Formularz kontaktowy na stronie internetowej to jeden z najczęstszych punktów styku z użytkownikiem. I jeden z najczęstszych powodów pytań o RODO. Czy do każdego formularza trzeba dodać checkboks ze zgodą? Odpowiedź zależy od tego, co ten formularz robi i na jakiej podstawie prawnej przetwarzasz dane.
Kiedy zgoda z checkboksem nie jest wymagana
Zgoda (art. 6 ust. 1 lit. a RODO) to tylko jedna z kilku podstaw prawnych przetwarzania danych osobowych. Jeśli masz inną, ważną podstawę, checkboks ze zgodą jest zbędny, a nawet może wprowadzać użytkownika w błąd.
Formularz kontaktowy służący do odpowiedzi na zapytanie ofertowe działa na podstawie prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit. f) lub niezbędności do podjęcia działań przed zawarciem umowy (art. 6 ust. 1 lit. b). Użytkownik sam inicjuje kontakt, więc przetwarzasz jego dane, żeby odpowiedzieć na wiadomość. Checkboks ze zgodą nic tu nie zmienia i nie jest wymagany.
Podobnie wygląda sytuacja przy formularzach zamówień, rezerwacji czy rejestracji konta w sklepie. Przetwarzanie danych jest tam niezbędne do realizacji umowy lub działań przed jej zawarciem.
Kiedy zgoda jest potrzebna
Checkboks ze zgodą staje się konieczny, gdy chcesz przetwarzać dane w celu, który wykracza poza obsługę konkretnego zapytania. Najczęstszy przypadek to marketing bezpośredni, czyli wysyłka newslettera, ofert handlowych czy informacji promocyjnych.
Jeśli formularz kontaktowy zawiera pole „zapisz mnie do newslettera” albo chcesz po kontakcie wysyłać użytkownikowi materiały marketingowe, potrzebujesz osobnej, dobrowolnej i jednoznacznej zgody. Checkboks musi być:
- odznaczony domyślnie (nie możesz wstępnie zaznaczyć zgody),
- opisany jasnym językiem, co dokładnie użytkownik akceptuje,
- dobrowolny, czyli brak zgody nie może blokować możliwości wysłania wiadomości.
Jeden formularz, dwa cele – jak to rozdzielić
Jeśli formularz kontaktowy ma jednocześnie obsługiwać zapytanie i zapisywać do newslettera, rozdziel te dwa elementy. Pole do wpisania wiadomości i dane kontaktowe działają na innej podstawie niż zapis na newsletter. Zgoda marketingowa powinna być osobnym checkboksem, wyraźnie oddzielonym od reszty formularza i nieobowiązkowym.
Łączenie obu celów w jednym checkboksie jest błędem. RODO wymaga, żeby zgody były granulowane, czyli każda zgoda dotyczyła jednego konkretnego celu.
Co zamiast checkboksa – klauzula informacyjna
W każdym formularzu, niezależnie od podstawy prawnej, musisz poinformować użytkownika o przetwarzaniu danych. To obowiązek informacyjny z art. 13 RODO. Wystarczy krótka klauzula pod formularzem z informacją o administratorze, celu i podstawie przetwarzania oraz linkiem do pełnej polityki prywatności.
Klauzula informacyjna to nie to samo co zgoda. Nie wymaga klikania checkboksa, ale musi być widoczna przed wysłaniem formularza.
Podsumowanie – prosta zasada
Checkboks ze zgodą jest wymagany tylko wtedy, gdy nie masz innej podstawy prawnej do przetwarzania danych albo gdy przetwarzasz dane w celu marketingowym. Do zwykłego formularza kontaktowego, przez który użytkownik pyta o ofertę, wystarczy klauzula informacyjna. Dodawanie zbędnych checkboksów nie zwiększa zgodności z RODO, a może niepotrzebnie obniżać konwersję formularza.
Jeśli nie masz pewności, jaka podstawa prawna dotyczy Twojego formularza, warto skonsultować to z prawnikiem specjalizującym się w ochronie danych osobowych. Ocena prawna leży poza zakresem usług agencji webowej.
FAQ - najczęstsze pytania
Czy brak checkboksa ze zgodą naraża firmę na karę z RODO?
Nie, jeśli formularz działa na innej ważnej podstawie prawnej, np. prawnie uzasadnionym interesie administratora lub niezbędności do zawarcia umowy. Problem pojawia się wtedy, gdy brakuje jakiejkolwiek podstawy prawnej albo gdy chcesz wysyłać marketing bez zgody użytkownika.
Czy klauzula informacyjna musi być widoczna bez przewijania strony?
Przepisy RODO nie określają dokładnego miejsca, ale klauzula powinna być dostępna przed wysłaniem formularza. Dobrą praktyką jest umieszczenie jej bezpośrednio pod polami formularza, tak żeby użytkownik nie musiał jej szukać.
Czy do formularza rezerwacji wizyty też nie potrzeba checkboksa?
Zazwyczaj nie, bo przetwarzanie danych jest niezbędne do realizacji usługi, czyli zawarcia lub wykonania umowy. Checkboks byłby konieczny dopiero wtedy, gdybyś chciał po wizycie wysyłać użytkownikowi materiały marketingowe.
Jak długo można przechowywać dane z formularza kontaktowego?
Przepisy RODO nie podają gotowych terminów – czas przechowywania powinien być uzasadniony celem, dla którego dane zostały zebrane. Dane z zapytania ofertowego przechowuje się zwykle do zakończenia sprawy, a w przypadku zawarcia umowy – przez czas wynikający z przepisów podatkowych lub cywilnych.
Czy zgoda wyrażona przez formularz musi być gdzieś zapisana?
Tak, administrator danych musi być w stanie udowodnić, że zgoda została wyrażona – to tzw. rozliczalność z art. 5 RODO. W praktyce oznacza to przechowywanie logów lub potwierdzeń z datą i treścią zgody, na jaką użytkownik się zgodził.
Czy można użyć jednego checkboksa do kilku zgód jednocześnie?
Nie, RODO wymaga, żeby każda zgoda była odrębna i dotyczyła jednego konkretnego celu. Łączenie np. zgody marketingowej i zgody na profilowanie w jednym checkboksie jest niezgodne z zasadą granularności zgód.