Ciclo de vida do consentimento do RGPD: recolha, conservação e retirada (opt-out)

O consentimento é um pilar fundamental na gestão de dados pessoais, especialmente no contexto do Regulamento Geral sobre a Proteção de Dados (RGPD), como já discutimos em artigos anteriores desta série.

Artigo 4.11 do RGPD define-o da seguinte forma: “consentimento da pessoa em causa”, qualquer manifestação de vontade, livre, específica, informada e inequívoca, pela qual a pessoa em causa aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento.

Por outras palavras, o consentimento dado deve ser livre, específico, informado e inequívoco.

Em seguida, exploramos as três fases principais do ciclo de vida do consentimento: recolha, conservação e retirada.

A recolha do consentimento, como indicado acima, deve ser uma ação livre, específica, informada e inequívoca. E caberá ao responsável pelo tratamento demonstrar que a pessoa em causa deu o seu consentimento para o tratamento dos dados. Isto significa, entre outras coisas, que os responsáveis pelo tratamento de dados (ou seja, tanto as pessoas singulares como as colectivas) devem manter a custódia da recolha do consentimento.

No que diz respeito ao modo de recolha, os responsáveis pelo tratamento de dados terão de oferecer múltiplos canais para os utilizadores darem o seu consentimento. Por outras palavras, adaptar-se-ão às preferências e necessidades dos titulares dos dados. Alguns canais comuns são:

• Formulários Web: permitem que os utilizadores dêem o seu consentimento preenchendo-os em linha.
• Correio eletrónico: através de campanhas de marketing por correio eletrónico, quando é solicitado o consentimento explícito.
• SMS / WhatsApp: mensagens de texto a pedir o consentimento dos utilizadores.
• Aplicações móveis: a aplicação é realizada a partir de uma APP móvel.
• Presencial: através de formulários físicos que os utilizadores podem assinar pessoalmente.

O regulamento estabelece como obrigatório que o consentimento deve ser explícito, informado e dado livremente. Além disso, deve ser específico para cada finalidade do tratamento de dados. Isto significa que não é válido recolher um único consentimento para uma multiplicidade de finalidades, mas que cada finalidade exige um consentimento específico.

Uma vez obtido, o consentimento deve ser armazenado de forma segura e acessível pelo responsável pelo tratamento. Isto implica que:

• Armazenamento seguro: Os consentimentos serão armazenados em sistemas seguros que protegem as informações contra o acesso não autorizado e as violações de segurança.
• Rastreabilidade: É essencial manter um registo pormenorizado de quando, como e para que fim foi obtido o consentimento. Isto inclui, no mínimo, a data, o canal utilizado e a finalidade específica.
• Acessibilidade: Os registos devem ser facilmente acessíveis para revisões ou auditorias posteriores. Isto é essencial para demonstrar a conformidade com o RGPD em caso de inspecções ou litígios.

O artigo 7.º, n.º 3, do RGPD confere às pessoas o direito de retirar o seu consentimento em qualquer altura e exige que seja tão fácil dar o consentimento como retirá-lo. As organizações têm de criar este processo de uma forma conveniente e gratuita. O projeto incluirá:

• Múltiplos canais de retirada: múltiplos canais para os utilizadores retirarem o seu consentimento, como formulários Web, correio eletrónico, SMS ou aplicações móveis, entre outras possibilidades.
• Confirmação: após a retirada, a organização tem de emitir uma confirmação e cessar qualquer tratamento de dados com base nesse consentimento.
• Atualização dos registos: É essencial que os registos de consentimento sejam actualizados para refletir a retirada e para garantir que os dados do utilizador já não são utilizados para os fins anteriormente consentidos.

A retirada do consentimento não afectará o tratamento efectuado com base no consentimento anterior à sua retirada.

Os cookies são ficheiros de texto que os sítios Web enviam para o browser para armazenar informações sobre a visita de um utilizador. Isto permite que os sítios Web recordem as preferências do utilizador e proporcionem uma experiência mais personalizada. Para serem activados, o utilizador tem de dar o seu consentimento.

A Lei de Serviços da Sociedade da Informação e Comércio Eletrónico (LSSI) regula a utilização de cookies em Espanha.

Embora não os mencione diretamente, o artigo 22.º, n.º 2, da LSSI estabelece: “Os prestadores de serviços podem utilizar dispositivos de armazenamento e recuperação de dados nos equipamentos terminais dos utilizadores, desde que tenham obtido o seu consentimento após terem fornecido informações claras e completas sobre a sua utilização”.

