Mas vocês também, como eu, têm a caixa de e-mail invadida por newsletters de atualizações/cursos/formação/quem-tiver-mais a respeito da política de privacidade? E este bendito GDPR (para muitos GPDR ou DGPR, conforme a imaginação) que parece ter se tornado um verdadeiro pesadelo? Digamos que o público da web se divide em duas partes: aqueles demasiado assustados, que pedem consentimentos assinados até para poder olhar nos olhos do cliente... e aqueles demasiado despreocupados, um pouco inconscientes até das pesadas multas previstas. Enfim, vamos esclarecer as coisas e organizar as informações sobre este tema espinhoso.
O que é a política de privacidade?
É um documento que descreve da maneira mais detalhada e clara possível as modalidades de gestão e tratamento dos dados pessoais dos utilizadores e dos visitantes do site de internet por parte da empresa. Por dados pessoais não se entende apenas o nome, apelido ou endereço de e-mail, mas também os Cookies utilizados pelo Google Analytics, ou seja, para o rastreio do comportamento do utilizador no site de internet.
O documento divide-se em vários parágrafos, nos quais são indicados: o RESPONSÁVEL pelo tratamento dos dados, os DIREITOS dos utilizadores, o LOCAL e a FINALIDADE do tratamento, a TIPOLOGIA dos dados tratados, os COOKIES que são emitidos pelo site de internet, a CONSERVAÇÃO dos dados, os LINKS para conteúdos externos e também as modalidades para alterar as definições.
O documento divide-se em vários parágrafos, nos quais são indicados: o RESPONSÁVEL pelo tratamento dos dados, os DIREITOS dos utilizadores, o LOCAL e a FINALIDADE do tratamento, a TIPOLOGIA dos dados tratados, os COOKIES que são emitidos pelo site de internet, a CONSERVAÇÃO dos dados, os LINKS para conteúdos externos e também as modalidades para alterar as definições.
Política de Privacidade: multas e sanções
É obrigatória por lei; um site de internet sem a mesma poderá incorrer em sanções e multas inclusive muito pesadas, que partem de um mínimo de 3.000 Euros até um máximo de 50.000 Euros. E quem controla? A Autoridade de Proteção de Dados. Como? Pode agir por denúncia de um utilizador, portanto, se um simpático "amigo" vosso decidir denunciar o vosso site atualmente desprovido, desencadeia um mecanismo de controlos (e de sanções) imediato; ou através de controlos de outra natureza, como os efetuados pelas autoridades financeiras.
Na vossa opinião, vale a pena arriscar? Mmmh, na nossa opinião, não!
Na vossa opinião, vale a pena arriscar? Mmmh, na nossa opinião, não!
Quem escreve o documento da Política de Privacidade?
Aos nossos clientes recomendamos dois caminhos possíveis. O primeiro, mais dispendioso mas certamente mais atento e preciso (talvez útil também para organizar todas as nomeações dos responsáveis pelo tratamento de dados internos da empresa, não apenas no que diz respeito ao site de internet), é o de contactar um advogado especialista no setor e fazê-la escrever diretamente por ele. O outro, mais económico, é o de recorrer a sites de internet dedicados (por exemplo Iubenda.com) que geram o documento com base nas informações fornecidas, após, obviamente, terem contactado o técnico de referência do site para compreender a 100% o seu comportamento.
Nota Bene: as Políticas de Privacidade não são textos standard, devem ser redigidas examinando a modalidade efetiva de tratamento de dados no interior da empresa. Portanto, o "copiar-colar" (do qual fazem uso muitíssimos sites de internet) é frequentemente contraproducente se efetivamente não corresponder a 100% à vossa realidade empresarial.
Nota Bene: as Políticas de Privacidade não são textos standard, devem ser redigidas examinando a modalidade efetiva de tratamento de dados no interior da empresa. Portanto, o "copiar-colar" (do qual fazem uso muitíssimos sites de internet) é frequentemente contraproducente se efetivamente não corresponder a 100% à vossa realidade empresarial.
E este novo GDPR, o que é?
