Na entrada anterior, Ciclo de vida do consentimento, discutimos contigo a importância de conceitos como a recolha, a custódia e a retirada. Nesta ocasião, gostaríamos de analisar mais de perto outras questões muito importantes descritas no regulamento europeu, tais como as bases, as finalidades e os limites. Se quiseres ter uma ideia do que vais ler, recomendamos-te que leias os artigos 5, 6 e 7.
Base do consentimento e finalidades (artigo 6.º do RGPD)
Um dos seus pilares fundamentais para o tratamento de dados é o consentimento da pessoa em causa. Mas, embora funcione como base legítima para o tratamento de dados em muitos contextos, não é a única.
A finalidade responde a uma base jurídica para o tratamento. Por outras palavras, deve existir uma finalidade válida (definida no RGPD ou na LOPDGDD) que legitime o tratamento de dados pessoais. Por outras palavras, o princípio da finalidade do tratamento de dados pessoais define por que razão e para que finalidade os dados pessoais são recolhidos. Trata-se de uma questão fundamental para a conformidade.
A finalidade do tratamento define as razões e os objectivos do tratamento e determina a sua legalidade. Estas finalidades estão enumeradas no artigo 6.º do RGPD:
- Consentimento explícito da pessoa em causa para uma ou mais finalidades específicas.
- Necessidade do tratamento para a execução de um contrato.
- Cumprimento de uma obrigação legal do responsável pelo tratamento.
- Proteção dos interesses vitais da pessoa em causa ou de outra pessoa singular.
- Execução de uma missão de interesse público ou exercício de poderes públicos.
- Interesse legítimo do responsável pelo tratamento de dados ou de terceiros, exceto se prevalecerem os direitos da pessoa em causa.
O consentimento, portanto, é apenas uma das bases possíveis, mas quando é utilizado, deve cumprir requisitos rigorosos. E as empresas têm de ser capazes de manter esta conformidade a todo o momento.
Princípios relativos ao consentimento (artigo 5.º do RGPD)
Princípios relativos ao consentimento (artigo 5.º do RGPD)
- Legalidade, equidade e transparência: o consentimento deve ser informado, claro e dado livremente.
- Limitação da finalidade: os dados só podem ser utilizados para os fins específicos para os quais foi obtido o consentimento.
- Minimização dos dados: só devem ser recolhidos os dados necessários.
- Outros princípios fundamentais são também a exatidão, a limitação do tempo, a integridade e a confidencialidade e a responsabilidade proactiva.
Condições de consentimento (artigo 7.º do RGPD)
O artigo 7.º do RGPD especifica as condições que o consentimento deve cumprir para ser válido. Encontra-as abaixo, acompanhadas de uma breve explicação.
- Demonstrabilidade: o responsável pelo tratamento de dados deve ser capaz de demonstrar que a pessoa em causa deu o seu consentimento. Por outras palavras, cabe ao responsável pelo tratamento de dados conservar as provas que demonstrem que a pessoa em causa aceitou ou consentiu no tratamento dos dados para os fins declarados.
- Clareza e granularidade: Se o consentimento fizer parte de uma declaração mais ampla, deve ser claramente diferenciado. Por outras palavras, não se pode pedir um único consentimento para uma pluralidade de finalidades. O RGPD incentiva a que o consentimento seja dado separadamente para cada finalidade, de modo a permitir que cada indivíduo escolha livremente quais as operações de tratamento que aceita e quais as que não aceita. Por exemplo, um responsável pelo tratamento de dados solicita o consentimento para duas finalidades, a primeira para a definição de perfis e a segunda para a participação em inquéritos. Neste caso, e para uma conformidade adequada, o consentimento deve ser solicitado separada e explicitamente para as duas finalidades acima descritas. O utilizador decidirá se aceita ambas, uma delas ou nenhuma.
- Direito de retirar o consentimento: a pessoa em causa pode retirar o consentimento em qualquer altura, e deve ser tão fácil retirar o consentimento como dá-lo. Além disso, caberá também ao responsável pelo tratamento provar que o consentimento foi retirado, tal como solicitado pela pessoa em causa.
- Livre escolha: o consentimento não é válido se estiver condicionado à celebração de um contrato, quando tal não for necessário para esse efeito. Por exemplo, se um utilizador quiser comprar um produto online, não se lhe pode exigir que consinta no tratamento dos seus dados para fins publicitários como condição para concluir a compra. Os consentimentos para fins adicionais (como marketing, análise, etc.) têm de ser opcionais e também têm de ser solicitados e concedidos separadamente.
