Como redigir uma política de privacidade para o seu site
A política de privacidade é o documento que explica aos visitantes de um site quais os dados pessoais recolhidos, por que motivo, durante quanto tempo e como exercer os seus direitos. Decorre diretamente das obrigações de informação impostas pelo RGPD e deve refletir com precisão os tratamentos efetivamente realizados pelo site, e não um texto genérico desligado da realidade.
O verdadeiro problema: um documento copiado em vez de redigido
A prática mais comum consiste em copiar a política de privacidade de outro site, por vezes sem sequer alterar o nome da empresa. Este documento compromete, no entanto, a responsabilidade do editor: deve refletir exatamente o que o site faz em matéria de recolha de dados. Uma política que menciona tratamentos inexistentes, ou que omite um tratamento real (uma ferramenta de análise, um pixel publicitário, uma integração de terceiros), constitui uma informação enganosa e um incumprimento da obrigação de transparência do RGPD.
O que o documento deve conter
Uma política de privacidade completa responde a um conjunto preciso de perguntas para cada categoria de dados recolhidos:
| Elemento | O que é preciso especificar |
|---|---|
| Identidade do responsável pelo tratamento | Quem recolhe os dados, com os respetivos contactos |
| Dados recolhidos | Natureza precisa dos dados (nome, email, dados de navegação, etc.) |
| Finalidade | Por que motivo estes dados são recolhidos, para que uso exato |
| Base legal | Consentimento, interesse legítimo, execução de um contrato, obrigação legal |
| Prazo de conservação | Durante quanto tempo os dados são conservados, com um prazo preciso ou um critério determinante |
| Destinatários | Quem recebe ou trata estes dados (alojamento, subcontratados, parceiros) |
| Transferências para fora da UE | Se aplicável, para que país e com que base jurídica |
| Direitos dos titulares | Como exercer o acesso, a retificação, o apagamento, a oposição |
| Contacto | Como contactar o responsável pelo tratamento ou o DPO, caso tenha sido designado |
| Reclamação | Lembrete da possibilidade de recorrer à autoridade de controlo em caso de desacordo |
Adaptar o documento aos tratamentos reais do site
Antes de redigir a política de privacidade, é necessário mapear com precisão o que o site recolhe efetivamente. Isto implica rever cada ponto de recolha: formulário de contacto, subscrição de newsletter, criação de conta, ferramentas de análise de audiência, chat online, integrações com redes sociais, prestador de serviços de pagamento. Cada um destes pontos deve constar do documento com a sua própria finalidade e o seu próprio prazo, em vez de uma formulação vaga que abranja "a totalidade dos dados do site".
A relação com a base legal de cada tratamento
A política de privacidade deve indicar, para cada tipo de dados, a base legal adotada. Esta escolha não é arbitrária: decorre da natureza do tratamento. Um formulário de contacto assenta geralmente no interesse legítimo ou em diligências pré-contratuais, uma newsletter no consentimento, uma faturação na execução de um contrato ou numa obrigação legal de natureza contabilística. Esta coerência entre o tratamento real e a base legal indicada é um ponto verificado prioritariamente em caso de fiscalização.
O prazo de conservação, um ponto frequentemente negligenciado
Contrariamente a uma ideia generalizada, não existe um prazo universal aplicável a todos os dados. Cada categoria segue a sua própria lógica: os dados de um potencial cliente que não converteu são geralmente conservados durante três anos a contar do último contacto, os dados de um cliente ativo durante a duração da relação comercial acrescida das obrigações legais de conservação (nomeadamente contabilísticas), e os cookies de medição de audiência durante treze meses, no máximo, segundo as recomendações da autoridade de controlo. A política de privacidade deve especificar estes prazos, ou, na sua falta, os critérios que permitem determiná-los.
O que reter
- A política de privacidade deve refletir exatamente os tratamentos de dados efetivamente realizados pelo site, e não um texto genérico copiado de outro lugar.
- Cada categoria de dados deve estar associada a uma finalidade, uma base legal e um prazo de conservação precisos.
- Os destinatários dos dados (alojamento, subcontratados, prestadores) devem ser mencionados, sobretudo em caso de transferência para fora da União Europeia.
- Os direitos dos titulares dos dados devem ser explicados com clareza, com um meio concreto de os exercer.
- O documento deve ser atualizado sempre que houver uma evolução nos tratamentos de dados do site.
- Este documento é distinto do aviso legal, que responde a uma obrigação diferente (legislação do comércio eletrónico).
Perguntas frequentes
É possível usar um modelo genérico encontrado online? Um modelo pode servir como ponto de partida, mas deve ser adaptado aos tratamentos reais do seu site. Uma política copiada sem adaptação corre o risco de mencionar tratamentos inexistentes ou de omitir outros reais.
A política de privacidade deve ser uma página separada do aviso legal? Não existe uma obrigação formal estrita, mas isso é fortemente recomendado por razões de clareza, uma vez que estes dois documentos respondem a obrigações legais distintas.
É preciso listar todos os subcontratados e ferramentas utilizadas? Recomenda-se mencionar pelo menos as categorias de destinatários, e idealmente a sua identidade precisa, sobretudo quando os dados são transferidos para fora da União Europeia.
Com que frequência é preciso atualizar esta página? Sempre que houver um novo tratamento ou uma alteração que afete a finalidade, o prazo ou os destinatários dos dados. Uma revisão anual, mesmo sem alterações identificadas, continua a ser uma boa prática.
Em resumo
Uma política de privacidade bem redigida não é um exercício de estilo jurídico, mas sim um espelho fiel daquilo que o site realmente faz com os dados dos seus visitantes. Este enquadramento geral apresenta os princípios decorrentes do RGPD; para uma redação precisa e adaptada à sua atividade, o apoio de um advogado ou os modelos disponibilizados pela autoridade de controlo continuam a ser os recursos mais fiáveis. Os sites acompanhados pela VeryAppi partem de uma estrutura de política de privacidade conforme, a ajustar de acordo com os tratamentos próprios de cada atividade.
Perguntas frequentes
›É possível usar um modelo genérico encontrado online?
Um modelo pode servir como ponto de partida para a estrutura, mas deve obrigatoriamente ser adaptado aos tratamentos reais efetuados pelo seu site. Uma política copiada sem adaptação corre o risco de mencionar tratamentos que não são realizados, ou de omitir outros que efetivamente ocorrem, o que expõe a um incumprimento em caso de fiscalização.
›A política de privacidade deve ser uma página separada do aviso legal?
Não existe uma obrigação formal de separação estrita, mas isso é fortemente recomendado por razões de clareza e legibilidade. O aviso legal e a política de privacidade respondem a obrigações legais distintas (legislação do comércio eletrónico para um, RGPD para a outra) e devem, de preferência, ser apresentados separadamente.
݃ preciso listar todos os subcontratados e ferramentas utilizadas?
Recomenda-se mencionar pelo menos as categorias de destinatários dos dados (fornecedor de alojamento, ferramenta de email marketing, prestador de serviços de pagamento) e, idealmente, a sua identidade precisa quando isso se mantiver legível. Esta transparência reforça a conformidade e a confiança, sobretudo quando os dados são transferidos para fora da União Europeia.
›Com que frequência é preciso atualizar esta página?
Sempre que um novo tratamento de dados é implementado (nova ferramenta, nova funcionalidade que recolhe dados) ou quando uma alteração afeta a finalidade, o prazo de conservação ou os destinatários dos dados já recolhidos. Uma revisão anual sistemática continua a ser uma boa prática mesmo na ausência de alterações identificadas.