Política de privacidade: manter a lista de serviços atual

O que o RGPD exige

Quando recolhes dados pessoais de uma pessoa, o artigo 13.º, n.º 1, do RGPD enumera o que lhe tens de comunicar nesse momento. A alínea e) refere “os destinatários ou categorias de destinatários dos dados pessoais, se os houver”. Um destinatário, segundo o artigo 4.º, ponto 9, é uma pessoa, autoridade, agência ou outro organismo que recebe comunicações de dados pessoais, independentemente de se tratar ou não de um terceiro. A alínea f) acrescenta, se for caso disso, informações sobre uma transferência para um país terceiro. O artigo 12.º, n.º 1, exige estas informações de forma concisa, transparente, inteligível e de fácil acesso, numa linguagem clara e simples.

O RGPD permite categorias de destinatários. Saber se uma categoria como “fornecedores de análise” basta no teu caso, ou se deves nomear cada serviço, é uma questão jurídica que este guia não decide. Se a tua política de privacidade nomear serviços individuais, essa lista tem de corresponder ao site.

Porque é que a lista se afasta

O site muda mais vezes do que a política de privacidade. Um novo plugin, um novo tema, um vídeo num artigo do blogue, a mudança para outra ferramenta de newsletter: cada uma destas coisas pode acrescentar ou remover um destinatário. Muitas vezes várias pessoas trabalham no mesmo site, e cada alteração parece pequena. Ninguém atualiza a política, porque a alteração não parecia um tema de proteção de dados. Ao fim de um ano, a política pode descrever um site que já não existe.

Lacunas típicas

• Um plugin ou um tema carrega um tipo de letra, um mapa ou um script de um servidor externo, e ninguém reparou.
• Um gestor de etiquetas acrescenta uma nova ferramenta sem qualquer alteração ao código do site.
• Um editor incorpora um vídeo ou uma publicação de redes sociais num único artigo.
• Uma ferramenta foi removida há meses, mas continua indicada na política.
• Mudaste de fornecedor, por exemplo para a newsletter ou o chat, e a política ainda indica o antigo.
• Um modelo ou um gerador de texto acrescentou serviços que o teu site nunca usou.

Como montar a lista real

1. 1Verifica o que o site carrega: abre as páginas principais numa janela privada com as ferramentas de programador do teu navegador, ou usa uma análise. Anota cada servidor externo e o serviço por trás dele.
2. 2Verifica o que está instalado: os plugins e as extensões do teu sistema de gestão de conteúdos, as etiquetas no teu gestor de etiquetas e os conteúdos incorporados.
3. 3Verifica quem mais recebe dados: percorre os contratos e as faturas dos teus prestadores de serviços, incluindo os que nunca aparecem no site.
4. 4Compara esta lista com a política de privacidade, serviço a serviço: está indicado, com a empresa certa, a finalidade e, quando se aplica, a transferência para um país terceiro?
5. 5Compara-a também com o teu banner de consentimento. O banner tem a sua própria lista de serviços e deve descrever a mesma realidade.

O banner de consentimento é uma segunda lista

Para armazenar ou ler informações no dispositivo do visitante, como cookies, o § 25 TDDDG, na Alemanha, exige um consentimento baseado em informações claras e completas. Na Polónia, o artigo 399 da Lei das Comunicações Eletrónicas exige que o utilizador seja primeiro informado, entre outras coisas sobre a finalidade, e só depois dê o seu acordo. As duas disposições têm exceções para o que é estritamente necessário ou necessário para um serviço pedido. Se faltar um serviço no banner, o visitante não pode decidir sobre ele. Se um serviço removido continuar listado, o banner descreve algo que não acontece.

Uma rotina de revisão

Guarda uma nota curta de cada revisão: a data, as páginas que verificaste, o que encontraste e o que alteraste na política ou no banner. Assim consegues ver mais tarde o que foi verificado e quando. Nomeia uma pessoa responsável pela revisão, para que ela não dependa do acaso. Isto é um hábito que sugerimos, não uma regra da lei.

Trabalhar com o Do4U

A Verificação da política de privacidade compara a tua política de privacidade com o teu site. Indicas a página inicial, mais algumas páginas do mesmo site se quiseres, e o endereço ou o texto da tua política de privacidade. O Do4U lê as páginas e encontra os serviços de terceiros que elas carregam. A IA do Do4U lê a política de privacidade e enumera cada serviço e destinatário que ela indica, cada um com uma citação. O código verifica se cada citação está na política palavra por palavra e faz ele próprio a comparação. Recebes três listas: incorporado mas não indicado, indicado mas não encontrado, e encontrado e indicado. A verificação é estática: não executa JavaScript e lê apenas as páginas que indicas.

O Do4U encontra pistas; tu verificas e decides. “Indicado mas não encontrado” pode significar que um serviço carrega mais tarde, noutras páginas ou fora do site. O resultado não diz se a tua política de privacidade está completa ou correta.