O consentimento no RGPD é um pilar fundamental na gestão de dados pessoais, especialmente no contexto do Regulamento Geral sobre a Proteção de Dados (RGPD), tal como já referimos em artigos anteriores desta série.
Artigo 4.11 do RGPD define-o da seguinte forma: “consentimento da pessoa em causa”, qualquer manifestação de vontade, livre, específica, informada e inequívoca, pela qual a pessoa em causa aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento.
Por outras palavras, o consentimento dado deve ser livre, específico, informado e inequívoco.
O ciclo de vida do consentimento ao abrigo do RGPD decorre ao longo de 3 fases: recolha, conservação e revogação.
| Fase | Descrição | Principais obrigações | Base jurídica do RGPD |
|---|---|---|---|
| 1. Recolha | Obtenção do consentimento do interessado de forma livre, específica, informada e inequívoca | Multicanal, separadamente para cada finalidade, sem caixas pré-marcadas, comprovável | Art. 4.11 e Art. 7.1 |
| 2. Custódia | Armazenamento seguro e rastreável do consentimento obtido | Registo com data, canal e finalidade; acessível em auditorias; protegido contra acesso não autorizado | Art. 5.2 e Art. 7.1 |
| 3. Retirada | Revogação do consentimento a pedido do interessado | Tão simples como a concessão; confirmação ao utilizador; cessação imediata do tratamento; atualização dos registos | Art. 7.3 |
Fase 1: Obtenção do consentimento em vários canais, ao abrigo do RGPD
A recolha do consentimento, como indicado acima, deve ser uma ação livre, específica, informada e inequívoca. E caberá ao responsável pelo tratamento demonstrar que a pessoa em causa deu o seu consentimento para o tratamento dos dados. Isto significa, entre outras coisas, que os responsáveis pelo tratamento de dados (ou seja, tanto as pessoas singulares como as colectivas) devem manter a custódia da recolha do consentimento.
No que diz respeito ao modo de recolha, os responsáveis pelo tratamento de dados terão de oferecer múltiplos canais para os utilizadores darem o seu consentimento. Por outras palavras, adaptar-se-ão às preferências e necessidades dos titulares dos dados. Alguns canais comuns são:
- Formulários Web: permitem que os utilizadores dêem o seu consentimento preenchendo-os em linha.
- Correio eletrónico: através de campanhas de marketing por correio eletrónico, quando é solicitado o consentimento explícito.
- SMS / WhatsApp: mensagens de texto a pedir o consentimento dos utilizadores.
- Aplicações móveis: a aplicação é realizada a partir de uma APP móvel.
- Presencial: através de formulários físicos que os utilizadores podem assinar pessoalmente.
O regulamento estabelece como obrigatório que o consentimento deve ser explícito, informado e dado livremente. Além disso, deve ser específico para cada finalidade do tratamento de dados. Isto significa que não é válido recolher um único consentimento para uma multiplicidade de finalidades, mas que cada finalidade exige um consentimento específico.
Na MailComms, oferecemos serviços de consultoria sobre o RGPD para ajudar a proteger as empresas e para que saibam como obter o consentimento dos seus clientes e colaboradores da forma correta.
Fase 2: Gestão do consentimento ao abrigo do RGPD
Depois de obtido, o consentimento tem de ser guardado de forma segura e acessível pelo responsável pelo tratamento. A conservação do consentimento é a obrigação do responsável pelo tratamento de manter um registo verificável, seguro e acessível de cada consentimento obtido, que permita demonstrar, a qualquer momento, que o titular dos dados o concedeu de forma válida. Isto significa que:
- Armazenamento seguro: Os consentimentos serão armazenados em sistemas seguros que protegem as informações contra o acesso não autorizado e as violações de segurança.
- Rastreabilidade: É essencial manter um registo pormenorizado de quando, como e para que fim foi obtido o consentimento. Isto inclui, no mínimo, a data, o canal utilizado e a finalidade específica.
- Acessibilidade: Os registos devem ser facilmente acessíveis para revisões ou auditorias posteriores. Isto é essencial para demonstrar a conformidade com o RGPD em caso de inspecções ou litígios.
Talvez te interesse o nosso post sobre o RGPD e a responsabilização, onde explicamos como cumprir esta obrigação de demonstrar, de forma proativa, que a regulamentação está a ser cumprida. Além disso, na MailComms, oferecemos um serviço de consultoria em arquivamento que pode ser uma grande ajuda para empresas que não sabem como armazenar informações confidenciais sobre os seus clientes ou colaboradores.
Fase 3: Retirada do consentimento ao abrigo do RGPD
O artigo 7.º, n.º 3, do RGPD confere às pessoas o direito de retirar o seu consentimento em qualquer altura e exige que seja tão fácil dar o consentimento como retirá-lo. As organizações têm de criar este processo de uma forma conveniente e gratuita. O projeto incluirá:
- Múltiplos canais de retirada: múltiplos canais para os utilizadores retirarem o seu consentimento, como formulários Web, correio eletrónico, SMS ou aplicações móveis, entre outras possibilidades.
