Um guia prático de requisitos do GDPR para politica de privacidade

Aviso de privacidade não é peça de vitrine: os requisitos do GDPR para política de privacidade cobram que cada frase corresponda ao que o site realmente faz.

Uma política de privacidade não é uma página jurídica decorativa. É onde um site explica quais dados pessoais coleta, por que os coleta, quem os recebe, por quanto tempo são mantidos e quais direitos as pessoas têm.

Para sites com muitas análises, a política de privacidade deve ser específica o suficiente para descrever rastreamento, cookies, pixels, eventos, fornecedores e usos de publicidade. Linguagem vaga como “podemos coletar informações para melhorar os serviços” raramente é suficiente.

Requisitos do Aviso de Privacidade GDPR

GDPR Os artigos 13 e 14 estabelecem requisitos de transparência para dados pessoais coletados diretamente de pessoas ou obtidos indiretamente. Uma política de privacidade prática deve incluir:

• A identidade e dados de contacto do responsável pelo tratamento.
• Dados de contacto do responsável pela proteção de dados, se aplicável.
• Categorias de dados pessoais coletados.
• Finalidades do processamento.
• Base jurídica para cada finalidade.
• Interesses legítimos, se invocados.
• Destinatários ou categorias de destinatários.
• Transferências e salvaguardas internacionais.
• Períodos ou critérios de retenção.
• Direitos do titular dos dados.
• Direito de retirar o consentimento.
• Direito de apresentar uma reclamação junto de uma autoridade de controlo.
• Se o fornecimento de dados é necessário e as consequências de não fornecê-los.
• Se ocorre tomada de decisão automatizada ou criação de perfil.

O texto GDPR é o ponto de partida oficial (GDPR Artigo 13, GDPR Artigo 14).

Divulgações analíticas

Para análise da web, divulgue:

• Quais ferramentas analíticas você usa.
• Quais dados eles coletam.
• Se são utilizados cookies ou tecnologias semelhantes.
• Se os identificadores são persistentes.
• Se os endereços IP são armazenados ou truncados.
• Se os dados são compartilhados com fornecedores ou plataformas de anúncios.
• Se os dados são usados para publicidade entre sites.
• Como os usuários podem cancelar ou alterar o consentimento.
• Período de retenção para dados analíticos.

Se você usar Google Analytics, o Google afirma que o Analytics usa cookies como _ga para distinguir visitantes (Privacidade e Termos do Google). Sua política não deve implicar que nenhum identificador seja usado se sua implementação os utilizar.

Se você usar análises que priorizam a privacidade sem cookies, diga isso claramente, mas não exagere. Explique o que ainda é coletado, como página URL, referenciador, navegador, tipo de dispositivo e localização aproximada.

Política e consentimento de cookies

Muitos sites combinam uma política de privacidade com uma política de cookies separada. Qualquer estrutura pode funcionar se os usuários puderem compreender as informações.

A divulgação de cookies deve incluir:

• Nome do cookie ou da tecnologia.
• Provedor.
• Objetivo.
• Duração.
• Seja essencial ou opcional.
• Se terceiros recebem dados.
• Como as preferências podem ser alteradas.

Os reguladores muitas vezes tratam os cookies analíticos como não essenciais, a menos que se aplique uma isenção restrita. O UK ICO afirma que as organizações precisam de um mecanismo de consentimento que permita aos usuários controlar cookies não essenciais e tecnologias semelhantes (ICO).

Adições CCPA/CPRA

Se o CCPA se aplicar, seu aviso também precisará de divulgações específicas da Califórnia. O Procurador-Geral da Califórnia resume os direitos do consumidor, incluindo acesso, exclusão, correção, cancelamento de venda ou compartilhamento e limites de informações pessoais confidenciais (California OAG).

