Polityka prywatności formularza kontaktowego: podstawy RODO i przykładowe komunikaty

Krótka informacja obok przycisku wysyłania to warstwowe podejście RODO w praktyce: najważniejsze punkty w miejscu zbierania danych, a szczegóły jedno kliknięcie dalej. Ogranicz ją do jednego lub dwóch zdań.

Trzy miniprzykłady do dostosowania:

• Ogólne zapytanie: „Używamy Twojego imienia, adresu e-mail i wiadomości wyłącznie po to, by Ci odpowiedzieć, a korespondencję przechowujemy przez 12 miesięcy. Szczegóły i informacje o Twoich prawach znajdziesz w naszej Polityce prywatności.”
• Prośba o wycenę: „Używamy tych danych, aby przygotować wycenę i skontaktować się w jej sprawie. Jeśli zostaniesz klientem, przechowujemy je jako część Twojego konta. Zobacz naszą Politykę prywatności.”
• Z opcją newslettera: „Używamy Twoich danych, aby Ci odpowiedzieć. Zaznacz pole, jeśli chcesz również otrzymywać nasz comiesięczny newsletter; możesz się wypisać w dowolnym momencie.”

Zrób z wyrażenia Polityka prywatności działający link do pełnego dokumentu. Informacja powinna być widoczna, a nie ukryta w dymku podpowiedzi, i zgodna z tym, co faktycznie się dzieje. Jeśli wiadomości trafiają do CRM lub są przechowywane przez dwa lata, napisz o tym. Szersze zasady umiejscowienia znajdziesz w artykule gdzie umieścić link do polityki prywatności.

Dane osobowe to wszelkie informacje o możliwej do zidentyfikowania osobie. Formularz kontaktowy zbiera je z założenia: imię i nazwisko, adres e-mail, czasem numer telefonu lub nazwę firmy oraz wiadomość w dowolnej formie, która może zawierać niemal wszystko. W tle narzędzie formularza lub serwer mogą też rejestrować adres IP nadawcy, dane przeglądarki i czas wysłania.

Ma to trzy konsekwencje:

1. Musisz poinformować ludzi, co dzieje się z ich danymi. Zgodnie z art. 13 RODO informacje trzeba przekazać w momencie zbierania danych.
2. Liczy się każdy dostawca w łańcuchu. Wtyczka lub usługa formularza, dostawca poczty, CRM i każdy filtr antyspamowy przetwarzają wiadomość.
3. Mogą mieć zastosowanie także przepisy USA. CalOPPA obejmuje komercyjne strony internetowe, które zbierają od mieszkańców Kalifornii dane umożliwiające identyfikację, takie jak imiona, nazwiska i adresy e-mail.

Jeśli wciąż zastanawiasz się, czy twoja strona w ogóle potrzebuje polityki, w przypadku niemal każdej strony z formularzem odpowiedź brzmi: tak. Nasz poradnik czy potrzebuję polityki prywatności? dokładniej wyjaśnia przesłanki prawne.

Zasada minimalizacji danych z art. 5 RODO mówi, że dane osobowe muszą być adekwatne, stosowne i ograniczone do tego, co niezbędne do celu. W przypadku formularza kontaktowego celem jest odpowiedź, więc zadaj sobie pytanie, czego naprawdę potrzebujesz, aby ją udzielić.

Praktyczna lista pól:

• Adres e-mail: wymagany, bo potrzebujesz go do odpowiedzi.
• Imię: często przydatne, ale rozważ, czy nie uczynić go opcjonalnym lub jednym polem.
• Wiadomość: wymagana, z podpowiedzią, by nie podawać informacji wrażliwych.
• Numer telefonu: opcjonalny, chyba że faktycznie oddzwaniasz.
• Firma, budżet lub rodzaj projektu: tylko jeśli używasz ich do przekierowania zapytania lub odpowiedzi na nie.
• Data urodzenia, numery dokumentów, informacje o zdrowiu: prawie nigdy nie są właściwe w ogólnym formularzu kontaktowym.

Każde usunięte pole to pole, którego nie musisz zabezpieczać, przechowywać ani wyjaśniać. Jeśli prowadzisz wyspecjalizowaną działalność, taką jak przychodnia lub kancelaria prawna, dodaj zdanie z prośbą o niewysyłanie informacji wrażliwych przez formularz i zaproponuj do tego bezpieczniejszy kanał.

