GDPR är dataskyddslagen för Europa. Om ditt formulär samlar in någon information från besökare i Europeiska unionen, även bara e-postadressen, gäller GDPR för dig. Det här är inte något som bara berör stora företag eller särskilda branscher. GDPR omfattar alla verksamheter var som helst i världen som samlar in data från européer, och påföljderna för fel är hårda.
GDPR och samtycke i formulär är de juridiska regler som styr vilka data du får samla in från besökare i EU, hur du ber om dem och vad du gör med dem. Att förstå de här reglerna är avgörande innan du bygger ett formulär som samlar in data från européer.
Det här lär du dig: Vad GDPR är och vem det gäller för, vad juridiskt samtycke betyder, hur du bygger formulärfält och kryssrutor som uppfyller GDPR-kraven och vad som händer om du inte följer reglerna.
Vad är GDPR och gäller det dina formulär?
GDPR (General Data Protection Regulation, på svenska dataskyddsförordningen) är en lag i Europeiska unionen som styr hur organisationer samlar in, lagrar och använder personuppgifter. Den gäller alla företag, var som helst i världen, som samlar in information från personer bosatta i EU.
Dina formulär omfattas av GDPR om:
- Du har några besökare från EU och ditt formulär samlar in information från dem
- Du samlar in e-postadresser, namn, telefonnummer, IP-adresser eller annan identifierande information
- Du samlar in information om personer bosatta i EU även om du inte själv är baserad i EU
Det spelar ingen roll om din verksamhet är stor eller liten, vilken bransch du är i eller om du säljer något. Om du samlar in data från personer bosatta i EU gäller GDPR.
Vad kräver GDPR av formulär?
GDPR sätter flera särskilda regler för formulär som samlar in data:
Öppenhet: berätta för besökarna vad du samlar in
Innan någon fyller i ditt formulär måste hen veta vilka data du samlar in och varför. Du måste ge tydlig information om:
- Vilka data du samlar in (e-post, namn osv.)
- Vad du kommer att göra med dem (skicka mejl, lägga till dem i en e-postlista, spara dem för framtida kontakt)
- Vem som får tillgång till dem (ditt team, tredjepartstjänster osv.)
- Hur länge du sparar dem
Den här informationen ska vara synlig för besökarna innan de skickar formuläret. En integritetspolicy som du länkar till räcker inte. Du måste ge den viktigaste informationen direkt på formulärsidan eller ovanför själva formuläret.
Samtycke: fråga uttryckligen, anta inte
För det mesta av datainsamlingen behöver du uttryckligt samtycke från besökaren. Hen måste aktivt godkänna dina villkor. Att kryssa i en ruta är samtycke. Att vara tyst är det inte.
Det här skiljer sig från hur formulär fungerade före GDPR. Du kan inte anta att någon som skickade ett formulär för att kontakta dig automatiskt är villig att läggas till i din marknadsföringslista. Varje användning av data kräver ett eget samtycke.
Samtycke måste ges frivilligt
Samtycket får inte vara ett villkor för att använda din tjänst om uppgifterna inte är nödvändiga för tjänsten. Om någon till exempel fyller i ett kontaktformulär för att ställa en fråga behöver du e-postadressen för att svara. Då behöver du inget samtycke eftersom uppgiften är nödvändig. Men om du vill lägga till personen i ditt nyhetsbrev är det valfritt, och då behöver du uttryckligt samtycke.
Själva samtyckesmekanismen måste vara tydlig
Om du använder en kryssruta för samtycke måste den vara tom från början. Besökarna måste aktivt kryssa i den. Förbockade rutor räknas inte som samtycke. Språket måste vara tydligt och enkelt, inte begravt i juridisk jargong.
Så bygger du formulär för GDPR-samtycke
Nödvändiga kontra valfria uppgifter
Separera först de uppgifter du absolut behöver från de som är valfria:
- Nödvändiga: Information du behöver för att uppfylla förfrågan (e-post för att svara på ett kontaktformulär, adress för att skicka en beställning)
- Valfria: Information du vill ha för marknadsföring eller analys (vilken kanal kom de från, vilken titel har de)
Markera valfria fält tydligt med "(valfritt)" så att besökarna vet att de inte måste fylla i dem.
Separata kryssrutor för samtycke
Om du vill använda data för flera syften, använd separata kryssrutor. En för "Jag godkänner att bli kontaktad via e-post" och en annan för "Jag godkänner att få marknadsföringsmejl." Slå inte ihop dem till en kryssruta.
<label> <input type="checkbox" name="contact_consent" required> Du godkänner att vi får kontakta dig för att svara på den här förfrågan </label> <label> <input type="checkbox" name="marketing_consent"> Jag godkänner att få marknadsföringsmejl om nya produkter och särskilda erbjudanden </label>Lägg märke till att den första kryssrutan är obligatorisk (nödvändig för tjänsten) men tom från början. Den andra är valfri (marknadsföring är inte nödvändig) och också tom från början.
