Yhteydenottolomakkeen tietosuojaseloste: GDPR:n perusteet ja ilmoituksen sanamuoto

Lyhyt ilmoitus lähetyspainikkeen vieressä on GDPR:n kerroksellista lähestymistapaa käytännössä: olennaiset asiat keräämishetkellä ja yksityiskohdat yhden napsautuksen päässä. Pidä se yhden tai kahden lauseen mittaisena.

Kolme lyhyttä esimerkkiä, joita voit muokata:

• Yleinen yhteydenotto: ”Käytämme nimeäsi, sähköpostiosoitettasi ja viestiäsi vain vastataksemme sinulle ja säilytämme keskustelun 12 kuukauden ajan. Lue tietosuojaselosteestamme lisätietoja ja oikeutesi.”
• Tarjouspyyntö: ”Käytämme näitä tietoja tarjouksesi laatimiseen ja siihen liittyvään yhteydenpitoon. Jos sinusta tulee asiakas, säilytämme ne osana asiakastiliäsi. Katso tietosuojaselosteemme.”
• Uutiskirjevaihtoehdon kanssa: ”Käytämme tietojasi vastataksemme sinulle. Rastita ruutu, jos haluat myös kuukausittaisen uutiskirjeemme; voit perua tilauksen milloin tahansa.”

Tee sanasta tietosuojaseloste toimiva linkki koko asiakirjaan. Pidä ilmoitus näkyvissä äläkä piilota sitä työkaluvihjeeseen, ja varmista, että se vastaa sitä, mitä todella tapahtuu. Jos viestit välitetään asiakkuudenhallintajärjestelmään tai niitä säilytetään kaksi vuotta, kerro siitä. Laajemmat sijoitteluohjeet löydät oppaasta mihin tietosuojaselosteen linkki kannattaa sijoittaa.

Henkilötiedoilla tarkoitetaan kaikkia tietoja, jotka liittyvät tunnistettavissa olevaan henkilöön. Yhteydenottolomake kerää niitä jo rakenteensa vuoksi: nimen, sähköpostiosoitteen, joskus puhelinnumeron tai yrityksen sekä vapaamuotoisen viestin, joka voi sisältää lähes mitä tahansa. Taustalla lomaketyökalu tai palvelin voi lisäksi tallentaa lähettäjän IP-osoitteen, selaintiedot ja lähetysajan.

Tällä on kolme seurausta:

1. Sinun on kerrottava ihmisille, mitä heidän tiedoilleen tapahtuu. GDPR:n 13 artiklan mukaan tiedot on annettava silloin, kun keräät tiedot.
2. Jokainen ketjun palveluntarjoaja on otettava huomioon. Lomakelisäosa tai -palvelu, sähköpostipalvelusi, asiakkuudenhallintajärjestelmäsi ja mahdollinen roskapostisuodatin käsittelevät kaikki viestiä.
3. Myös Yhdysvaltain lait voivat tulla sovellettaviksi. CalOPPA koskee kaupallisia verkkosivustoja, jotka keräävät Kalifornian asukkailta henkilön tunnistettavia tietoja, kuten nimiä ja sähköpostiosoitteita.

Jos vielä mietit, tarvitseeko sivustosi selostetta lainkaan, vastaus on lähes jokaisen lomakkeella varustetun sivuston kohdalla kyllä. Oppaamme tarvitsenko tietosuojaselosteen? selittää oikeudelliset laukaisevat tekijät tarkemmin.

GDPR:n 5 artiklan tietojen minimoinnin periaatteen mukaan henkilötietojen on oltava asianmukaisia, olennaisia ja rajoitettuja siihen, mikä on tarpeen käsittelyn tarkoituksen kannalta. Yhteydenottolomakkeen tarkoitus on vastata henkilölle, joten kysy itseltäsi, mitä todella tarvitset sitä varten.

Käytännön tarkistuslista kentille:

• Sähköpostiosoite: pakollinen, koska tarvitset sen vastataksesi.
• Nimi: usein hyödyllinen, mutta harkitse sen tekemistä vapaaehtoiseksi tai yhdeksi kentäksi.
• Viesti: pakollinen, ja sen yhteydessä vihje olla lähettämättä arkaluonteisia tietoja.
• Puhelinnumero: vapaaehtoinen, ellet todella soita ihmisille takaisin.
• Yritys, budjetti tai projektin tyyppi: vain jos käytät niitä yhteydenoton ohjaamiseen tai siihen vastaamiseen.
• Syntymäaika, henkilötunnukset tai terveystiedot: lähes koskaan eivät sovi yleiseen yhteydenottolomakkeeseen.

Jokainen poistamasi kenttä on kenttä, jota sinun ei tarvitse suojata, säilyttää eikä selittää. Jos tarjoat erikoispalvelua, kuten klinikan tai asianajotoimiston palveluja, lisää lomakkeeseen rivi, jossa pyydetään olemaan lähettämättä arkaluonteisia tietoja lomakkeen kautta, ja tarjoa niitä varten turvallisempi kanava.

