Que serviços pertencem à política de privacidade?

Cada serviço de terceiros incorporado que trate dados pessoais — análise, publicidade, tipos de letra, mapas, chat, CDN, alojamento — deve constar da política de privacidade.

A política de privacidade e o banner de consentimento respondem a duas perguntas diferentes. O banner regula se um serviço pode sequer carregar (consentimento nos termos do § 25 TDDDG). A política de privacidade cumpre o dever de informação do art. 13.º do RGPD — deve também nomear os serviços que funcionam com outra base que não o consentimento: alojamento, CDN, um filtro antispam do lado do servidor, a entrega de tipos de letra. Um serviço que não precisa de banner pode ainda assim pertencer à política de privacidade.

As indicações de cada serviço seguem um esquema fixo: nome e morada do fornecedor, finalidade do tratamento, base jurídica (consentimento, contrato, interesse legítimo), categorias de dados tratados, prazo de conservação, se e para onde os dados são transferidos para um país terceiro e com que base, bem como os direitos dos titulares, incluindo a retirada. Se faltar um destes pontos, a declaração fica incompleta nessa medida — e isso é uma violação autónoma sujeita a coima, independentemente de a própria integração ser lícita.

O erro mais frequente é a lista desatualizada. Os serviços são acrescentados através de plugins, do gestor de etiquetas ou de uma atualização de tema sem que a política de privacidade seja acompanhada. Inversamente, figuram lá muitas vezes ferramentas há muito removidas. Uma verificação pragmática: carregar a página numa janela privada, anotar no separador de rede todos os hosts de terceiros e compará-los com a política de privacidade — pelo menos após cada alteração importante do site.

Isto é um risco?

O art. 13.º RGPD exige indicações sobre finalidade, fundamento jurídico, destinatários, período de conservação e transferência para países terceiros. Uma política de privacidade incompleta é uma infração autónoma — independentemente de a incorporação em si ser lícita.

O que pode fazer

• Elaborar uma lista completa de todos os serviços incorporados (incluindo os que chegam via plugin ou gestor de tags).
• Para cada serviço: acrescentar fornecedor, finalidade, fundamento jurídico, período de conservação, país destinatário.
• Manter a política de privacidade a cada alteração do site.
• Comparar regularmente se os serviços efetivamente carregados correspondem à política de privacidade.

Häufige Fragen

Tenho de incluir também o alojamento e o CDN na política de privacidade?

Sim. Os fornecedores de alojamento e os CDN tratam os endereços IP dos visitantes e são destinatários na aceção do art. 13.º do RGPD. Não precisam de banner de consentimento, mas devem constar da política com a finalidade, a base jurídica e a eventual transferência para país terceiro.

Basta um gerador de política de privacidade?

Como ponto de partida, sim. Os textos gerados cobrem serviços padrão, mas têm de ser adaptados às ferramentas efetivamente utilizadas e mantidos atualizados. Um gerador não substitui nem o levantamento nem a análise jurídica.

O que acontece com uma política de privacidade incompleta?

É uma violação autónoma do RGPD nos termos do art. 13.º que as autoridades de controlo podem punir com coima — mesmo que o próprio tratamento seja lícito. Na prática, surgem primeiro avisos e notificações.

Com que frequência devo verificar a política de privacidade?

Após cada alteração que acrescente ou remova serviços e, além disso, num ritmo fixo (por exemplo, semestral). Para a verificação de rotina basta comparar os hosts de terceiros carregados no separador de rede com a declaração.

Como o consentglass ajuda

A análise gratuita verifica o HTML entregue e mostra que serviços estão incorporados, se é detetado um banner de cookies e se as ligações para privacidade e informação legal estão presentes — com enquadramento para cada constatação. Não substitui aconselhamento jurídico.