Conformidade com a PDPPL do Catar com a ConsentX

O que é a Lei de Proteção da Privacidade de Dados Pessoais do Catar?

A Lei de Proteção da Privacidade de Dados Pessoais do Catar, comumente chamada de PDPPL, é o principal marco geral do país para a proteção de dados pessoais.

A lei estabelece obrigações para controladores e operadores e protege as pessoas cujos dados pessoais são tratados.

Ela se aplica a dados pessoais quando tratados eletronicamente, coletados ou obtidos em preparação para tratamento eletrônico, ou tratados por uma combinação de métodos eletrônicos e tradicionais. Atividades pessoais ou familiares e determinados tratamentos estatísticos oficiais estão excluídos de seu âmbito.

A lei está estruturada em torno de:

• Direitos de privacidade dos titulares
• Tratamento lícito e transparente
• Consentimento e finalidades legítimas
• Avisos de privacidade
• Minimização de dados
• Exatidão dos dados
• Limitação da retenção
• Medidas de segurança
• Gestão de operadores
• Notificação de incidentes de dados
• Dados pessoais de natureza especial
• Fluxos transfronteiriços de dados
• Marketing direto
• Reclamações e fiscalização

Quais dados estão cobertos?

A lei se aplica a dados pessoais, incluindo informações que possam identificar uma pessoa direta ou indiretamente.

Dependendo das circunstâncias, isso pode incluir:

• Nome
• Informações de contato
• Número de telefone
• Endereço de e-mail
• Informações de identificação
• Informações de conta
• Identificadores on-line
• Informações de localização
• Informações do dispositivo
• Registros de clientes
• Informações de colaboradores
• Informações financeiras
• Informações relacionadas à saúde
• Preferências de marketing
• Informações de uso do site e do aplicativo
• Outras informações associadas a uma pessoa identificável

A lei define amplamente o tratamento de dados pessoais e inclui atividades como coletar, receber, registrar, organizar, armazenar, modificar, recuperar, usar, divulgar, publicar, transferir, reter, destruir, apagar e cancelar dados pessoais.

Tratamento lícito e consentimento na PDPPL do Catar

A PDPPL do Catar exige consentimento?

O consentimento é uma base legal importante na PDPPL do Catar, mas não é exigido universalmente para toda atividade de tratamento.

O artigo 4 estabelece que o controlador não pode tratar dados pessoais sem o consentimento do titular, salvo se o tratamento for necessário para alcançar uma finalidade legítima do controlador ou do terceiro para quem os dados são transferidos.

Isso significa que as organizações devem identificar a justificativa legal de cada atividade de tratamento, em vez de tratar o consentimento como exigência geral para toda forma de tratamento.

Dependendo das circunstâncias, o consentimento pode ser relevante para:

• Comunicações de marketing
• Atividades publicitárias e promocionais
• Analytics opcional
• Determinadas tecnologias de rastreamento
• Personalização opcional
• Compartilhamento de dados com terceiros
• Usos opcionais de dados não relacionados à finalidade original

As organizações devem documentar a base adotada para cada atividade de tratamento.

Requisitos de consentimento na PDPPL do Catar

Quando o consentimento é utilizado, as organizações devem assegurar que ele seja significativo e adequadamente documentado.

Um mecanismo de consentimento em conformidade deve:

• Identificar com clareza aquilo com que o titular está concordando
• Explicar a finalidade do tratamento
• Evitar linguagem enganosa ou ambígua
• Evitar tratar o consentimento como automático quando for exigida manifestação afirmativa
• Manter evidência da decisão de consentimento
• Permitir a retirada do consentimento quando aplicável
• Garantir que o tratamento posterior reflita a decisão do titular

Para negócios digitais, a gestão de consentimento deve estar conectada ao ambiente real de tratamento, de modo que rastreadores, tecnologias de publicidade e outras tecnologias opcionais não operem de forma incompatível com a escolha do usuário.

Retirada do consentimento

Os titulares têm o direito de retirar o consentimento anteriormente fornecido.

O artigo 5 confere expressamente aos titulares a possibilidade de retirar o consentimento prévio ao tratamento. Os titulares também podem se opor ao tratamento quando este for desnecessário para as finalidades da coleta, excessivo, discriminatório, injusto ou contrário à lei.

