O RGPD é a referência global da regulação da privacidade. Embora seja uma lei da UE, afeta todas as empresas com visitantes da UE. Na análise, o RGPD é claro: precisas de consentimento explícito antes de acompanhar a maior parte do comportamento dos utilizadores, tens de documentar a tua base legal e tens de respeitar os direitos dos utilizadores de aceder e apagar os seus dados. Perceber o RGPD é a base para construir uma análise conforme em todo o mundo.
Os requisitos essenciais do RGPD para a análise
O RGPD define dados pessoais de forma ampla: tudo o que possa identificar uma pessoa, direta ou indiretamente. Um endereço IP é um dado pessoal. Um cookie único é um dado pessoal. Endereços de email, números de telefone e identificadores caem todos sob o RGPD. Na análise, isto significa que quase todo o rastreamento ativa requisitos do RGPD.
O requisito do consentimento
O RGPD exige consentimento explícito e informado antes de poderes recolher a maioria dos dados pessoais. Isto significa: o utilizador tem de concordar ativamente (não basta não recusar), tem de perceber ao que está a aceitar (não escondido em juridiquês) e o consentimento tem de ser dado livremente (sem coação). Na análise, isto costuma significar um aviso de cookies que explica com clareza o rastreamento que fazes e obtém um clique ativo em “Aceito”.
O consentimento é a base legal mais comum para a análise ao abrigo do RGPD. Algumas empresas invocam antes um “interesse legítimo”, mas os tribunais restringiram muito esta base. Na maioria dos usos de análise, assume que precisas de consentimento.
O interesse legítimo como alternativa
Algumas finalidades de análise, como deteção de fraude, segurança do site e monitorização básica de desempenho, podem ser permitidas por “interesse legítimo” sem consentimento explícito. Mas o interesse legítimo exige: a necessidade do negócio tem de ser genuína, a recolha de dados tem de ser proporcional a essa necessidade e os direitos de privacidade dos utilizadores não podem sobrepor-se ao teu interesse. A maior parte da análise não passa neste teste. Assume que precisas de consentimento para a maioria do rastreamento.
O acordo de tratamento de dados
Se usas uma ferramenta de análise de terceiros (como o Google Analytics), precisas de um Acordo de Tratamento de Dados (DPA) com esse fornecedor. O DPA estabelece que o fornecedor é o teu subcontratante, não um responsável independente. Sem DPA, podes ser responsabilizado pelas práticas do fornecedor. Com ele, a responsabilidade fica claramente definida.
Os direitos dos utilizadores ao abrigo do RGPD
O RGPD dá às pessoas seis direitos principais que afetam a análise: o direito de saber que dados tens (direito de acesso), o direito de corrigir dados incorretos, o direito de apagar dados (direito a ser esquecido), o direito de limitar o tratamento, o direito à portabilidade dos dados e o direito de se opor ao tratamento.
Direito de acesso
Os utilizadores podem pedir todos os dados que tens sobre eles. Tens de responder em 30 dias com um registo completo. Na análise, isto significa que precisas de sistemas para obter e reportar os dados de cada utilizador. Se a tua análise está guardada de uma forma difícil de consultar, tens um problema de conformidade com o RGPD.
Direito a ser esquecido
Os utilizadores podem pedir a eliminação dos seus dados. Tens de cumprir em 30 dias (com algumas exceções por obrigações legais). Na análise, isto significa que precisas de poder apagar registos de utilizadores individuais. Se os teus dados de análise forem agregados ou anonimizados, é mais fácil. Se estiverem ligados a identidades individuais, precisas de sistemas de eliminação.
Direito de oposição
Os utilizadores podem opor-se a qualquer tratamento dos seus dados. Tens de parar (a não ser que tenhas um motivo legal imperioso para continuar). Na análise, isto significa que precisas de uma forma fácil de os utilizadores recusarem o rastreamento. A recusa tem de ser tão fácil de usar como a aceitação.
A conformidade com o RGPD na prática
A conformidade com o RGPD na análise exige: uma política de privacidade clara e fácil de encontrar; um aviso de cookies que peça consentimento explícito antes de rastrear; um Acordo de Tratamento de Dados com o teu fornecedor de análise; sistemas para responder a pedidos de acesso e eliminação em 30 dias; e a possibilidade de os utilizadores retirarem o consentimento em qualquer momento.
Violações comuns do RGPD na análise
Caixas de consentimento pré-assinaladas: o utilizador tem de clicar ativamente para consentir. Uma caixa já assinalada não é um consentimento válido.
Consentimento agrupado: os utilizadores têm de consentir separadamente na análise. Não podes juntar o consentimento para análise, marketing e outras finalidades num único interruptor.
Sem acordos com fornecedores: usar uma ferramenta de análise de terceiros sem DPA é uma violação. As práticas do fornecedor são responsabilidade tua.
Sem recusa: se é preciso consentimento para rastrear, os utilizadores têm de ter uma forma clara de recusar. Ligações de recusa escondidas não contam.
Eliminação impossível: prometer apagar dados sem ter sistemas para o fazer é uma violação. A eliminação tem de ser tecnicamente possível.