GDPR é o acrónimo de General Data Protection Regulation, ou seja, o regulamento europeu relativo precisamente à Privacidade, operativo desde 25 de maio de 2018. Trata-se de um texto que tenta harmonizar todas as leis europeias sobre o tratamento de dados pessoais e, portanto, sobre o controlo das nossas informações. Mas é realmente uma revolução em relação às regras anteriores? Sim, absolutamente sim. Teve também um grande impacto nas pequenas empresas. Entre as principais obrigações do GDPR estão:
* pedido de consentimento de forma clara e explícita
* instituição de um registo de atividades
* notificação de violações num prazo de 72 horas
Mas passemos à parte interessante, as multas (assim podemos preocupar ainda mais os catastróficos e talvez instigar os pacíficos): dependendo da gravidade, aplica-se a sanção: primeiro escalão até um máximo de 10 milhões de euros (ou 2% da faturação se for superior), segundo escalão até um máximo de 20 milhões (ou 4% da faturação se for superior).
Um motivo a mais para não subestimar o assunto, nós já vos demos! Para mais informações ou esclarecimentos, não hesitem em contactar-nos, estamos à vossa disposição.
Desde 25 de maio de 2018, portanto, tornou-se plenamente aplicável o GDPR (General Data Protection Regulation), que recordamos ser relativo à proteção das pessoas singulares no que diz respeito ao tratamento e à livre circulação de dados pessoais, não apenas no âmbito web, mas também na gestão normal de dados no interior de uma empresa. Até hoje, porém, muitas empresas ainda não implementaram as medidas mínimas necessárias para garantir a proteção dos dados pessoais e, consequentemente, muitíssimos sites web continuam a não estar em conformidade com o regulamento.
Deve-se sempre lembrar que o GDPR se aplica a todas as empresas, pequenas ou grandes, inclusive aquelas situadas fora da União Europeia que ofereçam serviços ou produtos dentro do mercado UE. Todas as empresas devem, portanto, respeitar as regras, independentemente da sua posição geográfica, sob risco de pesadas sanções por parte dos órgãos competentes na vigilância (em Portugal, a CNPD - Comissão Nacional de Proteção de Dados).
Falando especificamente da adequação de um site web, partindo do princípio que não se trata de simples modificações ou "copiar-colar" de textos de outros sites (o que, aliás, poderia revelar-se contraproducente), é sempre recomendável confiar em especialistas que saibam como efetuar as modificações de modo conforme ao Regulamento UE 2016/679 e saibam identificar as ferramentas corretas a utilizar para respeitar as obrigações impostas pela lei (como, por exemplo, o iubenda.com que oferece o serviço de geração de política de privacidade e de cookies, além de outros serviços para o tratamento de dados pessoais).
* pedido de consentimento de forma clara e explícita
* instituição de um registo de atividades
* notificação de violações num prazo de 72 horas
Mas passemos à parte interessante, as multas (assim podemos preocupar ainda mais os catastróficos e talvez instigar os pacíficos): dependendo da gravidade, aplica-se a sanção: primeiro escalão até um máximo de 10 milhões de euros (ou 2% da faturação se for superior), segundo escalão até um máximo de 20 milhões (ou 4% da faturação se for superior).
Um motivo a mais para não subestimar o assunto, nós já vos demos! Para mais informações ou esclarecimentos, não hesitem em contactar-nos, estamos à vossa disposição.
Desde 25 de maio de 2018, portanto, tornou-se plenamente aplicável o GDPR (General Data Protection Regulation), que recordamos ser relativo à proteção das pessoas singulares no que diz respeito ao tratamento e à livre circulação de dados pessoais, não apenas no âmbito web, mas também na gestão normal de dados no interior de uma empresa. Até hoje, porém, muitas empresas ainda não implementaram as medidas mínimas necessárias para garantir a proteção dos dados pessoais e, consequentemente, muitíssimos sites web continuam a não estar em conformidade com o regulamento.
Deve-se sempre lembrar que o GDPR se aplica a todas as empresas, pequenas ou grandes, inclusive aquelas situadas fora da União Europeia que ofereçam serviços ou produtos dentro do mercado UE. Todas as empresas devem, portanto, respeitar as regras, independentemente da sua posição geográfica, sob risco de pesadas sanções por parte dos órgãos competentes na vigilância (em Portugal, a CNPD - Comissão Nacional de Proteção de Dados).
