Formularz kontaktowy wygląda niewinnie. Kilka pól, przycisk „Wyślij” i wiadomość ląduje na skrzynce. Tyle że po drodze może wydarzyć się trochę więcej niż samo zebranie imienia i maila. Użytkownik może dopisać w treści wiadomości dodatkowe dane, a WordPress, wtyczka albo połączone usługi mogą przetwarzać także informacje techniczne.
Dlatego temat „formularz kontaktowy a RODO WordPress” warto ogarnąć bez automatycznego stawiania checkboxa przy każdym polu. Najpierw trzeba sprawdzić, jakie dane faktycznie zbierasz, po co ich potrzebujesz, gdzie trafiają i jak długo je przechowujesz. Ten artykuł to praktyczny przegląd, nie indywidualna porada prawna. Konkretne obowiązki zależą od celu oraz konfiguracji strony.
Formularz kontaktowy nie zbiera tylko imienia i maila
Najbardziej oczywiste dane osobowe w formularzu to imię, adres e-mail i numer telefonu. Do tego dochodzi treść wiadomości. I właśnie tutaj często zaczyna się mały chochlik. Nawet jeśli formularz ma tylko pole „Wiadomość”, użytkownik może wpisać w nim informacje pozwalające zidentyfikować siebie albo inną osobę.
W zależności od ustawień strony i używanych wtyczek mogą pojawić się też dane techniczne, na przykład adres IP. Sam widok formularza nie pokazuje więc całego obrazu. Trzeba sprawdzić nie tylko pola widoczne na ekranie, lecz także działanie wtyczki, poczty, hostingu i ewentualnych integracji.
Widoczne pola to dopiero początek
Na start zrób prosty spis. Nie musi wyglądać jak dokument z kosmosu. Wystarczy odpowiedzieć sobie na kilka pytań:
- Jakie dane użytkownik wpisuje w poszczególne pola?
- Co może dopisać w treści wiadomości?
- Dokąd trafia wysłana wiadomość?
- Kto może mieć do niej dostęp?
- Czy formularz korzysta z dodatkowych usług albo integracji?
Taki przegląd pomaga zauważyć dane osobowe w formularzu, których nie planowałeś zbierać jako osobnego pola. To ważne, bo opis prywatności powinien odpowiadać rzeczywistemu działaniu strony, a nie tylko temu, co widać na pierwszy rzut oka.
RODO a formularz WordPress — najpierw cel, potem checkbox
Przetwarzanie danych osobowych wymaga odpowiedniej podstawy prawnej. Zgoda jest jedną z możliwości, ale nie jedyną. W zależności od sytuacji znaczenie mogą mieć także wykonanie umowy, obowiązek prawny albo prawnie uzasadniony interes. Nie da się więc uczciwie powiedzieć, że każdy formularz kontaktowy zawsze musi mieć osobne pole „Wyrażam zgodę”.
Najpierw ustal cel. Czy chodzi o odpowiedź na zapytanie? Czy użytkownik prosi o przygotowanie oferty? A może przy okazji chcesz dopisać go do newslettera albo wysyłać mu informacje marketingowe? To różne cele i nie warto wrzucać ich do jednego worka z napisem „RODO, jakoś to będzie”.
Kontakt z firmą a dodatkowe cele
Obsługa wiadomości kontaktowej to co innego niż opcjonalny newsletter lub marketing. Jeśli przetwarzanie dla konkretnego celu opiera się na zgodzie, ta zgoda powinna być dobrowolna, konkretna, świadoma i jednoznaczna. Użytkownik ma wiedzieć, na co się zgadza, i wykonać wyraźne działanie.
Praktycznie oznacza to, że dodatkowy cel powinien być opisany osobno. Nie uzależniaj zwykłego wysłania zapytania od opcjonalnej zgody marketingowej. Właściwe rozwiązanie zależy jednak od celu, sposobu obsługi zapytań i całej konfiguracji. Sam artykuł nie rozstrzyga indywidualnej sytuacji każdej firmy.
Jak powinno wyglądać pole zgody
Jeżeli w danym przypadku podstawą przetwarzania jest zgoda, checkbox nie powinien być dekoracją doklejoną do formularza na autopilocie. Użytkownik musi rozumieć, czego dotyczy zgoda i po co jest potrzebna. Opis powinien być jasny, a nie napisany językiem, po którym nawet komputer prosi o urlop.
Zgoda powinna wynikać z aktywnego działania. Nie wystarczy milczenie, brak sprzeciwu ani pole zaznaczone wcześniej. Ważna jest także dobrowolność. Jeśli zgoda dotyczy dodatkowego celu, nie mieszaj jej z podstawowym procesem kontaktu.
Checkbox bez prawniczego bełkotu
Przed publikacją sprawdź cztery rzeczy:
- Dobrowolność: użytkownik nie jest zmuszany do opcjonalnego celu, żeby wysłać zwykłą wiadomość.
- Konkret: wiadomo, czego dokładnie dotyczy zgoda.
- Jasny opis: tekst nie ukrywa celu w ogólnym, zbiorczym sformułowaniu.
- Aktywne działanie: pole nie jest zaznaczone domyślnie.
