O RGPD é a lei de privacidade da Europa. Se o teu formulário recolhe qualquer informação de visitantes da União Europeia, mesmo só o email, o RGPD aplica-se a ti. Não é algo que afete só grandes empresas ou setores específicos. O RGPD abrange todos os negócios do mundo que recolhem dados de residentes europeus, e as sanções por errar são severas.
O RGPD e o consentimento em formulários são as regras legais que governam que dados podes recolher de visitantes da UE, como os pedes e o que fazes com eles. Perceber estas regras é essencial antes de criares qualquer formulário que recolha dados de residentes europeus.
O que vais aprender: o que é o RGPD e a quem se aplica, o que significa consentimento legal, como estruturar campos e caixas de seleção de formulários para cumprir os requisitos do RGPD, e o que acontece se não cumprires.
O que é o RGPD e aplica-se aos teus formulários?
O RGPD (Regulamento Geral sobre a Proteção de Dados) é uma lei da União Europeia que controla como as organizações recolhem, guardam e usam dados pessoais. Aplica-se a qualquer empresa, em qualquer parte do mundo, que recolha informação de residentes da UE.
Os teus formulários estão sujeitos ao RGPD se:
- Tens visitantes da UE e o teu formulário recolhe informação deles
- Recolhes endereços de email, nomes, números de telefone, endereços IP ou qualquer outra informação de identificação
- Recolhes informação sobre residentes da UE mesmo que não estejas sediado na UE
Não importa se o teu negócio é grande ou pequeno, em que setor estás ou se vendes alguma coisa. Se recolhes dados de residentes da UE, o RGPD aplica-se.
O que exige o RGPD dos formulários?
O RGPD define várias regras específicas para formulários que recolhem dados:
Transparência: diz aos visitantes o que estás a recolher
Antes de alguém preencher o teu formulário, tem de saber que dados estás a recolher e porquê. Tens de dar informação clara sobre:
- Que dados estás a recolher (email, nome, etc.)
- O que vais fazer com eles (enviar-lhes emails, adicioná-los a uma lista de correio, guardá-los para contacto futuro)
- Quem terá acesso (a tua equipa, serviços de terceiros, etc.)
- Durante quanto tempo os vais guardar
Esta informação deve estar visível para os visitantes antes de enviarem o formulário. Uma política de privacidade para onde ligas não chega. Tens de dar a informação principal na própria página do formulário ou acima do formulário.
Consentimento: pede de forma explícita, não presumas
Na maioria das recolhas de dados, precisas de consentimento explícito do visitante. Tem de aceitar ativamente os teus termos. Marcar uma caixa é consentimento. Ficar em silêncio não é.
Isto é diferente do que acontecia nos formulários antes do RGPD. Não podes presumir que, só porque alguém enviou um formulário para te contactar, está automaticamente disposto a ser adicionado à tua lista de emails de marketing. Cada utilização dos dados exige consentimento separado.
O consentimento tem de ser dado livremente
O consentimento não pode ser uma condição para usar o teu serviço se os dados não forem necessários para esse serviço. Por exemplo, se alguém preenche um formulário de contacto para fazer uma pergunta, precisas do email para responder. Não precisas de consentimento para isso porque é necessário. Mas se queres adicioná-lo à tua newsletter de marketing, isso é opcional, e precisas de consentimento explícito.
O próprio mecanismo de consentimento tem de ser claro
Se usas uma caixa de seleção para o consentimento, ela tem de começar desmarcada. Os visitantes têm de a marcar ativamente. Caixas pré-marcadas não contam como consentimento. A linguagem tem de ser clara e simples, sem se esconder em jargão jurídico.
Estruturar formulários para o consentimento do RGPD
Dados essenciais vs. opcionais
Primeiro, separa os dados de que precisas absolutamente dos dados opcionais:
- Essenciais: informação de que precisas para cumprir o pedido (email para responder a um formulário de contacto, morada para enviar uma encomenda)
- Opcionais: informação que queres para marketing ou análise (de que canal vieram, qual é o cargo)
Marca os campos opcionais com clareza com "(opcional)" para os visitantes saberem que não têm de os preencher.
Caixas de consentimento separadas
Se queres usar os dados para vários fins, usa caixas separadas. Uma para "Aceito ser contactado por email" e outra para "Aceito receber emails de marketing." Não as juntes numa só caixa.
<label> <input type="checkbox" name="contact_consent" required> You agree that we may contact you to respond to this inquiry </label> <label> <input type="checkbox" name="marketing_consent"> I agree to receive marketing emails about new products and special offers </label>Repara que a primeira caixa é obrigatória (necessária para o serviço) mas desmarcada por defeito. A segunda é opcional (o marketing não é necessário) e também desmarcada por defeito.
