Um guia prático de requisitos do GDPR para politica de privacidade

Este guia explica requisitos do GDPR para politica de privacidade na prática, com foco em decisões de analytics que respeitam a privacidade.

Uma política de privacidade não é uma página jurídica decorativa. É onde um site explica quais dados pessoais coleta, por que os coleta, quem os recebe, por quanto tempo são mantidos e quais direitos as pessoas têm.

Para sites com muitas análises, a política de privacidade deve ser específica o suficiente para descrever rastreamento, cookies, pixels, eventos, fornecedores e usos de publicidade. Linguagem vaga como “podemos coletar informações para melhorar os serviços” raramente é suficiente.

Requisitos do Aviso de Privacidade GDPR

GDPR Os artigos 13 e 14 estabelecem requisitos de transparência para dados pessoais coletados diretamente de pessoas ou obtidos indiretamente. Uma política de privacidade prática deve incluir:

• A identidade e dados de contacto do responsável pelo tratamento.
• Dados de contacto do responsável pela proteção de dados, se aplicável.
• Categorias de dados pessoais coletados.
• Finalidades do processamento.
• Base jurídica para cada finalidade.
• Interesses legítimos, se invocados.
• Destinatários ou categorias de destinatários.
• Transferências e salvaguardas internacionais.
• Períodos ou critérios de retenção.
• Direitos do titular dos dados.
• Direito de retirar o consentimento.
• Direito de apresentar uma reclamação junto de uma autoridade de controlo.
• Se o fornecimento de dados é necessário e as consequências de não fornecê-los.
• Se ocorre tomada de decisão automatizada ou criação de perfil.

O texto GDPR é o ponto de partida oficial (GDPR Artigo 13, GDPR Artigo 14).

Divulgações analíticas

Para análise da web, divulgue:

• Quais ferramentas analíticas você usa.
• Quais dados eles coletam.
• Se são utilizados cookies ou tecnologias semelhantes.
• Se os identificadores são persistentes.
• Se os endereços IP são armazenados ou truncados.
• Se os dados são compartilhados com fornecedores ou plataformas de anúncios.
• Se os dados são usados para publicidade entre sites.
• Como os usuários podem cancelar ou alterar o consentimento.
• Período de retenção para dados analíticos.

Se você usar Google Analytics, o Google afirma que o Analytics usa cookies como _ga para distinguir visitantes (Privacidade e Termos do Google). Sua política não deve implicar que nenhum identificador seja usado se sua implementação os utilizar.

Se você usar análises que priorizam a privacidade sem cookies, diga isso claramente, mas não exagere. Explique o que ainda é coletado, como página URL, referenciador, navegador, tipo de dispositivo e localização aproximada.

Política e consentimento de cookies

Muitos sites combinam uma política de privacidade com uma política de cookies separada. Qualquer estrutura pode funcionar se os usuários puderem compreender as informações.

A divulgação de cookies deve incluir:

• Nome do cookie ou da tecnologia.
• Provedor.
• Objetivo.
• Duração.
• Seja essencial ou opcional.
• Se terceiros recebem dados.
• Como as preferências podem ser alteradas.

Os reguladores muitas vezes tratam os cookies analíticos como não essenciais, a menos que se aplique uma isenção restrita. O UK ICO afirma que as organizações precisam de um mecanismo de consentimento que permita aos usuários controlar cookies não essenciais e tecnologias semelhantes (ICO).

Adições CCPA/CPRA

Se o CCPA se aplicar, seu aviso também precisará de divulgações específicas da Califórnia. O Procurador-Geral da Califórnia resume os direitos do consumidor, incluindo acesso, exclusão, correção, cancelamento de venda ou compartilhamento e limites de informações pessoais confidenciais (California OAG).

As empresas cobertas devem abordar:

• Categorias de informações pessoais coletadas.
• Fontes de informações pessoais.
• Fins empresariais ou comerciais.
• Categorias de terceiros divulgadas.
• Divulgações de venda ou compartilhamento.
• Uso de informações pessoais confidenciais.
• Métodos de solicitação de direitos.
• Não discriminação.
• Mecanismos de “Não vender ou compartilhar” quando necessário.

Erros comuns de política de privacidade

• Listando ferramentas que não são mais usadas.
• Omitindo pixels do gerenciador de tags adicionados pelo marketing.
• Dizer que os dados são anônimos quando são pseudônimos.
• Deixando de mencionar transferências internacionais.
• Escondendo a retenção atrás de "enquanto for necessário".
• Esquecendo a repetição da sessão, mapas de calor, testes A/B e widgets de chat.
• Envio de dados pessoais em URLs reivindicando coleta mínima.
• Não explicando a retirada do consentimento.

Fluxo de trabalho prático de manutenção

Revise a política de privacidade sempre que:

• Uma nova ferramenta de análise ou publicidade é adicionada.
• Um contêiner do gerenciador de tags muda.
• Uma nova região é o alvo.
• Um fornecedor muda de subprocessador.
• Um banner de cookie muda.
• As configurações de retenção de dados mudam.
• Novos eventos coletam dados relacionados à conta ou ao formulário.

As políticas de privacidade mudam porque os sites mudam. Mantenha um cadastro simples dos pontos de coleta de dados e compare-o com o edital publicado trimestralmente.

A melhor política de privacidade é fácil de escrever porque as práticas de dados são simples. Uma configuração de análise que prioriza a privacidade, sem cookies, sem compartilhamento de publicidade, sem armazenamento IP completo e relatórios agregados, é mais fácil de explicar, mais fácil de defender e mais fácil para os visitantes confiarem.

A redação analítica deve corresponder à realidade

Evite afirmações absolutas, a menos que a implementação as apoie. A "análise anônima" só será precisa se os dados não puderem identificar razoavelmente uma pessoa. Muitos sistemas analíticos são pseudônimos, e não anônimos, porque usam identificadores ou podem vincular atividades ao longo do tempo.

Uma redação melhor é específica: "Usamos análises sem cookies para contar visitas agregadas de páginas, referenciadores, tipo de dispositivo e localização em nível de país. Não usamos cookies analíticos nem vendemos dados analíticos." Em seguida, verifique a configuração regularmente.

Combine a política com o inventário de tags

Antes de publicar, compare a política com um rastreamento ativo do seu site. Liste cada script, iframe, cookie, chave de armazenamento local, pixel de rastreamento, widget de bate-papo, provedor de fontes, ferramenta de formulário e serviço de mídia incorporado. Em seguida, verifique se cada item aparece na política de privacidade, no aviso de cookies ou no registro do fornecedor com a mesma finalidade e história de retenção.

Isso detecta desvios comuns. O marketing pode remover um pixel, mas deixá-lo na política, fazendo com que o aviso pareça mais assustador do que a realidade. Ou um novo script de teste A/B pode aparecer sem qualquer divulgação. Uma revisão trimestral da etiqueta à política mantém o aviso público alinhado com o que os visitantes realmente vivenciam.

Lista de verificação de revisão de políticas

Antes de publicar a política, documente cada evento analítico coletado, a decisão que ele suporta, se usa armazenamento ou identificadores, quais fornecedores os recebem e quando os registros brutos expiram. Em seguida, teste o site ativo em um perfil de navegador limpo.

A política estará pronta somente quando o aviso, o registro do fornecedor, o comportamento de consentimento e as evidências do navegador contarem a mesma história. Se o painel de rede mostrar um rastreador que a política não explica, corrija a implementação ou o texto antes do lançamento.