Introdução
Se o seu site coleta de alguma forma dados de visitantes da UE, é bem provável que você já tenha ouvido o termo gestão de consentimento do GDPR mais de uma vez. Mas do que exatamente ele trata, e por que importa tanto para o seu negócio? Em resumo, a definição de gestão de consentimento do GDPR trata do consentimento dos usuários para coletar e processar seus dados pessoais e da administração desse consentimento.
Muitas empresas tendem a acreditar que instalar um banner de cookies de qualquer tipo já basta para atender a todos os requisitos de conformidade com cookies e às exigências legais, mas, na verdade, isso é apenas uma parte mínima do processo. Na prática, os banners de cookies fazem parte de um sistema maior que cuida de todos os requisitos legais relativos a cookies, coleta de dados e consentimento do usuário. E se você não tiver um conjunto de ferramentas adequado para gerenciar o consentimento dos usuários, coloca seu negócio sob risco de multas altíssimas ou de perda de credibilidade.
Este blog pretende oferecer um passo a passo sobre o tema da gestão de consentimento do GDPR: do mínimo necessário para permanecer do lado certo da lei até uma análise aprofundada das ferramentas que você pode considerar. Blogueiros pequenos, grandes empresas de SaaS e todos que estão no meio do caminho podem se beneficiar da leitura deste artigo sobre gestão do consentimento dos usuários. Ao final deste post, você saberá exatamente o que precisa ser feito para colocar seu site à altura dos padrões atuais e o que o GDPR exige especificamente das empresas que operam na web. Também traremos exemplos para que nossos leitores possam aplicar na vida real o que aprenderem.
Seis regras essenciais de consentimento do GDPR
Antes de conseguir controlar o consentimento, você precisará conhecer as regras básicas que o GDPR estabelece para coletá-lo. Uma boa gestão de consentimento do GDPR só é possível quando todas elas são seguidas, pois basta um erro para que o consentimento coletado não seja legítimo perante a lei.
E estas são as seis regras que toda empresa precisa seguir:
| Regra | O que significa |
|---|---|
| Livre de coação | Os usuários não devem ser coagidos nem persuadidos a consentir |
| Específico | O consentimento deve ser solicitado para uma finalidade definida e não deve ser agrupado com outros consentimentos |
| Informado | O usuário deve saber qual é a natureza dos dados coletados e a finalidade para a qual serão usados |
| Inequívoco | O consentimento deve ser manifestado por um ato afirmativo, como marcar uma caixa, e não pela ausência de ação |
| Fácil de retirar | Retirar o consentimento deve ser tão simples quanto concedê-lo |
| Documentado | A data e a forma do consentimento devem ser registradas pela empresa que o solicita |
Ao integrar essas seis regras à sua prática de consentimento, você conseguirá garantir conformidade plena e construir uma estratégia funcional na qual seus usuários se sintam ouvidos e respeitados. No entanto, um único erro em uma única regra pode invalidar toda a sua prática de consentimento perante a lei, por melhor que seja o restante do design do seu site.
Uma forma de evitar essas armadilhas é revisar e atualizar periodicamente esse conjunto de regras, já que a prática legislativa e a interpretação da lei mudam o tempo todo. Alguns anos atrás, algo que estivesse plenamente de acordo com os requisitos do GDPR teria sido suficiente, mas hoje isso já não é aceitável.
Outra forma de evitar problemas inesperados é capacitar não só o departamento jurídico da sua empresa, mas também outras áreas, como marketing e atendimento ao cliente, nos fundamentos das regras de consentimento e em sua importância.
Quais são os 7 principais requisitos do GDPR?
O GDPR se apoia em vários princípios centrais que definem as regras do tratamento de dados pessoais. Esses princípios ajudam a criar uma estratégia de consentimento abrangente, pois evidenciam os objetivos que não podem ser alcançados sem um sistema de consentimentos bem construído.
