Conformidade da Proteção de Dados do Website

Paul Lambert, Consultor Especialista da eBSI, apresenta-nos alguns pontos-chave para garantir que a política de proteção de dados do nosso website cumpre a legislação.

Os exportadores de todo o mundo devem antecipar a futura legislação de proteção de dados nos seus países, à medida que mais governos se tornam mais rigorosos quanto aos usos indevidos dos dados pessoais dos utilizadores da internet. 

Neste artigo, vou focar-me na perspetiva e na legislação irlandesas, mas muitos destes princípios também serão relevantes para outros países, uma vez que a legislação irlandesa reflete o que é considerado como as melhores práticas na área.

Em primeiro lugar, o que é a proteção de dados?
O regime de proteção de dados serve para proteger os direitos dos indivíduos quando as suas informações pessoais são recolhidas e processadas por organizações. Todas as organizações, quer controlem dados pessoais diretamente ou processem dados em nome de terceiros, devem cumprir as obrigações impostas pela Lei de Proteção de Dados de 1988, tal como recentemente alterada e alargada pela Lei de Proteção de Dados (Alteração) de 2003 (coletivamente, a “DPA”).

Todas as organizações devem estar cientes de e cumprir as suas obrigações e responsabilidades ao abrigo do novo regime de proteção de dados. Para sublinhar este ponto, o Comissário de Proteção de Dados pretende realizar auditorias de conformidade em vários setores comerciais. Recentemente, também começou a tomar medidas legais contra organizações não conformes e continuará a fazê-lo.

As Diretrizes 
As Diretrizes distinguem entre Declarações de Privacidade de websites e Políticas de Privacidade, e esclarecem que uma Declaração de Privacidade não é uma Política de Privacidade. Uma Política de Privacidade documenta a conformidade da organização com os Princípios de Proteção de Dados em toda a organização como um todo. Aplica-se a todos os dados pessoais processados pela organização, incluindo dados de clientes, dados de terceiros e dados de funcionários. Uma Política de Privacidade pode ser um documento muito complexo, exigindo frequentemente aconselhamento jurídico especializado.

As organizações também devem cumprir os 8 Princípios de Proteção de Dados, nomeadamente:-
* Recolher e processar dados de forma justa;
* Mantê-los apenas para um ou mais fins especificados, explícitos e legítimos; 
* Utilizá-los e divulgá-los apenas de formas compatíveis com estes fins;
* Mantê-los seguros;
* Mantê-los exatos, completos e atualizados;
* Garantir que são adequados, relevantes e não excessivos;
* Conservá-los pelo período não superior ao necessário para o(s) fim(s);
* Cumprir os pedidos de acesso individual.

Uma Política de Privacidade é um documento organizacional interno. Portanto, pode detalhar procedimentos internos, atribuir responsabilidades individuais/departamentais, etc.

As Declarações de Privacidade, por outro lado, são documentos públicos, que declaram como a organização cumpre o regime de proteção de dados no que diz respeito aos dados processados no seu website. Como tal, é um documento muito mais focado.

Os websites precisam de Declarações de Privacidade
Isto é um requisito legal nos termos tanto da DPA como do Regulamento das Comunidades Europeias (Redes e Serviços de Comunicações Eletrónicas) (Proteção de Dados e Privacidade) n.º 535 de 2003 (o “Regulamento”). A Secção 2(l)(a) da DPA exige que “os dados ou, conforme o caso, a informação que constitui os dados tenham sido obtidos, e que os dados sejam processados de forma justa.” Este princípio de obtenção justa exige geralmente que uma pessoa cujos dados são processados esteja ciente, pelo menos, do seguinte:-

* A identidade da pessoa que processa os dados;
* O fim ou os fins para os quais os dados são processados;
* Qualquer terceiro a quem os dados possam ser divulgados;
* A existência de um direito de acesso e de retificação.

O Regulamento 5 impõe certas obrigações relativamente à atividade na Internet:-

“(1) Nenhuma pessoa deve utilizar uma rede de comunicações eletrónicas para armazenar informação ou obter acesso a informação armazenada no equipamento terminal de um assinante ou utilizador, a menos que
(a) ao assinante ou utilizador em questão lhe seja fornecida informação clara e abrangente de acordo com a DPA, que seja exibida em local destacado e facilmente acessível e que, sem limitação, inclua o fim do processamento
(b) ao assinante ou utilizador lhe seja oferecido o direito de recusar tal processamento pelo responsável pelo tratamento dos dados.

(2) O parágrafo 1 não impede qualquer armazenamento técnico ou acesso a informação com o único propósito de realizar ou facilitar a transmissão de uma comunicação através de uma rede de comunicações eletrónicas ou que seja estritamente necessário para fornecer um serviço da sociedade da informação explicitamente solicitado pelo assinante ou utilizador.”

Este Regulamento refere-se à utilização de cookies, web beacons, à recolha de endereços IP e a outras questões técnicas.

