GDPR je evropský zákon na ochranu soukromí. Pokud váš formulář sbírá od návštěvníků z Evropské unie jakékoli informace, třeba jen e-mail, GDPR se vás týká. Nejde o věc, která se dotýká jen velkých firem nebo určitých oborů. GDPR pokrývá každou firmu kdekoli na světě, která shromažďuje údaje od obyvatel Evropy, a tresty za chyby jsou přísné.
GDPR a souhlas ve formulářích jsou právní pravidla, která určují, jaké údaje smíte od návštěvníků z EU sbírat, jak o ně žádáte a co s nimi děláte. Porozumět těmto pravidlům je nezbytné, než postavíte jakýkoli formulář, který sbírá údaje od obyvatel Evropy.
Co se dozvíte: co je GDPR a koho se týká, co znamená právní souhlas, jak uspořádat pole formuláře a zaškrtávací políčka, aby splnila požadavky GDPR, a co se stane, když předpisy nedodržíte.
Co je GDPR a týká se vašich formulářů?
GDPR (General Data Protection Regulation, obecné nařízení o ochraně osobních údajů) je zákon Evropské unie, který upravuje, jak organizace shromažďují, ukládají a používají osobní údaje. Týká se každé firmy kdekoli na světě, která sbírá informace od obyvatel EU.
Vaše formuláře spadají pod GDPR, pokud:
- Máte jakékoli návštěvníky z EU a váš formulář od nich sbírá informace
- Sbíráte e-mailové adresy, jména, telefonní čísla, IP adresy nebo jakékoli jiné identifikující informace
- Sbíráte informace o obyvatelích EU, i když nesídlíte v EU
Nezáleží na tom, jestli je vaše firma velká, nebo malá, v jakém jste oboru ani jestli něco prodáváte. Pokud sbíráte údaje od obyvatel EU, GDPR se vás týká.
Co GDPR od formulářů vyžaduje?
GDPR stanoví několik konkrétních pravidel pro formuláře, které sbírají údaje:
Transparentnost: řekněte návštěvníkům, co sbíráte
Než někdo vyplní váš formulář, musí vědět, jaké údaje sbíráte a proč. Musíte poskytnout jasné informace o tom:
- Jaké údaje sbíráte (e-mail, jméno apod.)
- Co s nimi uděláte (pošlete e-maily, přidáte do seznamu adresátů, uložíte pro budoucí kontakt)
- Kdo k nim bude mít přístup (váš tým, služby třetích stran apod.)
- Jak dlouho je budete uchovávat
Tyto informace mají být pro návštěvníky viditelné dřív, než formulář odešlou. Odkaz na zásady ochrany osobních údajů nestačí. Klíčové informace musíte uvést přímo na stránce s formulářem nebo nad samotným formulářem.
Souhlas: žádejte výslovně, nepředpokládejte
U většiny sběru údajů potřebujete výslovný souhlas návštěvníka. Musí aktivně souhlasit s vašimi podmínkami. Zaškrtnutí políčka je souhlas. Mlčení není.
To se liší od toho, jak formuláře fungovaly před GDPR. Nemůžete předpokládat, že když někdo odeslal formulář, aby vás kontaktoval, automaticky chce být přidán do vašeho seznamu marketingových e-mailů. Každé použití údajů vyžaduje samostatný souhlas.
Souhlas musí být svobodný
Souhlas nesmí být podmínkou použití vaší služby, pokud údaje pro tuto službu nejsou nutné. Například pokud někdo vyplní kontaktní formulář, aby se zeptal, potřebujete jeho e-mail, abyste mohli odpovědět. Souhlas k tomu nepotřebujete, protože je to nutné. Pokud ho ale chcete přidat do marketingového newsletteru, je to volitelné a potřebujete výslovný souhlas.
Samotný mechanismus souhlasu musí být jasný
Pokud pro souhlas používáte zaškrtávací políčko, musí začínat nezaškrtnuté. Návštěvníci ho musí aktivně zaškrtnout. Předem zaškrtnutá políčka se jako souhlas nepočítají. Text musí být jasný a jednoduchý, ne ukrytý v právním žargonu.
Jak uspořádat formuláře pro souhlas podle GDPR
Nezbytné a volitelné údaje
Nejprve oddělte údaje, které naprosto potřebujete, od těch, které jsou volitelné:
- Nezbytné: informace, které potřebujete k vyřízení žádosti (e-mail pro odpověď na kontaktní formulář, adresa pro odeslání objednávky)
- Volitelné: informace, které chcete pro marketing nebo analytiku (z jakého kanálu přišli, jaká je jejich pracovní pozice)
Volitelná pole jasně označte "(volitelné)", aby návštěvníci věděli, že je vyplňovat nemusí.
Samostatná zaškrtávací políčka souhlasu
Pokud chcete údaje použít k více účelům, použijte samostatná políčka. Jedno pro "Souhlasím s kontaktováním e-mailem" a druhé pro "Souhlasím s přijímáním marketingových e-mailů". Nespojujte je do jednoho políčka.