Os sete princípios centrais são os seguintes:
- Licitude, lealdade e transparência exige um tratamento honesto dos dados.
- Limitação da finalidade os dados só devem ser tratados para os objetivos definidos inicialmente.
- Minimização de dados os conjuntos de dados não devem incluir dados irrelevantes.
- Exatidão os dados devem sempre ser relevantes e estar atualizados.
- Limitação da conservação os dados só devem estar disponíveis quando isso for necessário.
- Integridade e confidencialidade os dados devem ser protegidos por medidas apropriadas.
- Responsabilização: a organização que trata os dados deve ser capaz de demonstrar conformidade.
Uma ferramenta de gestão de consentimento em conformidade com o GDPR ajuda uma organização a cumprir cada um dos requisitos. Na maioria dos casos, uma única ferramenta ajuda a atingir vários objetivos, pois é construída em torno das regras gerais de tratamento de dados. Por exemplo, um sistema de gestão de consentimento bem construído ajuda a manter a responsabilização, a transparência e a limitação da finalidade. Ao mesmo tempo, oferecer aos usuários a opção de retirar o consentimento contribui para o princípio da limitação da finalidade e da minimização de dados.
Ao implementar um sistema que ajude a cumprir cada um dos requisitos, as empresas costumam se concentrar demais nos objetivos em si e deixam passar um detalhe crítico: esses princípios devem ser usados como uma bússola. Novos recursos, ferramentas e serviços de terceiros que envolvam dados pessoais de qualquer forma devem ser avaliados à luz dos princípios existentes. A empresa deve se perguntar se determinada inovação está alinhada aos objetivos existentes relacionados ao GDPR, em vez de esperar que os usuários se oponham às suas práticas de tratamento.
Além disso, um funcionário que trabalha diretamente com dados pessoais deve conhecer os princípios bem o suficiente para conseguir moldar a estratégia de GDPR da empresa. Assim, as regras se tornariam parte integrante das operações do dia a dia e ajudariam a construir melhores práticas de tratamento de dados de modo geral. De muitas formas, os princípios funcionam como fator motivador para organizações genuinamente interessadas em criar sistemas pensados com a privacidade do usuário em mente.
Quais são as bases legais para tratar dados sob o GDPR?
O consentimento não é a única base legal para o tratamento de dados pessoais sob o GDPR, embora seja a mais comum para atividades de marketing e cookies. Conhecer as outras bases legais pode ajudar você a aplicar as medidas certas a situações específicas, em vez de depender apenas de caixas de consentimento.
Seis bases legais são permitidas e reconhecidas pelo GDPR:
| Base legal | Exemplo de uso |
|---|---|
| Consentimento | Marketing por e-mail, cookies não essenciais |
| Contrato | Processamento de pagamento para execução de contrato |
| Obrigação legal | Tratamento relacionado a obrigações fiscais |
| Interesses vitais | Tratamento de informações médicas (casos de salvamento) |
| Interesse público | Operações de tratamento para funções governamentais |
| Legítimos interesses | Prevenção de fraude ou de segurança (escopo limitado) |
A maioria das empresas e serviços baseados na internet precisa operar principalmente com a primeira base legal, e é por isso que a gestão de consentimento do GDPR se torna vitalmente importante. Cookies específicos de marketing, ferramentas de analytics e de personalização exigem consentimento explícito para serem colocados no dispositivo do usuário final. Vale observar que às vezes o legítimo interesse pode ser usado no lugar do consentimento, mas isso exige níveis mais altos de documentação e transparência. As organizações devem evitar usar essa base quando o consentimento for uma alternativa viável, para evitar os riscos de desconfiança dos usuários e de intervenção regulatória.
Ao escolher entre as bases legais possíveis para a sua organização, é essencial não cometer o erro de selecionar aquela que se aplicaria universalmente. Caso contrário, se os reguladores concluírem que os legítimos interesses estão sendo usados de forma inadequada, as consequências podem ser severas para as empresas e também para a base de usuários da qual elas dependem.