Estes são os pontos mais importantes da LSSI relativamente à regulamentação dos cookies:

1. Dever de informação: as empresas têm de informar de forma clara e compreensível sobre a utilização de cookies: a sua finalidade, duração e quem os detém, especialmente se forem cookies de terceiros.
2. Obter o consentimento: Antes de colocar cookies no dispositivo de um utilizador, as empresas devem obter o consentimento explícito do utilizador, em conformidade com o artigo 7.º do RGPD. Normalmente, isto é feito através de banners ou pop-ups que pedem o consentimento.
3. Excepções: alguns cookies, como os cookies técnicos, que são necessários para a navegação ou para fornecer um serviço solicitado pelo utilizador, estão isentos da obrigação de obter o consentimento.

A maioria dos sítios Web, aplicações e plataformas online utiliza estes pequenos ficheiros de código para melhorar a experiência de navegação e/ou para recolher diferentes tipos de informações pessoais dos utilizadores. Por isso, é importante seguir os passos abaixo para o tratamento correto do consentimento:

1. Transparência: informação clara aos utilizadores sobre o que são cookies, como são utilizados e com que finalidade. Para o efeito, deve ser elaborada uma política acessível e compreensível.
2. Consentimento explícito: obter o consentimento explícito dos utilizadores antes de utilizar cookies que não sejam estritamente necessários para o funcionamento do sítio Web.
3. Opções de configuração: dá aos utilizadores a opção de aceitar ou rejeitar diferentes tipos de cookies, como os cookies de desempenho, funcionais ou publicitários.
4. Registo do consentimento: mantém um registo do consentimento dado pelos utilizadores, incluindo a data, a hora e o tipo de cookies aceites.
5. Revogação do consentimento: permitir que os utilizadores revoguem o seu consentimento em qualquer altura e fornecer instruções claras sobre a forma de o fazer.
6. Atualização da política de cookies: revê e actualiza periodicamente a política de cookies para refletir quaisquer alterações à sua utilização ou aos regulamentos aplicáveis, entre outras questões.

A Agência Espanhola de Proteção de Dados (AEPD) publica orientações e diretrizes adicionais sobre a utilização de cookies para garantir a conformidade, e até utiliza alguns exemplos de como alguns dos pontos acima referidos devem ser feitos.

As listas de exclusão de publicidade são sistemas voluntários em que as pessoas podem inscrever-se para evitar receber comunicações comerciais indesejadas de empresas com as quais não têm qualquer relação contratual.

Existem atualmente duas listas de exclusão de publicidade: a Lista Robinson e a Lista Stop Advertising (recentemente criada).

As empresas que realizam acções comerciais devem excluir as pessoas que se inscreveram em qualquer uma das duas listas, ou seja, nos casos em que a pessoa tenha dado o seu consentimento para não receber este tipo de comunicação. Podem contactar as pessoas que não estão registadas. O consentimento deve ser obtido em conformidade com o artigo 7.º do RGPD (livre, específico, informado e inequívoco), bem como através de um canal que permita registar a sua recolha.

No entanto, qualquer pessoa que se tenha inscrito numa lista de exclusão de publicidade pode receber publicidade de uma empresa se for um cliente ou se tiver dado previamente o seu consentimento explícito. Por exemplo, ao fazer uma compra a uma empresa e concordar em receber informações sobre produtos semelhantes, a empresa pode enviar comunicações comerciais mesmo que o utilizador se tenha inscrito numa lista de exclusão.

A gestão eficaz do ciclo de vida do consentimento é essencial para cumprir os regulamentos de proteção de dados, evitar multas, riscos para a reputação e manter a confiança dos utilizadores. O ciclo de vida do consentimento inclui a recolha em vários canais, o armazenamento seguro e a fácil exclusão. A transparência e a conformidade devem ser asseguradas em todas as fases.

Por conseguinte, as empresas precisam de ter processos de gestão do consentimento melhorados e maduros e de confiar em soluções tecnológicas, como as do MailComms Group, para as ajudar a gerir todo o processo, garantir a conformidade e evitar sanções.

E para esta conformidade, é útil ter um fornecedor de serviços electrónicos qualificado, de confiança fornecedor de serviços electrónicos qualificado e de confiança, como o nosso. Além disso, estamos certificados nas principais normas de segurança e privacidade da informação, tais como: ISO/IEC 27001 e ISO/IEC 27701, às quais acrescentamos a nossa acreditação na categoria de alto nível no Sistema Nacional de Segurança.

Se quiseres saber mais sobre um dos sistemas de gestão de autorizações mais robustos do mercado, convidamos-te a contactar-nos.