<label> <input type="checkbox" name="contact_consent" required> Souhlasíte s tím, že vás můžeme kontaktovat s odpovědí na tento dotaz </label> <label> <input type="checkbox" name="marketing_consent"> Souhlasím s přijímáním marketingových e-mailů o nových produktech a speciálních nabídkách </label>Všimněte si, že první políčko je povinné (nutné pro službu), ale ve výchozím stavu nezaškrtnuté. Druhé je volitelné (marketing není nutný) a také ve výchozím stavu nezaškrtnuté.
Jasný, čitelný text souhlasu
Text u políčka musí být jasný a konkrétní. Obecné fráze jako "Souhlasím s vašimi obchodními podmínkami" GDPR nesplňují. Buďte konkrétní v tom, s čím návštěvník souhlasí.
Špatně: "Souhlasím"
Lépe: "Souhlasím s přijímáním marketingových e-mailů"
Nejlépe: "Souhlasím s přijímáním marketingových e-mailů o produktech a nabídkách přibližně dvakrát měsíčně"
Čím konkrétnější, tím lépe. Řekněte návštěvníkům přesně, s čím souhlasí.
Odkaz na zásady ochrany osobních údajů
Za políčka souhlasu přidejte odkaz na úplné zásady ochrany osobních údajů. Návštěvníci si tak mohou přečíst úplné podrobnosti o tom, jak nakládáte s jejich údaji, pokud chtějí.
<p>Odesláním tohoto formuláře souhlasíte s našimi <a href="/slovnik/zasady-ochrany-osobnich-udaju">zásadami ochrany osobních údajů</a>.</p>Uchovávání údajů a GDPR
GDPR také vyžaduje, abyste osobní údaje uchovávali jen tak dlouho, jak je nutné. Musíte stanovit a dodržovat pravidla uchovávání údajů.
- Jak dlouho budete uchovávat odeslání kontaktních formulářů? (30 dnů? 6 měsíců? Dokud není dotaz vyřízen?)
- Jak dlouho budete uchovávat lidi v seznamu marketingových e-mailů? (Dokud se neodhlásí?)
- Jak dlouho budete uchovávat údaje zákazníka po nákupu? (7 let pro daňové záznamy, pak smazat)
Pravidla uchovávání zdokumentujte a vymáhejte je. Nastavte plán, který staré odeslání a údaje smaže automaticky.
Práva, která GDPR dává subjektům údajů
Když někdo odešle formulář na vašem webu, má podle GDPR práva:
- Právo na přístup: může se zeptat, jaké údaje o něm máte
- Právo být zapomenut: může vás požádat o smazání svých údajů (i když existují výjimky, například daňové záznamy)
- Právo na opravu: může vás požádat o opravu nesprávných údajů
- Právo na přenositelnost údajů: může vás požádat, abyste mu své údaje poskytli v přenosném formátu
- Právo odvolat souhlas: může kdykoli odvolat souhlas s marketingovými e-maily nebo jiným použitím
Měli byste být připraveni takové žádosti vyřizovat. Obvykle to znamená mít postup, jak mohou lidé tyto žádosti podat (e-mailová adresa, formulář apod.), a způsob, jak odpovědět do 30 dnů.
Pokuty podle GDPR a následky
Porušení GDPR nese významné sankce:
- Až 20 milionů eur nebo 4% celosvětového ročního obratu (podle toho, co je vyšší) za nejzávažnější porušení
- Až 10 milionů eur nebo 2% obratu za méně závažná porušení
- V praxi čelí i malé firmy šestimístným pokutám za úniky údajů nebo porušení pravidel souhlasu
Kromě pokut může porušení GDPR poškodit vaši pověst, připravit vás o zákazníky a vytvořit právní odpovědnost, pokud jsou údaje zneužity.
Kontrolní seznam souladu s GDPR pro formuláře
- [ ] Víte, jaké údaje sbíráte
- [ ] Máte jasné zásady ochrany osobních údajů
- [ ] Klíčové informace o soukromí zobrazujete nad formulářem nebo v něm
- [ ] Všechna zaškrtávací políčka začínají nezaškrtnutá
- [ ] Políčka souhlasu používají jasný, konkrétní text
- [ ] Máte samostatná políčka pro samostatné použití údajů (kontakt vs. marketing)
- [ ] Váš formulář vysvětluje uchovávání údajů (jak dlouho odeslání uchováváte)
- [ ] Máte pravidla uchovávání údajů a vymáháte je (mažete staré údaje)
- [ ] Máte postup, jak lidé mohou požádat o přístup k údajům, jejich smazání nebo opravu
- [ ] Můžete lidi snadno odhlásit z marketingových e-mailů
- [ ] Víte, kde jsou údaje návštěvníků uloženy a kdo k nim má přístup
Co WEMASY dělá pro soulad s GDPR
Formuláře WEMASY obsahují funkce pro správu souhlasu, které vám pomohou splnit požadavky GDPR. Do formulářů můžete přidat políčka souhlasu a WEMASY zaznamená, s čím který návštěvník souhlasil. Odeslání obsahují časová razítka, takže víte, kdy byl souhlas dán. Uchovávání údajů řídíte mazáním starých odeslání, která už nepotřebujete.
Vaše firma stále potřebuje zásady ochrany osobních údajů a musí se rozhodnout, jak vyřizovat žádosti o přístup k údajům, ale WEMASY zajišťuje technickou stránku souhlasu a správy údajů.
Víc o funkcích souladu s předpisy ve vašem tarifu najdete na stránce s ceníkem.