O que uma divulgação deve conter?

Nós estamos diante divulgações do RGPD com frequência média de 3-4 vezes ao dia.

Se você estiver no modo de navegação ainda mais. Essa confusão interminável de “coisas escritas” tem a obrigação de informar o usuário antes que o site comece a coletar seus dados pessoais. Estas informações podem ser fornecidas verbalmente ou por escrito, mas devem estar sempre em conformidade com os regulamentos do GDPR.

A forma como as várias empresas abordam esta informação diz muito sobre elas, sobre as suas capacidade de se relacionar com o regulamento europeu e sua capacidade e vontade de investir tempo e recursos nesse sentido. Sendo algo relativamente recente, na Itália o GDPR ainda não foi aplicado por todos os sites que deveriam ter. Então nos encontramos com espaços que são completamente desprovidos deles. Depois, há outros webmasters que entraram em pânico e, para ter regulamentação de dados, decidiram jogar fora três ou quatro palavras plagiadas em algum lugar e criar uma mini janela de aprovação para o usuário. Duas ou três linhas porque "o site é pequeno mesmo, ninguém visita, não preciso ficar horas lá e gastar dinheiro no advogado". E depois há os heróis sem capa, aqueles que copiam os regulamentos das grandes empresas e os fazem passar por eles.

É claro que todas essas três abordagens estão erradas à sua maneira. O que deve conter a informação sobre o tratamento de dados pessoais?

O que contém uma divulgação do GDPR?

Os artigos 13 e 14 do Regulamento Europeu 16/679 fornecem com a máxima precisão todos os conteúdos a serem incluídos obrigatoriamente na sua divulgação de dados pessoais. Dentre essas informações citamos:

  • a parte interessada. A pessoa singular na posse dos dados pessoais que está prestes a clicar no seu site e se depara com o seu RGPD.
  • Quem faz o tratamento. O sujeito que processa os dados da pessoa física, do controlador de dados ou de seu representante existente.
  • Endereço DPO. O DPO (Data Protection Officer) é o responsável pela proteção dos dados pessoais, uma nova figura introduzida pelo RGPD. Trata-se de um consultor técnico e jurídico com a função de capacitar o proprietário, o gerente e os funcionários para garantir o cumprimento das normas da legislação. O DPO não é obrigatório para todos, mas apenas para aqueles cuja atividade principal é o acompanhamento regular e sistemático dos titulares dos dados em larga escala. Por exemplo, bancos, seguradoras, cafés, hospitais…
  • Quais tratamentos são realizados e por quê.
  • Qual é a base legal do tratamento. Você deseja processar os dados da parte interessada. Em que base legal você pode fazer isso? De acordo com o GDPR, toda organização deve identificar a base sobre a qual a coleta de dados se baseia – uma etapa fundamental para o titular dos dados. Com efeito, os direitos das pessoas dependem da base legal escolhida para tratar os seus dados!
  • Quais dados são coletados? Por "dados pessoais" entendemos todas as informações que remetem a um único indivíduo devido às suas relações, características, hábitos ou estilo de vida. Isso inclui informações de identificação (nome, sobrenome, endereço), dados confidenciais (religião ou orientação sexual), informações judiciais (processos atuais ou passados), dados de novas tecnologias (e-mail ou endereço IP). Um bom GDPR sempre indica quais dados entre esses são coletados!
  • O processamento envolve criação de perfil? Você deve especificá-lo. Profiling é um procedimento automatizado de coleta de dados que permite analisá-los e classificá-los em categorias ou grupos, de modo a poder fazer avaliações ou previsões.
  • Os dados são comunicados a terceiros? A divulgação deve indicar se existem gerentes externos, além do controlador de dados.
  • Por quanto tempo os dados são mantidos e como. Eles são salvos na nuvem? Em uma planilha do Excel? Quanto tempo eles são mantidos?
  • Os dados são transferidos para outro país? A divulgação deve comunicar se os dados pessoais são transmitidos para países fora da União Europeia.
  • Quais são os direitos do interessado?

O RGPD estabelece que o titular dos dados tem direitos:

  1. o direito de ser informado sobre como e por que seus dados estão sendo processados
  2. o direito de acesso aos seus dados
  3. o direito de ter seus dados corrigidos
  4. o direito ao apagamento dos dados pelo titular e responsáveis
  5. o direito à portabilidade dos dados, ou seja, solicitar que os dados sejam ou transferidos diretamente para outra empresa, quando for tecnicamente possível
  6. o direito de oposição, ou seja, de pedir à organização que processa dados pessoais – com base em seu próprio interesse legítimo ou como parte de uma atividade de interesse público ou para uma autoridade oficial – que não os use
  7. o direito de não estar sujeito a escolhas automatizadas, como perfis
treinamento