Formularz kontaktowy a RODO w B2B: podstawy prawne, CRM i narzędzia

Ktoś z innej firmy wchodzi na Twoją stronę, wpisuje w formularz imię, nazwisko, służbowy e-mail, telefon i pytanie o ofertę. Klika „Wyślij” i… od tej chwili jesteś administratorem jego danych osobowych. Formularz kontaktowy a RODO to w B2B temat, na którym potyka się sporo firm, bo „przecież rozmawiamy z firmą, nie z konsumentem”.

Niedawno przygotowywaliśmy dokumenty dla firmy, która sprzedaje wyłącznie innym firmom: bez sklepu, bez płatności, bez kont klientów, tylko zapytania. Wyjaśniam na tym przykładzie, na jakiej podstawie przetwarzasz dane z takiego formularza, gdzie te dane naprawdę lądują, o jakich narzędziach na stronie łatwo zapomnieć i jakich zgód potrzebujesz, zanim zaczniesz wysyłać oferty.

Czy RODO w B2B obejmuje formularz kontaktowy?

Dane spółki z o.o. czy akcyjnej (nazwa, NIP, adres siedziby) nie są danymi osobowymi w rozumieniu RODO. Motyw 14 RODO wprost wyłącza dane osób prawnych. Ale formularz wypełnia człowiek, a jego imię, nazwisko, imienny służbowy e-mail (jan.kowalski@…) czy numer telefonu to już dane osobowe.

Uwaga na mniejsze firmy: przy jednoosobowej działalności i spółce cywilnej nazwa firmy, NIP i adres wskazują konkretne osoby, więc są danymi osobowymi (art. 4 pkt 1 RODO). Podobnie z nazwą spółki jawnej, jeśli zawiera nazwisko wspólnika (art. 24 § 1 Kodeksu spółek handlowych).

RODO w B2B działa tak samo jak przy klientach indywidualnych, tylko podstawy prawne bywają inne. I tu zaczyna się najczęstszy błąd.

Art. 6 ust. 1 lit. f RODO czy lit. b: kto naprawdę wypełnia formularz B2B?

W wielu politykach prywatności obsługa zapytań z formularza stoi na art. 6 ust. 1 lit. b RODO, czyli na „działaniach przed zawarciem umowy”. Brzmi logicznie. Tylko że ten przepis dotyczy umowy, której stroną jest osoba, której dane dotyczą, albo działań podjętych na jej żądanie przed zawarciem takiej umowy.

W B2B stroną przyszłej umowy jest spółka, a formularz wypełnia jej pracownik: handlowiec, zakupowiec, kierownik projektu. On sam żadnej umowy z Tobą nie zawrze. Dlatego jego dane przetwarzasz na podstawie prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit. f RODO). Twoim interesem jest odpowiedź na zapytanie i prowadzenie kontaktu handlowego z firmą, którą ta osoba reprezentuje.

Lit. b zostaje dla osób, które piszą we własnym imieniu, na przykład kiedy zapytanie wysyła ktoś, kto sam miałby zawrzeć z Tobą umowę. Jeśli Twoja strona obsługuje oba przypadki, opisz w polityce oba.

Przy lit. f masz dwa dodatkowe obowiązki:

• w polityce prywatności nazywasz ten interes wprost, przy każdym celu (art. 13 ust. 1 lit. d RODO), a nie ogólnym „w celach handlowych”,
• informujesz o prawie do sprzeciwu wobec takiego przetwarzania (art. 21 ust. 1 i ust. 4 RODO).

A co z klauzulą RODO pod formularzem kontaktowym? Wystarczy krótka informacja przy przycisku „Wyślij”: kto jest administratorem, po co zbiera dane, że można się sprzeciwić i skorzystać z innych praw, oraz link do pełnej polityki prywatności. W firmie, o której piszę, formularz w ogóle nie linkował do polityki, a sama polityka nie była jeszcze opublikowana.

Zgłoszenia w bazie strony i w CRM: dwa miejsca i dwa okresy przechowywania

Większość właścicieli stron myśli, że formularz po prostu wysyła maila. Często jest inaczej. Popularna w WordPressie wtyczka Contact Form 7 sama wiadomości nie przechowuje, ale jej autor poleca dodatek Flamingo, który zapisuje wszystkie wiadomości z formularzy w bazie danych strony. Do tego zapytanie trafia do skrzynki pocztowej, a potem handlowiec przenosi je do CRM, czyli systemu do prowadzenia kontaktów z klientami.

