O que colocar na política de pri­va­ci­dade do seu site

Uma política de pri­va­ci­dade é uma de­cla­ra­ção escrita de todas as medidas que um site toma para garantir a segurança e o uso adequado das in­for­ma­ções dos vi­si­tan­tes. Além disso, a política de pri­va­ci­dade esclarece como esses dados são coletados, ar­ma­ze­na­dos e uti­li­za­dos, e se são re­pas­sa­dos a terceiros. Descubra aqui os pontos mais im­por­tante da Lei Geral de Proteção de Dados Pessoais em vigor no Brasil e como você pode adequar seu site a ela, para res­guar­dar a pri­va­ci­dade dos seus con­su­mi­do­res e aumentar a con­fi­a­bi­li­dade e a segurança do seu site.

Quando a política de pri­va­ci­dade é obri­ga­tó­ria?

A Lei Geral de Proteção de Dados Pessoais (LGPD), san­ci­o­nada no Brasil em 2018, reúne, em um único documento, re­gu­la­men­ta­ções sobre proteção de dados que já vigoravam no país. Ela também segue tendência mundial que busca garantir direitos fun­da­men­tais de liberdade e pri­va­ci­dade de todos os usuários da internet.

No que diz respeito a sites, a LGPD é clara ao es­ta­be­le­cer que dados pessoais e dados pessoais sensíveis só podem ser coletados quando houver con­sen­ti­mento dos vi­si­tan­tes. Isso quer dizer que todos os sites que processam dados pessoais de vi­si­tan­tes ou con­su­mi­do­res são obrigados por lei a informar sobre a coleta de dados e só fazê-la depois de receber au­to­ri­za­ção. Adotar uma política de pri­va­ci­dade torna-se, então, essencial. Ela resguarda tanto os direitos dos seus vi­si­tan­tes quanto seu próprio site, que, cumprindo a le­gis­la­ção, evita possíveis problemas judiciais.

Mesmo com o con­sen­ti­mento dos vi­si­tan­tes, sites não podem coletar todo e qualquer dado. A LGPD determina que o tra­ta­mento de dados só pode ocorrer quando a fi­na­li­dade for jus­ti­fi­cá­vel. Isso quer dizer que dados pessoais só podem ser coletados para pro­pó­si­tos “legítimos, es­pe­cí­fi­cos, ex­plí­ci­tos e in­for­ma­dos ao titular [visitante], sem pos­si­bi­li­dade de tra­ta­mento posterior de forma in­com­pa­tí­vel com essas fi­na­li­da­des” (Art. 6). Ou seja, mesmo que um site colete somente, por exemplo, o nome e o endereço de e-mail de um usuário para fins puramente privados, ele é obrigado a fazer a de­cla­ra­ção.

A coleta de dados por lojas virtuais é fácil de ser com­pre­en­dida, já que elas realmente precisam dos dados pessoais dos con­su­mi­do­res para processar o pagamento, emitir nota fiscal e enviar a encomenda ao endereço. Outros tipos de site, contudo, podem encontrar di­fi­cul­da­des em jus­ti­fi­car a coleta e o ar­ma­ze­na­mento de dados de vi­si­tan­tes. Até porque, hoje em dia, muitos dados são coletados e ar­ma­ze­na­dos au­to­ma­ti­ca­mente, sem que o operador esteja sequer ciente. Ser­vi­do­res registram endereços de IP em arquivos de log, botões de mídias sociais in­te­gra­dos ao site trans­mi­tem dados pessoais para as redes sociais, e cookies armazenam in­for­ma­ções sobre com­por­ta­men­tos de navegação. Sem contar a atuação de fer­ra­men­tas de análise de dados, como o Google Analytics. Esta é par­ti­cu­lar­mente delicada, pois armazena, em ser­vi­do­res lo­ca­li­za­dos nos Estados Unidos, dados que são con­si­de­ra­dos pessoais por várias le­gis­la­ções ao redor do mundo, como endereços de IP.

Con­sequên­cias da não adoção de uma política de pri­va­ci­dade

Se um site não adotar e apre­sen­tar aos seus vi­si­tan­tes uma política de pri­va­ci­dade, ou se as in­for­ma­ções nela contidas estiverem in­cor­re­tas, ele pode ser fis­ca­li­zado ou de­nun­ci­ado, e incorrer em sanções. Entre diversas pos­si­bi­li­da­des, empresas podem ser obrigadas a pagar multa de até 2% do fa­tu­ra­mento ou R$ 50 milhões ao des­res­pei­ta­rem a norma e uti­li­za­rem dados pessoais de má-fé.

