Em julho de 2019, a [GDPR](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/) (a regulação geral de proteção de dados da União Europeia) pediu a maior multa da história da lei: 183 milhões de euros. A empresa multada foi a [British Airways](https://oglobo.globo.com/economia/defesa-do-consumidor/british-airways-multada-em-us-230-milhoes-por-caso-de-roubo-de-dados-de-passageiros-23791711), companhia aérea inglesa. O motivo foi o seguinte: a empresa, por falha de segurança, vazou dados pessoais de mais de 500 mil clientes.

Ja faz algum tempo que a LGPD entrou em vigor, mas o assunto ainda continua gerando muitas dúvidas aos brasileiros. Quais multas são previstas na LGPD? Qual é a multa máxima que uma empresa pode receber? Qual é o prazo para um site se adequar e não ser multado?

Neste artigo responderemos todas as suas perguntas com relação às multas da Lei Geral de Proteção de Dados.

## Quais multas foram aplicadas na GDPR?

Na União Europeia, empresas podem ser penalizadas com uma multa de 20 milhões de euros ou até 4% do faturamento, aquilo que for maior. Como vimos, a British Airways teve um prejuízo de 183 milhões de euros pelo mau uso de dados.

A Alemanha multou em 1,5 mil dólares um policial que utilizou, para fins pessoais, a placa de carro de um cidadão para encontrar o número telefônico dele. Ou seja, não apenas grandes empresas que chamam atenção com seus erros e são penalizadas.

Mas e a nossa LGPD? Essas multas serão as mesmas na Lei Geral de Proteção de Dados, inspirada no regulamento europeu?

## Quais casos na LGPD são passíveis de multa?

A LGPD deve ser acatada por inteiro, não em partes. A British Airways, por um deslize não proposital, foi multada em valor recorde.

Por isso, é de extrema importância que você leia [tudo sobre a LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) e se adeque o mais rápido possível. Toda empresa deverá ter um Encarregado de Proteção de Dados e é recomendável que utilize uma [CMP](https://goadopt.io/blog/o-que-e-uma-cmp/), o que torna o trabalho muito mais fácil.

Deslizes maiores acarretarão em multas maiores; deslizes menores, obviamente, serão penalizados de forma diferente. A lei diz que os seguintes fatores serão levados em conta: 

•	A gravidade e a natureza das infrações e dos direitos pessoais afetados;

•	A boa-fé do infrator;

•	A vantagem auferida ou pretendida pelo infrator;

•	A condição econômica do infrator;

•	A reincidência;

•	O grau do dano;

•	A cooperação do infrator;

•	A adoção de política de boas práticas e governança;

•	A pronta adoção de medidas corretivas; e

•	A proporcionalidade entre a gravidade da falta e a intensidade da sanção.

As sanções administrativas completas estão no artigo 52 da lei, que pode ser consultada [aqui](http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709.htm).

## Quais são as multas e penalidades na LGPD?

A LGPD prevê seis penalidades ou multas. São elas:

1.	Advertência. Essa advertência virá com um prazo para que a empresa se adeque à legislação. Se não se corrigir no prazo estipulado, haverá penalidade.

2.	Multa simples em cima do faturamento. Essa multa pode ser de até 2% do faturamento da pessoa jurídica. O limite é de 50 milhões de reais por infração.

3.	Multa diária. Essa multa também será limitada a 50 milhões de reais.

4.	Publicização da infração. A infração se tornará pública e os prejuízos à imagem da empresa poderão ser enormes.

5.	Bloqueio dos dados pessoais. Essa sanção administrativa impede que as empresas utilizem os dados pessoais coletados até a situação se regularizar.

6.	Eliminação dos dados pessoais. A sexta penalidade prevista na LGPD obriga a empresa a eliminar por completo os dados coletados em seus serviços, causando danos à operação da empresa.

O limite das multas na LGPD é de 50 milhões. Mas algumas das penalidades podem ser ainda piores, dependendo da empresa. Por exemplo, assumir publicamente o vazamento de dados pessoais de milhares de clientes pode derrubar até mesmo empresas sólidas, minando totalmente a credibilidade de uma marca.

Mas essas multas também se aplicam a negócios menores, com pequenas operações de tratamento de dados? Ou apenas a empresas grandes, como a British Airways e o Google?