As organizações devem, portanto, manter um processo para:

• Receber pedidos de retirada
• Verificar o pedido
• Identificar tratamentos baseados em consentimento
• Atualizar o status do consentimento
• Interromper o tratamento correspondente quando exigido
• Registrar a retirada
• Manter evidências de auditoria adequadas

Avisos de privacidade e transparência

A PDPPL do Catar exige que os controladores forneçam informações aos titulares antes de iniciar o tratamento de dados pessoais.

Conforme o artigo 9, os titulares devem ser informados sobre:

• A identidade do controlador
• Outras partes que tratam os dados por conta do controlador ou que os utilizam
• As finalidades lícitas do tratamento
• Uma descrição completa e exata das atividades de tratamento e dos níveis de divulgação, ou uma descrição geral quando não for possível fornecer descrição detalhada
• Outras informações necessárias para satisfazer as condições de tratamento de dados pessoais

Um aviso de privacidade deve, portanto, explicar quais informações são coletadas, por que são coletadas, como são usadas e com quem podem ser compartilhadas.

Minimização de dados e limitação de finalidade

A PDPPL do Catar exige que os controladores assegurem que os dados pessoais coletados sejam:

• Pertinentes às finalidades lícitas
• Adequados a essas finalidades
• Exatos
• Completos
• Atualizados

Os controladores também devem evitar reter dados pessoais por mais tempo do que o necessário para alcançar as finalidades correspondentes.

Isso gera requisitos práticos relacionados a:

• Inventários de dados
• Formulários de coleta
• Sistemas de CRM
• Ferramentas de analytics
• Bases de marketing
• Contas de clientes
• Políticas de retenção
• Fluxos de exclusão

Direitos dos titulares na PDPPL do Catar

A lei assegura aos titulares diversos direitos sobre seus dados pessoais.

Direito de acesso. Os titulares podem acessar seus dados pessoais e solicitar consultá-los. O artigo 6 também prevê o direito de receber informações sobre o tratamento e de obter cópia dos dados pessoais, observados o marco legal e as taxas de serviço aplicáveis.

Direito à informação. Os titulares podem solicitar informações sobre o tratamento de seus dados pessoais, as finalidades do tratamento, determinadas divulgações e imprecisões nos dados pessoais divulgados.

Direito de correção. Os titulares podem solicitar a correção de dados pessoais inexatos e devem apresentar elementos que sustentem a correção pretendida, conforme o artigo 5.

Direito de exclusão. Os titulares podem solicitar exclusão ou apagamento em situações específicas, inclusive quando o tratamento for desnecessário, os dados forem excessivos para a finalidade, a finalidade original tiver se encerrado ou não houver justificativa para manter os dados.

Direito de oposição. Os titulares podem se opor ao tratamento quando este for desnecessário para a finalidade da coleta, excessivo, discriminatório, injusto ou contrário à lei.

Direito de retirar o consentimento. Quando o tratamento se baseia em consentimento prévio, o titular pode retirá-lo.

Dados pessoais de natureza especial

A PDPPL do Catar classifica determinados tipos de dados pessoais como dados pessoais de natureza especial.

O artigo 16 inclui expressamente informações relativas a:

• Origem étnica
• Crianças
• Saúde
• Condição física
• Condição psicológica
• Crenças religiosas
• Relações matrimoniais
• Infrações penais

O Ministro pode acrescentar outras categorias quando o uso indevido ou a divulgação puder causar dano grave a uma pessoa.

O tratamento de dados pessoais de natureza especial exige autorização do departamento competente, nos termos do artigo 16, seguindo os procedimentos e controles aplicáveis. Salvaguardas adicionais também podem ser impostas para proteger esses dados. As organizações devem, portanto, identificá-los antes de implantar novas atividades de tratamento.

Dados pessoais de crianças

Os dados de crianças estão expressamente incluídos na definição catariana de dados pessoais de natureza especial.

Isso significa que organizações que tratam informações relativas a crianças devem aplicar controles adicionais e avaliar cuidadosamente os requisitos de autorização e privacidade aplicáveis.