Osobne zgody dla różnych celów są czytelniejsze niż jedna zgoda obejmująca kontakt, newsletter, marketing i jeszcze pół internetu. Sam checkbox nie załatwia jednak informacji o administratorze, celu, podstawie prawnej ani pozostałych obowiązkach.
Polityka prywatności po dodaniu formularza — checklista
Dodanie formularza to dobry moment na sprawdzenie, czy polityka prywatności WordPress opisuje prawdziwy sposób działania strony. Nie chodzi o bezmyślne skopiowanie gotowego tekstu. Chodzi o porównanie treści z tym, co naprawdę dzieje się po kliknięciu „Wyślij”.
Informacja o przetwarzaniu powinna być dostępna w związku z momentem zbierania danych, a nie wyłącznie schowana gdzieś w stopce. W praktyce sprawdź, czy polityka wyjaśnia:
- jakie dane są zbierane, w tym dane wpisywane w treści wiadomości;
- dlaczego dane są zbierane i jak są wykorzystywane;
- kto jest administratorem danych;
- jaka podstawa prawna dotyczy danego celu;
- komu dane mogą być udostępniane;
- jak długo dane są przechowywane albo według jakich kryteriów ustala się ten czas;
- jakie prawa ma użytkownik.
Co dzieje się z wiadomością po kliknięciu „Wyślij”
Wiadomość może trafić nie tylko do panelu WordPressa. Sprawdź, czy po drodze uczestniczą wtyczka formularza, hosting, system pocztowy, analityka, newsletter albo inna integracja. Ustal, gdzie dane są przechowywane i kto może mieć do nich dostęp.
To także dobry moment na sprawdzenie obsługi żądań użytkowników. WordPress ma narzędzia eksportu i usuwania danych, ale obejmują one dane z WordPressa oraz uczestniczących wtyczek. Nie muszą obejmować informacji przetwarzanych poza stroną, na przykład przez zewnętrzną analitykę, newsletter albo inne usługi.
Dlaczego gotowy tekst WordPressa nie załatwia całej sprawy
WordPress udostępnia ustawienia prywatności, które pomagają utworzyć lub wskazać stronę polityki oraz dają teksty startowe. To przydatny punkt wyjścia. Nie jest to jednak magiczny stempel „wszystko zgodne”. Szkoda, byłoby wygodnie.
Edytor korzysta z informacji z rdzenia WordPressa, motywu i uczestniczących wtyczek, ale może nie wykryć wszystkich usług zewnętrznych. W szczególności trzeba ręcznie sprawdzić analitykę, newsletter, reklamy, osadzone media oraz inne integracje.
Narzędzie pomaga, ale nie zna całej strony
Gotowa polityka może nie odpowiadać temu, jak faktycznie przechowujesz wiadomości i komu są one przekazywane. Po dodaniu formularza porównaj tekst z konfiguracją strony. Zrób to ponownie po zmianie wtyczki, hostingu, poczty, analityki, newslettera albo innej usługi.
Sama gotowa polityka i sam link do niej nie zapewniają automatycznie zgodności. Narzędzie pomaga uporządkować temat, ale nie zna wszystkich decyzji podjętych przy tworzeniu strony.
Szybki test formularza przed publikacją
Przed uruchomieniem formularza przejdź przez poniższą checklistę. Możesz ją potraktować jak szybki przegląd techniczny. Bez białych rękawiczek, bez komisji i bez dramatycznej muzyki w tle.
Checklista w sześciu pytaniach
- Jakie dane wpisuje użytkownik? Spisz pola formularza i uwzględnij treść wiadomości, w której mogą pojawić się dodatkowe dane osobowe.
- Po co są zbierane? Oddziel cel odpowiedzi na zapytanie od ewentualnego newslettera, marketingu albo innego celu.
- Jaka podstawa prawna dotyczy każdego celu? Nie zakładaj automatycznie, że zawsze będzie nią zgoda.
- Gdzie trafia wiadomość? Sprawdź WordPressa, skrzynkę pocztową, hosting oraz wszystkie pośredniczące integracje.
- Czy komunikat i polityka opisują rzeczywistość? Zweryfikuj zakres danych, cele, administratora, odbiorców, przechowywanie i prawa użytkownika.
- Co trzeba sprawdzić po zmianach? Zapisz, że nowa wtyczka, analityka, newsletter, hosting lub inna integracja może wymagać ponownego przeglądu.
Sprawdź również, czy masz praktyczny sposób obsługi żądań użytkowników. Narzędzia eksportu i usuwania danych WordPressa mogą pomóc, ale nie muszą obejmować danych znajdujących się poza stroną. Warto więc wiedzieć, co dzieje się z wiadomością także po opuszczeniu panelu administracyjnego.
Najważniejszy wniosek jest prosty: zacznij od rzeczywistego przepływu danych. Ustal, co wpisuje użytkownik, po co dane są przetwarzane, na jakiej podstawie, komu trafiają i jak długo są przechowywane. Checkbox, link do polityki i narzędzia WordPressa są elementami układanki, ale żaden z nich sam nie potwierdza zgodności. Konkretna sytuacja zależy od konfiguracji strony, usług i sposobu pracy z wiadomościami. Napisz do Szwagra i opowiedz, czego potrzebujesz — strony, grafiki, filmu albo tekstów.
