RGPD: cookies, formulários e política de privacidade

Módulo 9: E-mail, visibilidade nos motores de pesquisa, RGPD, manutenção e migração · Tempo de leitura: 10 minutos

Objetivo de aprendizagem: Após esta lição, é capaz de colocar em ordem a base do RGPD de um site WordPress: saber que dados pessoais trata, regular bem os cookies e o conteúdo externo, organizar devidamente os formulários e redigir uma política de privacidade.

Conceitos-chave: dados pessoais, tratamento, fundamento jurídico, dever de informação, política de privacidade, a regra dos cookies (Diretiva ePrivacy), consentimento, cookies funcionais e analíticos, cookies de rastreamento, banner de cookies, conteúdo externo, formulários, prazo de conservação, subcontratante, contrato de subcontratação, violação de dados

Esta lição é uma explicação geral, não é aconselhamento jurídico. Para a sua situação concreta, consulte a informação da autoridade de proteção de dados do seu país ou peça aconselhamento a um especialista.

O que o RGPD tem a ver com o seu site

O RGPD (Regulamento Geral sobre a Proteção de Dados) diz respeito a dados pessoais: tudo aquilo que permite identificar alguém direta ou indiretamente. Num site, isso é mais do que se pensa: um nome e endereço de e-mail recolhidos num formulário, uma encomenda, uma conta, mas também um endereço IP e um cookie com um número único.

Praticamente todos os sites WordPress tratam, portanto, dados pessoais: em formulários, comentários, contas, encomendas, registos do servidor, cópias de segurança, registos de e-mail (lição 9.1) e naquilo que o seu site envia para outras entidades. Aplicam-se, entre outras, estas regras:

• Precisa de um fundamento jurídico para cada tratamento (artigo 6.º do RGPD), por exemplo: necessário para a execução de um contrato (uma encomenda), consentimento (uma newsletter) ou um interesse legítimo.
• Não trata mais dados do que o necessário e não os conserva por mais tempo do que o necessário.
• Informa as pessoas sobre o que faz (artigo 13.º do RGPD): fá-lo na sua política de privacidade.
• Protege os dados de forma adequada (https, atualizações, cópias de segurança: o resto deste curso).
• Se outra entidade tratar dados por si (o seu alojamento, um serviço de e-mail, um plugin com um serviço na nuvem), trata-se de um subcontratante e deve celebrar um contrato de subcontratação (artigo 28.º do RGPD). Os fornecedores de alojamento e os grandes serviços têm habitualmente estes contratos já preparados.
• Se algo correr mal (um ataque informático, uma cópia de segurança exposta), trata-se de uma violação de dados que por vezes tem de ser notificada (lição 7.5).

Cookies: a Diretiva ePrivacy

Para os cookies (e técnicas semelhantes, como o local storage e os pixels de rastreamento) aplica-se ainda a regra dos cookies da Diretiva europeia ePrivacy (em Portugal: Lei n.º 41/2004; nos Países Baixos: artigo 11.7a da Telecommunicatiewet). Em resumo, tal como explicado pela autoridade neerlandesa de proteção de dados (Autoriteit Persoonsgegevens):

• Cookies funcionais necessários para o site funcionar (um cookie de início de sessão, um carrinho de compras, a memorização da própria escolha de cookies): são permitidos sem consentimento. Ainda assim, deve informar sobre eles.
• Cookies analíticos com impacto nulo ou reduzido na privacidade: são permitidos sem consentimento, desde que cumpram determinadas condições. Pense em estatísticas que gere você próprio ou que estejam configuradas de forma a respeitar a privacidade (sem partilha de dados, endereços IP truncados, sem rastreamento noutros sites).
• Cookies de rastreamento e tudo o que acompanha os visitantes ou cria perfis (publicidade, redes sociais, a maioria dos serviços incorporados de grandes plataformas): só após consentimento, e, portanto, só carregam depois de o visitante dizer "sim".

Um banner de cookies pede esse consentimento. A autoridade neerlandesa de proteção de dados refere, entre outros aspetos: explicar que cookies se utilizam e para que servem, recusar deve ser tão fácil como aceitar, e não deve haver caixas pré-assinaladas. Um banner que só tenha "OK", ou que já carregue o código de rastreamento antes de ser feita uma escolha, não cumpre os requisitos. Existem muitos plugins de cookies para WordPress; escolha um que bloqueie realmente os scripts até haver consentimento, e verifique isso (o exercício desta lição ajuda).

Conteúdo externo: o que o seu site envia para terceiros

Mesmo sem cookies, o seu site envia dados para outras entidades sempre que uma página carrega algo proveniente delas. O navegador do visitante vai então buscar esse conteúdo a essa entidade, que fica a conhecer, no mínimo, o endereço IP. Exemplos:

Na Alemanha, um tribunal (LG München I, janeiro de 2022) decidiu que o carregamento de tipos de letra de um serviço externo sem consentimento violava o RGPD, uma vez que isso transmitia o endereço IP do visitante. Não se trata de uma decisão de um tribunal neerlandês, mas mostra bem do que se trata: tem de ser capaz de justificar cada fonte externa.