Monet sivustot lisäävät suostumusruudun jokaiseen lomakkeeseen refleksinomaisesti. Britannian valvontaviranomaisen ohjeistuksen mukaan se on usein väärä työkalu. Kaksi muuta 6 artiklan käsittelyperustetta sopii yleensä paremmin:

• Sopimus, 6 artiklan 1 kohdan b alakohta: ICO selittää, että tämä peruste kattaa käsittelyn, joka on tarpeen tiettyjen toimien toteuttamiseksi henkilön pyynnöstä ennen sopimuksen tekemistä. Tarjouspyyntö tai kysymys palvelusi ostamisesta on tyypillinen esimerkki.
• Oikeutettu etu, 6 artiklan 1 kohdan f alakohta: yleisissä kyselyissä, palautteessa tai lehdistön kysymyksissä vastaaminen on oikeutettu etu, jota ihmiset odottavat. ICO kuvaa kolmiosaisen testin: oikeutettu tarkoitus, tarpeellisuus ja punninta suhteessa henkilön etuihin.

ICO:n suostumusta koskeva ohjeistus varoittaa, että suostumuksen pyytäminen on harhaanjohtavaa, jos käsittelisit tietoja joka tapauksessa, koska todellista valintaa ei ole. Kysymyksen lähettänyt henkilö odottaa selvästi vastausta.

Markkinointi on eri asia. Yhteydenottoon vastaaminen ei oikeuta lisäämään henkilöä uutiskirjeen tilaajaksi. Jos sähköisen viestinnän tietosuojasäännöt edellyttävät suostumusta markkinointiviestiin, suostumus on yleensä myös sen oikea käsittelyperuste.

Viestiin vastaamista varten yleensä ei. Pakollinen ”Hyväksyn tietosuojaselosteen” -valintaruutu voi itse asiassa hämärtää asioita, koska se antaa ymmärtää, että käsittelyperusteesi on suostumus, vaikka se ei ole, ja koska tietosuojaseloste on tiedote, ei sopimus, joka ihmisten pitäisi hyväksyä.

Valintaruutu on perusteltu seuraavissa tilanteissa:

• Uutiskirje tai markkinointilupa: käytä erillistä, valmiiksi rastittamatonta valintaruutua äläkä tee siitä viestin lähettämisen ehtoa.
• Vapaaehtoiset lisät: esimerkiksi lupa julkaista asiakaskokemus tai jakaa yhteydenotto kumppanin kanssa.
• Erityiset henkilötietoryhmät: jos todella tarvitset arkaluonteisia tietoja, nimenomainen suostumus voi olla yksi edellytyksistä, joihin nojaat.

Muista, että valmiiksi rastitetut ruudut eivät muodosta pätevää suostumusta GDPR:n mukaan. Jos haluat kuittauksen tietosuojailmoituksesta, lähetyspainikkeen viereen sijoitettu yksinkertainen lause linkkeineen hoitaa asian teeskentelemättä suostumuksen keräämistä. Jos olet epävarma jostakin tietystä lomakkeesta, GDPR-tietosuojaselostegeneraattorin sivu selittää, miten käsittelyperusteet näkyvät luodussa selosteessa.

Yksityiskohdat kuuluvat koko selosteeseen. Lisää osio tai tietotaulukkoosi rivi, joka kattaa:

1. Mitä keräät: lomakkeen kentät sekä automaattisesti kerättävät tiedot, kuten IP-osoitteen ja lähetysajan.
2. Miksi: yhteydenottoon vastaamiseksi sekä mahdollisia jatkotarkoituksia varten, kuten tarjouksen laatimiseksi.
3. Käsittelyperuste: tyypillisesti sopimusta edeltävät toimet tai oikeutettu etu, ja suostumus vain vapaaehtoiseen markkinointiin.
4. Kuka tiedot saa: lomakepalvelu, sähköpostipalvelu, asiakkuudenhallintajärjestelmä, asiakastukijärjestelmä ja roskapostisuojauspalvelu.
5. Siirrot: käsitteleekö joku näistä palveluntarjoajista tietoja Britannian tai EU:n ulkopuolella, ja mitä suojatoimea käytetään.
6. Säilytys: kuinka kauan viestejä säilytetään.
7. Oikeudet: oikeus saada pääsy tietoihin, oikaisuun, poistamiseen ja vastustamiseen sekä se, miten niitä pyydetään.

Jos käytössäsi on myös uutiskirje, chat-widget tai ajanvarauslomake, anna kullekin oma lyhyt kohtansa sen sijaan, että niputtaisit kaiken yhteydenoton alle. ICO:n ohjeistus siitä, mitä tietosuojatietoja on annettava, on hyvä tapa tarkistaa vaaditut kohdat.

