O que é o RGPD? Um guia simples para criadores de apps

O RGPD (Regulamento Geral sobre a Proteção de Dados) é a principal lei de proteção de dados da União Europeia. Estabelece regras sobre a forma como as organizações recolhem, usam, guardam e partilham dados pessoais — qualquer informação sobre uma pessoa singular identificável — e dá às pessoas direitos sobre os seus próprios dados, como vê-los ou pedir que sejam apagados. É aplicável desde 25 de maio de 2018, e pode aplicar-se a empresas fora da UE se servirem pessoas que lá estejam.

Não é aconselhamento jurídico. Este guia é uma explicação geral para o ajudar a perceber o básico e a fazer melhores perguntas. Não substitui um parecer sobre a sua situação. Para detalhe oficial, veja as páginas de proteção de dados da Comissão Europeia e o guia do Comité Europeu para a Proteção de Dados para pequenas empresas.

Porque é que importa quando cria com IA

Os criadores com IA tornam a recolha de dados muito fácil. Um prompt dá-lhe um formulário de registo, um formulário de contacto, analítica, uploads de ficheiros e um painel de administração que lista todos os utilizadores. Cada um deles recolhe dados pessoais, e o RGPD preocupa-se com todos.

A boa notícia é que a maior parte do que o RGPD pede é também boa prática de produto:

• Recolher apenas o que realmente precisa.
• Dizer às pessoas o que faz com esses dados.
• Mantê-los seguros.
• Apagá-los quando já não forem necessários.
• Permitir que as pessoas vejam, corrijam ou removam os seus dados.

Estas coisas são muito mais fáceis de desenhar desde o início do que de acrescentar depois do lançamento. Fazer as perguntas certas ao criador com IA logo no início poupa uma reconstrução dolorosa mais tarde.

Uma analogia do dia a dia

Pense nos dados pessoais como pertences que as pessoas deixam consigo — como um bengaleiro, mas para informação. O RGPD são as regras da casa para o bengaleiro:

• Só fica com o que a pessoa concordou em deixar, por uma razão que ela compreende.
• Não vasculha os bolsos para outros fins.
• Mantém a sala trancada.
• Devolve as coisas, ou deita-as fora, quando lhe pedirem ou quando já não forem precisas.
• Se alguma coisa for roubada, avisa as pessoas certas sem demora.

É responsável pelos casacos enquanto estiverem à sua guarda, mesmo que tenha contratado outra pessoa para gerir a sala.

As ideias essenciais

O que conta como dado pessoal

A Comissão Europeia define dado pessoal como qualquer informação relativa a uma pessoa singular identificada ou identificável. É um conceito amplo. Inclui nomes, endereços de email, moradas, endereços IP, identificadores de cookies e fotografias. Dados «pseudonimizados» — por exemplo, nomes substituídos por códigos — podem continuar a ser dados pessoais se for possível ligá-los de novo a alguém.

Algumas categorias têm proteção reforçada, incluindo dados de saúde, dados biométricos, origem racial ou étnica e opiniões políticas.

A quem se aplica

Segundo a Comissão, o RGPD aplica-se às organizações estabelecidas na UE e às organizações fora da UE que oferecem bens ou serviços a pessoas na UE (pagos ou gratuitos) ou que monitorizam o seu comportamento. Uma startup dos EUA ou dos Emirados com clientes europeus pode muito bem estar abrangida. O Reino Unido tem a sua própria versão, o RGPD do Reino Unido, que se baseia de perto nela.

Os princípios

O RGPD assenta numa lista curta de princípios. Em termos simples:

Fundamentos jurídicos

Precisa de uma razão legal — um «fundamento jurídico» — para cada forma como usa dados pessoais. O RGPD enumera seis: consentimento, execução de um contrato, obrigação legal, interesses vitais, interesse público e interesses legítimos. O consentimento é apenas um deles. Tratar uma encomenda para a entregar, por exemplo, costuma basear-se no contrato, não no consentimento. Qual o fundamento adequado é uma apreciação a confrontar com a orientação oficial.

Os direitos das pessoas

A Comissão enumera estes direitos para as pessoas:

• Ser informadas sobre a forma como os seus dados são usados
• Aceder aos seus dados
• Ver os dados corrigidos
• Ver os dados apagados
• Limitar o tratamento
• Portabilidade dos dados (obtê-los num formato utilizável)
• Opor-se
• Direitos relacionados com decisões automatizadas e definição de perfis

Violações de dados

Se dados pessoais forem divulgados e a violação for suscetível de colocar em risco os direitos e liberdades das pessoas, a organização deve, em regra, notificar a sua autoridade de proteção de dados sem demora injustificada e, se possível, no prazo de 72 horas após tomar conhecimento. Em alguns casos, as pessoas afetadas também têm de ser informadas.