Para sites, aplicativos, plataformas educacionais, serviços de jogos e outros serviços voltados a crianças, as organizações devem considerar:

• Controles relacionados à idade
• Mecanismos de consentimento adequados
• Processos de pais ou responsáveis quando exigidos
• Minimização de dados
• Controles de acesso adicionais
• Segurança reforçada
• Limites de retenção

Requisitos de segurança de dados

A PDPPL do Catar exige que controladores e operadores adotem medidas adequadas para proteger os dados pessoais.

O artigo 8 exige que os controladores adotem precauções administrativas, técnicas e físicas adequadas para proteger os dados pessoais.

O artigo 13 exige ainda que controladores e operadores adotem precauções contra:

• Perda
• Dano
• Modificação
• Divulgação
• Acesso não autorizado
• Uso acidental
• Uso ilícito

As salvaguardas devem ser proporcionais à natureza e à importância dos dados pessoais protegidos.

Privacidade desde a concepção

A PDPPL do Catar exige que os controladores considerem a proteção da privacidade ao projetar, alterar ou desenvolver produtos, sistemas e serviços que envolvam dados pessoais.

Os controladores também devem revisar as medidas de proteção da privacidade antes de introduzir novas operações de tratamento.

As organizações devem, portanto, incorporar a privacidade em:

• Desenvolvimento de sites
• Aplicativos móveis
• Portais de clientes
• Plataformas de marketing
• Implementações de analytics
• Sistemas de CRM
• Sistemas de IA
• Acordos de compartilhamento de dados
• Implantação de novas tecnologias

Responsabilidades de controlador e operador

A PDPPL do Catar distingue o controlador do operador.

O controlador determina as finalidades do tratamento e é responsável por assegurar que o tratamento seja realizado conforme a lei. Suas obrigações incluem:

• Tratamento lícito
• Transparência
• Minimização de dados
• Exatidão
• Controle da retenção
• Segurança
• Procedimentos de privacidade
• Supervisão de operadores
• Tratamento de reclamações
• Procedimentos de direitos dos titulares
• Monitoramento da conformidade

Os operadores tratam dados pessoais por conta dos controladores. Os controladores devem identificar os operadores responsáveis por proteger os dados pessoais e monitorar continuamente o cumprimento de suas instruções e das salvaguardas adequadas.

Gestão de operadores

Organizações que usam provedores de nuvem, serviços de analytics, plataformas de marketing, fornecedores de SaaS, provedores de hospedagem ou outros operadores terceirizados devem manter controles adequados.

As principais medidas incluem:

• Due diligence de fornecedores
• Acordos de tratamento de dados
• Instruções de tratamento definidas
• Requisitos de segurança
• Controles de acesso
• Gestão de suboperadores
• Procedimentos de notificação de incidentes
• Procedimentos de exclusão ou devolução de dados
• Monitoramento contínuo da conformidade

O artigo 12 exige que as divulgações ou transferências a operadores permaneçam compatíveis com as finalidades lícitas e com os requisitos da lei.

Notificação de incidentes de dados

A PDPPL do Catar contém obrigação específica relativa a violações das medidas de segurança exigidas pelo artigo 13.

Quando um incidente puder causar dano grave aos dados pessoais ou à privacidade do titular, o controlador deve notificar o titular afetado e a administração competente.

O artigo 13 também exige que os operadores notifiquem o controlador imediatamente ao tomarem conhecimento de falha nas salvaguardas exigidas ou de risco que ameace os dados pessoais dos titulares.

As organizações devem manter um processo de resposta a incidentes capaz de:

• Detectar um incidente com dados pessoais
• Avaliar seu impacto
• Identificar os dados afetados
• Determinar se pode ocorrer dano grave
• Escalar o incidente
• Notificar as partes pertinentes quando exigido
• Documentar a resposta

Transferências transfronteiriças de dados

A PDPPL do Catar reconhece os fluxos transfronteiriços de dados.

A lei não estabelece proibição geral de transferir dados pessoais para fora das fronteiras nacionais. Em vez disso, o artigo 15 impede que os controladores adotem medidas para limitar fluxos transfronteiriços, salvo se o tratamento violar a lei ou puder causar dano grave aos dados pessoais ou à privacidade do titular.

Ainda assim, as organizações devem avaliar:

• Onde os dados pessoais são armazenados
• Onde os fornecedores tratam as informações
• Se os serviços de nuvem operam internacionalmente
• Quem pode acessar as informações
• Se o tratamento permanece compatível com as finalidades informadas
• Se as salvaguardas de segurança são mantidas

Cookies e rastreamento on-line

A PDPPL do Catar se aplica a dados pessoais tratados por sistemas eletrônicos, o que torna a coleta de dados on-line relevante para a conformidade em privacidade.