Wiele stron odruchowo dodaje pole zgody do każdego formularza. Wytyczne brytyjskiego regulatora sugerują, że często jest to niewłaściwe narzędzie. Zwykle lepiej pasują dwie inne podstawy prawne z art. 6:

• Umowa, art. 6 ust. 1 lit. b: ICO wyjaśnia, że ta podstawa obejmuje przetwarzanie niezbędne do podjęcia konkretnych działań na żądanie osoby przed zawarciem umowy. Typowym przykładem jest prośba o wycenę lub pytanie o zakup twojej usługi.
• Prawnie uzasadniony interes, art. 6 ust. 1 lit. f: w przypadku ogólnych zapytań, opinii lub pytań prasowych odpowiedź jest prawnie uzasadnionym interesem, którego ludzie się spodziewają. ICO opisuje trzyczęściowy test: uzasadniony cel, niezbędność i wyważenie wobec interesów osoby.

Wytyczne ICO dotyczące zgody ostrzegają, że prośba o zgodę wprowadza w błąd, gdy i tak przetwarzałbyś dane, bo nie ma tu rzeczywistego wyboru. Ktoś, kto wysyła ci pytanie, wyraźnie oczekuje odpowiedzi.

Marketing to co innego. Odpowiedź na zapytanie nie obejmuje dopisania osoby do newslettera. Jeśli przepisy o e-prywatności wymagają zgody na wiadomość marketingową, zgoda jest zwykle również właściwą podstawą prawną dla tego przetwarzania.

Zwykle nie w celu odpowiedzi na wiadomość. Obowiązkowe pole „Akceptuję politykę prywatności” może wręcz zaciemniać sprawę, bo sugeruje, że podstawą prawną jest zgoda, choć tak nie jest, a polityka prywatności to informacja, a nie umowa, którą ludzie muszą zaakceptować.

Kiedy pole wyboru ma sens:

• Zapis do newslettera lub zgoda marketingowa: użyj osobnego, niezaznaczonego pola i nie uzależniaj od niego wysłania wiadomości.
• Opcjonalne dodatki: na przykład zgoda na opublikowanie opinii lub przekazanie zapytania partnerowi.
• Szczególne kategorie danych: jeśli naprawdę potrzebujesz informacji wrażliwych, wyraźna zgoda może być jednym z warunków, na których się opierasz.

Pamiętaj, że wstępnie zaznaczone pola nie tworzą ważnej zgody w świetle RODO. Jeśli chcesz potwierdzenia zapoznania się z informacją o prywatności, wystarczy proste zdanie z linkiem obok przycisku wysyłania, bez udawania, że zbierasz zgodę. W razie wątpliwości co do konkretnego formularza strona generatora polityki prywatności zgodnej z RODO wyjaśnia, jak podstawy prawne są odzwierciedlane w wygenerowanej polityce.

Szczegóły należą do pełnej polityki. Dodaj sekcję lub wiersz w tabeli danych, który obejmuje:

1. Co zbierasz: pola formularza oraz wszystko, co jest zbierane automatycznie, na przykład adres IP i czas wysłania.
2. W jakim celu: aby odpowiedzieć na zapytanie, oraz ewentualne dalsze cele, takie jak przygotowanie wyceny.
3. Podstawa prawna: zazwyczaj działania przed zawarciem umowy lub prawnie uzasadniony interes, a zgoda tylko dla opcjonalnego marketingu.
4. Kto otrzymuje dane: dostawca formularza, dostawca poczty, CRM, system obsługi zgłoszeń i usługa ochrony przed spamem.
5. Przekazywanie danych: czy którykolwiek z tych dostawców przetwarza dane poza Wielką Brytanią lub UE i jakie zabezpieczenie jest stosowane.
6. Przechowywanie: jak długo przechowywane są wiadomości.
7. Prawa: dostęp, sprostowanie, usunięcie i sprzeciw oraz sposób złożenia żądania.

Jeśli prowadzisz też newsletter, widżet czatu lub formularz rezerwacji, nadaj każdemu z nich osobny krótki wpis, zamiast łączyć wszystko pod hasłem kontakt. Wytyczne ICO dotyczące tego, jakie informacje o prywatności przekazać, to dobry sposób na sprawdzenie wymaganych elementów.

