O que deve constar numa declaração de privacidade?

Os componentes essenciais de uma declaração de privacidade

Uma declaração de privacidade menciona na maioria dos casos quem processa os dados, porquê, e que direitos o titular dos dados tem a esse respeito. Na prática, trata-se da identidade e dos dados de contacto da organização que processa os dados, bem como dos dados de contacto de um encarregado de proteção de dados, se foi designado. Além disso, indica para que fins os dados são utilizados e em que base legal isso ocorre — pense na execução de um contrato, uma obrigação legal, ou um interesse legítimo, sendo este último interesse também nomeado.

Além disso, a declaração deve indicar a quem os dados são divulgados, se vão para um país fora da UE, e por quanto tempo são mantidos — ou, se não for possível fornecer um período fixo, que critérios são utilizados para tal. Os direitos do titular dos dados também aparecem: acesso, retificação, eliminação, restrição, objeção, portabilidade, e a possibilidade de revogar um consentimento dado. Por fim, a declaração menciona o direito de apresentar uma reclamação à autoridade de supervisão, e — se aplicável — se o fornecimento de dados é uma obrigação legal ou contratual e quais são as consequências se alguém não o fizer, além de se existe tomada de decisão automatizada ou elaboração de perfis.

Isto consta do artigo 13.º do RGPD

Esta enumeração decorre diretamente do artigo 13.º do RGPD, que prescreve que informações uma organização fornece no momento em que recolhe dados pessoais do próprio titular dos dados. O RGPD é um regulamento e estes requisitos aplicam-se portanto em termos de conteúdo de forma igual em cada Estado-Membro; o que varia é junto de qual autoridade de supervisão o direito de reclamação mencionado é exercido na prática — em Portugal a Comissão Nacional de Proteção de Dados, na Alemanha a autoridade de supervisão do Estado-Membro onde a sede está localizada. Para o texto completo da disposição e para esclarecimentos adicionais, pode consultar-se o próprio regulamento, e para a prática portuguesa o sítio web da Comissão Nacional de Proteção de Dados.