GDPR:n säilytyksen rajoittamisen periaatteen mukaan henkilötietoja ei pidä säilyttää pidempään kuin käsittelyn tarkoitus edellyttää. Mikään laki ei aseta yhteydenottolomakkeen viesteille yhtä lukua, joten määrität ajan, jonka voit perustella, ja noudatat sitä.

Yleisiä lähestymistapoja:

• Yleiset yhteydenotot, jotka eivät johda mihinkään: poista kiinteän ajan jälkeen, esimerkiksi 6–12 kuukauden kuluttua viimeisestä vastauksesta, mikä riittää jatkokysymysten käsittelyyn.
• Yhteydenotot, joista tulee asiakkuuksia: säilytä ne osana asiakastietoja niin kauan kuin asiakassuhde ja lakisääteiset kirjanpitovelvollisuutesi edellyttävät.
• Roskaposti ja asiattomat viestit: poista viipymättä, ellet tarvitse niitä tietoturvasyistä.
• Verkkosivustosi tietokantaan tallennetut lomakemerkinnät: monet lomakelisäosat säilyttävät kopion jokaisesta lähetyksestä sähköpostin lisäksi. Määritä lisäosa poistamaan merkinnät automaattisesti tai tyhjennä ne säännöllisesti.

Kirjaa säilytysaika tietosuojaselosteeseesi ja aseta muistutuksia tai automaattinen poisto, jotta seloste pysyy paikkansapitävänä. Muista varmuuskopiot ja sähköpostiarkistot, jotka säilyttävät kopioita usein pidempään kuin saapuneet-kansio.

Kyllä. Roskapostisuojaustyökalut käsittelevät tietoja ihmisistä, jotka käyttävät lomakettasi, joten ne kuuluvat tietosuojaselosteeseesi.

reCAPTCHA: Googlen reCAPTCHA-usein kysyttyjen kysymysten mukaan 2. huhtikuuta 2026 alkaen asiakkaat ovat käsiteltävien tietojen ainoa rekisterinpitäjä, viittaukset Googlen tietosuojakäytäntöön ja ehtoihin on poistettu reCAPTCHA-merkistä, ja asiakkaiden tulisi tarkistaa omat loppukäyttäjille suunnatut tietosuojatietonsa varmistaakseen, että ne kattavat tietoturvan sekä petosten ja väärinkäytösten estämisen tarkoituksen. Kysymys-vastausosio sallii edelleen merkin piilottamisen, jos kerrot käyttäjille näkyvästi, että sivustoa suojaa reCAPTCHA. Siinä todetaan myös, että reCAPTCHA asettaa riskianalyysiaan varten välttämättömän evästeen.

Muut palvelut: hCaptcha, Cloudflare Turnstile ja roskapostin estolisäosat käsittelevät kukin lomaketietoja tai laitesignaaleja. Nimeä käyttämäsi palvelu ja kuvaa sen tarkoitus.

Hunajapurkkikentät ja nopeusrajoitukset ovat kevyempiä vaihtoehtoja, jotka toimivat omalla palvelimellasi ilman kolmatta osapuolta, vaikka ne voivat olla tehottomampia päättäväisiä botteja vastaan. Valitsitpa minkä tahansa, kuvaa se selkeällä kielellä: mitä tarkistetaan, kuka tarkistaa ja miksi.

Yhteydenottolomakkeesi on harvoin yksittäinen työkalu. Tyypillinen kokoonpano ketjuttaa useita palveluntarjoajia, ja jokainen niistä kuuluu selosteeseesi.

• Lomakelisäosa tai lomakepalvelu: tallentaa lähetykset, joskus omille palvelimilleen.
• Sähköpostin toimitus: lähettää ilmoitukset postilaatikkoosi isännöintipalvelusi tai transaktiosähköpostipalvelun kautta.
• Postilaatikko ja asiakkuudenhallintajärjestelmä: paikka, jossa viestit säilyvät pitkään, kuten jaettu postilaatikko, asiakastukijärjestelmä tai myynnin asiakkuudenhallintajärjestelmä.
• Automaatiot: työkalut, jotka kopioivat merkintöjä taulukkoihin tai chat-kanaviin.

Kun palveluntarjoaja käsittelee tietoja puolestasi, GDPR:n 28 artikla edellyttää sopimusta, jossa on henkilötietojen käsittelijää koskevat ehdot, yleensä palveluntarjoajan tietojenkäsittelyliite. Luettele nämä palveluntarjoajat selosteessasi nimeltä tai ryhmittäin ja pidä luettelo ajan tasalla, kun vaihdat työkaluja.

Legal Policy Generatorin kyselyssä voit valita kolmannen osapuolen palveluita, kuten Mailchimpin, HubSpotin, Zendeskin, Intercomin, SendGridin, reCAPTCHAn ja hCaptchan, ja se valitsee vastaustesi perusteella niihin sopivat lausekkeet. Kysely, esikatselu ja yksinkertainen HTML-lataus ovat maksuttomia. Oppaamme tietosuojaselosteen laatimisesta verkkosivustolle kattaa asiakirjan muut osat.