As empresas cobertas devem abordar:

• Categorias de informações pessoais coletadas.
• Fontes de informações pessoais.
• Fins empresariais ou comerciais.
• Categorias de terceiros divulgadas.
• Divulgações de venda ou compartilhamento.
• Uso de informações pessoais confidenciais.
• Métodos de solicitação de direitos.
• Não discriminação.
• Mecanismos de “Não vender ou compartilhar” quando necessário.

Erros comuns de política de privacidade

• Listando ferramentas que não são mais usadas.
• Omitindo pixels do gerenciador de tags adicionados pelo marketing.
• Dizer que os dados são anônimos quando são pseudônimos.
• Deixando de mencionar transferências internacionais.
• Escondendo a retenção atrás de "enquanto for necessário".
• Esquecendo a repetição da sessão, mapas de calor, testes A/B e widgets de chat.
• Envio de dados pessoais em URLs reivindicando coleta mínima.
• Não explicando a retirada do consentimento.

Fluxo de trabalho prático de manutenção

Revise a política de privacidade sempre que:

• Uma nova ferramenta de análise ou publicidade é adicionada.
• Um contêiner do gerenciador de tags muda.
• Uma nova região é o alvo.
• Um fornecedor muda de subprocessador.
• Um banner de cookie muda.
• As configurações de retenção de dados mudam.
• Novos eventos coletam dados relacionados à conta ou ao formulário.

As políticas de privacidade mudam porque os sites mudam. Mantenha um cadastro simples dos pontos de coleta de dados e compare-o com o edital publicado trimestralmente.

A melhor política de privacidade é fácil de escrever porque as práticas de dados são simples. Uma configuração de análise que prioriza a privacidade, sem cookies, sem compartilhamento de publicidade, sem armazenamento IP completo e relatórios agregados, é mais fácil de explicar, mais fácil de defender e mais fácil para os visitantes confiarem.

A redação analítica deve corresponder à realidade

Evite afirmações absolutas, a menos que a implementação as apoie. A "análise anônima" só será precisa se os dados não puderem identificar razoavelmente uma pessoa. Muitos sistemas analíticos são pseudônimos, e não anônimos, porque usam identificadores ou podem vincular atividades ao longo do tempo.

Uma redação melhor é específica: "Usamos análises sem cookies para contar visitas agregadas de páginas, referenciadores, tipo de dispositivo e localização em nível de país. Não usamos cookies analíticos nem vendemos dados analíticos." Em seguida, verifique a configuração regularmente.

Combine a política com o inventário de tags

Antes de publicar, compare a política com um rastreamento ativo do seu site. Liste cada script, iframe, cookie, chave de armazenamento local, pixel de rastreamento, widget de bate-papo, provedor de fontes, ferramenta de formulário e serviço de mídia incorporado. Em seguida, verifique se cada item aparece na política de privacidade, no aviso de cookies ou no registro do fornecedor com a mesma finalidade e história de retenção.

Isso detecta desvios comuns. O marketing pode remover um pixel, mas deixá-lo na política, fazendo com que o aviso pareça mais assustador do que a realidade. Ou um novo script de teste A/B pode aparecer sem qualquer divulgação. Uma revisão trimestral da etiqueta à política mantém o aviso público alinhado com o que os visitantes realmente vivenciam.

Lista de verificação de revisão de políticas

Antes de publicar a política, documente cada evento analítico coletado, a decisão que ele suporta, se usa armazenamento ou identificadores, quais fornecedores os recebem e quando os registros brutos expiram. Em seguida, teste o site ativo em um perfil de navegador limpo.

A política estará pronta somente quando o aviso, o registro do fornecedor, o comportamento de consentimento e as evidências do navegador contarem a mesma história. Se o painel de rede mostrar um rastreador que a política não explica, corrija a implementação ou o texto antes do lançamento.

Perguntas Frequentes

O que uma política de privacidade compatível com o GDPR precisa divulgar sobre a coleta de dados?