## Qualquer um pode ser multado?

A lei fala de “agentes de tratamento”. Qualquer site ou empresa que realiza coleta de dados se torna, automaticamente, um agente de tratamento.

Mas há exceções. São elas:

•	Pessoas naturais que utilizem dados para fins particulares e não econômicos;

•	Pessoas que utilizem dados para fins jornalísticos, artísticos ou acadêmicos;

•	Agentes de segurança pública ou defesa nacional que utilizem dados para cumprir a lei.

Nestas hipóteses, não há a necessidade de um consentimento formal. Portanto, não existe a possibilidade de multa, tendo em vista que não infringem a lei.

Mas todo negócio, sem exceção, estará sujeito às multas assim que a lei entrar em vigor. Mas enquanto não entra você tem uma tarefa:

## Qual é o prazo para adequação?

O prazo já acabou! A lei entrou em vigor em território nacional no dia 16 de agosto de 2020.

Se a sua empresa ainda não está adequada recomendamos que comece o quanto antes e obtenha o máximo de informações sobre a lei, para seu negócio não estar sujeito às multas e penalidades. Para entender melhor o regulamento, leia o artigo [Tudo sobre a LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)!


Multas na LGPD – Quais são, valores e prazos de adequação

Um dos maiores dilemas de quem começa a estudar e entender a LGPD mais à fundo é a compreensão de que por mais árduo que seja o processo de adequação, ela é apenas o começo. Sim, uma série de mudanças e ajustes que devem fazer parte da rotina da empresa a partir de agora. Diversos são os processos do seu marketing envolvendo dados pessoais, que você deve repensar agora, por conta da LGPD!

Com isso, a adequação à LGPD não para no setup do [aviso de cookies](https://goadopt.io/) nem, muito menos, na nova política de privacidade que você teve que atualizar. Inúmeros processos, dependendo do tamanho da sua empresa, devem ser revistos e também adequados às novas realidades determinadas pela lei.

A burocracia pode parecer grande e sem fim para as empresas. Mas, precisamos sempre nos colocar no lugar dos visitantes, dos titulares dos dados. Lembre-se eu e você também o somos, antes mesmo de sermos empresas, profissionais, somos cidadãos! A LGPD tem como prioridade justamente empoderar os titulares para que eles, em sua individualidade, tenham pleno direito e acesso às informações necessárias referentes ao uso dos seus dados pessoais.

Por isso estamos aqui!

#### Sejamos os profissionais que enxergam a legislação como uma nova oportunidade de subir a régua, de aplicar o nosso conhecimento com qualidade e respeito aos nossos clientes e visitantes!

A LGPD trouxe novas regras, novos processos do marketing, novos cargos…

Como então, não antecipar os novos padrões e as novas referências de qualidade que serão ao fim percebidas pelos nossos clientes?

Um dos belíssimos conceitos, como o [Privacy by Design](https://goadopt.io/blog/o-que-e-privacy-by-design/) (já falamos disso aqui no blog), pode, e deve sempre ser trazido à tona!

Isto posto, quero te ajudar! Abaixo então:

## Os 10 processos do marketing que você deve repensar, por conta da LGPD!

### 1 – Compartilhar listas de dados com fornecedores e terceiros. (freellas, corretores imobiliários, vendedores…)

Se a essa altura do campeonato isso já não estiver óbvio pra você, não sei mais como deixar claro o risco deste tipo de compartilhamento. Afinal de contas, o visitante forneceu seus dados pessoais e sensíveis, à empresa. Não tem como ele advinhar que você tem mais “N” pessoas penduradas no seu mailing.

Por isso, muito cuidado com essa prática! Principalmente se não há nenhum contrato de sigilo ou responsabilidade entre as partes envolvidas!

Pode ser que o seu modelo de negócios peça essa distribuição dos dados, então reforce – com clareza, em sua política e termos! Lembre-se, na dúvida preze pela privacidade!

 

### 2 – Receber listas de e-mails dos clientes para subir no facebook, para match e look-a-like.

Essa lista tem o consentimento para ações do facebook? Qual a origem da lista? Você já deve ter reparado que o facebook, desde a GDPR, já questionava os anunciantes quando faziam uploads de e-mails… Por que será, né?

