O RGPD Três Anos Depois: O Teatro de Conformidade Que a Maioria dos Websites Representa

A conformidade que não existe

Em maio de 2018, o RGPD entrou em vigor. Nos meses que se seguiram, milhões de websites europeus adicionaram um banner de cookies. Uma proporção significativa desses websites parou então de pensar no RGPD.

O banner de cookies tornou-se o símbolo visível de conformidade, a coisa para a qual os clientes apontam quando são questionados “estamos em conformidade com o RGPD?” O problema é que o consentimento de cookies é um componente de um regulamento que abrange recolha de dados, processamento, armazenamento, transferência, notificação de violação, direitos individuais, contratos com fornecedores e responsabilidade organizacional. Adicionar um banner endereçou aproximadamente 5% do âmbito regulatório.

Isto não é uma crítica às empresas que cometeram este erro. O regulamento é complexo, a orientação é extensa, e a interpretação prática dos requisitos demorou anos de decisões regulatórias e ações de execução a clarificar. O Comité Europeu para a Proteção de Dados e as autoridades de supervisão nacionais emitiram orientação sobre tópicos tão específicos como o design de banners de cookies, a definição de consentimento “livremente dado”, e a legalidade de tecnologias de rastreamento específicas.

O que mudou nos anos desde 2018 é que o registo de execução é agora suficientemente extenso para perceber o que os reguladores realmente verificam, e o que encontram quando verificam.

O que os reguladores realmente encontram

O rastreador de execução do RGPD documenta coimas em estados-membros da UE. Os padrões que emergem do registo público são consistentes.

Mecanismos de consentimento que estão tecnicamente presentes mas desenhados para enganar (onde “Aceitar Tudo” é um grande botão verde e “Rejeitar” requer navegar por três submenus) são um alvo de execução recorrente. A orientação do EDPB sobre “padrões de design enganosos” proíbe explicitamente interfaces desenhadas para tornar a rejeição mais difícil do que a aceitação.

Transferências de dados de terceiros sem base legal são uma segunda área de execução consistente. Um website que envia dados de utilizadores para um fornecedor de analytics baseado nos EUA sem um mecanismo de transferência válido (Cláusulas Contratuais Padrão ou Regras Corporativas Vinculativas) está em violação do Capítulo V do RGPD.

O Information Commissioner’s Office do Reino Unido mantém orientação que espelha o RGPD para conformidade pós-Brexit no Reino Unido.

O gap técnico entre um banner de cookies e a conformidade real

Uma implementação de consentimento de cookies em conformidade tem requisitos técnicos específicos que a maioria dos plugins de “banner de cookies” não implementa por defeito.

O estado padrão deve ser sem rastreamento. Isto soa óbvio mas é violado por uma grande proporção de implementações: scripts de analytics que carregam no carregamento da página antes de o utilizador ter feito qualquer escolha de consentimento, pixels de marketing que se ativam imediatamente. As diretrizes de privacidade da OWASP descrevem isto como uma falha fundamental de minimização de dados.

O registo de consentimento deve ser armazenado e auditável. Quando um utilizador aceita ou rejeita cookies, essa decisão deve ser registada com um timestamp, a versão do texto de consentimento que foi mostrado, e as escolhas específicas feitas. A maioria das implementações de banner de cookies armazena um booleano em localStorage. Isso não é um registo de conformidade.

Os Pedidos de Acesso do Titular de Dados requerem um processo documentado. Ao abrigo dos Artigos 15-22 do RGPD, os indivíduos têm o direito de solicitar uma cópia de todos os dados guardados sobre eles, de os ter corrigidos, eliminados ou transferidos. As empresas são obrigadas a responder num mês civil. A implementação técnica que isto requer, pesquisar todos os sistemas que guardam dados do utilizador, extrair registos relevantes, e entregá-los num formato legível, não é fornecida automaticamente por nenhum plugin.

O gap nos contratos com fornecedores

Cada serviço de terceiros que processa os dados pessoais dos teus utilizadores requer um Acordo de Processamento de Dados. Isto inclui a plataforma de email marketing, a ferramenta de analytics, o serviço de chat ao vivo, o CRM, a ferramenta de formulários, o fornecedor de hosting na cloud e o processador de pagamentos.

A maioria dos grandes fornecedores (Google, Mailchimp, HubSpot, Stripe) fornece APDs padrão nos seus termos de serviço ou disponíveis para assinatura nas definições da conta. O requisito não é que as empresas negociem APDs personalizados. É que os aceitem explicitamente e os documentem. Muitas empresas usam estes serviços sem ter aceite o APD, o que significa que a base legal para a transferência de dados não está estabelecida.

Como parece a conformidade técnica com o RGPD

A orientação do W3C sobre privacidade por design descreve o modelo de implementação técnica: minimização de dados (recolher apenas o necessário), limitação de finalidade (não usar dados para fins diferentes do consentido), limitação de armazenamento (eliminar dados quando já não são necessários), e segurança (medidas técnicas para proteger dados armazenados).

Aplicado a um website de negócio típico, isto traduz-se em:

Uma Plataforma de Gestão de Consentimento (CMP) que gatea todos os scripts não essenciais atrás do consentimento, armazena registos de consentimento com timestamps, e fornece uma API documentada para integrações. Não um plugin de banner de cookies. Uma CMP real, OneTrust, Cookiebot, Usercentrics, ou um equivalente open-source.

Uma Política de Privacidade que reflete com precisão os dados realmente recolhidos e processados.

Acordos de Processamento de Dados aceites e documentados para cada fornecedor que trata dados de utilizadores.

Um processo para responder a Pedidos de Acesso do Titular de Dados em 30 dias, incluindo a capacidade técnica de pesquisar todos os armazenamentos de dados para informações de um utilizador específico.

O [serviço de manutenção do x078](/pt/servicos/manutencao/) inclui auditorias de conformidade técnica com o RGPD para plataformas SaaS e de tecnologia e negócios de serviços B2B a operar no mercado da UE. A auditoria revela consistentemente os mesmos gaps: consentimento de cookies contornado por scripts a carregar antes do consentimento, APDs em falta para ferramentas de fornecedores padrão, e nenhum processo de DSAR documentado.

O regulamento tem seis anos. O registo de execução é substancial. Os requisitos técnicos estão documentados. O gap restante é entre saber como parece a conformidade e implementá-la.