Essas sanções começaram a ser aplicadas em 2021. No Mato Grosso do Sul, por exemplo, o Procon já autuou empresas que des­cum­pri­ram a LGPD. Entre elas está a gigante da área de cons­tru­ção, decoração e reformas, Leroy Merlin. De acordo com o órgão de defesa do con­su­mi­dor, a política de pri­va­ci­dade da empresa continha falhas e coletaria dados pessoais em excesso, que não condiziam com a fi­na­li­dade de suas ati­vi­da­des. A empresa Privalia, por sua vez, foi autuada por apre­sen­tar uma política de pri­va­ci­dade com in­for­ma­ções pouco claras, ambíguas e, por vezes, in­ve­rí­di­cas. Em Minas Gerais, uma filial da Cacau Show foi condenada a indenizar uma fun­ci­o­ná­ria, com base na LGPD. A empresa teria divulgado o contato dela sem seu con­sen­ti­mento.

Te­o­ri­ca­mente, como operador de sites, você é obrigado a informar seus usuários sobre a coleta de dados pessoais no início do processo de uti­li­za­ção. Por isso, o ideal é que a política de pri­va­ci­dade seja apre­sen­tada assim que o visitante chega ao site. Ainda, a política de pri­va­ci­dade deve ser des­com­pli­cada e acessível. Ela deve estar contida por uma subpágina que pode ser acessada a qualquer momento, por meio de um link. Tome cuidado para que o link es­ta­be­le­cido para esse fim não seja tampado por outros elementos, como banners, e para que a de­cla­ra­ção seja visível em di­fe­ren­tes na­ve­ga­do­res e dis­po­si­ti­vos móveis.

A política de pri­va­ci­dade de um site deve ser precisa, exata e trans­pa­rente. Assim, termos legais e técnicos devem, na medida do possível, ser evitados ou então ex­pli­ca­dos. Como operador de sites, tenha em mente que você pode utilizar elementos de design, como listas e tabelas, para deixar esse conteúdo ainda mais com­pre­en­sí­vel.

Base legal para o pro­ces­sa­mento de dados

A Lei Geral de Proteção de Dados delimita em que casos dados pessoais podem ser pro­ces­sa­dos:

• Mediante con­sen­ti­mento do titular dos dados
• Para o cum­pri­mento de obrigação legal ou re­gu­la­tó­ria
• Pela ad­mi­nis­tra­ção pública, para execução de políticas públicas
• Para a re­a­li­za­ção de estudos por órgão de pesquisa, garantida, sempre que possível, a ano­ni­mi­za­ção
• Quando ne­ces­sá­rio para a execução de contrato
• Para o exercício regular de direitos em processo judicial, ad­mi­nis­tra­tivo ou arbitral
• Para a proteção da vida ou da in­co­lu­mi­dade física do titular ou de terceiro
• Para a tutela da saúde em pro­ce­di­mento realizado por pro­fis­si­o­nais de saúde
• Quando ne­ces­sá­rio para atender aos in­te­res­ses legítimos do con­tro­la­dor ou de terceiro
• Para a proteção do crédito

Objetivos do pro­ces­sa­mento de dados

Além de poderem coletar dados somente nos casos citados acima, os sites devem es­cla­re­cer, em suas políticas de pri­va­ci­dade, para que pro­pó­si­tos realizam essa coleta. Fi­na­li­da­des típicas são, por exemplo, análise do com­por­ta­mento do visitante para otimizar o site, a fim de fornecer conteúdo de marketing per­so­na­li­zado. Por esse motivo, acon­se­lha­mos também a di­vul­ga­ção de todos os com­po­nen­tes do seu projeto web que coletam dados pessoais, tais como:

• For­mu­lá­rios de contato
• As­si­na­tura de news­let­ter
• Códigos de ras­tre­a­mento
• Plugins de terceiros
• Conteúdos de terceiros (vídeos do YouTube, por exemplo)
• Cookies
• Caixas de entrada de dados

Um exemplo de indicação de fi­na­li­dade em uma política de pri­va­ci­dade seria:

Com o objetivo de tornar sua visita mais con­for­tá­vel e oferecer-lhe todas as funções dis­po­ní­veis, coletamos uma série de dados e in­for­ma­ções do dis­po­si­tivo com o qual você acessa nosso site. Os dados coletados são os seguintes:

• Endereço de IP
• Sistema ope­ra­ci­o­nal
• Tipo e versão do navegador
• Data e hora de acesso

Com­par­ti­lha­mento de dados com terceiros

Se seu site com­par­ti­lha dados pessoais com terceiros, você também deve informar seus usuários sobre isso na política de pri­va­ci­dade. É bastante provável que você envolva outros pres­ta­do­res de serviços, como for­ne­ce­do­res ou empresas de pagamento nos seus processos, prin­ci­pal­mente se você operar uma loja virtual.