Seja você um departamento de marketing, ou agência terceira ao cliente. Sempre questione estas listas e evite ao máximo estender os canais de comunicação direta com o cliente, pois, isso pode ferir o consentimento e/ou a base legal que ampara o uso do dado.

Quer saber mais sobre a relação dos cookies de internet na LGPD? Tenho um [artigo](https://goadopt.io/blog/cookies-e-lgpd/) só sobre isso!

### 3 – Comprar listas frias para disparar e-mails, SMS e SPAM. (se já era um crime antes, agora mais ainda)

Quem nunca pensou em “conseguir” uma lista de contatos, que atire a primeira pedra! Ou, até mesmo, quem nunca foi abordado por empresas de “listas”que vendem esses leads frios!

Feliz de quem gera conteúdo com qualidade, e transparência a ponto dos visitantes confiarem à empresa os seus dados…

Não à toa às ferramentas de e-mail marketing tem inúmeros avisos para evitarmos spams. Isso prejudica a reputação de todo mundo, e a internet não tem mais paciência pra spam, concorda?

### 4 – Trocar listas de e-mails para disparo de artigos e newsletters com parceiros e clientes. (Prática que parece inocente, mas, que pode ferir o direito dos titulares)

Parece inocente, mas, só parece mesmo! Assim como os pontos acima, os titulares confiaram seus dados àquela finalidade exclusiva. Qualquer interação que extrapole ela, pode ferir diretamente o direito adquirido pelo consentimento e/ou base legal.

### 5 – A agência como um todo tem acesso às listas de e-mails dos clientes/visitantes. (Alçadas de acesso para dados sensíveis – contrato de responsabilidade)

Aqui entramos em uma alçada de gestão e processos! Diversas ferramentas de marketing nos dão a possibilidade de criação das hierarquias dentro dos seus usuários. Justamente pois, cada um tem seu nível de atividade e também responsabilidades.

É fato que muitas empresas trabalham hoje com uma gestão descentralizada, ou até mesmo horizontal. Mas, na hora do aperto quem é que vai ser responsabilizado? Evite problemas, revisando as alçadas de aprovação e até mesmo de acesso aos dados de acordo com as responsabilidades da sua equipe. Afinal, as ações de um colaborador recaem sobre toda a organização, e isso pode e deve ser considerado como contingência.

### 6 – Contratar freellas e profissionais com alta rotatividade sem um contrato de responsabilidade para com os dados dos clientes. (famoso “espetou em pen-drive”)

Esse ponto é bastante parecido com o ponto anterior, mas, tem um detalhe ainda maior. Profissionais terceiros têm suas responsabilidades limitadas, ou até mesmo, estendidas aos seus contratos que os vinculam ou não a determinados critérios. Assim sendo, toda vez que um terceiro tem acesso a uma base de dados da sua empresa, qual a segurança que você tem sobre esses dados?

Qual a garantia que o titular do dado tem, uma vez que os dados estão abertos? Sim, é básico! Mas, não são poucos os casos do funcionário X ou da agência Y, que apagou tudo antes de sair… ou levou tudo com ele. E aí? Tinha contrato?

### 7 – CTAS em campanhas e anúncios para “deixe seu contato abaixo, se quiser receber…”

Esse CTA (call-to-action, ou chamada para a ação) por mais “tosco” que pareça, ainda é muito usado e eu diria que “se tem regra é porque tem história”, ou seja, funciona.

Cuidado com esse tipo de abordagem, principalmente se o seu público é mais simples e não tem muito discernimento dos riscos da internet.

Lembra do caso do pessoal que fornecia os dados em um posto do facebook, para terem um cartão de crédito de super-heróis? Pois, é… você não quer a imagem da sua empresa atrelada a uma brecha para oportunistas.

### 8 – Ações off-line sem uma diretriz forte de coleta de dados (base legal), ou consentimento atrelado.

A LGPD não é dirigida apenas ao ambiente virtual, logo, quais as ações off-line, presenciais, cujas diretrizes também devam ser adaptadas? Você usa fichas de cadastro? Qual o processo de coleta de dados nos ambientes?

Cada empresa tem uma realidade, mas, eu mesmo já vi empresas utilizando termos de consentimento “off-line” (bloco de folhas timbradas mesmo) para serem anexados aos cadastros dos visitantes! Ou até mesmo, todos os cadastros via tablets para que o consentimento também já alimente o CRM.