- Confirmação: após a retirada, a organização tem de emitir uma confirmação e cessar qualquer tratamento de dados com base nesse consentimento.
- Atualização dos registos: É essencial que os registos de consentimento sejam actualizados para refletir a retirada e para garantir que os dados do utilizador já não são utilizados para os fins anteriormente consentidos.
A retirada do consentimento não afectará o tratamento efectuado com base no consentimento anterior à sua retirada.
Atenção especial à recolha do consentimento para os cookies
Os cookies são ficheiros de texto que os sítios Web enviam para o browser para armazenar informações sobre a visita de um utilizador. Isto permite que os sítios Web recordem as preferências do utilizador e proporcionem uma experiência mais personalizada. Para serem activados, o utilizador tem de dar o seu consentimento.
A Lei de Serviços da Sociedade da Informação e Comércio Eletrónico (LSSI) regula a utilização de cookies em Espanha.
Embora não os mencione diretamente, o artigo 22.º, n.º 2, da LSSI estabelece: “Os prestadores de serviços podem utilizar dispositivos de armazenamento e recuperação de dados nos equipamentos terminais dos utilizadores, desde que tenham obtido o seu consentimento após terem fornecido informações claras e completas sobre a sua utilização”.
Estes são os pontos mais importantes da LSSI relativamente à regulamentação dos cookies:
- Dever de informação: as empresas têm de informar de forma clara e compreensível sobre a utilização de cookies: a sua finalidade, duração e quem os detém, especialmente se forem cookies de terceiros.
- Obter o consentimento: Antes de colocar cookies no dispositivo de um utilizador, as empresas devem obter o consentimento explícito do utilizador, em conformidade com o artigo 7.º do RGPD. Normalmente, isto é feito através de banners ou pop-ups que pedem o consentimento.
- Excepções: alguns cookies, como os cookies técnicos, que são necessários para a navegação ou para fornecer um serviço solicitado pelo utilizador, estão isentos da obrigação de obter o consentimento.
| Tipo de cookie | Finalidade | É preciso consentimento? | Base jurídica |
|---|---|---|---|
| Técnicas (essenciais) | Navegação básica, sessão, acesso a áreas seguras | Não, isentas ao abrigo do art. 22.2 da LSSI | Interesse legítimo / necessidade técnica |
| Preferências / Funcionalidades | Lembrar idioma, região e configurações do utilizador | Sim, se não forem estritamente necessárias | Consentimento (art. 7.º do RGPD) |
| Análises / estatísticas | Medir a utilização do site, as páginas visitadas e as conversões | Sim, de acordo com a AEPD (embora os dados anonimizados possam ser tratados de forma diferente) | Consentimento ou interesse legítimo (requer avaliação) |
| De marketing / publicidade | Segmentação, retargeting, personalização de anúncios | Sim, sempre | Consentimento explícito (art. 7.º do RGPD) |
| De terceiros | Instaladas por serviços externos (redes sociais, mapas, vídeo) | Sim, sempre | Consentimento explícito (art. 7.º do RGPD) |
A maioria dos sítios Web, aplicações e plataformas online utiliza estes pequenos ficheiros de código para melhorar a experiência de navegação e/ou para recolher diferentes tipos de informações pessoais dos utilizadores. Por isso, é importante seguir os passos abaixo para o tratamento correto do consentimento:
- Transparência: informação clara aos utilizadores sobre o que são cookies, como são utilizados e com que finalidade. Para o efeito, deve ser elaborada uma política acessível e compreensível.
- Consentimento explícito: obter o consentimento explícito dos utilizadores antes de utilizar cookies que não sejam estritamente necessários para o funcionamento do sítio Web.
- Opções de configuração: dá aos utilizadores a opção de aceitar ou rejeitar diferentes tipos de cookies, como os cookies de desempenho, funcionais ou publicitários.
- Registo do consentimento: mantém um registo do consentimento dado pelos utilizadores, incluindo a data, a hora e o tipo de cookies aceites.
- Revogação do consentimento: permitir que os utilizadores revoguem o seu consentimento em qualquer altura e fornecer instruções claras sobre a forma de o fazer.
- Atualização da política de cookies: revê e actualiza periodicamente a política de cookies para refletir quaisquer alterações à sua utilização ou aos regulamentos aplicáveis, entre outras questões.
A Agência Espanhola de Proteção de Dados (AEPD) publica orientações e diretrizes adicionais sobre a utilização de cookies para garantir a conformidade, e até utiliza alguns exemplos de como alguns dos pontos acima referidos devem ser feitos.
Listas de exclusão de publicidade
As listas de exclusão de publicidade são sistemas voluntários em que as pessoas podem inscrever-se para evitar receber comunicações comerciais indesejadas de empresas com as quais não têm qualquer relação contratual.