Masz więc te same dane w kilku miejscach i każde z nich musi się znaleźć w dokumentach:

• baza strony: kto ma do niej dostęp i jak długo leżą tam zgłoszenia,
• CRM: jaki dostawca, jakie dane trafiają do systemu, jak długo tam zostają.

RODO nie podaje jednej liczby. Każe przechowywać dane nie dłużej, niż to potrzebne do celu (art. 5 ust. 1 lit. e), a w polityce podać okres, a gdy nie da się go określić, kryteria jego ustalania (art. 13 ust. 2 lit. a).

W polityce, którą przygotowywaliśmy, zapytania bez dalszej współpracy mają 12 miesięcy. Gdy z zapytania rodzi się współpraca, możesz trzymać dane dłużej, na przykład do upływu przedawnienia roszczeń, które przy działalności gospodarczej wynosi co do zasady trzy lata, liczone do końca roku kalendarzowego (art. 118 Kodeksu cywilnego).

Pułapka: w tamtej firmie wtyczka trzymała zgłoszenia bez limitu czasu. Okres wpisany w polityce jest prawdziwy tylko wtedy, gdy ktoś naprawdę usuwa stare zgłoszenia, ręcznie albo automatycznie. Jeśli kopia w bazie strony nie jest Ci potrzebna, wyłączysz ją w dodatkowych ustawieniach formularza Contact Form 7 (ustawienie do_not_store, opisane na tej samej stronie autora wtyczki).

reCAPTCHA, kalendarz spotkań i tagi: o czym zapominasz przy inwentaryzacji danych

Inwentaryzacja to po prostu spis: jakie dane zbiera Twoja strona, czym i dokąd je wysyła. Rób ją na podstawie tego, co jest na stronie, a nie tego, co pamiętasz. Firma, o której piszę, przysłała nam listę narzędzi. Po sprawdzeniu strony wyszły trzy rozjazdy: narzędzie, którego nie było na liście, kalendarz osadzony inaczej, niż trzeba, i narzędzie z listy, którego nie było na stronie.

reCAPTCHA w formularzu

To zabezpieczenie formularza przed spamem, które dostarcza Google. Na liście go nie było.

Google pisze, że reCAPTCHA ustawia niezbędne ciasteczko do analizy ryzyka. Na sprawdzanej stronie skrypt ładował się od razu, bez czekania na zgodę. Często opisuje się ją jako uzasadniony interes (bezpieczeństwo formularza) i korzysta z wyjątku od zgody z art. 399 ust. 3 Prawa komunikacji elektronicznej (PKE), który dotyczy tylko tego, co konieczne do dostarczenia usługi, której chce odwiedzający.

To stanowisko popularne, ale sporne, bo skrypt odczytuje informacje z urządzenia i wysyła je do Google. Jeśli nie chcesz ryzykować, wybierz zabezpieczenie formularza bez zewnętrznego dostawcy.

Osadzony kalendarz do umawiania spotkań

Na jednej z podstron był kalendarz Calendly z wyłączonym banerem cookies. Sam Calendly pisze w pomocy o ciasteczkach, że jego ciasteczka działają także po ukryciu banera, więc kalendarz powinien się wczytać dopiero wtedy, gdy odwiedzający zaakceptuje te pliki w Twoim narzędziu do zgód.

Tagi analityczne i reklamowe

Tagi to kawałki kodu, które wysyłają informacje o odwiedzinach do Google Analytics, Google Ads czy LinkedIn. Odczytują dane z urządzenia nie po to, żeby strona działała, więc według art. 399 ust. 1 PKE potrzebujesz zgody, zanim się uruchomią.

Tu wyszło odwrotnie niż przy reCAPTCHA: Google Ads był na liście, ale w menedżerze tagów (np. Google Tag Manager, czyli narzędziu, z którego strona ładuje skrypty statystyk i reklam) nie znaleźliśmy tagu Google Ads. Polityka ma opisywać to, co działa naprawdę, więc taki rozjazd trzeba wyjaśnić, zanim cokolwiek opublikujesz.

