, neschovávejte ji do tooltipu a ujistěte se, že odpovídá tomu, co se skutečně děje. Pokud se zprávy přeposílají do CRM nebo se uchovávají dva roky, uveďte to. Obecnější pravidla umístění najdete v článku kam umístit odkaz na zásady ochrany osobních údajů.

Osobními údaji se rozumí jakékoli informace o identifikovatelné osobě. Kontaktní formulář je shromažďuje už ze své podstaty: jméno, e-mailovou adresu, někdy telefonní číslo nebo firmu a volnou textovou zprávu, která může obsahovat téměř cokoli. Nástroj formuláře nebo server může navíc na pozadí zaznamenat IP adresu odesílatele, údaje o prohlížeči a čas odeslání.

Z toho plynou tři důsledky:

1. Musíte lidem sdělit, co se s jejich údaji děje. Podle článku 13 GDPR je třeba tyto informace poskytnout v okamžiku, kdy údaje získáváte.
2. Počítá se každý poskytovatel v řetězci. Zprávu zpracovává plugin nebo služba formuláře, váš poskytovatel e-mailu, vaše CRM i jakýkoli spamový filtr.
3. Uplatnit se mohou i zákony USA. CalOPPA se vztahuje na komerční weby, které shromažďují osobně identifikovatelné údaje, například jména a e-mailové adresy, od obyvatel Kalifornie.

Pokud se teprve rozhodujete, zda váš web zásady vůbec potřebuje, u téměř každého webu s formulářem je odpověď ano. Náš návod potřebuji zásady ochrany osobních údajů? podrobněji vysvětluje, co povinnost zakládá.

Zásada minimalizace údajů v článku 5 GDPR říká, že osobní údaje musí být přiměřené, relevantní a omezené na to, co je nezbytné pro daný účel. U kontaktního formuláře je účelem odpovědět dané osobě, takže si položte otázku, co k tomu skutečně potřebujete.

Praktický kontrolní seznam polí:

• E-mailová adresa: povinná, protože ji potřebujete k odpovědi.
• Jméno: často užitečné, ale zvažte, zda ho neudělat nepovinným nebo jako jediné pole.
• Zpráva: povinná, s upozorněním, ať do ní lidé neuvádějí citlivé údaje.
• Telefonní číslo: nepovinné, pokud lidem skutečně nevoláte zpět.
• Firma, rozpočet nebo typ projektu: jen pokud je používáte k přidělení nebo zodpovězení dotazu.
• Datum narození, identifikační čísla, zdravotní údaje: na obecném kontaktním formuláři téměř nikdy nepatří.

Každé pole, které odstraníte, je pole, které nemusíte zabezpečovat, uchovávat ani vysvětlovat. Pokud provozujete specializovanou službu, například kliniku nebo advokátní kancelář, přidejte větu, ve které lidi požádáte, aby přes formulář citlivé údaje neposílali, a nabídněte jim pro ně bezpečnější kanál.

Mnoho webů přidává zaškrtávací políčko se souhlasem ke každému formuláři ze zvyku. Pokyny britského dozorového úřadu naznačují, že jde často o nesprávný nástroj. Obvykle lépe sedí dva jiné právní základy z článku 6:

• Smlouva, čl. 6 odst. 1 písm. b): ICO vysvětluje, že tento základ pokrývá zpracování nezbytné k provedení konkrétních kroků na žádost osoby před uzavřením smlouvy. Typickým příkladem je žádost o cenovou nabídku nebo dotaz na nákup vaší služby.
• Oprávněné zájmy, čl. 6 odst. 1 písm. f): u obecných dotazů, zpětné vazby nebo dotazů novinářů je odpověď oprávněným zájmem, který lidé očekávají. ICO popisuje třístupňový test: legitimní účel, nezbytnost a vyvážení vůči zájmům dané osoby.

Pokyny ICO k souhlasu upozorňují, že žádat o souhlas je zavádějící, pokud byste údaje zpracovávali tak jako tak, protože nejde o skutečnou volbu. Kdo vám pošle dotaz, jasně očekává odpověď.

Marketing je jiná věc. Odpověď na dotaz nezahrnuje přidání dané osoby do newsletteru. Pokud pravidla ePrivacy vyžadují pro marketingové sdělení souhlas, je souhlas obvykle i správným právním základem pro jeho zpracování.

Pro odpověď na zprávu obvykle ne. Povinné políčko „Souhlasím se zásadami ochrany osobních údajů“ může věci dokonce zamlžit, protože naznačuje, že vaším právním základem je souhlas, i když tomu tak není, a protože zásady ochrany osobních údajů jsou informace, nikoli smlouva, se kterou by lidé museli souhlasit.

Kdy zaškrtávací políčko smysl dává:

• Přihlášení k newsletteru nebo marketingu: použijte samostatné, předem nezaškrtnuté políčko a nepodmiňujte jím odeslání zprávy.
• Nepovinné doplňky: například svolení ke zveřejnění reference nebo ke sdílení dotazu s partnerem.
• Zvláštní kategorie údajů: pokud citlivé informace skutečně potřebujete, může být výslovný souhlas jednou z podmínek, o které se opíráte.

Nezapomeňte, že předem zaškrtnutá políčka podle GDPR platný souhlas nezakládají. Pokud chcete, aby lidé informaci o zpracování vzali na vědomí, poslouží jednoduchá věta s odkazem vedle tlačítka pro odeslání, aniž by předstírala získávání souhlasu. Máte-li u konkrétního formuláře pochybnosti, stránka generátor zásad ochrany osobních údajů podle GDPR vysvětluje, jak se právní základy promítají do vygenerovaných zásad.