Falando especificamente da adequação de um site web, partindo do princípio que não se trata de simples modificações ou "copiar-colar" de textos de outros sites (o que, aliás, poderia revelar-se contraproducente), é sempre recomendável confiar em especialistas que saibam como efetuar as modificações de modo conforme ao Regulamento UE 2016/679 e saibam identificar as ferramentas corretas a utilizar para respeitar as obrigações impostas pela lei (como, por exemplo, o iubenda.com que oferece o serviço de geração de política de privacidade e de cookies, além de outros serviços para o tratamento de dados pessoais).
Mas quais são as ações necessárias para ter um site web conforme ao GDPR?
1) Ter uma política de privacidade conforme
A primeira regra é ter o documento da política de privacidade completo e conforme ao Regulamento UE 2016/679.
A política de privacidade deve conter as seguintes informações:
● o responsável pelo tratamento de dados e, se nomeado, o encarregado de proteção de dados;
● os dados pessoais objeto de tratamento;
● as finalidades do tratamento;
● a base jurídica do tratamento;
● quem são os destinatários;
● eventuais transferências de dados;
● as modalidades e o período de conservação dos dados;
● todos os direitos do titular dos dados.
A política de privacidade deverá depois estar disponível para todos os utilizadores do site e ser acessível a partir de qualquer página.
2) Ter uma política de cookies conforme
Tal como para a política de privacidade, ter também uma política de cookies é fundamental para respeitar o Regulamento. Este documento deve conter as seguintes informações:
● fornecer aos utilizadores uma informação clara sobre a utilização de cookies;
● especificar as tipologias de cookies utilizadas (técnicos, analytics, perfilagem, etc);
● listar eventuais outros sujeitos destinatários dos dados pessoais;
● os tempos e as modalidades de conservação das informações;
● a possibilidade e as modalidades para os utilizadores exercerem os seus direitos em matéria de proteção de dados pessoais.
3) Ter um banner atualizado e conforme
Após redigir a política de cookies, deriva consequentemente o banner informativo e necessário para adquirir o consentimento do utilizador para a instalação de cookies. É necessário assegurar que:
● o pedido de instalação de cookies seja diferenciado entre cookies técnicos, de perfilagem e analíticos, e que não sejam agrupadas diversas tipologias (consentimento granular);
● o scroll da página não seja considerado como ação positiva de consentimento;
● assegurar que, na ausência de consentimento, sejam ativados apenas os cookies técnicos;
● a revogação da aceitação de cookies deve ser tão fácil quanto a aceitação;
● o consentimento deve ser sempre demonstrável, mantendo um registo certificado.
4) Atualizar os formulários de contacto
A regra base continua a ser a transparência, portanto, para utilizar os dados fornecidos pelo utilizador, é necessário que este último forneça um consentimento explícito ao uso e que as finalidades do tratamento sejam claras.
Com 2 exemplos podem esclarecer-se ambos os pontos cardinais.
● o consentimento explícito resolve-se evitando checkboxes pré-selecionadas; desta forma, o utilizador, ao realizar a ação de aceitar o tratamento de dados, fornece um consentimento informado e explícito;
● quanto às finalidades do tratamento explicitadas de modo claro, tomando o exemplo de um formulário de contacto no qual se pretenda também utilizar o endereço de e-mail recolhido para enviar newsletters e comunicações comerciais, será necessário predispor duas checkboxes diferentes: uma relativa ao tratamento de dados para responder ao pedido de contacto (que será obviamente obrigatória) e uma segunda checkbox onde será explicitada a finalidade do tratamento para o envio de newsletters, que não poderá ser obrigatória e ficará à escolha do utilizador.
Recordamos que, tal como para a política de cookies, também para os formulários de contacto, o consentimento, após ter sido recolhido, deve ser arquivado num registo apropriado que pode ser em formato papel ou digital e que conterá as seguintes informações:
- quem forneceu o consentimento,
- quando foi fornecido,
- quais são as condições que o utilizador aceitou explicitamente,
- quem tem acesso aos dados.