Linguagem de consentimento clara e legível
O texto da caixa tem de ser claro e específico. Frases genéricas como "Aceito os vossos termos e condições" não satisfazem o RGPD. Sê específico sobre com o que o visitante está a concordar.
Mau: "Aceito"
Melhor: "Aceito receber emails de marketing"
O melhor: "Aceito receber emails de marketing sobre produtos e ofertas cerca de duas vezes por mês"
Quanto mais específico, melhor. Diz aos visitantes exatamente com o que estão a consentir.
Liga à tua política de privacidade
Depois das caixas de consentimento, inclui uma ligação à tua política de privacidade completa. Isto permite aos visitantes ler os detalhes completos sobre como tratas os dados deles, se quiserem.
<p>By submitting this form, you agree to our <a href="/glossario/politica-de-privacidade">privacy policy</a>.</p>Retenção de dados e RGPD
O RGPD também exige que só guardes dados pessoais enquanto for necessário. Tens de definir e seguir uma política de retenção de dados.
- Durante quanto tempo vais guardar os envios do formulário de contacto? (30 dias? 6 meses? Até o pedido estar resolvido?)
- Durante quanto tempo vais manter pessoas numa lista de emails de marketing? (Até cancelarem a subscrição?)
- Durante quanto tempo vais guardar os dados do cliente depois de uma compra? (7 anos para registos fiscais, depois apagar)
Documenta a tua política de retenção e aplica-a. Cria um calendário para apagar automaticamente envios e dados antigos.
Direitos que o RGPD dá aos titulares dos dados
Quando alguém envia um formulário no teu site, tem direitos ao abrigo do RGPD:
- Direito de acesso: pode perguntar que dados tens sobre ela
- Direito a ser esquecido: pode pedir-te para apagares os dados (embora haja exceções, como registos fiscais)
- Direito de retificação: pode pedir-te para corrigires dados incorretos
- Direito à portabilidade dos dados: pode pedir-te para lhe dares os dados num formato portátil
- Direito de retirar o consentimento: pode retirar o consentimento para emails de marketing ou outros usos a qualquer momento
Deves estar preparado para tratar estes pedidos. Isto normalmente quer dizer ter um processo para as pessoas submeterem estes pedidos (um endereço de email, um formulário, etc.) e uma forma de responder em 30 dias.
Multas e consequências do RGPD
As violações do RGPD têm sanções significativas:
- Até 20 milhões de euros ou 4% da tua faturação anual mundial (o valor mais alto) nas violações mais graves
- Até 10 milhões de euros ou 2% da faturação nas violações menos graves
- Na prática, até pequenas empresas enfrentam multas de seis dígitos por violações de dados ou de consentimento
Para além das multas, uma violação do RGPD pode prejudicar a tua reputação, fazer-te perder clientes e criar responsabilidade legal se os dados forem mal usados.
Lista de verificação de conformidade com o RGPD para formulários
- [ ] Identificaste que dados estás a recolher
- [ ] Tens uma política de privacidade clara
- [ ] Mostras a informação principal de privacidade acima ou dentro do formulário
- [ ] Todas as caixas de seleção começam desmarcadas
- [ ] As caixas de consentimento usam linguagem clara e específica
- [ ] Tens caixas separadas para usos separados dos dados (contacto vs. marketing)
- [ ] O teu formulário explica a retenção de dados (durante quanto tempo guardas os envios)
- [ ] Tens uma política de retenção de dados e aplicas-a (apagas dados antigos)
- [ ] Tens um processo para as pessoas pedirem acesso, eliminação ou correção dos seus dados
- [ ] Consegues cancelar facilmente a subscrição de pessoas dos emails de marketing
- [ ] Sabes onde estão guardados os dados dos visitantes e quem lhes tem acesso
O que a WEMASY faz pela conformidade com o RGPD
Os formulários da WEMASY incluem funcionalidades de gestão de consentimento que te ajudam a cumprir os requisitos do RGPD. Podes acrescentar caixas de consentimento aos teus formulários e a WEMASY regista as opções a que cada visitante deu consentimento. Os envios incluem marcas de data e hora para saberes quando o consentimento foi dado. Geres a retenção de dados eliminando os envios antigos de que já não precisas.
A tua marca continua a precisar de uma política de privacidade e de decidir como tratar os pedidos de acesso a dados, mas a WEMASY trata da infraestrutura técnica do consentimento e da gestão de dados.
Sabe mais sobre as funcionalidades de conformidade do teu plano na página de preços.