Nosso radar deve estar ligado nas portas ON e OFF-LINE! Se você levar tudo para o online, via QR CODE por exemplo, além de poder usar o [aviso de cookies da AdOpt](https://goadopt.io/) como sua ferramentas de consentimento, ainda pode usar tags de rastreio na mesma LP!

Quem sabe assim não só já automatiza o opt-in, como também um remarketing autorizado no mesmo ato!

### 9 – Manter as listas de e-mail por vaidade.

Foi-se o tempo em que aquele excel cheio de e-mails dos anos 90 eram o tesouro da empresa.

Além de serem uma métrica de vaidade, é também um custo imenso dentro das ferramentas de automação, bases de e-mails frias e antigas hoje também são um risco enorme para a organização! Evite, elimine isso tudo e corra para conseguir o consentimento atualizado da sua base ativa, o quanto antes!

Depois não diga que não avisei!

 

### 10 – Compor organograma da Agência com dados pessoais (profissionais, sem a aprovação no contrato de trabalho. Ex. celular pessoal…)

Organograma de agências, a alegria dos SDRs pra aquele um cold call raiz, e agendar pro do Field Sales! #quemnunca?

Se você não sabe o que é isso… eu te explico!

Muitas agências (as grandes principalmente) de SP, ainda tem, o tal “organograma da agência” na recepção.

Acessar esse arquivo é a alegria do time comercial, porque ali não só temos de fato quem decide, como o contato de cada um deles!

Mas, aqui também mora um perigo!

Se o seu organograma contém não somente os dados profissionais dos colaboradores, mas, também um celular pessoal do funcionário X que não quis usar 2 telefones, por exemplo…

Será que esse compartilhamento está previsto no contrato de trabalho?

Agora pode não ser um problema, mas, se o direito trabalhista usa de tudo na hora da crise. Por que não usaria isso também?

Enfim, nosso objetivo nunca foi profetizar a desgraça nas empresas, muito menos ser parte da Cavalaria Apocaliptica a LGPD. Mas, já que estamos no mercado há um tempo, esse tipo de coisa sempre nos chama atenção quando começamos a fazer o data mapping e conversar com os colegas.

Lembrou de mais algum processo que poderia compor essa lista?

Comenta aí embaixo, quem sabe ajuda os colegas na saga da adequação!


10 processos do marketing que você deve repensar na LGPD!

O começo de tudo são as chamadas “Bases Legais da LGPD”, ou seja, os motivos e as razões pelas quais as empresas não só podem, como devem ter acesso aos dados dos titulares para bem executarem as suas funções.

Sim, é possível pensarmos que o legitimo interesse da prestação de serviço, ou venda de produtos já seriam um motivo nobre. Como também, a força de contratos ou legislações paralelas que nos obrigam a ter acesso a tais informações para bem executá-los e, de fato o são.

Justamente por isso que a LGPD nos trás 10 Bases Legais, ou seja, 10 motivos que legitimam uso dos dados pessoais tentando enquadrar os mais variados motivos e hipóteses para o uso dos dados. Elas são a base estrutural que sustenta o uso de dados, sem que esta mesma legislação sirva também de subterfúgio para driblar outras normativas tão ou igualmente essenciais.

Seu papel como gestor, ou encarregado dos dados da empresa é de encontrar – dentre estas 10, a que melhor se adeque ao seu modelo de negócio e legislação própria. Isso vale para todos as eventuais etapas do dado dentro da sua empresa/processo, tais como:

- Coleta,
    
- Armazenamento,
    
- Tratamento,
    
- Transferência,
    
- Compartilhamento dos dados pessoais.
    

Lembre-se estamos falando de privacidade e dados que não só identificam o cidadão, como o qualificam em suas matrizes de comportamento e demografia.

Segundo a LGPD, dados pessoais sensíveis são:

_Origem racial ou étnica, convicções religiosas ou filosóficas, opiniões políticas, filiação sindical, questões genéticas, biométricas e sobre a saúde ou a vida sexual de uma pessoa._

A coleta de dados como Nome, RG, CPF e Gênero, independente da etapas de coleta, deve sempre respeitar os princípios de Finalidade e Transparência.