A ausência de uma Declaração de Privacidade
Na Irlanda, a contravenção da DPA, como a falta de uma Declaração de Privacidade no website, pode resultar em investigação e ação de fiscalização por parte do Comissário de Proteção de Dados. O Comissário pode emitir um aviso de fiscalização exigindo uma Declaração de Privacidade, ou a cessação do processamento de dados. A acusação também pode resultar numa multa de até 100.000 € e/ou numa ordem de eliminação de dados. A Secção 7 da DPA também confere aos indivíduos um direito de ação civil se sofrerem danos devido à forma como os seus dados são processados.

Quando uma Declaração de Privacidade é necessária
Uma Declaração de Privacidade é necessária quando um website faz qualquer um dos seguintes:
* Recolhe dados pessoais (visitantes que preenchem formulários web, formulários de feedback, etc.);
* Utiliza cookies ou web beacons;
* Recolhe dados pessoais secretamente (endereços IP, endereços de e-mail).

Que informações as Declarações de Privacidade devem conter
A informação deve ser específica para o processamento de dados pessoais no website. Tal informação deve ser suficientemente detalhada para ser útil ao visitante do website na decisão de prosseguir. Declarações como “todos os dados recolhidos neste site serão processados em conformidade com a DPA” já não são suficientes (por si só), de acordo com o Comissário de Proteção de Dados. Precisam de ser alteradas/substituídas por uma explicação de como, em termos práticos, o website cumpre as suas obrigações.

A informação deve incluir o seguinte:-

* Identidade
Os detalhes da organização devem ser claramente identificáveis. O nome de uma organização por si só é insuficiente. A identificação deve incluir detalhes de contacto completos e úteis. Detalhes úteis incluiriam um endereço de e-mail e um endereço postal que um visitante possa utilizar se desejar discutir quaisquer questões relacionadas com o processamento de dados pessoais no website.

* Fim
Pode haver muitos fins manifestos para os quais os visitantes devem razoavelmente esperar que os seus dados sejam utilizados. Estes podem incluir dados necessários no contexto de uma transação. No entanto, é possível que os dados sejam processados para fins não óbvios, como a criação de perfis ou marketing futuro. Todos estes fins devem ser claramente referidos na Declaração de Privacidade. Os dados fornecidos com essa compreensão são obtidos de forma justa. Se um fim não for óbvio e não for referido, será difícil para a organização processar os dados legalmente para esse fim.

Se uma organização planeia disponibilizar dados pessoais a um terceiro (exceto a uma pessoa que atue como agente da organização), isto é uma divulgação e deve ser referido na Declaração de Privacidade. Uma exceção geral a esta regra é quando a divulgação é exigida por Lei.

* Direito de Acesso
Nos termos da Secção 4 da DPA, uma pessoa tem o direito de receber uma cópia dos seus dados pessoais. Se uma organização estiver a conservar dados pessoais, a organização deve referir este Direito de Acesso na Declaração de Privacidade. A organização deve incluir a referência aos procedimentos a serem seguidos. Nos termos da DPA, um pedido de acesso de um titular de dados deve ser por escrito, as organizações podem cobrar uma taxa não superior a 6,35 € e devem responder no prazo de 40 dias civis. As organizações devem identificar para quem tal pedido deve ser dirigido.

* Direito de Retificação ou Apagamento
Nos termos da Secção 6 da DPA, uma pessoa tem o direito de ter os seus dados pessoais corrigidos, se estiverem incorretos, ou apagados, se não tiver uma razão legítima para conservar os dados. As organizações não podem cobrar pelo cumprimento de tal pedido e devem cumprir no prazo de 40 dias civis após a receção de tal pedido. A Declaração de Privacidade de uma organização deve fazer referência a isto, se conservar dados pessoais, bem como detalhar os procedimentos que uma pessoa deve seguir ao fazer tal pedido.

* Extensão dos Dados que estão a ser processados

Se diferentes dados forem utilizados para diferentes fins, isto deve ser claramente referido na Declaração de Privacidade, em vez de uma pessoa assumir que todos os dados serão utilizados para todos os fins. Isto é ainda mais importante em relação ao processamento oculto de dados, como a recolha de endereços IP, a utilização de cookies ou web beacons.

* Direito de Recusar Cookies
Se não for necessário utilizar cookies no contexto de uma transação, o utilizador deve ser informado disso e ter a oportunidade de recusar que cookies sejam colocados nos seus computadores. A utilização de cookies também pode ser explicada ao utilizador.

Outras Informações Recomendadas

Acima foram detalhadas as informações que devem ser incluídas numa Declaração de Privacidade. No entanto, se uma organização pretende que a sua Declaração de Privacidade seja uma descrição abrangente do seu processamento de dados online, também pode incluir as seguintes informações:-

* Segurança
Embora uma organização seja obrigada a ter medidas de segurança adequadas em vigor para impedir o acesso não autorizado, a alteração ou a destruição de dados pessoais em sua posse, qualquer referência detalhada a tais medidas numa Declaração de Privacidade disponível publicamente seria imprudente. Em vez disso, deve limitar-se a declarar que leva as responsabilidades de segurança a sério, empregando as medidas físicas e técnicas mais adequadas, incluindo formação e sensibilização dos funcionários, e que revê estas medidas regularmente.