Os operadores de sites devem, portanto, avaliar cookies e tecnologias de rastreamento que possam coletar ou permitir o acesso a informações associadas a uma pessoa identificável.

Exemplos incluem:

• Cookies de analytics
• Cookies de publicidade
• Pixels de redes sociais
• Tecnologias de retargeting
• Identificadores de dispositivo
• Identificadores on-line
• Tecnologias de sessão
• Rastreadores de marketing

Quando o consentimento for a base aplicável, as organizações devem obtê-lo antes de ativar o tratamento correspondente.

Uma plataforma de gestão de consentimento pode ajudar a separar:

• Tecnologias estritamente necessárias
• Tecnologias de analytics
• Tecnologias de publicidade
• Tecnologias funcionais
• Outros rastreadores opcionais

Marketing direto na PDPPL do Catar

O Catar possui uma exigência explícita para o marketing direto eletrônico.

O artigo 22 proíbe o envio de comunicação eletrônica para marketing direto sem o consentimento prévio do titular.

As comunicações de marketing também devem:

• Identificar o remetente
• Indicar que a comunicação é de marketing direto
• Fornecer um endereço válido pelo qual o titular possa solicitar a interrupção das comunicações
• Permitir que o titular retire seu consentimento

Isso se aplica em especial a:

• E-mails promocionais
• Mensagens eletrônicas de marketing
• Campanhas digitais
• Outras comunicações eletrônicas de marketing direto

Registros de consentimento devem, portanto, ser mantidos para as bases de marketing.

Decisões automatizadas e IA

A PDPPL do Catar é anterior à atual onda de IA generativa e de tecnologias de decisão automatizada, de modo que as organizações não devem presumir que ela contenha um marco autônomo sobre decisões automatizadas nos moldes do GDPR.

Ainda assim, a IA e o tratamento automatizado podem envolver coleta e tratamento extensos de dados pessoais.

As atuais orientações governamentais do Catar sobre IA também destacam a necessidade de resguardar a privacidade e proteger dados pessoais de natureza especial ao desenvolver e implantar sistemas de IA.

Organizações que utilizam IA devem, portanto, avaliar:

• Quais dados pessoais são usados
• Por que os dados são usados
• Se o consentimento ou outra base legal se aplica
• Se há dados de natureza especial envolvidos
• Quem pode acessar os dados
• Se os dados são transferidos internacionalmente
• Por quanto tempo as informações são retidas
• Se os titulares estão adequadamente informados

Retenção de dados

A PDPPL do Catar exige que os controladores não retenham dados pessoais por mais tempo do que o necessário para alcançar as finalidades lícitas para as quais foram coletados.

Um programa prático de retenção deve definir:

• Prazos de retenção por finalidade
• Categorias de dados
• Requisitos de arquivamento
• Gatilhos de exclusão
• Retenções legais
• Tratamento de backups
• Exclusão junto a terceiros
• Procedimentos de encerramento de conta

A ConsentX pode complementar esses processos mantendo registros de consentimento e de alterações de preferências, cabendo às organizações a responsabilidade pelo seu programa mais amplo de retenção.

Governança e responsabilização em privacidade

O artigo 11 estabelece diversos requisitos organizacionais, incluindo:

• Revisar as medidas de proteção da privacidade antes de novos tratamentos
• Identificar os operadores responsáveis pela proteção de dados pessoais
• Treinar os operadores
• Estabelecer sistemas para reclamações
• Atender solicitações de acesso, correção e exclusão
• Manter sistemas internos de gestão de dados
• Reportar violações dos procedimentos de proteção
• Apoiar os direitos de acesso, consulta e correção
• Realizar auditorias de conformidade
• Monitorar a conformidade dos operadores

Isso torna a governança de privacidade uma responsabilidade organizacional contínua, e não um exercício pontual limitado ao site.

Reclamações de privacidade

Os titulares podem apresentar reclamações ao departamento competente quando entenderem que a lei ou decisões editadas com base nela foram violadas.

