O que é o RGPD? Guia completo para editores

O Regulamento Geral sobre a Proteção de Dados (RGPD) é a lei de privacidade mais influente da era digital. Desde que entrou em vigor a 25 de maio de 2018, transformou a forma como as empresas em todo o mundo recolhem, tratam e armazenam dados pessoais – e teve um impacto particularmente significativo nos editores online.

Se o seu website tem visitantes da União Europeia, do Espaço Económico Europeu ou do Reino Unido, o RGPD aplica-se a si – independentemente de onde a sua empresa esteja sediada. Este guia explica o que é o RGPD, o que exige e o que os editores precisam de fazer para estar em conformidade.

O que é o RGPD?

RGPD significa Regulamento Geral sobre a Proteção de Dados. Trata-se de uma lei abrangente de proteção de dados adotada pela União Europeia em 2016 e aplicada a partir de 25 de maio de 2018. Substituiu a Diretiva de Proteção de Dados de 1995 e estabeleceu um quadro único e unificado para a privacidade de dados em todos os Estados-Membros da UE.

O regulamento confere aos indivíduos – designados como “titulares dos dados” – um maior controlo sobre os seus dados pessoais. Impõe também obrigações rigorosas a qualquer organização que recolha ou trate esses dados, conhecidas como “responsáveis pelo tratamento” e “subcontratantes”.

O RGPD aplica-se a todas as organizações que tratam dados pessoais de pessoas na UE/EEE, independentemente do local onde a organização está sediada. Este âmbito extraterritorial significa que um editor sediado nos Estados Unidos, no Brasil ou na Índia deve cumprir o RGPD se tiver visitantes europeus – o que, na prática, abrange quase todos os websites na internet.

Significado do RGPD: por que foi introduzido?

O quadro europeu anterior de proteção de dados – a Diretiva de Proteção de Dados de 1995 – foi redigido antes da existência das redes sociais, da publicidade programática e da computação em nuvem. Cada país da UE implementou-o de forma diferente, criando um mosaico fragmentado de leis nacionais de privacidade.

O RGPD foi introduzido para resolver três problemas:

1. Harmonização. Substituir 28 leis nacionais de proteção de dados diferentes por um único regulamento que se aplica uniformemente em toda a UE.
2. Modernização. Atualizar o quadro legal para abordar as realidades da internet moderna – cookies, rastreamento comportamental, fluxos transfronteiriços de dados e a vasta escala de recolha de dados pessoais.
3. Capacitação. Conferir aos indivíduos direitos efetivos sobre os seus dados pessoais, incluindo o direito a saber o que é recolhido, o direito a solicitar a sua eliminação e o direito a recusar.

O que são dados pessoais ao abrigo do RGPD?

O RGPD define dados pessoais de forma ampla. Abrange qualquer informação que possa identificar uma pessoa singular viva, direta ou indiretamente. Para os editores, esta definição é fundamental porque engloba grande parte dos dados recolhidos através das operações habituais de um website.

Exemplos de dados pessoais ao abrigo do RGPD incluem:

• Identificadores diretos – Nomes, endereços de e-mail, números de telefone
• Identificadores online – Endereços IP, IDs de cookies, impressões digitais de dispositivos, IDs de publicidade
• Dados de localização – Coordenadas GPS, geolocalização baseada em IP
• Dados comportamentais – Histórico de navegação, registos de compras, preferências de conteúdo
• Dados técnicos – Tipo de navegador, sistema operativo, resolução de ecrã (quando combinados com outros pontos de dados para criar um perfil único)

Isto significa que quando um visitante acede ao seu website e as suas ferramentas de análise, etiquetas publicitárias ou scripts de terceiros recolhem qualquer um destes pontos de dados, está a tratar dados pessoais ao abrigo do RGPD.

Os 7 princípios do RGPD

O RGPD assenta em sete princípios fundamentais definidos no Artigo 5.º. Estes princípios são a base do regulamento – todas as obrigações de conformidade decorrem deles.

Para os editores, o princípio da responsabilidade é especialmente importante. Não basta estar em conformidade – é preciso conseguir prová-lo. Isto significa manter registos de consentimento, documentar as atividades de tratamento de dados e ter políticas de privacidade claras.