Trans­mi­tir cookies a terceiros, assim como usar extensões de terceiros, também são con­si­de­ra­dos com­par­ti­lha­mento de dados pessoais. Códigos de ras­tre­a­mento e botões de mídias sociais estão entre eles. Em ambos os casos, você pode apontar na sua política de pri­va­ci­dade jus­ti­fi­ca­tiva legítima para o uso sem con­sen­ti­mento. De toda forma, obter o con­sen­ti­mento do visitante também nesses casos é mais seguro. Serviços de pu­bli­ci­dade como o Google AdSense e AdWords também devem ser men­ci­o­na­dos como des­ti­na­tá­rios, caso você os utilize no seu projeto web.

Um exemplo de indicação de com­par­ti­lha­mento de dados pessoais com terceiros em uma política de pri­va­ci­dade seria:

Este site usa plug-in da rede social Facebook, aplicação de­sen­vol­vida e operada por Facebook Inc. (1 Hacker Way, Menlo Park, Ca­li­fór­nia 94025 EUA). Em nossa página, o plug-in pode ser iden­ti­fi­cado pelo logotipo do Facebook. Ele es­ta­be­lece uma conexão direta entre seu navegador e os ser­vi­do­res do Facebook assim que é ativado. Para ativá-lo, basta clicar no botão cor­res­pon­dente. Não temos qualquer in­fluên­cia sobre o tipo e o escopo dos dados que são trans­mi­ti­dos para o Facebook Inc. neste contexto. Uma de­cla­ra­ção da empresa sobre o tópico pode ser en­con­trada no link a seguir: https://www.facebook.com/help/186325668085084.

Duração do ar­ma­ze­na­mento de dados

A fim de tornar o pro­ces­sa­mento de dados ainda mais trans­pa­rente, você deve divulgar por quanto tempo os dados coletados serão ar­ma­ze­na­dos pelo seu site. Caso não haja um tempo es­pe­cí­fico, você deve mencionar os critérios que utiliza para manter dados ar­ma­ze­na­dos. O trecho da política de pri­va­ci­dade que trata desse item pode ser mais ou menos assim:

Todos os dados pessoais que coletamos durante a sua visita, por meio do uso de cookies, serão au­to­ma­ti­ca­mente excluídos assim que a fi­na­li­dade de sua coleta for cumprida. Neste caso, os dados da sessão ficam ar­ma­ze­na­dos somente até o término da sua sessão, sendo eli­mi­na­dos em seguida.

Direito de acesso aos dados coletados

A Lei Geral de Proteção de Dados Pessoais deixa claro que qualquer usuário tem o direito de perguntar ao site que visitou que dados pessoais dele foram coletados e tratados. Mediante re­que­ri­mento, o site é obrigado a ceder as seguintes in­for­ma­ções:

• Confirmar a exis­tên­cia dos dados
• Facilitar o acesso aos dados
• Corrigir in­for­ma­ções in­com­ple­tas, inexatas ou de­sa­tu­a­li­za­das

Ainda, os usuários podem exigir que os sites tomem as seguintes pro­vi­dên­cias com relação a seus dados pessoais:

• Ano­ni­mi­za­ção, bloqueio ou eli­mi­na­ção de dados des­ne­ces­sá­rios, ex­ces­si­vos ou em des­con­for­mi­dade com a lei
• Por­ta­bi­li­dade de dados a outro for­ne­ce­dor
• Eli­mi­na­ção de dados tratados sem con­sen­ti­mento, etc.

Em uma política de pri­va­ci­dade, os direitos dos vi­si­tan­tes podem constar da seguinte forma:

Em con­for­mi­dade à LGPD, você é o titular de seus dados pessoais por nós pro­ces­sa­dos, e por isso tem os seguintes direitos, listados no artigo 18: direito à in­for­ma­ção, direito à re­ti­fi­ca­ção, direito de ano­ni­mi­za­ção, direito de eli­mi­na­ção, direito à por­ta­bi­li­dade, direito de rejeitar a coleta, direito de retirar o con­sen­ti­mento a qualquer tempo, assim como direito de apre­sen­tar queixa às au­to­ri­da­des.

Dados pessoais com coleta obri­ga­tó­ria

Em alguns casos, sites podem coletar dados pessoais de seus usuários, mesmo sem seu con­sen­ti­mento. O for­ne­ci­mento de dados pessoais é obri­ga­tó­rio, por exemplo, para fe­cha­mento ou execução de um contrato. Nestes casos ocorre o oposto: o serviço não poderá ser prestado, caso o usuário se recuse a fornecer in­for­ma­ções sobre ele. Em uma política de pri­va­ci­dade, o assunto pode ser tratado da seguinte forma:

A coleta de seus dados pessoais é in­dis­pen­sá­vel para a conclusão de um contrato e para o cum­pri­mento de obri­ga­ções e serviços con­tra­tu­ais. Se você não nos fornecer as in­for­ma­ções so­li­ci­ta­das, não será possível o fe­cha­mento do contrato nem a prestação de serviços con­tra­tu­ais.