Formularz kontaktowy zgodny z RODO: wzór klauzuli i kod

Czy formularz kontaktowy wymaga zgody RODO?

Zwykle nie. Gdy ktoś sam pisze do Ciebie przez formularz, a Ty odpowiadasz, najczęściej stosuje się jedną z dwóch podstaw:

• art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes administratora, którym jest odpowiedź na wiadomość i prowadzenie korespondencji;
• art. 6 ust. 1 lit. b RODO, gdy wiadomość dotyczy oferty, wyceny lub zamówienia, czyli działań przed zawarciem umowy na żądanie tej osoby.

Zgoda (art. 6 ust. 1 lit. a) jest potrzebna, gdy chcesz użyć danych do czegoś więcej, np. do newslettera albo ofert handlowych. Wtedy dodaj osobny checkbox, który nie jest zaznaczony domyślnie i nie blokuje wysłania formularza. Przy marketingu e-mailowym i telefonicznym sprawdź też przepisy o komunikacji elektronicznej.

Obowiązek informacyjny: co i gdzie napisać

Art. 13 RODO wymaga, by poinformować osobę w chwili zbierania danych. Przy formularzu najlepiej sprawdza się podejście warstwowe, które opisują wytyczne europejskich organów ochrony danych w sprawie przejrzystości (WP260): krótka informacja bezpośrednio pod formularzem i link do pełnej klauzuli w polityce prywatności.

Pełna klauzula powinna zawierać m.in.: kto jest administratorem i jak się z nim skontaktować (oraz z inspektorem ochrony danych, jeśli go wyznaczono), cele i podstawy prawne, odbiorców danych, informację o przekazywaniu poza Europejski Obszar Gospodarczy, okres przechowywania, prawa osoby, prawo do skargi do Prezesa UODO oraz to, czy podanie danych jest dobrowolne.

Wzór krótkiej informacji pod formularzem

Wstaw ten tekst bezpośrednio nad przyciskiem „Wyślij” albo pod nim. Uzupełnij pola w nawiasach kwadratowych.

Administratorem Twoich danych jest [nazwa firmy], [adres], [e-mail]. Dane z formularza przetwarzamy, aby odpowiedzieć na Twoją wiadomość (art. 6 ust. 1 lit. f RODO), a jeśli pytasz o ofertę, także w celu podjęcia działań przed zawarciem umowy (art. 6 ust. 1 lit. b RODO). Więcej informacji, w tym o Twoich prawach, znajdziesz w [polityce prywatności].

Wzór pełnej klauzuli informacyjnej

Tę wersję umieść w polityce prywatności. Fragmenty w nawiasach kwadratowych dostosuj do swojej sytuacji, a niepotrzebne punkty usuń.

Klauzula informacyjna: formularz kontaktowy

1. Administrator: [nazwa firmy], [adres], [NIP], e-mail: [adres e-mail]. [Inspektor ochrony danych: [kontakt], jeśli został wyznaczony.]
2. Cel i podstawa prawna: odpowiedź na wiadomość wysłaną przez formularz, na podstawie naszego prawnie uzasadnionego interesu, jakim jest prowadzenie korespondencji (art. 6 ust. 1 lit. f RODO). Jeśli wiadomość dotyczy oferty lub zamówienia: działania przed zawarciem umowy (art. 6 ust. 1 lit. b RODO). [Informacje handlowe wysyłamy wyłącznie po wyrażeniu zgody (art. 6 ust. 1 lit. a RODO).]
3. Odbiorcy: dostawcy, którzy przetwarzają dane w naszym imieniu: obsługa formularza (Formgong, zgłoszenia przechowywane w UE), poczta e-mail [dostawca], hosting [dostawca]. [Jeśli powiadomienia trafiają do komunikatora Telegram, treść zgłoszenia jest przetwarzana także przez Telegram, również poza EOG.]
4. Przekazywanie poza EOG: [nie przekazujemy danych poza EOG] / [przekazujemy do: …, na podstawie: …].
5. Okres przechowywania: do zakończenia korespondencji, a następnie przez [np. 12 miesięcy] na wypadek dalszych pytań lub roszczeń.
6. Twoje prawa: dostęp do danych, ich sprostowanie, usunięcie, ograniczenie przetwarzania, sprzeciw wobec przetwarzania opartego na uzasadnionym interesie oraz przenoszenie danych (gdy podstawą jest umowa lub zgoda). Zgodę możesz wycofać w każdej chwili; nie wpływa to na zgodność z prawem przetwarzania przed jej wycofaniem.
7. Skarga: masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
8. Dobrowolność: podanie danych jest dobrowolne, ale bez adresu e-mail lub numeru telefonu nie będziemy mogli odpowiedzieć.
9. Zautomatyzowane decyzje: nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne. [Jeśli zgłoszenia są automatycznie oceniane, np. przez AI, opisz krótko cel takiej oceny.]

