Aviso de privacidade: Uma das formas de dar transparência sobre o uso de dados pessoais

Hoje teremos "um dado de prosa" sobre como os negócios dão (ou deveriam dar) transparência à forma como utilizam os dados pessoais dos seus clientes, funcionários, leads e parceiros de negócios.

Não tem jeito. Nossos dados estão por aí, circulando quase que irrestritamente no mundo físico/digital e pouco podemos fazer para evitar isso. No entanto, entender e aceitar a existência desse fato não significa que nossas informações pessoais possam ser utilizadas de qualquer forma.

O que diz a legislação

A Lei n. 13.709/2018 (LGPD)¹ faculta aos agentes de tratamento a criação de regras de boas práticas e governança (art. 50). Além disso, estabelece que a Autoridade Nacional de Proteção de Dados (ANPD) deve estimular a adoção de padrões técnicos, pelos agentes de tratamento, que tornem fácil o controle dos dados pessoais por seus respectivos titulares (art. 51).

Mas basta criar essas regras e estruturar um programa de governança? Definitivamente não. Além da sua criação, as regras de boas práticas e governança devem ser publicadas e constantemente atualizadas (art. 50, § 3°).

São vários os documentos que compõem uma estrutura de boas práticas e governança em privacidade e proteção dos dados pessoais, mas hoje quero focar em apenas um deles: o aviso de privacidade.

O que é o aviso de privacidade?

No dia a dia da minha atuação eu gosto muito das definições da Associação Internacional de Profissionais de Privacidade (IAPP). Claro que a prioridade é seguir o que é determinado pelas leis brasileiras e pela ANPD.

De acordo com a IAPP, o aviso de privacidade — privacy notice — é um documento que descreve como o agente de tratamento usa, coleta, armazena e divulga dados pessoais.² Essas são algumas ações que integram o conceito de tratamento de dados pessoais (art. 5°, X).

Eu, então, definiria o aviso de privacidade como o documento por meio do qual o agente de tratamento descreve como trata os seus dados pessoais.

Pausa para a chatice: Poucas são as organizações que usam o nome "aviso de privacidade". Você, leitor, já deve ter visto nos mais variados sites o nome "política de privacidade".

Eu gosto de nomenclaturas, gosto de seguir aquelas que reduzem o risco de má compreensão ou confusão de conceitos pelas partes envolvidas, principalmente pelos titulares de dados. Ao meu ver, chamar o aviso de privacidade de política de privacidade é um equívoco, embora não seja um erro.³

Para a IAPP, a política de privacidade — privacy policy — é, em tradução livre:

"Uma declaração interna que rege o manuseio de informações pessoais por uma organização ou entidade. É dirigida aos membros da organização que podem lidar com as informações pessoais ou tomar decisões sobre elas, instruindo-os sobre a coleta, o uso, o armazenamento e a destruição dos dados, bem como sobre quaisquer direitos específicos que os titulares dos dados possam ter. Também pode ser chamada de política de proteção de dados."

Por não ser o foco do texto de hoje, vou deixar essa discussão para uma outra oportunidade. A ideia aqui é permitir que você, querido leitor, entenda o conceito básico.

Por que seu negócio deve olhar cuidadosamente para o aviso de privacidade

Eu costumo dizer aos meus clientes e colegas (ainda que muitos destes discordem — e está tudo bem!) que o aviso de privacidade é um dos documentos mais importantes quando falamos de privacidade e proteção de dados pessoais.

Explico:

Primeiro, por ser um resultado lógico da aplicação do princípio da transparência, previsto no artigo 6°, inciso VI da LGPD.

Em segundo lugar, por ser um documento público, o aviso de privacidade é um dos primeiros pontos de contato dos titulares com informações sobre como os dados pessoais deles são manipulados pelas organizações. É no acesso ao site de compras, na recepção de um condomínio ou de uma clínica que eles terão um primeiro contato.

Sendo assim, é fundamental que os avisos de privacidade estejam devidamente alinhados com a realidade dos fatos. Não basta pegar um modelo padrão, pois não há como utilizar templates genéricos, uma vez que as organizações, ainda que sejam de um mesmo segmento, devem informar detalhadamente de que forma elas utilizam os dados pessoais dos seus clientes, funcionários, parceiros de negócios e outros sujeitos que se relacionem com elas.

Um bom aviso de privacidade é resultado da soma de diversos fatores como:

• Um bom levantamento de processos e mapeamento do fluxo dos dados pessoais

• O estabelecimento de boas práticas e governança já mencionadas nesse texto

• E, por último (mas não menos importante), da observância do conjunto de normas que permeiam o universo da proteção de dados pessoais

Quando desenvolvo avisos de privacidade on-line, costumo usar como guia a ISO/IEC 29184 da ABNT. Ela traz parâmetros balizadores para a construção dos avisos de forma completa e eficaz.

E a sua organização?

E então? Sua organização já tem aviso de privacidade estruturado?

Se a resposta é sim, o conteúdo dele está realmente alinhado à realidade do negócio?

Por outro lado, se a resposta é não, evite o uso de modelos prontos e procure um profissional de privacidade e proteção de dados para auxiliar você e sua empresa a serem transparentes com os titulares dos dados pessoais utilizados por sua organização.

Deixe seu comentário ou sua dúvida na seção abaixo.

Forte abraço e até o próximo texto!

Footnotes

1. Acesse a LGPD aqui ↩

2. Glossário disponível em: https://iapp.org/resources/glossary/ ↩

3. A própria IAPP afirma que o aviso de privacidade — privacy notice — pode ser chamado de política de privacidade tradução da expressão privacy statement. Eu que sou chato mesmo! 🤣 ↩