## Com isso em mente, vamos então às 10 Bases Legais, segundo a LGPD.

São elas:

1.  Consentimento do Titular.
    
2.  Legítimo Interesse.
    
3.  Obrigação Legal.
    
4.  Cumprimento de Políticas Públicas.
    
5.  Órgãos de Pesquisa.
    
6.  Execução de Contratos.
    
7.  Exercício de Direitos.
    
8.  Proteção à Vida.
    
9.  Tutela da Saúde.
    
10.  Proteção ao Crédito.
    

 

Antes de aprofundarmos cada uma das Bases Legais, eu gostaria de separá-las em 2 grandes grupos. Isolando as 2 primeiras: **Consentimento** e **Legítimo Interesse**. Pois, apesar de serem as mais populares elas pedem cuidados adicionais no seu uso. Enquanto as 8 demais, são mais “claras e seguras” em uma perspectiva jurídica, que legitima o seu enquadramento na sua empresa.

Abaixo então o detalhamento de cada uma delas, para te ajudar nesta compreensão e no porquê desta divisão entre elas.

 

## 1 - Consentimento do Titular.

Esta talvez seja a Base Legal mais popularmente conhecida em todo o mercado. Pois, já são muitos os sites que usam dela para se adequarem à LGPD, quando exibem aquele aviso tão conhecido por aí: “Este site usa de cookies...” Pois bem, seja no ambiente virtual ou off-line, o consentimento é uma maneira muito ágil de se conseguir a autorização dos titulares para podermos acessar os seus dados, e executarmos os nossos serviços.

Contudo, vale destacar que a Lei especifica que o consentimento deve ser: **por escrito, ou por meio que demonstre a manifestação inequívoca da vontade do titular**. Logo, quando o cidadão se deparar com uma ocasião que peça o seu consentimento este deve ter **clareza**, **facilidade**, e **liberdade** de fazê-lo de maneira autônoma.

Exatamente aqui está um destaque que difere esta base legal das demais.

A mesma facilidade com que o titular pode autorizar o uso dos seus dados, está para a revogação desta autorização. Assim, preza-se que a coleta do consentimento, ou opt-in (na linguagem do mercado) seja ágil e fácil, para ambos os lados. Bem como a revogação, ou opt-out. Pois, espera-se que o consentimento não gere atrito na relação comercial. Uma prática bastante aconselhada pelos advogados é que, como empresário, você não se apoie apenas nesta modalidade para legitimar o seu uso de dados. Pois, ela tende a ser frágil se olharmos apenas para a interação entre cliente e empresa.

Justamente por isso que a AdOpt preza tanto pela agilidade, rapidez e identificação da sua comunicação, com a identidade visual da empresa em questão. Quando estudamos a GDPR e seus impactos na vida dos grandes Publishers (portais de notícias e conteúdo) vimos que um dos maiores impactos daqueles avisos imensos e feios, que parecem que foi o departamento jurídico que desenhou no Word, é o “bounce rate” ou a chamada taxa de rejeição. Uma métrica de Marketing Digital e UX que demonstra o % de visitantes do seu site que assim que o acessam, já pulam fora por algum motivo qualquer.

Imagine você na sua loja vendo os clientes entrarem e saírem e questão de minutos. Sem se apresentarem, perguntarem por um produto, ou interagirem com um vendedor.

Essa é a analogia do mundo off-line para essa métrica. Então, pense bem no aviso de cookies que você irá colocar no seu site. Ele pode agir como uma barreira gigante para os seus clientes.

Por fim, entenda que o uso do consentimento nos ambientes on e off-line devem ser integrados às demais etapas de uso e tratamento dos dados dentro da sua empresa. Logo, busque sempre desenhar o mapeamento dos dados dentro da sua empresa para que você não realize uma etapa sem a segurança de que a outra está devidamente atrelada a esta.

## 2 - Legítimo Interesse.

Esta é a 2ª. Base Legal mais popular e talvez a mais propagada pois, para muitos, serve de tábua de salvação ou carta na manga caso não consigam enquadrar-se nas demais. Isso não faz dela menos importante ou ilegítima. Apenas, é preciso destacar que o chamado “Legítimo Interesse” é um tanto subjetivo quando nos colocamos diante das partes: Titular e Operador ou Controlador dos Dados. Afinal, o interesse comercial pode falar mais alto. Mas, não necessariamente irá configurar um interesse _legítimo_ para o uso de tal dado.