Podrobnosti patří do úplných zásad. Přidejte oddíl nebo řádek v tabulce údajů, který pokrývá:

1. Co shromažďujete: pole formuláře a vše, co se shromažďuje automaticky, například IP adresu a čas odeslání.
2. Proč: k odpovědi na dotaz a k případným navazujícím účelům, jako je příprava cenové nabídky.
3. Právní základ: obvykle předsmluvní kroky nebo oprávněné zájmy, souhlas jen u nepovinného marketingu.
4. Kdo údaje dostává: poskytovatel formuláře, poskytovatel e-mailu, CRM, helpdesk a služba ochrany proti spamu.
5. Předávání: zda některý z těchto poskytovatelů zpracovává údaje mimo Spojené království nebo EU a jaká záruka se použije.
6. Uchovávání: jak dlouho se zprávy uchovávají.
7. Práva: přístup, oprava, výmaz a námitka a jak o ně požádat.

Pokud provozujete i newsletter, chatovací widget nebo rezervační formulář, dejte každému vlastní krátkou položku, místo abyste vše shrnuli pod kontakt. Pokyny ICO k tomu, jaké informace o ochraně soukromí poskytovat, jsou dobrou kontrolou povinných náležitostí.

Zásada omezení uložení v GDPR říká, že osobní údaje by se neměly uchovávat déle, než je nezbytné pro daný účel. Žádný zákon nestanoví pro zprávy z kontaktního formuláře jedno číslo, takže si určíte dobu, kterou dokážete zdůvodnit, a pak ji dodržujete.

Běžné přístupy:

• Obecné dotazy, ze kterých nic nevzejde: mažte je po pevně stanovené době, například 6 až 12 měsíců po poslední odpovědi, což stačí na vyřízení navazujících otázek.
• Dotazy, ze kterých se stanou zákazníci: uchovávejte je jako součást záznamu o zákazníkovi tak dlouho, jak vyžaduje vztah se zákazníkem a vaše zákonné povinnosti vést záznamy.
• Spam a obtěžující zprávy: mažte je bez odkladu, pokud je nepotřebujete z bezpečnostních důvodů.
• Záznamy formulářů uložené v databázi webu: mnoho pluginů pro formuláře si kromě e-mailu ukládá kopii každého odeslání. Nastavte plugin tak, aby záznamy mazal automaticky, nebo je pravidelně promazávejte.

Dobu uveďte ve svých zásadách ochrany osobních údajů a nastavte si připomínky nebo automatické mazání, aby zásady zůstaly pravdivé. Pamatujte na zálohy a e-mailové archivy, které často uchovávají kopie déle než samotná schránka.

Ano. Nástroje na ochranu proti spamu zpracovávají údaje o lidech, kteří váš formulář používají, takže patří do vašich zásad ochrany osobních údajů.

reCAPTCHA: časté dotazy Googlu k reCAPTCHA uvádějí, že od 2. dubna 2026 jsou zákazníci jediným správcem zpracovávaných údajů, z odznaku reCAPTCHA byly odstraněny odkazy na Zásady ochrany soukromí a Smluvní podmínky Googlu a zákazníci by měli zkontrolovat vlastní informace o ochraně soukromí pro koncové uživatele, aby pokrývaly účel zabezpečení a prevence podvodů a zneužití. Časté dotazy stále umožňují odznak skrýt, pokud uživatelům viditelně sdělíte, že web je chráněn službou reCAPTCHA. Uvádějí také, že reCAPTCHA nastavuje nezbytnou cookie pro svou analýzu rizik.

Další služby: hCaptcha, Cloudflare Turnstile i antispamové pluginy zpracovávají údaje z formulářů nebo signály ze zařízení. Uveďte název služby, kterou používáte, a popište její účel.

Pole typu honeypot a omezení počtu požadavků jsou méně náročné alternativy, které běží na vašem vlastním serveru a nezapojují žádnou třetí stranu, i když proti odhodlaným botům mohou být méně účinné. Ať zvolíte cokoli, popište to srozumitelně: co se kontroluje, kdo to kontroluje a proč.

Váš kontaktní formulář je jen zřídka jediný nástroj. Typické nastavení řetězí několik poskytovatelů a každý z nich patří do vašich zásad.

• Plugin nebo služba pro formuláře: ukládá odeslané zprávy, někdy na vlastních serverech.
• Doručování e-mailů: posílá oznámení do vaší schránky přes váš hosting nebo službu pro transakční e-maily.
• Schránka a CRM: kde zprávy zůstávají dlouhodobě, například sdílená schránka, helpdesk nebo prodejní CRM.
• Automatizace: nástroje, které kopírují záznamy do tabulek nebo chatovacích kanálů.

Pokud poskytovatel zpracovává údaje vaším jménem, článek 28 GDPR vyžaduje smlouvu s podmínkami pro zpracovatele, obvykle dodatek poskytovatele o zpracování údajů. Uveďte tyto poskytovatele ve svých zásadách jménem nebo kategorií a při změně nástrojů seznam aktualizujte.

Dotazník Legal Policy Generator vám umožní vybrat služby třetích stran, jako jsou Mailchimp, HubSpot, Zendesk, Intercom, SendGrid, reCAPTCHA a hCaptcha, a podle vašich odpovědí vybere odpovídající klauzule. Dotazník, náhled i jednoduché stažení v HTML jsou zdarma. Zbytek dokumentu pokrývá náš návod, jak vytvořit zásady ochrany osobních údajů pro web.