O RGPD e as transferências de dados
O RGPD restringe a transferência de dados de residentes da UE para fora da UE, a menos que existam proteções equivalentes. Se o teu fornecedor de análise guarda dados nos EUA, precisas de um mecanismo legal (Cláusulas Contratuais-Tipo, Regras Vinculativas para Empresas) para tornar a transferência conforme com o RGPD. É um ponto doloroso comum para as equipas de análise. Muitas ferramentas sediadas nos EUA oferecem agora servidores na UE ou garantias de residência dos dados para resolver isto.
Em que difere o consentimento do RGPD do interesse legítimo? Porque não confiar no interesse legítimo para a análise?
O consentimento é uma adesão explícita. O interesse legítimo é afirmar que as necessidades do teu negócio se sobrepõem às preocupações de privacidade. Os tribunais restringiram o interesse legítimo porque as empresas abusaram dele. Na análise: o rastreamento de visualizações de página para desempenho pode qualificar-se como interesse legítimo. O rastreamento comportamental detalhado provavelmente não. As autoridades da UE dizem: se é para marketing ou análise comportamental, obtém consentimento. Não assumas que o interesse legítimo funciona. Abordagem segura: trata a análise como algo que exige consentimento.
O que significa realmente uma explicação clara num aviso de cookies?
Clara significa linguagem simples e legível, não juridiquês. Específica significa que dizes o que rastreias, não frases vagas como “melhorar a tua experiência”. Exemplo de vago: “Usamos cookies de análise.” Exemplo de claro: “Usamos o Google Analytics para medir visitas a páginas, cliques em botões e tempo na página para melhorar o site.” Inclui: o nome da ferramenta, o que recolhe, porque recolhes, o prazo de retenção e se partilhas com terceiros. Teste: uma pessoa não técnica percebe o que rastreias sem clicar na tua política de privacidade? Se sim, é suficientemente claro.
Preciso de um DPA com o Google Analytics, ou só com fornecedores especializados?
Precisas de um DPA com qualquer ferramenta que trate dados pessoais. O Google Analytics trata dados pessoais (IPs, sessões, IDs de utilizador), por isso sim. O Google disponibiliza um DPA automaticamente através dos seus termos. Verifica: inicia sessão no Google Analytics e confirma que aceitaste o Aditamento de Tratamento de Dados. Os fornecedores de análise especializados também tratam dados pessoais, por isso precisas de DPAs com eles. A maioria disponibiliza DPAs nos seus termos ou como documentos separados. Regra: se o fornecedor toca em dados pessoais, precisas de um DPA. Se não o consegues obter, não uses o fornecedor.
Qual é a diferença entre Cláusulas Contratuais-Tipo e decisões de adequação?
Ambos são mecanismos para transferir legalmente dados da UE para fora da UE. A decisão de adequação significa que a UE determinou que um país tem proteção de privacidade equivalente (os EUA não têm uma). As Cláusulas Contratuais-Tipo (CCT) são contratos com fornecedores que os comprometem com os padrões da UE. Diferença prática: as decisões de adequação são mais simples, as CCT exigem contratos. Na análise, a maioria dos fornecedores (incluindo o Google) oferece CCT nos seus DPAs. Confirma com o teu fornecedor: oferece Cláusulas Contratuais-Tipo para transferências de dados da UE? Se sim, usa-as. Se não, usa apenas fornecedores com armazenamento de dados na UE.
Se receber um pedido de acesso a dados, o que tenho de fornecer exatamente a partir da análise?
Tudo o que tens sobre essa pessoa, num formato legível. Do Google Analytics: todas as sessões e eventos (se acompanhas IDs de utilizador) ou IDs de sessão. Inclui: datas, páginas visitadas, eventos disparados, tempo na página, qualquer informação pessoal identificável (nomes, emails). De outros sistemas: mapas de calor, gravações de sessões, rastreamento comportamental. Exporta em PDF ou HTML, não em despejos em bruto da base de dados. O utilizador deve percebê-lo sem conhecimentos técnicos. Se não consegues obter facilmente os dados de cada utilizador, tens um problema com o RGPD. A maioria das plataformas permite exportação por utilizador. Se a tua não permite, muda de plataforma ou cria uma exportação à medida.
O meu concorrente não tem aviso de cookies e rastreia utilizadores. Como é que cumpre o RGPD?
Ou: (1) Não cumpre de facto o RGPD e espera que as autoridades não o apanhem (arriscado). (2) Argumenta que o rastreamento é interesse legítimo (os tribunais são céticos). (3) Rastreia apenas dados anonimizados/agregados (não precisa de consentimento). (4) Rastreia apenas cookies essenciais (início de sessão, CSRF, sem necessidade de consentimento). (5) Opera onde a fiscalização do RGPD é fraca. Realidade: muitos violam o RGPD e nunca são apanhados. Mas o risco é real: uma queixa desencadeia uma investigação e multas. Abordagem inteligente: assume que o RGPD se aplica se tens visitantes da UE, aplica o consentimento como deve ser, não contes com o incumprimento dos concorrentes.