RODO to europejskie prawo o ochronie prywatności. Jeśli Twój formularz zbiera jakiekolwiek informacje od odwiedzających z Unii Europejskiej, nawet sam adres e-mail, RODO Cię dotyczy. To nie jest sprawa tylko dużych firm ani wybranych branż. RODO obejmuje każdą firmę na świecie, która zbiera dane od mieszkańców Europy, a kary za błędy są poważne.
RODO i zgoda w formularzach to zasady prawne, które określają, jakie dane możesz zbierać od odwiedzających z UE, jak o nie prosisz i co z nimi robisz. Zrozumienie tych zasad jest niezbędne, zanim zbudujesz jakikolwiek formularz zbierający dane od mieszkańców Europy.
Czego się dowiesz: czym jest RODO i kogo dotyczy, czym jest zgoda w rozumieniu prawa, jak zbudować pola formularza i pola wyboru zgodnie z RODO oraz co się dzieje, jeśli nie przestrzegasz przepisów.
Czym jest RODO i czy dotyczy Twoich formularzy?
RODO (Ogólne rozporządzenie o ochronie danych) to prawo Unii Europejskiej, które reguluje, jak organizacje zbierają, przechowują i wykorzystują dane osobowe. Dotyczy każdej firmy na świecie, która zbiera informacje od mieszkańców UE.
Twoje formularze podlegają RODO, jeśli:
- Masz jakichkolwiek odwiedzających z UE, a formularz zbiera od nich informacje
- Zbierasz adresy e-mail, imiona i nazwiska, numery telefonu, adresy IP lub jakiekolwiek inne dane identyfikujące
- Zbierasz informacje o mieszkańcach UE, nawet jeśli Twoja firma nie ma siedziby w UE
Nie ma znaczenia, czy Twoja firma jest duża czy mała, w jakiej branży działasz ani czy cokolwiek sprzedajesz. Jeśli zbierasz dane od mieszkańców UE, RODO obowiązuje.
Czego RODO wymaga od formularzy?
RODO ustala kilka konkretnych zasad dla formularzy zbierających dane:
Przejrzystość: powiedz odwiedzającym, co zbierasz
Zanim ktoś wypełni Twój formularz, musi wiedzieć, jakie dane zbierasz i po co. Musisz podać jasne informacje o:
- Jakie dane zbierasz (e-mail, imię i nazwisko itd.)
- Co z nimi zrobisz (wyślesz e-maile, dodasz do listy mailingowej, zachowasz do przyszłego kontaktu)
- Kto będzie miał do nich dostęp (Twój zespół, usługi zewnętrzne itd.)
- Jak długo je zachowasz
Te informacje powinny być widoczne dla odwiedzających przed wysłaniem formularza. Link do polityki prywatności nie wystarczy. Kluczowe informacje musisz podać na stronie z formularzem albo nad samym formularzem.
Zgoda: pytaj wyraźnie, nie zakładaj
Przy większości zbierania danych potrzebujesz wyraźnej zgody odwiedzającego. Musi on aktywnie zgodzić się na Twoje warunki. Zaznaczenie pola to zgoda. Milczenie nią nie jest.
To różni się od tego, jak formularze działały przed RODO. Nie możesz zakładać, że skoro ktoś wysłał formularz, żeby się z Tobą skontaktować, automatycznie chce znaleźć się na Twojej liście mailingowej. Każde wykorzystanie danych wymaga osobnej zgody.
Zgoda musi być dobrowolna
Zgoda nie może być warunkiem skorzystania z Twojej usługi, jeśli dane nie są potrzebne do tej usługi. Na przykład jeśli ktoś wypełnia formularz kontaktowy, żeby zadać pytanie, potrzebujesz jego e-maila, żeby odpowiedzieć. Nie potrzebujesz na to zgody, bo jest to konieczne. Ale jeśli chcesz dodać tę osobę do newslettera marketingowego, jest to opcjonalne i potrzebujesz wyraźnej zgody.
Sam mechanizm zgody musi być jasny
Jeśli używasz pola wyboru do zgody, musi ono zaczynać jako niezaznaczone. Odwiedzający muszą je aktywnie zaznaczyć. Domyślnie zaznaczone pola nie liczą się jako zgoda. Język musi być jasny i prosty, a nie ukryty w żargonie prawnym.
Budowa formularzy pod zgodę RODO
Dane niezbędne i opcjonalne
Najpierw oddziel dane, których absolutnie potrzebujesz, od danych opcjonalnych:
- Niezbędne: informacje potrzebne do realizacji prośby (e-mail, żeby odpowiedzieć na formularz kontaktowy, adres, żeby wysłać zamówienie)
- Opcjonalne: informacje, które chcesz mieć do marketingu lub analityki (z jakiego kanału ktoś przyszedł, jakie ma stanowisko)
Wyraźnie oznacz pola opcjonalne dopiskiem "(opcjonalne)", żeby odwiedzający wiedzieli, że nie muszą ich wypełniać.
Osobne pola zgody
Jeśli chcesz wykorzystać dane do wielu celów, użyj osobnych pól wyboru. Jedno dla "Zgadzam się na kontakt e-mailem", a drugie dla "Zgadzam się na otrzymywanie e-maili marketingowych". Nie łącz ich w jedno pole.
