Políticas de privacidade 101: porque é que precisa delas e o que deve incluir

Como proprietário de uma empresa, é provável que já tenha ouvido o termo "política de privacidade". Mas é esta apenas mais uma formalidade legal ou algo mais?

No mundo digital de hoje, para além de ser um requisito legal, uma política de privacidade pode também ser uma boa ferramenta para criar confiança e reforçar a sua reputação como uma empresa preocupada com a privacidade dos seus clientes.

Neste post, vamos analisar o papel essencial que uma política de privacidade desempenha na sua empresa, explicando o que deve ser incluído e o porquê da sua importância. Quer esteja apenas a começar ou a rever a sua política atual, iremos guiá-lo pelos principais passos a percorrer para garantir que a sua política não seja apenas um documento legal, mas uma ferramenta de comunicação eficaz que tranquilize os seus clientes.

Porque é que preciso de uma política de privacidade?

Se a sua empresa lida com dados pessoais, uma política de privacidade pode ser uma ferramenta fundamental para mostrar a sua sensibilização para os princípios da proteção de dados.

De facto, estar atento às regras de proteção de dados e informar as partes interessadas sobre a forma como processa os seus dados pode trazer muitos benefícios, tais como:

• Cria transparência e confiança nos clientes: Os clientes esperam transparência no que diz respeito à forma como as empresas tratam as suas informações e a primeira coisa que verificam é se a empresa tem uma política de privacidade. Quando se é franco sobre estes processos, cria-se confiança, o que incentiva a lealdade e um maior envolvimento com a empresa.

• Também reforça a sua reputação: No mercado competitivo de hoje, as empresas que dão prioridade à proteção de dados destacam-se. Uma política bem elaborada mostra aos clientes, parceiros e reguladores que a proteção de dados é levada a sério. 

• É um bom ponto de partida para gerir os riscos do seu tratamento de dados: Uma política de privacidade bem elaborada faz parte da sua estratégia global de gestão de riscos, ajudando-o a detetar falhas no seu tratamento dados, como nas suas práticas de armazenamento e controlos de acesso.

• Promove o cumprimento das leis de proteção de dados: Na UE, temos o Regulamento Geral sobre a Proteção de Dados ("RGPD") que impõe às empresas a obrigação de informar os titulares dos dados sobre o seu tratamento de dados. Uma política de privacidade adaptada às suas práticas ajuda-o a manter-se em conformidade com este regime. 

• Também ajuda a salvaguardar os direitos fundamentais: Por último, mas não menos importante, ter uma política de privacidade mostra o seu respeito pelos direitos fundamentais à privacidade e à proteção de dados. As pessoas preocupam-se com a forma como os seus dados são tratados. Uma política de privacidade clara prova que também se preocupa.

Isto significa que, se não tiver implementado políticas de privacidade, ou se não tiver a certeza de que estão completas, este é o momento de as iniciar ou rever. Pode dar alguns passos simples nesse sentido, descrevendo quais os dados pessoais que recolhe, como os utiliza e porquê, bem como percorrendo as tarefas que descrevemos abaixo.  

O que incluir

Para atingir estes objetivos, a sua política deve cumprir os requisitos definidos no RGPD.

Vamos decompor estes elementos passo a passo.

Comece com uma introdução: identifique a sua empresa e o âmbito da política de privacidade

A sua política deve começar por apresentar a sua empresa como a responsável pelo tratamento de dados. Além disso, uma vez que estes documentos devem ser adaptados a públicos específicos (ou seja, os membros da sua equipa, os seus clientes, os utilizadores do sítio Web), também é importante explicar o âmbito do documento e as atividades a que se aplica.

Eis um exemplo simples:

"Este documento explica como recolhemos, utilizamos e protegemos os seus dados pessoais quando utiliza o nosso sítio Web. Salvo indicação em contrário, a [Nome da empresa], sediada em [endereço], é a responsável pelo tratamento dos dados descritos nesta política.”

Se a sua empresa tiver um encarregado de proteção de dados e/ou um representante na UE, facilite a identificação e o contacto pelos utilizadores:

"Para quaisquer questões relacionadas com os seus dados pessoais, pode contactar o nosso encarregado de proteção de dados em: [e-mail do encarregado]."

