Sem uma declaração de privacidade, falta em seu site o documento em que você explica quais dados pessoais coleta, para quê e por quanto tempo. O RGPD obriga as organizações a informar visitantes e clientes sobre isto antecipadamente; isso se chama obrigação de informação. Se essa informação está faltando, você não pode comprovar que está cumprindo essa obrigação.
O que acontece concretamente depende de quem percebe. Um visitante pode apresentar uma reclamação à Autoridade Portuguesa de Proteção de Dados, um cliente comercial pode questionar isto durante uma licitação, e um provedor de pagamento ou plataforma de publicidade pode recusar a ligação com seu site enquanto não houver uma declaração de privacidade. Nenhuma dessas situações é hipotética; elas surgem de condições que terceiros já estabelecem por si mesmos, independentemente do que uma autoridade de supervisão pudesse fazer.
Por que uma declaração de privacidade é mais do que uma formalidade
Uma declaração de privacidade é a comprovação visível de algo que você deveria saber de qualquer forma: quais dados seu site coleta, através de quais formulários, cookies ou ferramentas de análise, e para qual fim. Se a declaração está faltando, é provável que esse inventário em si também não tenha sido feito. Isso não afeta apenas o site, mas também a visão mais ampla de como sua empresa lida com dados pessoais — algo que também aparece assim que você procura uma resposta para uma questão concreta do RGPD.
O Conselho Europeu para a Proteção de Dados e a Autoridade Portuguesa de Proteção de Dados publicaram orientações sobre o que uma declaração de privacidade deve conter no mínimo, como os dados de contato do responsável pelo tratamento, os períodos de retenção e os direitos dos interessados. Essas orientações não são lei, mas as autoridades de supervisão as levam em consideração ao avaliar se a obrigação de informação foi cumprida.
O que acontece na prática quando a declaração está faltando
As consequências mais diretas raramente ocorrem com uma autoridade de supervisão, mas com as partes com as quais você faz negócios. Uma seguradora que avalia uma apólice de cibersegurança frequentemente pede a declaração de privacidade como parte do dossier. Um órgão de licitação pode fazer o mesmo. E um visitante que se pergunta o que acontece com um formulário de contato preenchido pode, na falta de explicação, decidir não fazer negócios com você ou apresentar uma reclamação.
Além disso, uma declaração de privacidade ausente costuma ser um sinal de que outras partes também não estão em ordem: nenhuma visão geral de quais ferramentas SaaS processam dados pessoais, nenhum acordo de processamento de dados com fornecedores, nenhum período de retenção definido. Isso é exatamente o tipo de relação que uma base de conhecimento com explicações por tema do RGPD torna transparente: a declaração de privacidade raramente fica sozinha.
O papel da autoridade de supervisão
A Autoridade Portuguesa de Proteção de Dados pode agir quando a obrigação de informação não é cumprida, mas como e quando isso acontece depende das circunstâncias do caso e não é previsível com antecedência. O que é certo é que a ausência de uma declaração de privacidade não é uma omissão que se torna menos visível quanto mais visitantes um site atrai — é o contrário.
Se uma reclamação leva efetivamente a uma investigação e qual seria o resultado dela não pode ser dito em termos gerais. Para a avaliação de uma situação específica, um jurista ou a própria Autoridade Portuguesa de Proteção de Dados é o ponto de contato apropriado.
Como você resolve isto
A elaboração de uma declaração de privacidade exige uma visão clara do que o seu website realmente recolhe: formulários de contacto, cookies, uma loja online com dados de encomenda, uma newsletter. Assim que essa visão estiver clara, a declaração em si é geralmente rápida de redigir. Para a questão subjacente sobre quais dados você realmente processa e através de quais ferramentas, ajuda observar a forma como essa visão é construída, por exemplo através da forma como dados e sistemas são mapeados.
Uma declaração de privacidade não é, além disso, um texto único. Novos formulários, novas ferramentas ou um novo serviço de newsletter alteram o que é recolhido e, portanto, também o que deve constar da declaração. Quem quiser manter essa visão actualizada com as alterações do website pode registar numa conta comercial para que não fique apenas numa acção única.
Gdpria.eu oferece o gerador de declaração de privacidade gratuitamente, assim como a base de conhecimentos e outras verificações básicas. Se quiser saber onde a sua empresa se encontra neste momento, a verificação rápida gratuita é um bom ponto de partida para ver quais os componentes já estão em ordem e quais pedem atenção.