<label> <input type="checkbox" name="contact_consent" required> Zgadzasz się, żebyśmy skontaktowali się z Tobą w odpowiedzi na to zapytanie </label> <label> <input type="checkbox" name="marketing_consent"> Zgadzam się na otrzymywanie e-maili marketingowych o nowych produktach i ofertach specjalnych </label>Zwróć uwagę, że pierwsze pole jest wymagane (niezbędne do usługi), ale domyślnie niezaznaczone. Drugie jest opcjonalne (marketing nie jest konieczny) i też domyślnie niezaznaczone.
Jasny, czytelny tekst zgody
Tekst przy polu wyboru musi być jasny i konkretny. Ogólne frazy, takie jak "Zgadzam się na Wasz regulamin", nie spełniają wymogów RODO. Bądź konkretny co do tego, na co odwiedzający się zgadza.
Źle: "Zgadzam się"
Lepiej: "Zgadzam się na otrzymywanie e-maili marketingowych"
Najlepiej: "Zgadzam się na otrzymywanie e-maili marketingowych o produktach i ofertach około dwa razy w miesiącu"
Im konkretniej, tym lepiej. Powiedz odwiedzającym dokładnie, na co wyrażają zgodę.
Link do polityki prywatności
Po polach zgody dodaj link do pełnej polityki prywatności. Pozwala to odwiedzającym przeczytać pełne szczegóły dotyczące tego, jak postępujesz z ich danymi, jeśli chcą.
<p>Wysyłając ten formularz, akceptujesz naszą <a href="/slowniczek/polityka-prywatnosci">politykę prywatności</a>.</p>Przechowywanie danych i RODO
RODO wymaga też, żebyś przechowywał dane osobowe tylko tak długo, jak to konieczne. Musisz ustalić i stosować politykę przechowywania danych.
- Jak długo będziesz przechowywać zgłoszenia z formularza kontaktowego? (30 dni? 6 miesięcy? Do rozwiązania sprawy?)
- Jak długo będziesz trzymać ludzi na liście mailingowej? (Do wypisania się?)
- Jak długo będziesz przechowywać dane klienta po zakupie? (7 lat dla dokumentacji podatkowej, potem usunięcie)
Udokumentuj swoją politykę przechowywania i egzekwuj ją. Ustaw harmonogram automatycznego usuwania starych zgłoszeń i danych.
Prawa, które RODO daje osobom, których dane dotyczą
Gdy ktoś wysyła formularz na Twojej stronie, ma prawa wynikające z RODO:
- Prawo dostępu: można zapytać, jakie dane o sobie masz
- Prawo do bycia zapomnianym: można poprosić o usunięcie danych (z wyjątkami, takimi jak dokumentacja podatkowa)
- Prawo do sprostowania: można poprosić o poprawienie błędnych danych
- Prawo do przenoszenia danych: można poprosić o wydanie swoich danych w przenośnym formacie
- Prawo do wycofania zgody: można w dowolnej chwili wycofać zgodę na e-maile marketingowe lub inne wykorzystanie
Warto być przygotowanym na obsługę takich próśb. Zwykle oznacza to proces, w którym ludzie mogą zgłaszać takie prośby (adres e-mail, formularz itd.), i sposób odpowiedzi w ciągu 30 dni.
Kary RODO i konsekwencje
Naruszenia RODO wiążą się ze znacznymi karami:
- Do 20 milionów euro lub 4% rocznego światowego przychodu (zależnie od tego, która kwota jest wyższa) za najpoważniejsze naruszenia
- Do 10 milionów euro lub 2% przychodu za mniej poważne naruszenia
- W praktyce nawet małe firmy mierzą się z karami w wysokości setek tysięcy za naruszenia ochrony danych lub zgody
Poza karami naruszenie RODO może zaszkodzić reputacji, kosztować utratę klientów i stworzyć odpowiedzialność prawną, jeśli dane zostaną wykorzystane niewłaściwie.
Lista kontrolna zgodności z RODO dla formularzy
- [ ] Ustalono, jakie dane zbierasz
- [ ] Masz jasną politykę prywatności
- [ ] Wyświetlasz kluczowe informacje o prywatności nad formularzem lub w nim
- [ ] Wszystkie pola wyboru zaczynają jako niezaznaczone
- [ ] Pola zgody używają jasnego, konkretnego języka
- [ ] Masz osobne pola wyboru dla osobnych sposobów wykorzystania danych (kontakt i marketing)
- [ ] Formularz wyjaśnia przechowywanie danych (jak długo trzymasz zgłoszenia)
- [ ] Masz politykę przechowywania danych i ją egzekwujesz (usuwanie starych danych)
- [ ] Masz proces, w którym ludzie mogą prosić o dostęp, usunięcie lub poprawienie swoich danych
- [ ] Możesz łatwo wypisać ludzi z e-maili marketingowych
- [ ] Wiesz, gdzie przechowywane są dane odwiedzających i kto ma do nich dostęp
Co WEMASY robi dla zgodności z RODO
Formularze WEMASY zawierają funkcje zarządzania zgodami, które pomagają spełnić wymogi RODO. Możesz dodać pola zgody do swoich formularzy, a WEMASY zapisuje, na co zgodził się każdy odwiedzający. Zgłoszenia zawierają znaczniki czasu, więc wiesz, kiedy zgoda została wyrażona. Przechowywaniem danych zarządzasz, usuwając stare zgłoszenia, których już nie potrzebujesz.
Twoja marka nadal potrzebuje polityki prywatności i musi zdecydować, jak obsługiwać prośby o dostęp do danych, ale WEMASY zajmuje się techniczną infrastrukturą zgód i zarządzania danymi.
Więcej o funkcjach zgodności w Twoim pakiecie znajdziesz na stronie cennika.