RGPD para um site: o que é preciso saber
O RGPD regula qualquer tratamento de dados pessoais realizado através de um site, assim que um nome, um email ou qualquer outro dado identificativo é recolhido. Exige uma base legal precisa para cada tratamento, uma finalidade determinada, um prazo de conservação limitado, e garante direitos aos titulares dos dados (acesso, retificação, apagamento). Esta obrigação aplica-se a qualquer site, independentemente da sua dimensão.
O verdadeiro problema: um regulamento percecionado como vago e abstrato
O RGPD é muitas vezes vivido como uma obrigação administrativa pouco clara, difícil de traduzir de forma concreta num site. O resultado é que muitos sites se limitam a um banner de cookies genérico copiado de outro lado, sem verificar se os seus formulários, a sua newsletter ou as suas ferramentas de análise respeitam realmente os princípios do regulamento. Essa falta de clareza não é desculpa: a autoridade de proteção de dados competente pode sancionar um incumprimento, e um cliente ou potencial cliente pode legitimamente preocupar-se com um site que não especifica o que faz com os seus dados.
Os princípios fundamentais a compreender
O RGPD assenta em algumas noções-chave que é preciso conhecer antes de colocar qualquer site em conformidade:
- A base legal: cada tratamento de dados deve assentar numa das seis bases previstas pelo regulamento (consentimento, execução de um contrato, obrigação legal, interesse vital, missão de interesse público, interesse legítimo). Para um site, as mais frequentes são o consentimento (newsletter, cookies não essenciais) e o interesse legítimo (formulário de contacto, prospeção B2B razoável).
- A finalidade: os dados só podem ser recolhidos para um objetivo preciso e determinado antecipadamente, comunicado ao titular. Um email recolhido para responder a um pedido não pode ser reutilizado para uma newsletter sem uma informação e uma base legal distintas.
- A minimização: recolher apenas os dados estritamente necessários à finalidade pretendida. Um formulário de contacto geralmente não precisa de pedir uma data de nascimento ou uma morada postal completa.
- O prazo de conservação: os dados não podem ser conservados indefinidamente. Um prazo deve ser definido em função da finalidade (por exemplo, os dados de um potencial cliente não convertido são geralmente conservados durante um máximo de três anos a contar do último contacto).
Os direitos dos titulares dos dados
O RGPD atribui vários direitos às pessoas cujos dados são recolhidos num site, direitos esses que devem poder ser exercidos de forma simples:
| Direito | O que permite |
|---|---|
| Direito de acesso | Obter a confirmação de que um dado está a ser tratado e receber uma cópia do mesmo |
| Direito de retificação | Corrigir um dado inexato ou incompleto |
| Direito ao apagamento | Solicitar a eliminação dos seus dados em determinados casos |
| Direito de oposição | Opor-se a um tratamento, nomeadamente para fins de prospeção |
| Direito à portabilidade | Recuperar os seus dados num formato reutilizável |
| Direito de retirar o consentimento | A qualquer momento, tão facilmente quanto foi dado |
Estes direitos devem poder ser exercidos através de um ponto de contacto claramente identificado, geralmente mencionado na política de privacidade do site.
Os tratamentos mais comuns num site
Um site profissional típico trata dados pessoais em vários pontos, muitas vezes sem que isso seja percecionado como tal:
- O formulário de contacto: nome, email, mensagem. Base legal geralmente o interesse legítimo ou as diligências pré-contratuais.
- A newsletter: email, por vezes o primeiro nome. Base legal o consentimento, com uma opção de cancelamento fácil e permanente.
- As ferramentas de análise de audiência (estatísticas de visitas): consoante a configuração, estas ferramentas podem exigir um consentimento prévio ou beneficiar de uma exceção se estiverem configuradas para serem verdadeiramente anonimizadas de acordo com os critérios fixados pela autoridade competente.
- As contas de utilizador (área de cliente, e-commerce): credenciais, histórico de encomendas, por vezes dados de pagamento geridos por um prestador terceiro.
- Os cookies publicitários e de redes sociais: exigem sempre um consentimento prévio explícito.