Bases legais para o tratamento de dados

Ao abrigo do RGPD, é necessária uma razão legal válida – denominada “base legal” – para tratar dados pessoais. O Artigo 6.º define seis bases legais:

1. Consentimento – O titular dos dados deu o seu consentimento claro e afirmativo para o tratamento dos seus dados para uma finalidade específica.
2. Contrato – O tratamento é necessário para a execução de um contrato com o titular dos dados (por exemplo, fornecer uma subscrição paga).
3. Obrigação legal – O tratamento é necessário para cumprir uma obrigação legal (por exemplo, comunicação fiscal).
4. Interesses vitais – O tratamento é necessário para proteger a vida de alguém (raramente relevante para editores).
5. Interesse público – O tratamento é necessário para o exercício de funções de interesse público (aplica-se principalmente a organismos públicos).
6. Interesses legítimos – O tratamento é necessário para os interesses legítimos do responsável pelo tratamento, desde que esses interesses não prevaleçam sobre os direitos e liberdades do titular dos dados.

Para a maioria dos editores, duas bases legais são as mais relevantes: o consentimento e os interesses legítimos.

O consentimento na prática

O consentimento é a base legal principal para a definição de cookies não essenciais e para a apresentação de publicidade personalizada. Ao abrigo do RGPD, o consentimento válido deve ser:

• Livre – Os utilizadores devem ter uma escolha genuína. O acesso ao seu site não pode estar condicionado à aceitação de todos os cookies (com exceções limitadas para modelos de paywall).
• Específico – O consentimento deve ser dado para cada finalidade distinta (análise, publicidade, personalização), e não agrupado num único “aceitar tudo” sem alternativas.
• Informado – Os utilizadores devem compreender aquilo a que estão a consentir – que dados são recolhidos, por quem e para que finalidade.
• Inequívoco – O consentimento exige uma ação afirmativa clara (clicar em “Aceitar”, ativar um interruptor). As caixas de seleção pré-marcadas e o consentimento implícito (continuar a navegar) não são válidos.

É fundamental que o consentimento seja tão fácil de retirar como foi de dar. É por isso que as plataformas de gestão de consentimento disponibilizam uma ligação persistente para “definições de privacidade” que permite aos utilizadores alterar as suas preferências a qualquer momento.

Interesses legítimos

Os interesses legítimos podem, por vezes, ser utilizados para análises básicas ou prevenção de fraude sem necessidade de consentimento explícito. No entanto, ao abrigo do princípio de responsabilidade do RGPD, é necessário demonstrar que se ponderaram as necessidades do negócio face aos direitos de privacidade do titular dos dados. Na prática, isto significa realizar uma Avaliação de Interesse Legítimo (LIA) – uma análise estruturada que não precisa de ser extensa ou formal, mas deve documentar o raciocínio subjacente. Para a publicidade personalizada e a definição de perfis, o IAB Transparency and Consent Framework (TCF) exige consentimento explícito – o TCF v2.2 eliminou a opção de os fornecedores invocarem o interesse legítimo para a criação de perfis publicitários (Finalidade 3), seleção de anúncios personalizados (Finalidade 4) ou conteúdo personalizado (Finalidades 5 e 6). O interesse legítimo permanece disponível ao abrigo do TCF para finalidades não personalizadas, como a seleção básica de anúncios, a medição de anúncios e o desenvolvimento de produtos, embora os utilizadores mantenham o direito de oposição. Contudo, alguns reguladores nacionais vão mais longe. O Garante italiano, por exemplo, decidiu nas suas Diretrizes sobre Cookies de 2021 que o interesse legítimo não pode ser utilizado para justificar qualquer cookie ou tecnologia de rastreamento – apenas o consentimento ou a necessidade técnica estrita são bases legais válidas. Os editores que operam em vários mercados da UE devem ter em conta estas diferenças nacionais na configuração do seu CMP.

Direitos dos titulares dos dados

O RGPD confere aos indivíduos um conjunto abrangente de direitos sobre os seus dados pessoais. Enquanto editor, deve ter processos implementados para responder a estes pedidos – normalmente no prazo de um mês.

Para a maioria dos editores, o direito de acesso (DSAR) e o direito ao apagamento são os que surgem com mais frequência. Ter um processo claro documentado na sua política de privacidade torna o tratamento destes pedidos muito mais simples.

Aplicação e sanções do RGPD

O RGPD é aplicado pelas Autoridades de Proteção de Dados (DPA) em cada Estado-Membro da UE/EEE. Por exemplo, em França a aplicação é assegurada pela CNIL (Commission nationale de l’informatique et des libertés), em Itália pelo Garante per la protezione dei dati personali e no Reino Unido pelo Information Commissioner’s Office (ICO).