Segundo os artigos 13 e 14 do GDPR, a política precisa da identidade e dos dados de contato do controlador, das categorias de dados pessoais coletados e das finalidades e da base legal de cada uma. Os destinatários, os prazos de retenção e as transferências internacionais envolvidas também precisam constar. Ela também deve cobrir os direitos dos titulares, o direito de retirar o consentimento e o direito de apresentar reclamação a uma autoridade de supervisão.

A política de cookies pode fazer parte da política de privacidade principal?

As duas estruturas funcionam desde que as pessoas consigam entender a informação. Muitos sites combinam as duas em um único documento, enquanto outros mantêm uma política de cookies separada, listando o nome, o fornecedor, a finalidade, a duração e se cada cookie é essencial ou opcional.

O Google Analytics usa cookies?

O Google afirma que o Analytics usa cookies como o _ga para distinguir visitantes. Uma política não deve sugerir que nenhum identificador é usado se a implementação real do site depende deles.

Que dados o analytics sem cookies ainda coleta?

O analytics sem cookies e privacy-first ainda pode registrar a URL da página, o referenciador, o navegador, o tipo de dispositivo e a localização aproximada, mesmo sem cookies. Vale dizer isso com clareza em vez de sugerir que nada é rastreado.

A CCPA exige divulgações além das do GDPR?

Sim, se a CCPA se aplicar. Um aviso voltado à Califórnia também precisa cobrir categorias e fontes das informações pessoais coletadas, finalidades comerciais, categorias de terceiros, divulgações de venda ou compartilhamento, uso de informações pessoais sensíveis, métodos de solicitação de direitos, não discriminação e mecanismos de "Do Not Sell or Share" quando exigidos.

Qual é a diferença entre dados de analytics anônimos e pseudonimizados?

Dados anônimos não conseguem identificar razoavelmente uma pessoa, enquanto dados pseudonimizados usam identificadores ou conseguem ligar atividade ao longo do tempo sem associar um nome. Muitos sistemas de analytics são pseudonimizados, não anônimos, então chamá-los de "anônimos" em uma política afirma mais do que a configuração realmente faz.

Com que frequência uma política de privacidade deve ser revisada?

Revise sempre que uma nova ferramenta de analytics ou publicidade for adicionada, um contêiner do gerenciador de tags mudar, uma nova região for visada ou um fornecedor trocar de subprocessadores. Revise também quando o banner de cookies mudar, as configurações de retenção mudarem, ou novos eventos passarem a coletar dados de conta ou formulário. Comparar um registro de pontos de coleta de dados com o aviso publicado a cada trimestre revela esse desalinhamento.

O que envolve uma revisão de tags versus política?

Uma revisão de tags versus política lista cada script, iframe, cookie, chave de local storage, pixel de rastreamento, widget de chat, provedor de fontes, ferramenta de formulário e serviço de mídia incorporado do site. Depois, cada um é verificado na política de privacidade, no aviso de cookies ou no registro de fornecedores, com a mesma finalidade e o mesmo prazo de retenção. Isso revela quando o marketing remove um pixel mas o deixa na política, ou adiciona um novo script de teste A/B sem divulgação.

Cookies de analytics são tratados como essenciais nas regras de consentimento?

Não, os reguladores costumam tratar cookies de analytics como não essenciais, a menos que uma exceção restrita se aplique. A ICO do Reino Unido exige um mecanismo de consentimento que permita aos usuários controlar cookies não essenciais e tecnologias semelhantes.

Quais são os erros comuns em uma política de privacidade?

Erros comuns incluem listar ferramentas que não são mais usadas, omitir pixels do gerenciador de tags adicionados pelo marketing e descrever dados pseudonimizados como anônimos. Outros são deixar de mencionar transferências internacionais, esconder a retenção atrás de "pelo tempo que for necessário", esquecer session replay, heatmaps, testes A/B e widgets de chat, e enviar dados pessoais em URLs enquanto afirma coleta mínima.