O registo das atividades de tratamento, uma obrigação frequentemente esquecida
Qualquer organização que trate dados pessoais deve, em princípio, manter um registo das atividades de tratamento, um documento interno que reúne as categorias de dados recolhidos, a sua finalidade, a sua base legal e o seu prazo de conservação. As estruturas com menos de 250 colaboradores beneficiam de uma simplificação para os tratamentos não sistemáticos ou de baixo risco, mas um site com formulário, newsletter ou área de cliente entra geralmente no âmbito desta obrigação documental.
O que é preciso reter
- O RGPD aplica-se assim que um dado identificativo é recolhido no site, independentemente da dimensão da estrutura.
- Cada tratamento deve assentar numa base legal precisa, ter uma finalidade determinada e um prazo de conservação limitado.
- Os titulares dos dados dispõem de direitos (acesso, retificação, apagamento, oposição, portabilidade) que devem poder fazer valer facilmente.
- Formulários, newsletters, ferramentas de análise e cookies são os pontos de recolha mais frequentes a verificar.
- Um registo das atividades de tratamento é geralmente exigido, mesmo para uma estrutura de pequena dimensão.
- Para uma avaliação precisa da sua situação, a autoridade de proteção de dados competente disponibiliza recursos gratuitos, e um advogado especializado continua a ser o interlocutor certo para os casos complexos.
Perguntas frequentes
Um simples formulário de contacto está sujeito ao RGPD? Sim. Assim que um formulário recolhe um nome, um email ou qualquer outro elemento identificativo, constitui um tratamento de dados pessoais sujeito ao RGPD, mesmo para uma única linha de texto.
É preciso obter consentimento para cada dado recolhido? Não, o consentimento é apenas uma das seis bases legais possíveis. Um formulário de contacto pode muitas vezes apoiar-se no interesse legítimo em vez de num consentimento explícito, consoante a finalidade precisa.
O RGPD aplica-se se o meu site visar apenas a França? Sim, o RGPD aplica-se a qualquer tratamento de dados de residentes europeus, seja qual for a localização da empresa que os trata.
Devo designar um DPO para o meu site? Esta designação é obrigatória para determinados organismos públicos e empresas com acompanhamento sistemático em grande escala. A maioria das micro e pequenas empresas não está sujeita a essa obrigação, mas cada situação merece uma verificação específica.
Em resumo
O RGPD não é uma simples formalidade a assinalar, mas um enquadramento que estrutura a forma como um site recolhe, utiliza e conserva os dados dos seus visitantes. Compreender os princípios de base (finalidade, minimização, prazo, direitos dos titulares) já permite evitar os erros mais frequentes. Para qualquer questão específica da sua atividade, os recursos da autoridade de proteção de dados competente e o parecer de um advogado continuam a ser as referências a privilegiar. Os sites concebidos pela VeryAppi integram as boas práticas de base em matéria de recolha de dados desde a conceção.
Perguntas frequentes
›Um simples formulário de contacto está sujeito ao RGPD?
Sim. Assim que um formulário recolhe um nome, um email ou qualquer outro elemento que permita identificar uma pessoa, constitui um tratamento de dados pessoais sujeito ao RGPD, mesmo que se trate de uma única linha de texto. O volume de dados recolhidos não altera em nada a aplicabilidade do regulamento.
݃ preciso obter consentimento para cada dado recolhido?
Não, o consentimento é apenas uma das seis bases legais possíveis. Um formulário de contacto pode muitas vezes apoiar-se no interesse legítimo ou na execução de diligências pré-contratuais em vez de num consentimento explícito. A escolha da base legal depende da finalidade precisa do tratamento, a determinar caso a caso.
›O RGPD aplica-se se o meu site visar apenas a França?
Sim, o RGPD aplica-se a qualquer tratamento de dados de residentes europeus, seja qual for a localização da empresa que trata esses dados, desde que a atividade vise o mercado europeu. Um site francês que recolha dados de visitantes franceses está plenamente abrangido.
›Devo designar um DPO para o meu site?
A designação de um encarregado de proteção de dados (DPO) é obrigatória para determinados organismos públicos e para empresas cuja atividade principal implique um acompanhamento regular e sistemático de pessoas em grande escala, ou o tratamento em grande escala de dados sensíveis. A maioria das micro e pequenas empresas com um site institucional clássico não está sujeita a essa obrigação, mas cada situação merece uma verificação específica.