Zasada ograniczenia przechowywania z RODO mówi, że dane osobowe nie powinny być przechowywane dłużej, niż jest to niezbędne do celu. Żaden przepis nie ustala jednej liczby dla wiadomości z formularza kontaktowego, więc sam ustalasz okres, który potrafisz uzasadnić, i się go trzymasz.

Typowe podejścia:

• Ogólne zapytania, z których nic nie wynika: usuwaj po określonym czasie, na przykład 6 do 12 miesięcy od ostatniej odpowiedzi, co wystarcza na obsłużenie pytań uzupełniających.
• Zapytania, z których powstaje relacja z klientem: przechowuj je jako część danych klienta tak długo, jak wymaga tego relacja i twoje prawne obowiązki dotyczące dokumentacji.
• Spam i obraźliwe wiadomości: usuwaj niezwłocznie, chyba że potrzebujesz ich ze względów bezpieczeństwa.
• Zgłoszenia zapisane w bazie danych strony: wiele wtyczek formularzy zachowuje kopię każdego zgłoszenia oprócz e-maila. Ustaw automatyczne usuwanie wpisów we wtyczce lub regularnie je czyść.

Wpisz ten okres do polityki prywatności i ustaw przypomnienia lub automatyczne usuwanie, aby polityka pozostała prawdziwa. Pamiętaj o kopiach zapasowych i archiwach poczty, które często przechowują kopie dłużej niż skrzynka odbiorcza.

Tak. Narzędzia ochrony przed spamem przetwarzają dane osób korzystających z twojego formularza, więc należą do polityki prywatności.

reCAPTCHA: FAQ Google dotyczące reCAPTCHA stwierdza, że od 2 kwietnia 2026 r. klienci są jedynym administratorem przetwarzanych danych, odniesienia do Polityki prywatności i Warunków Google usunięto z plakietki reCAPTCHA, a klienci powinni przejrzeć własne informacje o prywatności dla użytkowników końcowych, aby upewnić się, że obejmują cel zapewnienia bezpieczeństwa oraz zapobiegania oszustwom i nadużyciom. FAQ nadal pozwala ukryć plakietkę, jeśli w widoczny sposób poinformujesz użytkowników, że strona jest chroniona przez reCAPTCHA. Zaznacza też, że reCAPTCHA ustawia niezbędny plik cookie na potrzeby analizy ryzyka.

Inne usługi: hCaptcha, Cloudflare Turnstile i wtyczki antyspamowe przetwarzają dane z formularzy lub sygnały urządzenia. Podaj nazwę używanej usługi i opisz jej cel.

Pola-pułapki (honeypot) i limity żądań to lżejsze alternatywy działające na twoim własnym serwerze, bez udziału podmiotów trzecich, choć mogą być mniej skuteczne wobec zdeterminowanych botów. Cokolwiek wybierzesz, opisz to prostymi słowami: co jest sprawdzane, przez kogo i dlaczego.

Formularz kontaktowy rzadko jest pojedynczym narzędziem. Typowa konfiguracja łączy w łańcuch kilku dostawców, a każdy z nich powinien znaleźć się w polityce.

• Wtyczka lub usługa formularza: przechowuje zgłoszenia, czasem na własnych serwerach.
• Dostarczanie poczty: wysyła powiadomienia do twojej skrzynki przez hosting lub usługę poczty transakcyjnej.
• Skrzynka i CRM: miejsce długoterminowego przechowywania wiadomości, na przykład wspólna skrzynka, system obsługi zgłoszeń lub CRM sprzedażowy.
• Automatyzacje: narzędzia, które kopiują zgłoszenia do arkuszy kalkulacyjnych lub kanałów czatu.

Gdy dostawca przetwarza dane w twoim imieniu, art. 28 RODO wymaga umowy z warunkami powierzenia, zwykle w postaci aneksu dostawcy dotyczącego przetwarzania danych. Wymień tych dostawców z nazwy lub kategorii w swojej polityce i aktualizuj listę przy zmianie narzędzi.

Kwestionariusz Legal Policy Generator pozwala wybrać usługi zewnętrzne, takie jak Mailchimp, HubSpot, Zendesk, Intercom, SendGrid, reCAPTCHA i hCaptcha, i dobiera pasujące klauzule na podstawie twoich odpowiedzi. Kwestionariusz, podgląd i prosty plik HTML do pobrania są bezpłatne. Nasz poradnik o tworzeniu polityki prywatności strony internetowej omawia resztę dokumentu.