Como você pode obter o consentimento do GDPR?
Obter consentimento válido é a pedra angular da gestão de consentimento do GDPR, que deve ser simples de usar e transparente para evitar qualquer mal-entendido entre o prestador de serviço e o cliente.
Abaixo estão os passos essenciais para coletar o consentimento do usuário em um site:
- Exibir um banner com informações sobre a coleta de dados — o usuário precisa saber exatamente quais dados estão sendo coletados e com qual finalidade.
- Dar ao usuário a opção de aceitar/recusar — a configuração padrão deve ser “não aceito”.
- Não usar linguagem ambígua — o usuário deve conseguir entender o texto sem explicações adicionais.
- Tornar cada finalidade independente — se o usuário quiser aceitar cookies para fins de marketing, funcionais e de analytics, deve poder fazer isso sem aceitar tudo de uma vez.
- Armazenar as informações necessárias — o site precisa conseguir exibir a data e a hora do consentimento, a versão da política e a escolha do usuário.
- Oferecer uma forma fácil de retirar o consentimento — o usuário deve conseguir desfazer sua decisão com um clique.
Depois de implementar esses passos, o site poderá oferecer uma solução de gestão de consentimento compatível com o GDPR e fácil de entender para os usuários. Além disso, é fundamental ter em mente que o usuário precisa dar consentimento sempre que houver uma mudança no site, como um novo plug-in de terceiros.
Ademais, algumas empresas oferecem a opção de traduzir o banner da política de cookies para o idioma local do usuário, melhorando assim a experiência do usuário (UX). Por fim, pode ser útil testar o site sob a perspectiva do usuário, percorrer o processo de conceder ou retirar o consentimento, verificar como o site se comporta após a recusa dos cookies e garantir que todos os elementos de rastreamento estejam desativados.
Como empresas de SaaS, agências e apps podem gerenciar o consentimento do GDPR?
Diferentes tipos de negócio têm requisitos diferentes para a gestão de consentimento. Um site e um SaaS não são a mesma coisa em termos de soluções de gestão de consentimento.
Para produtos de software como serviço, as soluções de gestão de consentimento do GDPR precisam estar embutidas no próprio produto. Isso significa que a interface para gerenciar o consentimento deve estar no produto, e não apenas no site. Além disso, para esse tipo de projeto é vital ter uma solução de gestão de consentimento para todos os clientes, e os dados de cada conta devem ser separados.
No caso das agências, o requisito está ligado ao trabalho com vários sites e à tarefa de gerenciar seus consentimentos. A melhor solução para essas agências seria um painel agregado para todos os sites e para a gestão dos banners. Isso as ajudará a atualizar os banners e a verificar os consentimentos com mais facilidade. Em outros tipos de negócio, os requisitos estão ligados à prestação de serviços por meio de aplicativos móveis. A gestão de consentimento dentro dos apps é a mais complexa, pois os aplicativos móveis costumam exigir permissões adicionais além do site, como fornecer ao app os dados de localização do usuário. As regras de gestão de consentimento para apps devem ser as mesmas que para sites. À medida que a popularidade dos aplicativos móveis cresce, a importância de gerenciar o consentimento por dispositivos móveis também aumenta, e as autoridades regulatórias estão agora atentas a esse tema.
No entanto, apesar da diferença de requisitos, há semelhanças entre as necessidades de agências, SaaS e aplicativos móveis. Essas semelhanças giram em torno do tema da visibilidade. Para esses tipos de negócio, o aspecto mais crítico da gestão de consentimento é a capacidade de ter uma visão panorâmica dos consentimentos e de seus status. Essa visão é vital para os três tipos de organização, pois permite responder a qualquer dúvida ou solicitação de usuários e reguladores de maneira ágil e eficiente.