As informações fornecidas anteriormente não podem ser consideradas como as instruções a seguir para tornar qualquer site web conforme ao GDPR, pois cada site web ou aplicação tem a sua própria história e as suas próprias características; é, portanto, necessário, antes de proceder com as implementações, efetuar uma análise para compreender que dados pessoais são recolhidos, como são tratados e que tipologias de cookies são utilizadas. Só desta forma se poderá intervir para ter o próprio site web conforme ao Regulamento UE 2016/679.
A primeira regra é ter o documento da política de privacidade completo e conforme ao Regulamento UE 2016/679.
A política de privacidade deve conter as seguintes informações:
● o responsável pelo tratamento de dados e, se nomeado, o encarregado de proteção de dados;
● os dados pessoais objeto de tratamento;
● as finalidades do tratamento;
● a base jurídica do tratamento;
● quem são os destinatários;
● eventuais transferências de dados;
● as modalidades e o período de conservação dos dados;
● todos os direitos do titular dos dados.
A política de privacidade deverá depois estar disponível para todos os utilizadores do site e ser acessível a partir de qualquer página.
2) Ter uma política de cookies conforme
Tal como para a política de privacidade, ter também uma política de cookies é fundamental para respeitar o Regulamento. Este documento deve conter as seguintes informações:
● fornecer aos utilizadores uma informação clara sobre a utilização de cookies;
● especificar as tipologias de cookies utilizadas (técnicos, analytics, perfilagem, etc);
● listar eventuais outros sujeitos destinatários dos dados pessoais;
● os tempos e as modalidades de conservação das informações;
● a possibilidade e as modalidades para os utilizadores exercerem os seus direitos em matéria de proteção de dados pessoais.
3) Ter um banner atualizado e conforme
Após redigir a política de cookies, deriva consequentemente o banner informativo e necessário para adquirir o consentimento do utilizador para a instalação de cookies. É necessário assegurar que:
● o pedido de instalação de cookies seja diferenciado entre cookies técnicos, de perfilagem e analíticos, e que não sejam agrupadas diversas tipologias (consentimento granular);
● o scroll da página não seja considerado como ação positiva de consentimento;
● assegurar que, na ausência de consentimento, sejam ativados apenas os cookies técnicos;
● a revogação da aceitação de cookies deve ser tão fácil quanto a aceitação;
● o consentimento deve ser sempre demonstrável, mantendo um registo certificado.
4) Atualizar os formulários de contacto
A regra base continua a ser a transparência, portanto, para utilizar os dados fornecidos pelo utilizador, é necessário que este último forneça um consentimento explícito ao uso e que as finalidades do tratamento sejam claras.
Com 2 exemplos podem esclarecer-se ambos os pontos cardinais.
● o consentimento explícito resolve-se evitando checkboxes pré-selecionadas; desta forma, o utilizador, ao realizar a ação de aceitar o tratamento de dados, fornece um consentimento informado e explícito;
● quanto às finalidades do tratamento explicitadas de modo claro, tomando o exemplo de um formulário de contacto no qual se pretenda também utilizar o endereço de e-mail recolhido para enviar newsletters e comunicações comerciais, será necessário predispor duas checkboxes diferentes: uma relativa ao tratamento de dados para responder ao pedido de contacto (que será obviamente obrigatória) e uma segunda checkbox onde será explicitada a finalidade do tratamento para o envio de newsletters, que não poderá ser obrigatória e ficará à escolha do utilizador.
Recordamos que, tal como para a política de cookies, também para os formulários de contacto, o consentimento, após ter sido recolhido, deve ser arquivado num registo apropriado que pode ser em formato papel ou digital e que conterá as seguintes informações:
- quem forneceu o consentimento,
- quando foi fornecido,
- quais são as condições que o utilizador aceitou explicitamente,
- quem tem acesso aos dados.
As informações fornecidas anteriormente não podem ser consideradas como as instruções a seguir para tornar qualquer site web conforme ao GDPR, pois cada site web ou aplicação tem a sua própria história e as suas próprias características; é, portanto, necessário, antes de proceder com as implementações, efetuar uma análise para compreender que dados pessoais são recolhidos, como são tratados e que tipologias de cookies são utilizadas. Só desta forma se poderá intervir para ter o próprio site web conforme ao Regulamento UE 2016/679.
