Se um website tem um formulário de contacto, ferramentas de análise, conteúdo incorporado ou checkout, provavelmente trata dados pessoais. A questão importante não é se a empresa parece «grande o suficiente» para cumprir regras de privacidade. É saber que dados trata, porque precisa deles e que riscos essa atividade cria.

Para empresas estabelecidas na UE, ou que tratam dados pessoais abrangidos pelas regras europeias, o RGPD aplica-se de acordo com a natureza do tratamento e não apenas com a dimensão da empresa. Algumas obrigações variam para organizações mais pequenas, mas «somos uma PME» não é uma isenção geral. A orientação da Comissão Europeia para PME explica estas diferenças.

Esta lista é um ponto de partida técnico e operacional, não aconselhamento jurídico. Use-a para encontrar questões que precisam de um profissional de privacidade, não para o substituir.

1. Faça o Aviso de Privacidade Corresponder ao Website

Um aviso de privacidade deve descrever o que o website faz realmente, não o que um modelo genérico presume.

Para cada formulário, serviço de análise, fornecedor de pagamentos, vídeo incorporado, newsletter e ferramenta de suporte, registe:

Que dados pessoais são recolhidos.
A finalidade e a base legal do tratamento.
Quem recebe ou trata os dados.
Durante quanto tempo são conservados.
Se são transferidos para fora da jurisdição relevante.
Como alguém pode exercer direitos como o acesso ou o apagamento.

A Comissão Europeia enumera a informação que as organizações devem fornecer ao recolher dados pessoais. Mantenha o aviso conciso e compreensível, revendo-o sempre que adicionar uma ferramenta externa.

2. Não Carregue Rastreio Opcional Antes da Escolha Necessária

Um banner que aparece depois de os scripts de análise e publicidade já terem sido executados não está a controlar nada.

Associe cada cookie e elemento de armazenamento no navegador à respetiva finalidade. Separe a funcionalidade estritamente necessária das categorias opcionais de análise, personalização e publicidade. Quando o consentimento for a base legal aplicável, não carregue a categoria opcional antes de o visitante fazer a escolha exigida e torne a retirada tão acessível quanto a aceitação.

Conteúdo incorporado e widgets de chat também podem definir cookies ou contactar terceiros. Teste a página numa sessão limpa do navegador, em vez de confiar apenas no ecrã de configuração do banner.

3. Recolha Apenas o Que a Tarefa Exige

Cada campo de formulário cria informação que tem de ser protegida, conservada e, mais tarde, eliminada.

Se um formulário de contacto só precisa de nome, endereço para resposta e mensagem, não peça dimensão da empresa, telefone, cargo ou orçamento por hábito. Se um campo só for útil ocasionalmente, peça-o mais tarde, quando se tornar necessário.

Este princípio segue a limitação das finalidades e a minimização de dados previstas no RGPD. A visão geral da Comissão sobre obrigações de proteção de dados também explica a proteção de dados desde a conceção e por defeito.

4. Proteja Todo o Percurso dos Dados

O HTTPS protege os dados enquanto circulam entre o navegador e o website, mas o percurso não termina aí.

Reveja:

Onde são guardadas e enviadas as submissões dos formulários.
Quem pode aceder ao email, CRM, ferramentas de análise e administração do website.
Se as contas usam credenciais únicas e autenticação multifator.
Se as cópias de segurança e exportações contêm os mesmos dados pessoais.
Como as dependências, plugins e plataforma de alojamento recebem atualizações de segurança.
Se os registos contêm mensagens, endereços, tokens ou outra informação desnecessária.

Use acessos baseados em funções e remova contas que já não precisam de acesso. A autenticação multifator é uma boa medida de base para email, alojamento, pagamentos e contas administrativas.

O PCI DSS tem um âmbito mais específico: o requisito 8.4.2 exige MFA no acesso ao ambiente de dados dos titulares de cartões. Não transforma automaticamente todas as contas de email ou alojamento numa parte desse ambiente. O esclarecimento do PCI Security Standards Council é a fonte a usar na avaliação do âmbito PCI.

5. Dê Uma Regra de Retenção a Cada Tipo de Dados

«Guardar para sempre, caso seja necessário» não é uma política de retenção.