Encontrando a melhor solução de gestão de consentimento do GDPR
Com tantas ferramentas disponíveis, pode ser difícil saber qual é a certa para você. Concentre-se nos recursos indispensáveis: algo que ajude você a estar em conformidade e que também seja fácil de usar.
| Recurso a procurar | Por que importa |
|---|---|
| Banners personalizáveis | Combinam com a sua marca sem deixar de estar em conformidade |
| Suporte a vários idiomas | Ajuda a atender públicos internacionais de forma justa |
| Logs e registros de consentimento | Fornecem prova em auditorias e disputas |
| Bloqueio automático de scripts | Impedem rastreadores até que o consentimento seja dado |
| Atualizações regulares de conformidade | Acompanham as mudanças nas regras do GDPR |
| Integrações fáceis | Funcionam sem atrito com seu site ou app atuais |
A ferramenta certa também deve crescer com você: você pode começar usando em um site, mas se expandir seu serviço para mais sites ou usar mais ferramentas, vai querer garantir que a ferramenta escale junto. Isso pode evitar dores de cabeça de engenharia e jurídicas ao longo do caminho.
A ConsentX entende que você quer algo simples e eficaz para gerenciar múltiplos clientes, sites e apps, ao mesmo tempo em que oferece a possibilidade de personalizar os banners para os seus próprios casos de uso.
Embora demonstrações possam ajudar, recomendamos que você solicite um teste para ver em primeira mão como algo como a exibição de banner personalizável na ConsentX pode ser simples para o seu site, ver com que rapidez ela bloqueia scripts e saber como seriam seus relatórios e registros.
Conclusão
A gestão do consentimento do GDPR deixou de ser uma prática opcional para qualquer empresa que coleta e trata dados de usuários. Tudo, das seis regras básicas aos sete pontos, é necessário para conquistar a confiança do seu público.
Seu site, sua aplicação web ou sua prática de gestão em agência se beneficiarão significativamente de uma ferramenta bem configurada para gerenciar consentimentos. Assim, nenhum centavo será desperdiçado com possíveis violações, e você mostrará aos seus clientes que respeita a privacidade deles. E tudo isso é necessário para a confiança e para uma boa reputação. A escolha certa de instrumentos para conformidade com o GDPR permitirá que você gaste muito menos tempo na gestão direta dos consentimentos.
Experimente a Consentx hoje e torne a gestão de consentimento do GDPR algo simples.
Perguntas frequentes
O que é gestão de consentimento do GDPR?
Refere-se aos procedimentos de solicitar permissão aos usuários para coletar e utilizar suas informações e ao armazenamento dessas informações com registros claros do consentimento de um usuário que concede sua permissão.
Por que a gestão de consentimento do GDPR é importante para as empresas?
Ela protege o negócio de se dissolver por causa de penalidades e multas legais, já que garante a conformidade com as leis vigentes, e aumenta a confiança entre os usuários, uma vez que eles dão sua permissão de forma voluntária e sem qualquer tipo de coação.
Quais são os requisitos da gestão de consentimento do GDPR?
O consentimento dado pelo usuário deve ser livre, e sua retirada deve ser tão fácil quanto concedê-lo. Esse consentimento precisa ser específico e, se houver múltiplos consentimentos, cada um deve ser especificado e facilmente identificável.
Quais são as melhores práticas para a gestão de consentimento do GDPR?
As melhores práticas incluem ter um banner informativo, a recusa do consentimento por finalidade, a ausência de qualquer seleção padrão e os registros de todos os consentimentos fornecidos. Também deve haver um novo aviso, com um novo banner de consentimento, sempre que ocorrerem mudanças nas práticas de dados.
Qual ferramenta você deve usar para a gestão de consentimento do GDPR?
A ferramenta ideal deve ter opção de personalização, um banner de cookies fácil de ler, suporte a vários idiomas e um recurso de bloqueio de scripts. Ela também deve ter trilhas de auditoria para os registros de consentimento. Uma ferramenta como a ConsentX pode ser usada.