Limites do consentimento
O consentimento é uma ferramenta poderosa, mas não omnipotente. Os seus limites também estão definidos no RGPD. São eles:
- Não pode ser forçado ou implícito.
- Não é válido se houver um desequilíbrio de poder (por exemplo, nas relações laborais).
- Deve ser renovado se as finalidades do tratamento forem alteradas.
- Não substitui outras bases jurídicas quando estas são mais adequadas (por exemplo, obrigações legais).
Conclusão
Como já foi referido na entrada sobre o ciclo de vida do ciclo de vida do consentimento, a forma como o consentimento é recolhido é crucial para cumprir os regulamentos de proteção de dados e manter a confiança dos utilizadores. E é também muito importante que o responsável pelo tratamento de dados esteja ciente e respeite os limites estabelecidos pelo RGPD. Entre eles está o facto de o consentimento ter de ser solicitado novamente se as finalidades iniciais mudarem. Por outras palavras, a transparência e a conformidade devem ser asseguradas em todas as fases.
Por conseguinte, as empresas precisam de ter processos de gestão de consentimento melhorados e maduros e confiar em soluções, como as do MailComms Group, para as apoiar durante o processo e ajudá-las a evitar sanções.
Para uma conformidade eficaz e fiável , é útil ter um prestador de serviços electrónicos qualificado e de confiança. um fornecedor de serviços electrónicos qualificado e de confiança, como o Mailcomms Group, que também está certificado nos principais regulamentos de segurança e privacidade da informação, tais como: ISO/IEC 27001 e ISO/IEC 27701. Para além destas certificações, o Grupo Mailcomms está também acreditado na categoria de alto nível no Esquema de Segurança Nacional da Sistema de Segurança do Centro Nacional de Criptologia.
Se quiseres saber mais sobre um dos sistemas de gestão de consentimento mais robustos do mercado, convidamos-te a explorar este blogue ou a contactar-nos.
Perguntas mais frequentes
Quais são as 6 bases legais para o tratamento de dados pessoais, de acordo com o artigo 6.º do RGPD?
O artigo 6.º do RGPD estabelece seis fundamentos jurídicos: (1) consentimento do titular dos dados, (2) execução de um contrato, (3) cumprimento de uma obrigação legal, (4) proteção de interesses vitais, (5) execução de uma missão de interesse público, e (6) interesse legítimo do responsável pelo tratamento ou de um terceiro. O consentimento é apenas uma destas bases — não é a única nem, necessariamente, a mais adequada para todos os tratamentos.
Que requisitos tem de cumprir o consentimento para ser válido ao abrigo do RGPD?
Para ser válido, o consentimento tem de ser: livre (não condicionado à prestação de um serviço quando isso não for necessário), específico (separadamente para cada finalidade), informado (o titular dos dados sabe quem trata os dados, para que fim e por quanto tempo), e inequívoco (manifestação ativa — não são permitidas caixas pré-marcadas nem o silêncio como consentimento). Além disso, o responsável pelo tratamento tem de poder provar que o consentimento foi obtido nestes termos (demonstrabilidade, art. 7.1 do RGPD).
Uma empresa pode usar o consentimento como base legal para todos os seus tratamentos de dados?
Não. O consentimento é apenas uma das seis bases legais do artigo 6.º do RGPD e nem sempre é a mais adequada. Para tratamentos necessários à execução de um contrato, a base correta é o artigo 6.º, n.º 1, alínea b). Para tratamentos exigidos por lei, é o artigo 6.º, n.º 1, alínea c). Recorrer ao consentimento quando existe outra base mais adequada pode causar problemas de conformidade e criar expectativas erradas nos utilizadores sobre o seu direito de retirar o consentimento.
O que acontece se a pessoa em questão retirar o seu consentimento?
O titular dos dados pode retirar o seu consentimento a qualquer momento e essa retirada deve ser tão simples quanto a sua concessão. Após a retirada, o responsável pelo tratamento deve cessar o tratamento para essa finalidade e pode ser obrigado a apagar os dados. A retirada não afeta a legalidade do tratamento efetuado antes da retirada do consentimento. O responsável pelo tratamento deve poder comprovar quando e como a revogação ocorreu (art. 7.º, n.º 3, do RGPD).
Quando é que o consentimento não é válido, mesmo que tenha sido obtido?
O consentimento não é válido quando: tiver sido obtido sob coação ou como condição para um serviço sem relação necessária com esse tratamento; existir um claro desequilíbrio de poder (por exemplo, nas relações laborais entre a empresa e o trabalhador); não tiver sido solicitado separadamente para cada finalidade (falta de granularidade); ou as finalidades do tratamento tiverem mudado e não tiver sido obtido um novo consentimento para as novas finalidades.