Por que? Pois, este pode ferir algum direito individual do titular ou até mesmo outra disposição expressa na LGPD. O art. 10 da LGPD determina que o legítimo interesse do controlador somente poderá servir de fundamento ao tratamento de dados pessoais, para finalidades legítimas, consideradas a partir de situações concretas, que incluem, mas não se limitam a: 1) apoio e promoção de atividades do controlador e; 2) proteção, em relação ao titular, do exercício regular de seus direitos ou prestação de serviços que o beneficiem, respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais.

Portanto, é importante que o uso de dados esteja legitimamente justificado para a prestação do serviço ou venda do produto, sem nenhuma brecha que enfraqueça esta base legal perante outras legislações vigentes.

 

## 3 - Obrigação Legal.

Como a LGPD é uma lei bastante recente. Não faltam outras leis que obriguem às empresas, por exemplo, a coletarem, tratarem e compartilharem dados pessoais de cidadãos para outras finalidades anteriores. Assim, caso seu modelo de negócio, atividade ou processo tenha alguma legislação vigente que te obrigue à essa atividade, esta legislação já seria o melhor motivo/hipótese para manipular estes dados pessoais.

Um exemplo seriam os dados pessoais que as empresas devem coletar dos seus funcionários ao Ministério do Trabalho, Previdência Social, etc. Assim, os titulares – e neste caso também colaboradores, não poderiam opor-se a este compartilhamento por motivos de obrigação legal a ser cumprida pela empresa contratante.

 

## 4 - Cumprimento de Políticas Públicas.

Esse talvez seja um dos maiores ganhos que a LGPD deu aos titulares de dados, a todos nós cidadãos, a cada CPF deste país. Os governos também deverão se enquadrar na LGPD. Fazendo então desta uma das maiores – se não a maior, Bases Legal da LGPD.

Hoje o Governo uma das instituições que mais se beneficia dos dados de seus cidadãos, até mesmo de maneira comercial, também deverá andar na linha, mesmo nas suas inúmeras instâncias.

Segundo o paragrafo III do art. 7º da LGPD, órgãos da administração pública precisam se adequar e cumprir a lei ao tratarem e compartilharem dados pessoais para execução de politicas públicas ou respaldadas em contratos, convênios ou instrumentos congêneres, sem a necessidade de consentimento dos titulares.

Por mais que não haja a necessidade de consentimento, ainda assim os titulares têm o direito ao acesso claro e inequívoco das finalidades e processos envolvidos com cada um dos seus respectivos dados. Um último destaque, contudo, é que a administração pública não é passível de penalidade com multas. Mas, está sujeita a advertências, publicação da infração, e porque não, bloqueios ou até mesmo eliminação dos dados.

 

## 5 - Órgãos de Pesquisa.

A pesquisa e o desenvolvimento científico também têm acesso autorizado pela LGPD aos dados pessoais, pela finalidade dos seus estudos. Recomenda-se contudo, que sejam sempre anonimizados, afim de garantir a privacidade dos titulares evitando assim possíveis vazamentos. Com isso, não só a amostra da população entrevistada pela pesquisa tem sua identidade protegida, com os pesquisadores também ficam mais tranquilos quanto a segurança dos seus métodos científicos.

 

## 6 - Execução de Contratos.

Uma vez celebrado um contrato as partes têm suas obrigações e direitos ali estabelecidos pelo objeto em questão. Assim, uma vez tendo um dos titulares como integrante direto do contrato, esta será a base legal para o uso dos dados de maneira apropriada.

Neste caso o próprio titular é quem cede os seus dados e legitima a Base Legal, por fazer parte do contrato celebrado. Neste momento é uma situação bastante semelhante à do consentimento, contudo, a revogação por parte do titular não é tão simples, uma vez que o contrato também tem sua força de vigência e suas amarrações legais de outras legislações eventualmente envolvidas no acordo.

 

## 7 - Exercício de Direitos.

Outra finalidade legal para uso de dados pessoais, à escolha do controlador, é a de exercício regular de direitos em processos judiciais, administrativos ou arbitrais.