"Na UE, a [empresa], localizada em [endereço], é o nosso representante. Para quaisquer questões relacionadas com as nossas práticas de proteção de dados, pode contactá-los através de: [e-mail do representante da UE]."

Isto garante que os utilizadores sabem a quem se dirigir se tiverem dúvidas ou precisarem de esclarecimentos sobre as suas práticas.

Explicar quais os dados pessoais que trata

Em seguida, é necessário descrever os dados pessoais que são tratados. Neste caso, as categorias são suficientes, se for compreensível que dados pessoais se enquadram em cada categoria.

É igualmente importante que seja particularmente claro quando se trata de categorias especiais de dados. Estas incluem, por exemplo, dados de saúde, dados biométricos, opiniões políticas e filosóficas. O RGPD acrescenta requisitos mais rigorosos para estas categorias de dados, pelo que é importante que seja transparente para com os titulares dos dados desde o início.

Esta secção pode ser escrita da seguinte forma:

"Tratamos as seguintes categorias de dados pessoais:

• Dados de contacto (ou seja, e-mail, número de telefone, endereço);

• Identificadores em linha (ou seja, endereço IP, identificadores de cookies);

• Interações com os clientes (ou seja, o conteúdo dos seus pedidos de informação e comentários);

• Dados relativos à sua saúde (ou seja, registos médicos, baixas por doença)".

  
  

Explicar como os recolhe

Pode haver casos em que recolhe dados pessoais de outras fontes que não o próprio titular dos dados. Isto pode acontecer, por exemplo, quando utiliza as redes sociais, agências de recrutamento, através de prestadores de serviços KYC, etc.

Quando isso acontece, é importante informar as pessoas em causa de onde os obtém. Por exemplo:

"Obtemos dados pessoais de entidades terceiras. Estas incluem:

• Plataformas de redes sociais;

• Registos públicos, pesquisas na Internet e outras fontes públicas".

Embora não seja estritamente necessário, pode também acrescentar um nível adicional de transparência, clarificando os meios através dos quais obtém dados pessoais diretamente do respetivo titular de dados.

"Recolhemos dados pessoais diretamente do utilizador quando este interage connosco. Isto ocorre quando:

• Preencher formulários fornecidos por nós;

• Nos contactar;

• Nós o recrutarmos".

  
  

Depois, explique porque é que trata estes dados pessoais

Em seguida, deve ser claro sobre a razão pela qual recolhe dados pessoais e a base jurídica aplicável a essas finalidades, como o consentimento, o cumprimento de um contrato com a pessoa em causa ou a prossecução do seu interesse legítimo. Tente ser o mais específico possível para que as pessoas em causa compreendam a forma como os seus dados pessoais serão utilizados.

Por exemplo: 

Tratamos os seus dados pessoais para cumprir um contrato consigo ou para tomar medidas pré-contratuais, a seu pedido. Isto inclui:

• Para processar o pagamento do serviço que adquiriu;

• Para lhe prestar apoio ao cliente;

• Para prestar os nossos serviços;

• Para o recrutar".

  
  

Durante quanto tempo os conserva

Divulgar o período durante o qual os dados pessoais são armazenados ou explicar os critérios utilizados para determinar o período de retenção.

Prazos claros asseguram aos utilizadores que os seus dados pessoais não serão armazenados indefinidamente.

E não se esqueça de explicar com quem os partilha

Também é necessário informar os utilizadores se os seus dados pessoais serão partilhados com terceiros. Tal como acontece com a descrição dos dados pessoais que processa, basta mencionar as categorias de terceiros, desde que a categoria seja compreensível. Pode escrever:

"Partilhamos dados com prestadores de serviços que nos ajudam a fornecer os nossos serviços. Estes incluem:

• Serviços de armazenagem em nuvem (por exemplo, Microsoft);

• Fornecedores de serviços analíticos (por exemplo, Google)

• Fornecedores de marketing por correio eletrónico (por exemplo, Mailchimp)".