Existem atualmente duas listas de exclusão de publicidade: a Lista Robinson e a Lista Stop Advertising (recentemente criada).
As empresas que realizam acções comerciais devem excluir as pessoas que se inscreveram em qualquer uma das duas listas, ou seja, nos casos em que a pessoa tenha dado o seu consentimento para não receber este tipo de comunicação. Podem contactar as pessoas que não estão registadas. O consentimento deve ser obtido em conformidade com o artigo 7.º do RGPD (livre, específico, informado e inequívoco), bem como através de um canal que permita registar a sua recolha.
No entanto, qualquer pessoa que se tenha inscrito numa lista de exclusão de publicidade pode receber publicidade de uma empresa se for um cliente ou se tiver dado previamente o seu consentimento explícito. Por exemplo, ao fazer uma compra a uma empresa e concordar em receber informações sobre produtos semelhantes, a empresa pode enviar comunicações comerciais mesmo que o utilizador se tenha inscrito numa lista de exclusão.
A gestão eficaz do ciclo de vida do consentimento é essencial para cumprir os regulamentos de proteção de dados, evitar multas, riscos para a reputação e manter a confiança dos utilizadores. O ciclo de vida do consentimento inclui a recolha em vários canais, o armazenamento seguro e a fácil exclusão. A transparência e a conformidade devem ser asseguradas em todas as fases.
Por conseguinte, as empresas precisam de ter processos de gestão do consentimento melhorados e maduros e de confiar em soluções tecnológicas, como as do MailComms Group, para as ajudar a gerir todo o processo, garantir a conformidade e evitar sanções.
E para esta conformidade, é útil ter um fornecedor de serviços electrónicos qualificado, de confiança fornecedor de serviços electrónicos qualificado e de confiança, como o nosso. Além disso, estamos certificados nas principais normas de segurança e privacidade da informação, tais como: ISO/IEC 27001 e ISO/IEC 27701, às quais acrescentamos a nossa acreditação na categoria de alto nível no Sistema Nacional de Segurança.
Se quiseres saber mais sobre um dos sistemas de gestão de autorizações mais robustos do mercado, convidamos-te a contactar-nos.
Perguntas mais frequentes
Quais são as três fases do ciclo de vida do consentimento ao abrigo do RGPD?
As três fases são: (1) Recolha — o titular dos dados dá o seu consentimento de forma livre, específica, informada e inequívoca através de um dos canais disponibilizados; (2) Conservação — o responsável armazena e mantém um registo seguro, rastreável e acessível do consentimento obtido, com todos os dados necessários para comprovar a sua validade; e (3) Revogação — o titular dos dados pode revogar o seu consentimento a qualquer momento, de forma tão simples como o concedeu, com cessação imediata do tratamento e atualização dos registos.
Uma empresa pode obter um único consentimento para várias finalidades?
Não. O RGPD exige que o consentimento seja específico para cada finalidade do tratamento. Um consentimento genérico que abranja várias finalidades em bloco não é válido. Isto significa que a empresa tem de obter um consentimento separado e independente para cada finalidade: por exemplo, um para comunicações comerciais, outro para a criação de perfis e outro para a transferência de dados a terceiros. Cada um deve poder ser concedido e retirado de forma independente.
Que elementos deve conter o registo de custódia do consentimento?
O registo tem de incluir, no mínimo: a identidade do titular dos dados, a data e a hora exatas do consentimento, o canal utilizado (site, e-mail, SMS, presencial…), a finalidade específica para a qual foi dado, a versão do texto informativo com que o utilizador foi informado e o estado atual do consentimento (ativo ou retirado, com data de retirada, se for o caso). Este registo é a prova que o responsável pelo tratamento tem de apresentar à AEPD em caso de inspeção ou reclamação.
Que obrigações implica o direito de revogar o consentimento?
Quando o titular do dado retirar o seu consentimento, a organização deve: (1) confirmar ao utilizador que a retirada foi processada, (2) cessar imediatamente qualquer tratamento de dados baseado nesse consentimento, (3) atualizar o registo de consentimento para refletir a retirada, indicando a data e o canal, e (4) garantir que a retirada seja tão simples e gratuita quanto a concessão do consentimento. A retirada não afeta retroativamente os tratamentos realizados antes de ter sido exercida.
Os cookies técnicos exigem consentimento ao abrigo do RGPD?
Não. Os cookies técnicos ou essenciais, necessários para a navegação ou para prestar um serviço expressamente solicitado pelo utilizador, estão isentos da obrigação de consentimento nos termos do artigo 22.º, n.º 2, da LSSI. Por outro lado, as cookies de preferências, analíticas (segundo os critérios da AEPD), de marketing e de terceiros exigem consentimento explícito. A AEPD publica guias atualizados sobre a gestão do consentimento relativo às cookies.