Esta Base Legal tem como intuito garantir o direito de produção de provas de uma parte contra a outra em processos judiciais. Permitindo assim que uma das partes não obstrua a outra ao acesso e tratamento dos dados, como mecanismo de defesa durante o processo.

 

## 8 - Proteção à Vida.

O uso dos dados também tem a proteção e outorga de lei, em casos de proteção à vida ou integridade física dos titulares, ou de terceiros.

Com base no artigo 11 da LGPD, II, os dados sensíveis dos titulares poderão ser tratados sem o fornecimento do consentimento do titular caso sejam indispensáveis para a proteção da vida ou a chamada incolumidade física destes, ou de terceiros.

Como exemplo imaginem o trabalho de socorristas que dão entrada de pessoas inconscientes em casos de emergências. Uma vez identificado o cidadão e até mesmo o prontuário médico em alguma rede médica e hospitalar, tais informações poderão ser compartilhadas entre os médicos pelo bem da pessoa, sem o seu consentimento.

 

## 9 - Tutela da Saúde.

Assim como no item anterior, a LGPD também fornece uma base legal que autoriza o acesso e tratamento dos dados para a tutela da saúde, desde que realizada por profissional de saúde, serviços de saúde ou autoridade sanitária.

Essa base legal tende a ser bastante discutida e posta à prova, principalmente pelo interesse das informações que podem ser utilizadas em caráter público e comercial. Contudo, a legislação destaca que o compartilhamento dos dados não pode ser feito para prejudicar o titular ou, obter vantagem econômica sobre este.

Como assim? Imagine um cenário onde o acesso a alguma informação de saúde do titular, automaticamente reajuste o seu plano de saúde, por exemplo. Este é um exemplo categoricamente vetado pela LGPD. Ou seja, é vetado às operadoras dos planos de saúde o uso destes dados para seleção de riscos ou acepção de clientes.

 

## 10 - Proteção ao Crédito.

A 10ª. e última base legal tem por finalidade garantir que em situações de cobrança ou dívidas contraídas, os titulares não usem os mecanismos da LGPD como brecha para escaparem de suas obrigações financeiras.

Um exemplo, seria que o titular solicitasse à instituição financeira credora a exclusão dos seus dados de sua base de dados, ou até mesmo de órgãos como Boa Vista e Serasa, driblando assim a cobrança.

Esta também tende a ser uma Base Legal bastante discutida dadas as proporções polêmicas que o contexto é envolvido.

 

## Bases legais são apenas a fundamentação!

Por fim, espero ter deixado claro a você leitor – ainda que brevemente, as 10 Bases Legais para que você possa realizar o tratamento de dados, dentro das diretrizes da Lei. Tendo isto em mão, é seguro que possamos avançar para águas mais profundas, discutindo então os próximos passos que servirão de base para o seu caminho de adequação.

Um próximo capítulo pra você continuar nesta compreensão, será: [Qual a política de privacidade ideal para a sua empresa?](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)

Entenda o que são as Bases Legais da LGPD

Chegou a hora de falarmos sobre uma das tarefas de maior impacto - tanto para a empresa, como para o visitante dos seus sites; a categorização de Tags. Mas, qual o porquê de tanto impacto? Qual a relevância desta configuração, em que ela pode nos afetar? Justamente por essas dúvidas, tão comuns no atendimento aos nossos clientes, que escrevemos esse artigo com as boas práticas na categorização de tags.

## O que é uma tag?

Para começarmos bem, vamos ajudar com alguns conceitos básicos que vão situar cada um de vocês na AdOpt e no mercado como um todo.

De maneira bastante direta: 1 _Tag_ = Disparador de 1 ou mais Cookies.

Como assim?

Basicamente, a maioria das _Tags_, ou _pixels_ – como também são conhecidos, quando instalados no HTML de um site são eles os responsáveis pelo disparo dos cookies para cada visitante, naquela determinada página. Uma _Tag_ pode executar várias funções como ler cliques em botões, rolagem de página, coletar campos de texto, sempre associando este comportamento àquele navegador visitante.

Uma vez que isso seja possível, a maneira com que a Tag armazena os dados gerados pelo visitante, é:

\- Enviando-os para o seu servidor (servidor do serviço criador da _Tag_) e;

\- Também pode gravar, no seu navegador, as infos todas em os cookies que ela gera e grava na sua máquina.