O regulamento estabelece dois níveis de coimas administrativas:

• Nível inferior – Até 10 milhões de euros ou 2% do volume de negócios anual global (o que for mais elevado) por violações de obrigações como registos de tratamento de dados, notificação de violações de dados ou proteção de dados desde a conceção.
• Nível superior – Até 20 milhões de euros ou 4% do volume de negócios anual global (o que for mais elevado) por violações dos princípios fundamentais, requisitos de base legal, condições de consentimento ou direitos dos titulares dos dados.

Estes não são números teóricos. Desde 2018, as DPA emitiram milhares de milhões de euros em coimas. Alguns casos notáveis:

• Meta (Facebook) – 1,2 mil milhões de euros (2023) por transferir dados de utilizadores da UE para os EUA sem garantias adequadas.
• Amazon – 746 milhões de euros (2021) por tratar dados pessoais para publicidade direcionada sem consentimento válido.
• Google – 150 milhões de euros (2022) pela CNIL francesa por tornar mais difícil para os utilizadores recusar cookies do que aceitá-los.

Embora as maiores coimas visem as grandes empresas tecnológicas, os editores mais pequenos não estão isentos. As DPA em toda a Europa aplicaram coimas a pequenas e médias empresas por violações como a falta de um mecanismo adequado de consentimento de cookies, a não resposta a pedidos de acesso dos titulares dos dados e a ausência de uma política de privacidade conforme.

RGPD e cookies: o que os editores devem fazer

Para os editores, a obrigação mais imediata do RGPD é a gestão do consentimento de cookies. O RGPD, em conjunto com a Diretiva ePrivacy (frequentemente designada por “Lei dos Cookies”), exige que os editores:

1. Informem os utilizadores sobre quais os cookies que o seu site utiliza, que dados recolhem e porquê.
2. Obtenham consentimento antes de definir quaisquer cookies não essenciais (análise, publicidade, personalização).
3. Disponibilizem controlos granulares – Os utilizadores devem poder aceitar ou rejeitar diferentes categorias de cookies, e não apenas “aceitar tudo” ou “rejeitar tudo”.
4. Permitam a retirada – Os utilizadores devem poder alterar ou retirar o seu consentimento a qualquer momento.
5. Mantenham registos – Deve ser possível demonstrar que o consentimento foi obtido e o que o utilizador aceitou.

Na prática, isto significa implementar uma Plataforma de Gestão de Consentimento (CMP) que apresente um banner de consentimento de cookies, recolha e armazene as preferências dos utilizadores, comunique os sinais de consentimento ao seu stack publicitário e disponibilize uma interface para os utilizadores atualizarem as suas preferências.

O IAB Transparency and Consent Framework

Para normalizar a forma como o consentimento é comunicado ao longo da cadeia de fornecimento de tecnologia publicitária, o IAB Europe desenvolveu o Transparency and Consent Framework (TCF). A versão atual, TCF v2.3, proporciona uma forma padronizada para os CMP recolherem consentimento, codificá-lo numa “TC String” legível por máquina e transmiti-lo a todos os fornecedores na cadeia publicitária.

A Google exige que os editores que utilizam Google Ad Manager, AdSense ou outros produtos publicitários da Google no EEE e no Reino Unido utilizem um CMP certificado pela Google que suporte o TCF. Sem um, não é possível apresentar anúncios personalizados a utilizadores europeus através do ecossistema da Google.

Como o RGPD afeta as receitas publicitárias

O RGPD tem um impacto direto nas receitas dos editores porque determina se pode apresentar anúncios personalizados ou não personalizados à sua audiência europeia.

Quando um utilizador consente os cookies de publicidade, o seu stack publicitário tem acesso a sinais de dados que permitem a publicidade programática – header bidding, leilões em tempo real e segmentação de audiências. Estes anúncios personalizados geralmente alcançam CPMs mais elevados porque os anunciantes estão dispostos a pagar mais para alcançar segmentos de audiência específicos.

Quando um utilizador recusa o consentimento, só pode apresentar anúncios contextuais ou não personalizados. Estes anúncios são direcionados com base no conteúdo da página e não no perfil do utilizador, e normalmente geram um RPM inferior.

Isto significa que as taxas de consentimento afetam diretamente os seus resultados financeiros. Uma interface de consentimento bem concebida – que explique claramente a troca de valor e facilite a aceitação pelos utilizadores – pode melhorar significativamente as taxas de adesão, mantendo-se totalmente conforme. É aqui que o CMP certo faz uma diferença mensurável.