Gotowy formularz HTML z informacją RODO

Formularz ma pola imię, e-mail i wiadomość, krótką informację z linkiem do polityki prywatności oraz opcjonalną zgodę marketingową: niezaznaczoną i nieobowiązkową. Zamień fk_your_access_key na klucz z panelu Formgong, a link na adres swojej polityki prywatności. Jeśli nie prowadzisz marketingu, usuń checkbox.

<style>
  .fg-form label { display: block; margin: 0 0 12px; }
  .fg-form input:not([type="checkbox"]), .fg-form textarea { display: block; width: 100%; box-sizing: border-box; margin-top: 4px; padding: 10px; font: inherit; }
  .fg-form textarea { min-height: 120px; }
  .fg-form small { display: block; margin-top: 10px; opacity: .75; }
</style>
<form class="fg-form" action="https://formgong.com/submit" method="POST">
  <input type="hidden" name="access_key" value="fk_your_access_key">
  <input type="hidden" name="_lang" value="pl">
  <input type="hidden" name="_subject" value="Nowa wiadomość z formularza kontaktowego">
  <label>Imię <input type="text" name="name" autocomplete="name" required></label>
  <label>E-mail <input type="email" name="email" autocomplete="email" required></label>
  <label>Wiadomość <textarea name="message" required></textarea></label>
  <label><input type="checkbox" name="marketing_consent" value="yes"> Chcę otrzymywać informacje handlowe na podany adres e-mail. Zgodę mogę wycofać w każdej chwili.</label>
  <div aria-hidden="true" style="position:absolute;left:-10000px;width:1px;height:1px;overflow:hidden">
    <label>Pozostaw to pole puste<input type="text" name="botcheck" tabindex="-1" autocomplete="off"></label>
  </div>
  <button type="submit">Wyślij</button>
  <small>Wysyłając formularz, przekazujesz nam swoje dane, abyśmy mogli odpowiedzieć. Szczegóły: <a href="/polityka-prywatnosci">polityka prywatności</a>.</small>
</form>

Ukryte pole botcheck to pułapka na boty (honeypot): człowiek go nie widzi, a zgłoszenia, w których jest wypełnione, trafiają do spamu. Gotowy formularz bez części RODO znajdziesz na stronie formularz kontaktowy HTML.

Dostawca formularza i umowa powierzenia

Jeśli zgłoszenia obsługuje zewnętrzna usługa, Ty jesteś administratorem danych, a dostawca podmiotem przetwarzającym. Art. 28 RODO wymaga wtedy umowy powierzenia przetwarzania danych.

W przypadku Formgong:

• zgłoszenia są przechowywane w Cloudflare D1 z jurysdykcją UE, a e-maile wysyła ZeptoMail (Zoho) z centrum danych w UE;
• adres IP nadawcy zapisujemy tylko jako skrót (hash);
• Telegram przetwarza wiadomości na własnych zasadach, a ocena zgłoszeń przez AI może odbywać się poza UE. Jeśli włączysz te funkcje, uwzględnij to w klauzuli;
• wzór umowy powierzenia (DPA) jest publicznie dostępny. To wzór, a nie podpisana umowa, więc sprawdź, czy jego warunki Ci odpowiadają. Szczegóły przetwarzania opisuje strona dane i lokalizacja.

Minimalizacja danych i czas przechowywania

Zasada minimalizacji (art. 5 ust. 1 lit. c RODO) oznacza, że pytasz tylko o dane potrzebne do odpowiedzi. Do zwykłego kontaktu wystarczą imię, e-mail lub telefon i treść wiadomości. Nie pytaj o PESEL, datę urodzenia czy adres, jeśli ich nie potrzebujesz.

Okres przechowywania wskazany w klauzuli trzeba też stosować w praktyce. W Formgong ustawisz go w panelu: na planie Free zgłoszenia są przechowywane 30 dni, na planach Pro i Business możesz wybrać 30, 90 lub 365 dni albo bez limitu.

Najczęstsze błędy

• Checkbox zgody zaznaczony domyślnie. Taka zgoda nie jest ważna.
• Zgoda marketingowa jako warunek wysłania pytania. Formularz ma działać bez niej.
• Checkbox „Akceptuję politykę prywatności” traktowany jak zgoda. Zapoznanie się z informacją to nie zgoda, a obowiązek informacyjny spełnia sam tekst.
• Klauzula schowana tak, że nie widać jej przy formularzu.
• Zbieranie danych „na zapas” i brak terminu usunięcia.

Ten tekst ma charakter informacyjny i nie jest poradą prawną. Dostosuj klauzulę do swojej działalności, a w razie wątpliwości skonsultuj się z prawnikiem lub inspektorem ochrony danych.