Um exemplo prático: uma app de marcações para um estúdio de yoga

Imagine que está a criar uma app de marcações para um estúdio de yoga com clientes na Alemanha. Eis como o RGPD molda a app.

Recolher menos. O formulário de registo pede nome, email e um número de telefone opcional. O primeiro rascunho pedia também data de nascimento e morada — nada na app as usa, por isso foram removidas.

Os dados de saúde exigem cuidado. O estúdio quer perguntar sobre lesões. Isso são dados de saúde, uma categoria especial com regras mais rigorosas. O estúdio decide tratar disso presencialmente, por isso a app não recolhe esses dados.

Ser transparente. Uma política de privacidade explica o que é recolhido, porquê, durante quanto tempo é guardado, quem mais trata os dados (o fornecedor de alojamento, o serviço de email, o fornecedor de pagamentos) e como contactar o estúdio.

O marketing é separado. Marcar uma aula não inscreve ninguém na newsletter. Há uma caixa separada, por marcar, para isso.

Direitos no produto. Os clientes podem ver e editar o perfil, descarregar o histórico de marcações e pedir o apagamento a partir da página da conta.

Conservação. As contas inativas são assinaladas após um período definido e removidas se o cliente não responder. O estúdio escolhe o período.

Cookies. O cookie de login é necessário. A analítica só é carregada depois de o visitante aceitar. Veja o que são cookies.

Segurança. As passwords são guardadas com hash, a área de administração exige autenticação de dois fatores, e só o proprietário pode exportar listas de clientes.

Termos comuns explicados

Erros e ideias erradas comuns

• «Não estamos na UE, por isso não se aplica.» Pode aplicar-se consoante onde estão os seus utilizadores.
• «O RGPD significa consentimento para tudo.» O consentimento é um dos seis fundamentos jurídicos, e muitas vezes não é o adequado.
• «Um banner de cookies torna-nos conformes.» Os cookies são uma pequena parte. A recolha de dados, a segurança, os direitos e a conservação pesam mais.
• «O nosso alojamento é compatível com o RGPD, por isso nós somos.» Os fornecedores ajudam, mas é você que decide o que a sua app recolhe e faz.
• Recolher «por precaução». Cada campo extra é mais para proteger, explicar e apagar.
• Copiar a política de privacidade de outro site. Tem de descrever o que a sua app realmente faz.
• Tornar o apagamento impossível. Se ninguém conseguir apagar um utilizador sem um programador, os pedidos de direitos transformam-se em emergências.

O que pedir ao seu criador com IA

• «Lista todos os dados pessoais que esta app recolhe, onde são guardados e porque são necessários.»
• «Remove os campos de formulário que não usamos.»
• «Acrescenta uma página de conta onde os utilizadores possam ver, editar e descarregar os seus dados, e pedir o apagamento.»
• «Constrói uma ação de administração que apague por completo um utilizador e os seus registos relacionados, ou anonimize os registos que temos de manter.»
• «Mantém o registo para marketing como uma caixa separada, por marcar.»
• «Não carregues scripts de analítica ou de marketing antes do consentimento.»
• «Lista todos os serviços de terceiros que recebem dados dos utilizadores, para os incluir na política de privacidade.»
• «Restringe as exportações de administração ao perfil de proprietário e regista quem exportou o quê.»

Depois leia como escrever termos de serviço e uma política de privacidade e como adicionar consentimento de cookies.

RGPD e o Mythex

O Mythex oferece os blocos de construção, não um certificado de conformidade. Os dados da sua app vivem na base de dados e no armazenamento de ficheiros do próprio projeto, quando os ativa; é dono do código e, no Pro, pode exportar o projeto se precisar de o mudar. O que a sua app recolhe, durante quanto tempo o guarda e como as pessoas exercem os seus direitos são decisões suas — e que pede ao agente para construir. A página da documentação sobre propriedade dos dados explica o que o Mythex aloja, e segurança para as apps que cria alerta contra afirmar uma conformidade que não tem. Se precisar de pormenores como o local de alojamento dos dados ou um acordo de tratamento de dados, pergunte ao suporte do Mythex antes de lançar.

Perguntas