O artigo 26 prevê expressamente uma via para que os titulares apresentem reclamações sobre violações da lei.

As organizações devem, portanto, contar com um processo interno para:

• Receber reclamações de privacidade
• Verificar a identidade do solicitante
• Investigar a questão
• Responder adequadamente
• Escalar quando necessário
• Manter registros da reclamação e de sua resolução

Penalidades da PDPPL do Catar em detalhe

A PDPPL do Catar estabelece penalidades financeiras significativas para infrações específicas.

O artigo 23 prevê multa de até QAR 1.000.000 por violações de dispositivos determinados, incluindo:

• Artigo 4: requisitos de tratamento
• Artigo 8: obrigações do controlador
• Artigo 9: requisitos de transparência
• Artigo 10: pertinência, exatidão e retenção dos dados
• Artigo 11: procedimentos de governança e conformidade
• Artigo 12: divulgações e operadores
• Artigo 14: determinadas obrigações de notificação de incidentes
• Artigo 15: fluxos transfronteiriços de dados
• Artigo 22: marketing direto eletrônico

O artigo 24 prevê multas de até QAR 5.000.000 por infrações específicas, incluindo:

• Artigo 13: medidas de segurança
• Artigo 16, parágrafo 3: requisitos relativos a dados de natureza especial
• Artigo 17: requisitos adicionais relativos a dados de natureza especial

O artigo 25 dispõe que a pessoa jurídica infratora pode ser multada em até QAR 1.000.000 quando as infrações previstas forem cometidas em seu nome e por sua conta, sem prejuízo da responsabilidade penal da pessoa envolvida.

A PDPPL do Catar e a gestão de consentimento

Para organizações que coletam dados pessoais por meio de sites e plataformas digitais, a gestão de consentimento pode apoiar diversos requisitos da PDPPL.

Uma implementação robusta de gestão de consentimento deve ajudar as organizações a:

• Apresentar escolhas de consentimento claras
• Explicar as finalidades
• Separar tecnologias opcionais e necessárias
• Capturar registros de consentimento
• Registrar retiradas
• Manter evidências de auditoria
• Controlar rastreadores de terceiros
• Aplicar regras regionais de privacidade
• Apoiar a gestão de preferências de privacidade

A ConsentX pode fornecer a camada técnica para esses fluxos de trabalho.

Checklist de conformidade com a PDPPL do Catar

Use este checklist para avaliar o preparo da sua organização.

• Identificar os dados pessoais coletados
• Mapear as atividades de tratamento
• Identificar controladores e operadores
• Documentar as finalidades do tratamento
• Identificar a base legal aplicável
• Revisar os requisitos de consentimento
• Manter registros de consentimento adequados
• Fornecer informações de privacidade antes do tratamento
• Implementar a minimização de dados
• Manter a exatidão dos dados
• Definir prazos de retenção
• Estabelecer procedimentos de acesso
• Estabelecer procedimentos de correção
• Estabelecer procedimentos de exclusão
• Estabelecer procedimentos de oposição e retirada do consentimento
• Identificar dados de natureza especial
• Revisar os requisitos adicionais para esses dados
• Implementar salvaguardas de segurança
• Estabelecer procedimentos de resposta a incidentes
• Revisar contratos com operadores
• Monitorar a conformidade dos operadores
• Avaliar os fluxos transfronteiriços de dados
• Obter consentimento prévio para marketing direto eletrônico quando exigido
• Manter mecanismos de descadastro e retirada
• Auditar cookies e rastreadores do site
• Bloquear rastreamento opcional quando o consentimento for exigido
• Manter a documentação de conformidade
• Realizar auditorias periódicas de privacidade

Por que a gestão de consentimento importa no Catar

A PDPPL do Catar combina requisitos de consentimento com obrigações mais amplas sobre transparência, finalidades legítimas, minimização de dados, retenção, segurança, supervisão de operadores, direitos dos titulares, dados de natureza especial e marketing direto.

Para organizações com presença digital, a conformidade precisa, portanto, ir além da publicação de uma política de privacidade.

Um programa prático de conformidade deve conectar aviso de privacidade → consentimento → controle de rastreamento → registros de consentimento → retirada → preferências de marketing → evidências de auditoria.

A ConsentX ajuda as organizações a operacionalizar esse fluxo em seus sites e experiências digitais.