Przy inwentaryzacji przejdź po tej liście:

Wiele z tych narzędzi należy do firm z USA, więc przy każdym trzeba też ustalić podstawę przekazania danych. Piszę o tym we wpisie Transfer danych osobowych poza UE, a jeśli zapytania trafiają też do ChatGPT czy Claude, zajrzyj do tekstu AI a RODO w obsłudze klientów: ChatGPT, Claude i transfer danych do USA.

Do spisu dopisz też stronę firmową na LinkedIn, jeśli ją masz. Przy jej statystykach jesteś współadministratorem danych odwiedzających razem z LinkedIn (art. 26 RODO), co LinkedIn potwierdza w aneksie o statystykach stron (Page Insights), więc polityka powinna to opisać.

Scoring zapytań i marketing do firm: podstawa prawna i zgody na e-mail i telefon

Na koniec to, co dzieje się z zapytaniem później: ocena i marketing.

Scoring, czyli ocena zapytań

Scoring to ocena zapytań: które jest pilne, które pasuje do oferty, komu je przekazać. Jeśli ocenę robi system automatycznie (np. punkty w CRM) i dotyczy ona cech osoby, takich jak stanowisko czy zachowanie na stronie, to w języku RODO jest profilowanie (art. 4 pkt 4). Ręczna ocena zapytania przez handlowca profilowaniem nie jest.

Profilowanie zwykle można oprzeć na prawnie uzasadnionym interesie, jeśli ocena nie wykracza poza to, czego pytający może się rozsądnie spodziewać (motyw 47 RODO). W polityce opisz, na czym polega, i poinformuj o prawie sprzeciwu (art. 21 ust. 1 i 4).

Ważne, żeby o odpowiedzi realnie decydował człowiek, a nie tylko zatwierdzał wynik systemu. Wtedy nie ma decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu z art. 22 RODO i warto to w polityce napisać wprost.

Oferty e-mailem i telefonem

Sam marketing bezpośredni może być prawnie uzasadnionym interesem (motyw 47 RODO). Ale kanał to osobna sprawa. Art. 398 PKE zakazuje wysyłania informacji handlowej przez telefon czy e-mail bez uprzedniej zgody odbiorcy i chroni nie tylko konsumentów, ale każdego abonenta i użytkownika końcowego, czyli także firmę i jej pracownika, który odbiera służbowy e-mail czy telefon. To, że rozmawiasz z firmą, nie zwalnia Cię ze zgody na wysyłkę ofert.

Odpowiedź na zapytanie to jego obsługa. Ale oferta wysłana z własnej inicjatywy kilka miesięcy później albo telefon z nową promocją to już marketing. W firmie, o której piszę, chcieli prowadzić kontakt marketingowy e-mailem i telefonicznie, a w formularzach nie było żadnego checkboxa ze zgodą.

Najbezpieczniej dodać dwa osobne, niezaznaczone domyślnie pola: jedno na e-mail, drugie na telefon. Do takiej zgody stosujesz przepisy RODO (art. 400 PKE), więc ma być dobrowolna, konkretna, świadoma i jednoznaczna (art. 4 pkt 11 RODO), a cofnąć ją można w każdej chwili (art. 7 ust. 3). Sprzeciw wobec marketingu bezpośredniego, także wobec profilowania w tym celu, zawsze wiąże administratora (art. 21 ust. 2 i 3 RODO).

Najczęstsze pytania o formularz kontaktowy a RODO

Pamiętaj

Przejdź po liście z inwentaryzacji na swojej stronie, porównaj wynik z polityką prywatności i ustaw usuwanie starych zgłoszeń w bazie strony i w CRM. Zanim wyślesz pierwszą ofertę z własnej inicjatywy, sprawdź, czy w formularzu są zgody na e-mail i telefon. A polityka to tylko jeden z dokumentów, o czym piszę we wpisie RODO to nie tylko polityka prywatności.

Jeśli chcesz, żebyśmy sprawdzili formularz kontaktowy i narzędzia na Twojej stronie pod kątem RODO i przygotowali brakujące zapisy, zobacz, co obejmuje dokumentacja RODO. Napisz do mnie lub zadzwoń.