Lista de verificação de conformidade com o RGPD para editores

Eis os passos práticos que os editores devem tomar para cumprir o RGPD:

1. Implementar uma Plataforma de Gestão de Consentimento

Um CMP é a ferramenta mais importante para a conformidade com o RGPD. Gere a recolha de consentimento de cookies, regista as preferências dos utilizadores e comunica os sinais de consentimento aos seus parceiros publicitários. Utilize um CMP certificado pela Google que suporte o IAB TCF para garantir compatibilidade com o Google Ad Manager, AdSense e outras plataformas de tecnologia publicitária.

2. Auditar a recolha de dados

Saiba que dados pessoais o seu site recolhe, através de que cookies e scripts, e para que finalidades. Verifique se as definições do seu CMP e os resultados da análise de cookies estão alinhados com o seu tratamento de dados real – se o seu site utiliza scripts de análise, publicidade ou redes sociais, certifique-se de que estes estão refletidos nas suas categorias de consentimento.

3. Atualizar a política de privacidade

A sua política de privacidade deve explicar claramente que dados recolhe e porquê, a base legal para cada tipo de tratamento, durante quanto tempo os dados são conservados, com quem são partilhados (incluindo parceiros de tecnologia publicitária), como os utilizadores podem exercer os seus direitos e os seus dados de contacto, incluindo o Encarregado de Proteção de Dados (se necessário). Se apresenta publicidade personalizada e utiliza um CMP compatível com o TCF, declare-o na sua política de privacidade e familiarize-se com as obrigações dos editores ao abrigo do quadro IAB TCF – estas incluem requisitos específicos de transparência e divulgação.

4. Estabelecer um processo de DSAR

Crie um processo documentado para gerir pedidos de acesso dos titulares dos dados. Tem um mês para responder (prorrogável até três meses para pedidos complexos). Inclua um método de contacto na sua política de privacidade – normalmente um endereço de e-mail ou formulário web.

5. Garantir a existência de acordos com subcontratantes

Se terceiros tratam dados pessoais em seu nome (fornecedores de alojamento, serviços de análise, redes de publicidade), precisa de Acordos de Tratamento de Dados (DPA) escritos com cada um deles. A maioria das grandes plataformas oferece DPA padrão que pode aceitar através dos seus termos de serviço.

6. Implementar procedimentos de violação de dados

O RGPD exige que notifique a sua DPA no prazo de 72 horas após tomar conhecimento de uma violação de dados pessoais que constitua um risco para os direitos dos titulares. Deve também notificar os titulares afetados se o risco for elevado. Tenha um plano de resposta preparado antes de ocorrer uma violação.

Como o Clickio ajuda os editores a cumprir o RGPD

O Clickio Consent é uma Plataforma de Gestão de Consentimento certificada pela Google que torna a conformidade com o RGPD simples para os editores. Enquanto parte do Google CMP Partner Program e registado no IAB (CMP ID 63), o Clickio Consent fornece a infraestrutura de que os editores necessitam para recolher e gerir o consentimento em conformidade com os requisitos do RGPD.

• Certificado TCF v2.3 – Totalmente compatível com o IAB Transparency and Consent Framework, garantindo que os sinais de consentimento são devidamente comunicados em todo o seu stack publicitário.
• Google Consent Mode v2 – Ajusta automaticamente o comportamento das etiquetas Google (Analytics, Ads, Ad Manager) com base nas escolhas de consentimento do utilizador.
• Controlos de consentimento granulares – Suporta consentimento ao nível das finalidades com gestão de fornecedores, cumprindo o requisito do RGPD de consentimento específico e informado.
• Suporte multi-regulamentação – Gere o RGPD, as leis de privacidade dos estados dos EUA, a LGPD e outras regulamentações globais a partir de uma única plataforma – sem necessidade de soluções separadas por região.
• Análise de consentimento – Acompanhe as taxas de adesão, compreenda como o consentimento afeta as suas receitas publicitárias e utilize testes A/B (Pro+ e superior) para otimizar a sua interface de consentimento.
• Mais de 26 idiomas – Localize automaticamente o seu banner de consentimento para audiências europeias.
• Opção de paywall de cookies – Ofereça aos utilizadores uma escolha “consentir ou subscrever” (Pro+ e superior), proporcionando uma alternativa de receita quando os utilizadores recusam o rastreamento.