* Exatos, Completos e Atualizados
Esta é em grande parte uma política reativa, uma vez que os problemas são muitas vezes descobertos apenas ao lidar com o titular dos dados. No entanto, uma organização pode fazer referência à necessidade de manter apenas dados exatos, completos e atualizados, sugerindo meios pelos quais os titulares dos dados podem atualizar os seus detalhes ou ações que a organização pode tomar para garantir a exatidão, como contactar os clientes por e-mail.

* Adequados, Relevantes, Não Excessivos
As organizações estão obrigadas a não manter mais dados do que o necessário para o fim para o qual os recolhem. Quaisquer dados em excesso em relação a este requisito não devem ser solicitados ou, se fornecidos voluntariamente, devem ser apagados. Numa Declaração de Privacidade, as organizações podem fazer referência a uma política de revisão de todos os dados fornecidos/obtidos e apagar aqueles que não são necessários, ou que já não são necessários.

* Retenção
Os dados não devem ser mantidos por mais tempo do que o necessário para o(s) fim(s) para os quais foram obtidos. A Declaração de Privacidade poderia referir uma política de apagar os detalhes do cartão de crédito assim que uma transação tivesse sido finalizada, a menos que a organização obtenha o consentimento dos clientes para conservar os detalhes para facilitar transações futuras. Se uma organização mantiver diferentes tipos de dados por diferentes períodos de tempo, isto também pode ser referido na Declaração de Privacidade.

* Mecanismo de Resolução de Queixas
Alguns meios de lidar com queixas recebidas dos utilizadores do website sobre o processamento de dados são recomendados pelo Comissário de Proteção de Dados.

Localização da Declaração de Privacidade

Uma Declaração de Privacidade deve ser colocada numa posição óbvia e não estar contida noutro documento. Como mínimo, uma Declaração de Privacidade deve ser colocada na metade superior da página de entrada de um website. Como alguns navegadores web só exibem parte de uma página, o requisito da parte superior da página significa que um visitante não precisa de descer para procurar a Declaração de Privacidade.

Colocar uma declaração apenas numa Página Inicial pode não ser suficiente, uma vez que links de outros websites ou através de motores de busca podem levar um visitante ao site através de uma página diferente da Página Inicial. Uma solução é colocar um link para a Declaração de Privacidade em cada página. Alternativamente, um link poderia ser colocado em qualquer página onde dados sejam recolhidos, embora, se o website utilizar cookies, isto possa efetivamente significar todas as páginas.

Declaração de Privacidade e “Termos & Condições”

Uma Declaração de Privacidade é um requisito legal e distingue-se dos termos e condições, avisos de direitos de autor ou de isenção de responsabilidade. Deve ser independente e claramente identificável. Para que uma Declaração de Privacidade tenha valor, deve ser facilmente acessível ao utilizador, rapidamente lida e facilmente compreendida. Se estiver enterrada num documento longo que abrange uma variedade de questões legais, será difícil para a organização demonstrar que cumpriu as suas obrigações nos termos da DPA e do Regulamento.

Revisão da Declaração de Privacidade

Só deve ser necessário realizar uma revisão se houver alguma alteração nos processos online. No entanto, deve haver algum mecanismo em vigor para notificar o funcionário apropriado para iniciar uma revisão se:-

* Houver uma alteração no processamento de dados no website;
* Houver um redesenvolvimento planeado/real do website;
* Houver um novo acordo de alojamento web;
* Houver sugestões/recebidas dos utilizadores do site.

Em qualquer caso, a Declaração de Privacidade deve ser revista no contexto de um procedimento de auditoria interna, que também deve rever a Política de Privacidade organizacional, pelo menos anualmente.

Outras Questões

Qualquer pessoa que utilize um Processador de Dados de terceiros para alojar um website deve estar ciente de uma série de questões. Todos os Processadores de Dados que processam dados pessoais estão obrigados a ter um registo atualizado mantido pelo Comissário de Proteção de Dados. Processar dados sem ter tal registo é uma infração.

Se o serviço de alojamento web alojar o seu site num servidor fora da EEE, eles estão obrigados a cumprir pelo menos uma das condições estabelecidas na Secção 11 da DPA. A organização é a responsável final caso a empresa de alojamento web processe dados ilegalmente. A Secção 2C da DPA obriga as organizações a ter um contrato por escrito (ou equivalente) com o Processador de Dados especificando:-

* O que o Processador de Dados pode fazer com os dados em seu nome;
* Que medidas de segurança o Processador de Dados deve ter em vigor.

As organizações também devem tomar medidas razoáveis para garantir que o Processador de Dados cumpre estas instruções.

Paul Lambert

paul.lambert@merrionlegal.com 
MERRION LEGAL
Solicitors & Community Trade Mark Attorneys
Clifton House
Lower Fitzwilliam Street
Dublin 2
Ireland
T: + 353-1-6690523
E: info@merrionlegal.com