GDPR-krav til kontakt­formularer. En komplet tjekliste.

Navn, email, telefonnummer og en fritekst-besked: en helt almindelig kontaktformular indsamler persondata fra første felt. Det gør formularen – og alt, hvad der sker med beskederne bagefter – til en del af jeres GDPR-ansvar. Den gode nyhed: kravene er overskuelige, når man tager dem ét ad gangen.

01Lovligt grundlag – I behøver (som regel) ikke et samtykke-flueben

En udbredt misforståelse er, at enhver formular kræver en samtykke-checkbox. Når en kunde selv skriver til jer for at få svar, er behandlingsgrundlaget typisk legitim interesse eller skridt forud for en kontrakt – ikke samtykke. Fluebenet er derimod påkrævet, hvis I vil bruge oplysningerne til andet end at besvare henvendelsen, fx nyhedsbreve eller markedsføring.

02Oplysningspligt: link til jeres privatlivspolitik

I skal fortælle folk, hvad der sker med deres data – senest når I indsamler dem. I praksis: en kort linje ved formularen med link til jeres privatlivspolitik, som beskriver formål, opbevaringstid og rettigheder.

03Dataminimering: spørg kun om det nødvendige

• Drop felter, I ikke bruger – CVR, adresse og fødselsdato hører sjældent hjemme i en kontaktformular.
• Gør telefonnummer valgfrit, hvis email er nok til at svare.
• Undgå at opfordre til følsomme oplysninger (helbred, fagforening osv.) i fritekstfeltet.

04Opbevaring og sletning – den de fleste dumper på

Henvendelser må ikke ligge i en delt indbakke "for evigt". I skal have en slettepolitik: fx at almindelige henvendelser slettes efter 24 måneder. Problemet er praktisk – i en Outlook-indbakke med tusind mails sletter ingen noget som helst. Et system med struktureret opbevaring gør sletning til en regel i stedet for et forsæt.

05Databehandleraftale (DPA) med jeres leverandører

Behandler et værktøj henvendelser for jer – formular-plugin, helpdesk, CRM – er leverandøren databehandler, og I skal have en DPA. Tjek også hvor data hostes: EU-hosting gør compliance-arbejdet markant lettere end amerikanske tjenester med overførselsmekanismer.

06Sikkerhed: kryptering og adgangsstyring

• HTTPS på hele sitet – formulardata må aldrig sendes ukrypteret.
• Adgangsstyring: kun de medarbejdere, der skal besvare henvendelser, bør kunne læse dem. En delt indbakke med fælles login er det modsatte.
• Log ud-rutiner og to-faktor på systemet, der opbevarer henvendelserne.

Tjeklisten – print den

• Behandlingsgrundlag afklaret (samtykke kun ved markedsføring)
• Link til privatlivspolitik ved formularen
• Kun nødvendige felter i formularen
• Fast slettefrist + et system, der kan håndhæve den
• DPA med alle leverandører, der rører henvendelserne
• EU-hosting eller gyldig overførselsmekanisme
• HTTPS + adgangsstyring med individuelle logins