Defina um prazo ou momento de revisão para pedidos de contacto, contas de clientes, faturas, conversas de suporte, identificadores de análise, cópias de segurança e submissões falhadas. As necessidades legais, contratuais e operacionais podem variar por categoria.

O apagamento deve abranger os sistemas onde existem cópias, incluindo exportações e ferramentas ligadas, não apenas a base de dados visível do website. Documente as exceções quando os registos tiverem de ser conservados por motivos legais.

6. Transforme os Pedidos de Direitos Num Processo Real

Um aviso de privacidade pode prometer acesso, correção ou apagamento, mas alguém continua a ter de cumprir o pedido.

Documente:

Onde chegam os pedidos.
Como a identidade é verificada sem recolher novos dados em excesso.
Que sistemas têm de ser pesquisados.
Quem analisa as exceções.
Como a resposta e a conclusão ficam registadas.

Faça internamente um pedido de teste. Este exercício revela dados copiados para caixas de correio, folhas de cálculo, sistemas de marketing e cópias de segurança que a documentação do website não identificou.

7. Prepare-se Para Uma Violação Antes de Acontecer

Um plano de incidente não precisa de ser longo. Precisa de ser utilizável.

Registe quem pode proteger o sistema afetado, preservar provas, avaliar os dados e pessoas envolvidos, contactar fornecedores, obter aconselhamento jurídico e decidir se é necessária uma notificação à autoridade ou aos titulares dos dados.

Mantenha atualizados os contactos dos fornecedores, responsáveis pelos sistemas e procedimentos de recuperação de acesso. Um plano guardado apenas dentro de uma conta comprometida não é útil.

Uma Auditoria Prática de Privacidade ao Website

Percorra o website da perspetiva do visitante:

Abra todos os formulários e registe os campos, destino e retenção.
Carregue o site num navegador limpo e verifique o que é executado antes do consentimento.
Liste todos os terceiros que recebem dados de visitantes ou clientes.
Compare essa lista com o aviso de privacidade e os contratos dos fornecedores.
Reveja o acesso ao alojamento, email, ferramentas de análise, CRM, pagamentos e cópias de segurança.
Teste um pedido de acesso ou apagamento do início ao fim.
Confirme quem é responsável pela resposta a incidentes e onde está o plano.

Os recursos do Comité Europeu para a Proteção de Dados dirigidos a PME disponibilizam listas e materiais adicionais de autoridades de controlo europeias.

Perguntas Frequentes

O RGPD aplica-se a todos os pequenos negócios?

Depende das atividades de tratamento e do âmbito territorial, não apenas do número de trabalhadores. Algumas obrigações de registo e de designação de um encarregado de proteção de dados têm condições ou isenções para organizações mais pequenas, mas os princípios fundamentais e direitos individuais podem continuar a aplicar-se.

Todos os websites precisam de um banner de cookies?

Não necessariamente. Um site que use apenas armazenamento estritamente necessário pode não precisar da mesma interface de consentimento de outro que use análise ou publicidade opcional. Audite o que o site carrega realmente e obtenha aconselhamento adequado à jurisdição.

O HTTPS chega para proteger dados de formulários?

Não. O HTTPS protege os dados em trânsito. Os controlos de acesso, armazenamento, email, sistemas ligados, registos, cópias de segurança, retenção e resposta a incidentes continuam a ser importantes.

Uma PME deve usar autenticação multifator?

Sim, sobretudo no email, alojamento, administração, pagamentos e sistemas com dados de clientes. Trate-a como uma boa prática de segurança, avaliando qualquer obrigação PCI específica de acordo com o ambiente real de dados de cartões.

Conclusão

A conformidade de privacidade começa por compreender o percurso dos dados: o que o website recolhe, porquê, para onde segue, quem lhe pode aceder e quando é removido. Uma menor quantidade de dados, um aviso correto, rastreio controlado, acessos limitados e processos de resposta testados reduzem o risco de conformidade e segurança.

Se quiser uma revisão técnica do que o seu website recolhe e para onde envia essa informação, entre em contacto. Posso mapear a implementação e identificar onde continua a ser necessário aconselhamento jurídico especializado.