O Clickio Consent oferece um plano gratuito para começar, com planos pagos disponíveis para editores que necessitem de funcionalidades adicionais como suporte para leis de privacidade dos EUA, compatibilidade com AMP, testes A/B e SDKs para aplicações móveis.

RGPD do Reino Unido: o que mudou após o Brexit?

Após a saída da UE, o Reino Unido manteve o RGPD como legislação nacional ao abrigo do Data Protection Act 2018, comummente designado por “UK GDPR”. É substancialmente idêntico à versão da UE, com o ICO (Information Commissioner’s Office) como autoridade de supervisão.

Para os editores, o impacto prático é mínimo: se cumprir o RGPD da UE, também está em conformidade com o RGPD do Reino Unido. A principal consideração é que o Reino Unido é tratado como uma jurisdição separada, pelo que as transferências de dados pessoais entre a UE e o Reino Unido requerem uma decisão de adequação (atualmente em vigor) ou garantias adequadas.

A Suíça também tem a sua própria lei de proteção de dados – a Lei Federal sobre a Proteção de Dados (FADP), revista em 2023 – que está em grande medida alinhada com o RGPD. Na prática, a Política de Consentimento de Utilizadores da UE da Google exige que os editores que utilizam produtos publicitários da Google obtenham consentimento dos utilizadores na UE, no Reino Unido e na Suíça.

Perguntas frequentes

O RGPD aplica-se a mim se a minha empresa estiver fora da UE?

Sim. O RGPD aplica-se a qualquer organização que trate dados pessoais de indivíduos na UE/EEE, independentemente de onde a organização esteja sediada. Se o seu website for acessível a visitantes europeus – e praticamente todos os websites são – o RGPD aplica-se a si.

Preciso de um Encarregado de Proteção de Dados (DPO)?

Um DPO é obrigatório se as suas atividades principais envolverem o controlo regular e sistemático de indivíduos em grande escala, ou se tratar categorias especiais de dados (saúde, religião, etnia) em grande escala. A maioria dos editores de pequena e média dimensão não necessita de um DPO formal, mas é boa prática designar alguém responsável pelas questões de proteção de dados.

Qual é a diferença entre um responsável pelo tratamento e um subcontratante?

Um responsável pelo tratamento determina o porquê e como os dados pessoais são tratados. Enquanto editor, é normalmente o responsável pelo tratamento dos dados recolhidos pelo seu website. Um subcontratante trata dados em nome do responsável – o seu fornecedor de alojamento, plataforma de análise ou CMP atua como subcontratante. Ambos têm obrigações ao abrigo do RGPD, mas o responsável pelo tratamento tem a responsabilidade principal.

Posso utilizar o Google Analytics sem consentimento ao abrigo do RGPD?

O Google Analytics padrão (GA4) utiliza cookies e recolhe dados pessoais (endereços IP, identificadores online), pelo que requer consentimento ao abrigo do RGPD. O Google Consent Mode v2 permite que o GA4 recolha dados anonimizados e sem cookies quando um utilizador não deu consentimento – proporcionando alguma capacidade de análise sem cookies – mas o conjunto completo de funcionalidades requer consentimento.

Quanto tempo dura o consentimento ao abrigo do RGPD?

O RGPD não especifica uma duração exata para a validade do consentimento. O IAB TCF recomenda que se solicite novamente o consentimento aos utilizadores aproximadamente a cada 13 meses. Também é boa prática voltar a solicitar quando a sua lista de fornecedores ou as finalidades de tratamento de dados sofrem alterações significativas.

Conclusão

O RGPD não é apenas uma regulamentação europeia – é o padrão global que moldou a forma como a internet lida com dados pessoais. Para os editores, a conformidade não é opcional: é exigida por lei, requerida por plataformas publicitárias como a Google e esperada por utilizadores cada vez mais conscientes da privacidade.

A boa notícia é que a conformidade com o RGPD não tem de ser complicada. Os requisitos fundamentais – recolha transparente de dados, gestão adequada do consentimento, uma política de privacidade clara e processos para gerir pedidos dos titulares dos dados – podem ser implementados de forma eficiente com as ferramentas certas.

O Clickio Consent disponibiliza um CMP gratuito e certificado pela Google que gere a recolha de consentimento do RGPD de forma imediata, com suporte para o IAB TCF, Google Consent Mode v2 e mais de 26 idiomas. A configuração demora apenas alguns minutos e garante que o seu site cumpre os requisitos do RGPD desde o primeiro dia.