Tydligt, läsbart språk för samtycke
Texten vid kryssrutan måste vara tydlig och specifik. Allmänna fraser som "Jag godkänner era villkor" uppfyller inte GDPR. Var specifik om vad besökaren godkänner.
Dåligt: "Jag godkänner"
Bättre: "Jag godkänner att få marknadsföringsmejl"
Bäst: "Jag godkänner att få marknadsföringsmejl om produkter och erbjudanden ungefär två gånger i månaden"
Ju mer specifikt, desto bättre. Berätta för besökarna exakt vad de samtycker till.
Länka till din integritetspolicy
Efter kryssrutorna för samtycke lägger du en länk till din fullständiga integritetspolicy. Då kan besökarna läsa alla detaljer om hur du hanterar deras uppgifter om de vill.
<p>Genom att skicka det här formuläret godkänner du vår <a href="/ordlista/integritetspolicy">integritetspolicy</a>.</p>Lagring av data och GDPR
GDPR kräver också att du bara sparar personuppgifter så länge det är nödvändigt. Du måste fastställa och följa en policy för hur länge data sparas.
- Hur länge sparar du inskick från kontaktformulär? (30 dagar? 6 månader? Tills ärendet är löst?)
- Hur länge har du kvar personer i en e-postlista för marknadsföring? (Tills de avanmäler sig?)
- Hur länge sparar du kunddata efter ett köp? (7 år för skatteunderlag, sedan radera)
Dokumentera din policy för lagring och följ den. Ställ in ett schema för att radera gamla inskick och data automatiskt.
Rättigheter som GDPR ger de registrerade
När någon skickar ett formulär på din webbplats har hen rättigheter enligt GDPR:
- Rätt till tillgång: Hen kan fråga vilka data du har om hen
- Rätt att bli bortglömd: Hen kan be dig radera sina data (men det finns undantag, som skatteunderlag)
- Rätt till rättelse: Hen kan be dig rätta felaktiga data
- Rätt till dataportabilitet: Hen kan be dig lämna ut sina data i ett överförbart format
- Rätt att återkalla samtycke: Hen kan när som helst återkalla samtycket till marknadsföringsmejl eller annan användning
Du bör vara beredd att hantera de här förfrågningarna. Det betyder oftast att du har en process där folk kan skicka in dem (en e-postadress, ett formulär osv.) och ett sätt att svara inom 30 dagar.
GDPR-böter och konsekvenser
Överträdelser av GDPR medför kännbara påföljder:
- Upp till 20 miljoner euro eller 4 % av din globala årsomsättning (det som är högst) för de allvarligaste överträdelserna
- Upp till 10 miljoner euro eller 2 % av omsättningen för mindre allvarliga överträdelser
- I praktiken får även små företag böter på sexsiffriga belopp för dataintrång eller brott mot reglerna om samtycke
Utöver böter kan en GDPR-överträdelse skada ditt rykte, kosta dig kunder och skapa juridiskt ansvar om data missbrukas.
Checklista för GDPR i formulär
- [ ] Du har kartlagt vilka data du samlar in
- [ ] Du har en tydlig integritetspolicy
- [ ] Du visar den viktigaste integritetsinformationen ovanför eller i formuläret
- [ ] Alla kryssrutor är tomma från början
- [ ] Kryssrutor för samtycke använder tydligt, specifikt språk
- [ ] Du har separata kryssrutor för separata användningar av data (kontakt kontra marknadsföring)
- [ ] Ditt formulär förklarar hur länge data sparas (hur länge du behåller inskick)
- [ ] Du har en policy för hur länge data sparas och följer den (raderar gamla data)
- [ ] Du har en process där folk kan begära tillgång till, radering av eller rättelse av sina data
- [ ] Du kan enkelt avanmäla personer från marknadsföringsmejl
- [ ] Du vet var besökarnas data lagras och vem som har tillgång till dem
Vad WEMASY gör för GDPR-efterlevnad
WEMASY-formulär har funktioner för hantering av samtycke som hjälper dig att uppfylla GDPR-kraven. Du kan lägga till kryssrutor för samtycke i dina formulär och WEMASY registrerar vilka alternativ varje besökare samtyckte till. Inskick har tidsstämplar så att du vet när samtycket gavs. Du hanterar lagringen av data genom att radera gamla inskick som du inte längre behöver.
Ditt varumärke behöver fortfarande en integritetspolicy och måste bestämma hur förfrågningar om tillgång till data ska hanteras, men WEMASY sköter den tekniska infrastrukturen för samtycke och datahantering.
Läs mer om funktionerna för regelefterlevnad i din plan på prissidan.