Além disso, deve explicar se transfere dados pessoais para fora da UE/EEE e quais as salvaguardas usadas (ou seja, se existe uma decisão de adequação da Comissão Europeia ou se adota cláusulas contratuais com o prestador de serviços).

Por último, informar as pessoas sobre os seus direitos 

A sua política deve informar os utilizadores dos direitos que lhes são conferidos pelo RGPD. Estes direitos incluem: 

• Acesso: Os utilizadores podem pedir informações sobre a forma como os seus dados pessoais são tratados. 

• Retificação: Podem solicitar a correção de erros nos seus dados pessoais. 

• Apagamento: Em condições específicas, podem solicitar que os seus dados sejam apagados (também conhecido como "direito a ser esquecido").

• Retirar o consentimento: se o consentimento foi a base legal para o tratamento dos dados, as pessoas em causa devem ser informadas de que podem retirá-lo a qualquer momento, afetando o seu tratamento futuro. 

• Restrição: Os utilizadores podem limitar a forma como os seus dados são tratados em determinadas situações, por exemplo, quando contestam a sua exatidão. 

• Objeção: Podem opor-se ao tratamento de dados para fins como o marketing ou quando a base de licitude é o interesse legítimo do responsável pelo tratamento. 

• Portabilidade dos dados: Os utilizadores podem requerer o envio dos seus dados num formato comummente utilizado e transferível.

• Direito de apresentar queixa junto de uma autoridade de supervisão: se os titulares de dados considerarem que o tratamento dos seus dados viola a legislação em matéria de proteção de dados, podem apresentar queixa junto da autoridade de supervisão, por exemplo, no seu país de residência.

  
  

Outros elementos a incluir

Dependendo do seu tratamento de dados, poderá ser necessário acrescentar mais pormenores. É o caso, por exemplo, se utilizar cookies e tecnologias semelhantes no seu sítio Web ou se tomar decisões automatizadas. No caso da tomada de decisões automatizada, por exemplo, terá de informar as pessoas em causa sobre a lógica subjacente ao sistema automatizado e o potencial impacto que essas decisões podem ter sobre os titulares de dados.

Como mostrar a sua política de privacidade

Os utilizadores devem ter conhecimento do tratamento de dados antes que este tenha lugar. Para o efeito, a política de privacidade deve ser facilmente acessível e redigida de forma que os titulares dos dados compreendam o seu conteúdo.

Por este motivo, a sua política de privacidade deve ser: 

• Conciso e de leitura fácil: Evite o jargão jurídico desnecessário. Utilize uma linguagem simples e clara para que as pessoas a compreendam claramente. 

• Adaptado ao seu público: Para além de simplificar, adapte a linguagem ao público a que se dirige. Por exemplo, se os seus serviços se destinam a crianças, assegure-se de que a política é devidamente simplificada. 

• Acessível em todas as plataformas: Torne a sua política de privacidade fácil de encontrar em todos os canais com que os utilizadores interagem, como sítios Web, aplicações móveis ou sistemas de apoio ao cliente.

  
  

Para melhorar a experiência do utilizador, considere também estas ações: 

• Ofereça uma explicação oral da política quando solicitado (por exemplo, através do apoio ao cliente). 

• Responda a pedidos de exercício de direitos, como o acesso ou o apagamento, no prazo de 30 dias, exceto se for necessária uma prorrogação devido à complexidade do pedido. Não se trata apenas de um requisito do RGPD, mas também de uma boa prática a adotar aquando de dar resposta a questões dos seus clientes sobre temas relacionados com a proteção de dados.

A criação de uma política de privacidade de fácil utilização contribui muito para o cumprimento das normas do RGPD e para a criação de confiança junto das partes interessadas. Para além de garantir que tem os elementos exigidos pelo RGPD, certifique-se de que também é compreensível para que os titulares dos dados compreendam que os seus direitos são importantes para si.

Por isso, reserve algum tempo para rever a sua política de privacidade ou crie uma de raiz utilizando estas orientações!our current privacy policy or create one from scratch using these guidelines!

Por Francisco Arga e Lima