Formulários

Um formulário constitui um tratamento de dados. Tenha atenção a:

• Peça apenas o que precisa. Para um pedido de contacto telefónico, precisa de um nome e de um número de telefone, não de uma morada e de uma data de nascimento.
• Através de https (lição 3.1), caso contrário os dados circulam na internet sem encriptação.
• Onde ficam os dados? Muitos plugins de formulários guardam também cada submissão na base de dados, para além do envio por e-mail. Ao fim de anos, ficam lá armazenadas milhares de submissões. Defina um prazo de conservação ou desative o armazenamento se o e-mail for suficiente. Também o registo de e-mail do seu plugin de SMTP (lição 9.1) as contém.
• O consentimento para uma newsletter é uma caixa separada, não pré-assinalada. Um formulário de contacto não é uma inscrição na newsletter.
• Proteção contra spam: ver a tabela acima.

A política de privacidade

O WordPress cria, na instalação, uma página de rascunho Política de privacidade e dispõe, em Opções > Privacidade, de um assistente com textos de exemplo; os plugins que tratam dados podem acrescentar texto nessa página. Isso é um ponto de partida, não um resultado final. Uma política de privacidade descreve, nos termos do artigo 13.º do RGPD, entre outros aspetos:

• quem é e como as pessoas o podem contactar;
• que dados pessoais trata, para que fins e com que fundamento jurídico;
• com quem os partilha (subcontratantes, outras entidades) e se saem da UE;
• por quanto tempo os conserva;
• que direitos as pessoas têm (acesso, retificação, apagamento, oposição) e que podem apresentar queixa junto da CNPD (Comissão Nacional de Proteção de Dados);
• que cookies e serviços externos o seu site utiliza.

Coloque uma ligação para a política de privacidade no rodapé (lição 4.3), para que esteja visível em todas as páginas, e em cada formulário.

O WordPress dispõe também, em Ferramentas, de funcionalidades para exportar dados pessoais e para os apagar a pedido de um utilizador. Úteis para um pedido de acesso ou de apagamento, mas apenas encontram dados do WordPress e de plugins compatíveis com essa funcionalidade.

Um plano de ação simples

1. Faça uma lista de todos os tratamentos de dados no seu site: formulários, contas, encomendas, comentários, estatísticas, newsletter, registos, cópias de segurança.
2. Verifique o que o seu site envia para outras entidades ao ser carregado (o exercício desta lição).
3. Remova o que não é necessário; substitua o que pode ser feito de forma mais respeitadora da privacidade.
4. Regule o consentimento para o que ficar e precisar realmente de consentimento, com um banner que bloqueie os scripts.
5. Celebre contratos de subcontratação e redija (ou reescreva) a sua política de privacidade.
6. Reveja tudo todos os anos (lição 9.4), e após cada novo plugin que trate dados.

Resumo

• Praticamente todos os sites WordPress tratam dados pessoais: formulários, contas, endereços IP, registos, cópias de segurança.
• Os cookies funcionais e os analíticos limitados são permitidos sem consentimento; o rastreamento só após consentimento, e só então pode carregar.
• O conteúdo externo (tipos de letra, vídeos, mapas, captchas) envia dados para terceiros; torne-o local ou carregue-o só após um clique.
• Peça nos formulários apenas o que é necessário, não conserve as submissões indefinidamente, caixa da newsletter separada e não pré-assinalada.
• Uma política de privacidade nos termos do artigo 13.º do RGPD, visível em todas as páginas; contratos de subcontratação com o seu alojamento e serviços.

Questionário

Exercício

Exercício A9.3: O que o seu site envia para terceiros? Introduza o endereço do seu site. O programa carrega a página inicial tal como um novo visitante sem cookies e sem consentimento, e apresenta uma visão geral: que cookies o servidor coloca de imediato (apenas os nomes), e de que outros domínios a página carrega scripts, tipos de letra, iframes ou imagens. Os serviços conhecidos de estatísticas, publicidade, redes sociais, tipos de letra e vídeo são identificados pelo nome (a laranja: "verifique se isto só carrega após consentimento, ou substitua-o"). Além disso, verifica se existe uma ligação para uma política de privacidade na página inicial.

Exercício D9.3: A sua lista de tratamentos de dados e política de privacidade. Faça uma lista de todos os tratamentos de dados no seu site (formulários, contas, encomendas, comentários, estatísticas, newsletter, registos, cópias de segurança) indicando, para cada tratamento: que dados, para que fins, fundamento jurídico, onde são guardados, por quanto tempo, e que subcontratante está envolvido. Compare essa lista com a sua política de privacidade e assinale o que já lá consta. Registe o que vai acrescentar ou remover, e que serviços externos do exercício A9.3 vai substituir ou colocar atrás de consentimento.

Leitura adicional

Estes artigos dizem respeito ao próprio WebOké; a explicação para o seu próprio site encontra-se junto da autoridade de proteção de dados do seu país.

• Cookies na WebOké: consultar ou alterar a sua escolha
• Cookies (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Cookies e a sua organização: garanta uma boa política (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/cookies-en-uw-organisatie-zorg-voor-een-goed-beleid
• Banners de cookies claros (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners
• Direito à informação (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Violações de dados (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Privacidade no WordPress (wordpress.org, em inglês): https://wordpress.org/documentation/article/settings-privacy-screen/