Consentimento ou interesse legítimo: como decidir

No setor há dois campos. Um diz: quem reconhece apenas empresas não precisa de consentimento, o interesse legítimo chega. O outro diz: sem aceitação no banner de cookies, nada funciona. Ambos têm uma parte de razão, porque falam de camadas diferentes. Este artigo separa as camadas e dá-lhe, no fim, cinco perguntas.

É um enquadramento objetivo e não aconselhamento jurídico. Para a sua configuração concreta, a decisão cabe ao seu aconselhamento de proteção de dados.

O que se aplica previamente: o acesso ao dispositivo terminal

Antes de se falar do RGPD, coloca-se outra questão: o script acede ao dispositivo do visitante? A diretiva ePrivacy (art. 5.º, n.º 3) exige em princípio consentimento para guardar informações no dispositivo terminal e para ler essas informações. Excetua-se o que é tecnicamente necessário para o serviço expressamente solicitado pelo utilizador.

Isto foi transposto na Alemanha pelo § 25 TDDDG e na Áustria pelo § 165 Abs. 3 TKG 2021. Ambas as regras aplicam-se independentemente de, no fim, surgirem ou não dados pessoais. O decisivo é o próprio acesso.

Isto atinge mais do que cookies:

• Uma entrada na memória de sessão do navegador (sessionStorage) é um armazenamento no dispositivo terminal.
• A leitura do tamanho do ecrã e do idioma do navegador é uma leitura de informações do dispositivo terminal, mesmo que cada dado individual pareça inofensivo.
• Gravações de cliques e movimentos do rato não são, de qualquer modo, algo de que um visitante precise para a apresentação da página.

As autoridades de controlo alemãs defendem uma linha rigorosa: a medição de alcance e a estatística não são, em regra, consideradas tecnicamente necessárias. Quem utiliza um script que faz tais acessos deve por isso partir do princípio de que é necessário consentimento. Isto não é uma questão de gosto, mas o pressuposto sem o qual o resto nem sequer é alcançado.

Art. 6.º, n.º 1, al. a) contra al. f)

Só depois vem a questão de em que fundamento jurídico do RGPD se apoia o tratamento subsequente, na medida em que seja pessoal.

Se um endereço IP é sequer pessoal, esclarece-o Endereço IP e RGPD: é um dado pessoal?. Como os dois passos de verificação se articulam, mostra-o Reconhecimento de visitantes e RGPD: um enquadramento objetivo.

Consentimento (al. a). Tem de ser livre, informado, específico e inequívoco. Pode ser revogado a qualquer momento. A situação jurídica é clara, desde que o banner esteja bem construído.

Interesse legítimo (al. f). Aqui verifica três coisas: existe um interesse legítimo (por exemplo, a angariação de vendas no B2B)? O tratamento é necessário para isso? E os interesses ou direitos fundamentais das pessoas afetadas não prevalecem? O considerando 47 indica como critério as expectativas razoáveis dos titulares. O marketing direto pode, segundo o mesmo considerando, ser um interesse legítimo.

A isso acresce o direito de oposição nos termos do art. 21.º: os titulares podem opor-se ao tratamento com base na al. f). Tem de o tornar praticamente possível. Também as obrigações de informação dos arts. 13.º e 14.º se aplicam nos dois casos.

Por que razão os dados de comportamento dificultam a ponderação

Uma atribuição de empresa, por si só, ainda se pode muitas vezes fundamentar bem na ponderação: a informação é escassa. A finalidade é clara. Torna-se mais difícil quando se acrescenta comportamento. Que páginas alguém lê, durante quanto tempo faz scroll e onde clica diz muito sobre uma pessoa, mesmo que apareça apenas como visitante de uma empresa. Um vídeo de rato mostra ainda mais. Quanto mais fina a observação, menos os visitantes a esperam. Assim, torna-se difícil fundamentar que o seu interesse prevalece.

Acresce um problema prático: mesmo que pudesse ganhar a ponderação, isso não lhe serve de nada enquanto subsistir a obrigação de consentimento para o acesso ao dispositivo. O consentimento existe então de qualquer modo. Há muito a favor de o usar também como fundamento jurídico do tratamento, em vez de manter dois fundamentos em paralelo.

O caminho prático: categoria de estatística, script só depois

A solução que na prática funciona com mais frequência é simples:

1. O seu banner tem uma categoria própria, geralmente «Estatística» ou «Análise».
2. O script de reconhecimento de visitantes só carrega depois de o visitante ter aceitado esta categoria.
3. Sem aceitação não há acesso ao dispositivo nem pedido ao serviço.

Tecnicamente, faz-se através do seu gestor de etiquetas com Consent Mode ou através da gestão de consentimento do seu banner. Encontra um guia para isso na ajuda em Einwilligung im Tag Manager. O Whovisit, por exemplo, fornece um modelo de etiqueta que espera pelo consentimento de estatística dado antes de carregar o script. Para que o caminho se sustente, o seu banner tem de representar realmente a categoria e transmitir a decisão corretamente ao gestor de etiquetas.

Também o Google Analytics corre, em regra, atrás da mesma categoria. O que o Analytics revela sobre empresas e o que não revela, está em Reconhecer empresas com o Google Analytics: o que é possível e o que não é.

Suíça: lógica de opt-out

Na Suíça, o ponto de partida é diferente. A lei das telecomunicações (art. 45c) exige que os utilizadores sejam informados sobre o tratamento de dados no seu dispositivo e possam recusá-lo. É, portanto, uma solução de oposição em vez de um consentimento prévio. Também a lei de proteção de dados revista (desde 1 de setembro de 2023) trabalha em princípio com transparência e possibilidade de oposição, em vez de uma obrigação geral de consentimento.

Se tiver visitantes da Suíça e da UE no mesmo site, aos visitantes da UE aplica-se, ainda assim, o direito mais rigoroso. Na prática, isto significa: um banner uniforme com consentimento é em regra o caminho mais simples, também porque não é possível separar com certeza os visitantes por país.

O seu caminho de decisão em cinco perguntas

1. O script acede ao dispositivo? (Guardar ou ler, também memória de sessão, tamanho do ecrã, idioma.) Se sim, precisa para DE e AT, em regra, de consentimento. Segue-se a pergunta 2.
2. O acesso é tecnicamente necessário para a apresentação pretendida da página? Em estatística e reconhecimento de visitantes, quase sempre não.
3. O seu banner tem uma categoria que corresponde à finalidade? Se não, ajuste antes de incluir o script.
4. O script só carrega mesmo depois da aceitação? Verifique no separador de rede do seu navegador: antes da aceitação não pode ir nenhum pedido ao serviço.
5. A informação na política de privacidade está completa? Existe uma via para a revogação? Finalidade, fundamento jurídico, destinatários, duração de conservação.

Se responder «não» à pergunta 1, pode pensar na al. f). Em procedimentos com acesso ao dispositivo terminal isso é, na prática, raro.

Fontes

• Diretiva 2002/58/CE (ePrivacy), art. 5.º, n.º 3
• RGPD, art. 6.º, n.º 1, arts. 13.º, 14.º, 21.º e considerando 47
• § 25 TDDDG (Alemanha), § 165 Abs. 3 TKG 2021 (Áustria)
• Art. 45c da lei das telecomunicações (Suíça), lei de proteção de dados (Suíça) na versão de 1 de setembro de 2023
• Orientação da Conferência de Proteção de Dados para fornecedores de telemédia (versão atual)