Het contactformulier is voor de meeste bedrijfssites de belangrijkste knop van de hele website: daar komen de aanvragen binnen. Het is ook de plaats waar uw site de meeste persoonsgegevens verzamelt. Met een paar eenvoudige keuzes is uw formulier in orde met de AVG, beter beveiligd en vaak ook nog korter, wat meer aanvragen oplevert.
Vraag alleen wat u echt nodig hebt
De AVG noemt dat dataminimalisatie: u verzamelt niet meer gegevens dan nodig voor het doel. Voor een eerste aanvraag zijn dat meestal een naam, een e-mailadres of telefoonnummer, en het bericht. Een adres hebt u pas nodig als u langskomt, een geboortedatum bijna nooit. Elk extra verplicht veld is bovendien een reden om af te haken. Wie zijn formulier inkort van acht naar vier velden, ziet in de praktijk vaak meer aanvragen binnenkomen.
Toestemming: meestal niet nodig
Voor het beantwoorden van een vraag of het opmaken van een offerte hebt u geen toestemming nodig. De rechtsgrond is dat iemand u zelf contacteert met het oog op een mogelijke overeenkomst. Een verplicht vinkje 'Ik ga akkoord met de privacyverklaring' is dus overbodig. Wilt u de persoon daarna ook een nieuwsbrief sturen, dan is dat een ander doel en hebt u daar wel aparte, vrijwillige toestemming voor nodig, met een vakje dat niet vooraf is aangevinkt.
Waar komen de berichten terecht?
Een formulier stuurt de gegevens naar ergens: uw mailbox, een database op de server, een externe formulierdienst. Elk van die plekken moet beveiligd zijn, en een externe dienst is een verwerker waarmee u een verwerkersovereenkomst nodig hebt. Op veel WordPress-sites blijven alle berichten ook jaren in de database staan, waar ze bij een hack zo voor het grijpen liggen. Kijk na waar uw berichten opgeslagen worden en ruim op wat u niet meer nodig hebt.
Beveiliging en spam
Een formulier moet altijd via een beveiligde verbinding (https) werken. Bescherm het tegen spambots, maar kies daarvoor bij voorkeur een oplossing die geen bezoekers volgt; sommige captchadiensten plaatsen cookies en vallen dan onder de toestemmingsregels. Een onzichtbaar veld dat alleen bots invullen en een eenvoudige vertraging houden het meeste spam al tegen. En zorg dat de mails van uw formulier niet in de spambox belanden door SPF, DKIM en DMARC op uw domein goed in te stellen.
Hoe lang mag u berichten bewaren?
Zo lang als nodig voor het doel. Een aanvraag die geen klant werd, hoeft u geen vijf jaar te bewaren; een tot twee jaar is een redelijke termijn om bij een nieuwe vraag terug te kunnen kijken. Werd het wel een klant, dan gelden de bewaartermijnen voor uw boekhouding. Leg de termijnen vast in uw privacyverklaring en houd u eraan.
Checklist voor een AVG-proof contactformulier
- Alleen de velden die u echt gebruikt, de rest eruit
- Een korte zin met een link naar uw privacyverklaring onder het formulier
- Geen verplicht akkoordvinkje, wel een apart vrijwillig vakje voor de nieuwsbrief
- Https op de hele site
- Spambeveiliging zonder trackers
- Een verwerkersovereenkomst met uw formulier- of maildienst
- Oude aanvragen regelmatig opruimen
Meer over verwerkersovereenkomsten en over wat u moet doen als er toch gegevens lekken, leest u in de kennisbank van onze zustersite Cyberdijk. De formulieren op websites van Marketingbaas voldoen standaard aan deze checklist.