Contactformulier en de AVG: waar moet u op letten?

Een contactformulier lijkt onschuldig, maar elke inzending bevat persoonsgegevens die u netjes moet behandelen.

Kort antwoord

Vraag in uw contactformulier alleen wat u echt nodig hebt, verstuur het via een beveiligde verbinding (https), vermeld kort wat u met de gegevens doet met een link naar uw privacyverklaring, en bewaar inzendingen niet langer dan nodig. Een verplicht vinkje "ik ga akkoord met de privacyverklaring" is meestal niet nodig om een vraag te beantwoorden. Dit is algemene uitleg en geen juridisch advies.

Vraag niet meer dan nodig

De AVG werkt met dataminimalisatie: u verzamelt alleen wat nodig is voor het doel. Voor een eenvoudige vraag is dat meestal:

• Naam.
• E-mailadres of telefoonnummer (laat de keuze aan de bezoeker als dat kan).
• Het bericht.

Een adres, geboortedatum of bedrijfsgegevens horen er alleen in als u die echt nodig hebt, bijvoorbeeld voor een offerte op locatie. Maak velden die niet strikt nodig zijn optioneel. Minder velden betekent ook vaak meer inzendingen.

Moet er een vinkje bij?

Veel sites hebben een verplicht vinkje "Ik ga akkoord met de privacyverklaring". Dat is meestal overbodig. Als iemand u een vraag stelt, mag u zijn gegevens gebruiken om die vraag te beantwoorden; daar is geen aparte toestemming voor nodig. Wat wel verstandig is: een korte zin bij de verzendknop.

"Wij gebruiken uw gegevens alleen om uw vraag te beantwoorden. Lees meer in onze privacyverklaring."

Wilt u iemand daarnaast op uw nieuwsbrief zetten, dan is wél een apart, niet vooraf aangevinkt vakje nodig. Koppel dat nooit stilzwijgend aan het versturen van een vraag.

Technische punten

• HTTPS: uw site moet een geldig SSL-certificaat hebben, zodat de gegevens versleuteld worden verstuurd.
• Waar gaan de gegevens heen? Veel WordPress-formulieren slaan inzendingen op in de database én mailen ze. Weet waar uw gegevens staan.
• Verzending via een externe dienst: gebruikt uw formulier een externe dienst of mailprovider, dan is dat een verwerker. Regel daar een verwerkersovereenkomst mee.
• Spambescherming: een captcha van een externe partij kan gegevens van bezoekers doorsturen. Er zijn ook privacyvriendelijkere varianten, zoals verborgen velden en tijdscontrole.
• Bijlagen: laat u bestanden uploaden, dan staan die ergens op de server. Zorg dat die map niet openbaar te bekijken is.

Bewaren en opruimen

Een vraag van zes jaar geleden van iemand die nooit klant werd, hoeft u niet te bewaren. Spreek een termijn af, bijvoorbeeld een jaar voor losse vragen, en ruim die dan ook op:

• Verwijder oude inzendingen uit de formulierplugin of database.
• Ruim ook de bijbehorende e-mails op.
• Wordt iemand klant, dan gaan de gegevens naar uw klantdossier en gelden de termijnen die daarbij horen.

Zet de termijn in uw privacyverklaring, zodat u en de bezoeker weten waar u aan toe bent.

Wie heeft toegang?

Gaan formulierberichten naar een gedeelde mailbox, kijk dan wie daar allemaal bij kan. Een oud-medewerker die nog toegang heeft of een gedeeld wachtwoord is een risico. Gebruik persoonlijke accounts met tweestapsverificatie.

Veelgestelde vragen

Mag ik een formulierinzending later gebruiken voor een aanbieding?

Niet zomaar. Daarvoor is in de regel toestemming nodig, tenzij iemand al klant is en zich makkelijk kan afmelden. Vraag het apart.

Moet ik het IP-adres van de inzender opslaan?

Niet als u het niet nodig hebt. Sommige plugins doen het standaard; die instelling kunt u vaak uitzetten.

Is een WhatsApp-knop privacyvriendelijker dan een formulier?

Niet per se. Ook dan verwerkt u gegevens, alleen via een andere partij. Noem beide in uw privacyverklaring.

Hulp nodig?

Wilt u een contactformulier dat netjes en veilig werkt? Ik richt het in als onderdeel van WordPress-support.