Por exemplo. quando acessamos um e-commerce e ele reconhece que estamos voltando após um acesso mostrando produtos que são do nosso interesse; acontece graças aos [cookies](https://goadopt.io/blog/cookies-e-lgpd/) e as tags fazendo o seu trabalho. Resumindo então, 1 Tag pode disparar N cookies e realizar N funções.

Enfim, a _Tag_ em si não é algo ruim, tudo depende da sua aplicação.

## O que é a categorização de Tags?

A categorização consiste no trabalho do [Encarregado de Dados – DPO](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/), de organizar todas as tags instaladas no(s) site(s) de sua responsabilidade em categorias específicas que representam sua finalidade e propósito de estarem ali.

O mercado já criou “categorias padrão” desde a GPDR, pioneira neste ponto, são elas:

- **Essenciais / _Necessárias_:** Sem elas o seu modelo de negócio, seu site, não funciona, ou, você tem que usá-las por força de lei/sua legislação.  
    
- **Marketing / _Propaganda_:** Com elas você dispara seu remarketing, popula os pixels de anúncios, automatiza cadências de e-mails, etc.  
    
- **Estatística / _Analytics_:** Com elas você tem uma análise do que os visitantes fazem, de onde vem, como se comportam no seu site.  
    
- **_Performance_:** Tags que mantém as funcionalidades do site garantindo seu funcionamento e velocidade de resposta. ex. previnem ataques ao DDos  
    
- **_Funcionais_:** Tags que operam aspectos de funcionalidade, como lembrar as preferências ou reconhecer que você já está logado no sistema, chatbots.

Ou seja, cada empresa poderá ter um grupo de Tags instaladas no seu site cuja finalidade – descrita e detalhada na Política de Privacidade (ou política de cookies), deverá ser replicada, de igual maneira na comunicação com os visitantes – o aviso de cookies, bem como em todos os processos que façam uso destes dados.

## Por que categorizar as tags?

Muitas empresas fazem uso de aviso de cookies que não organizam as tags, ou cookies em categorias específicas, obrigando o visitante a aceitar todas as Tags sem distinção.

Isso traz um grande risco de [multas](https://goadopt.io/blog/multas-na-lgpd/) para a sua operação, uma vez que diversas legislações exigem que o consentimento deve ser específico e detalhado para determinada finalidade. Na [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) por exemplo, o Art. 5º. Inciso, XII é claro:

> #info XII - consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma **finalidade determinada;**

Esse é um dos motivos que AdOpt sempre trabalhou com um [design](https://goadopt.io/blog/o-que-e-privacy-by-design/) que prioriza a liberdade para todos os visitantes navegarem pelas categorias e suas respectivas Tags.

## Como diferenciar a função de cada tag?

Certamente o mercado já antecipa algumas finalidades e respectivas categorias. Contudo, vale lembrar que essa etapa muitas vezes envolve áreas da empresa que vão além daquelas aparentes no site. Pois, uma coleta feita através dos cookies pode ser a base operacional de um departamento inteiro e todos os processos, em alguma empresa.

Isso quer dizer que, apesar do mercado já prever um padrão para a categoria de cada tag, principalmente as mais populares, os encarregados de dados devem ajustar essa diferença dentro da operação da empresa garantindo a realidade dos fatos, e principalmente amparando tal escolha nas bases legais escolhidas.

Logo, por mais que haja um padrão as empresas são livres para ajustar os fatos, e devem estar prontos para responder os fatos com total clareza aos cidadãos.

É por isso que na AdOpt quando é feito o escaneamento das tags, algumas delas já vem com uma pré-classificação. Mas, isso não impede que o Encarregado de Dados de determinada empresa, ajuste essa categorização de acordo com sua [Política de Cookies e Privacidade.](https://goadopt.io/blog/o-que-e-politica-de-privacidade/)

Como plataforma a AdOpt não pode forçar que a configuração siga determinada linha ou princípio. Mas, preza pela liberdade dentro de seus ambientes para que a responsabilidade do Encarregado de Dados seja respeitadas a todo momento.

## O que as legislações falam sobre como classificar cada tipo de tag?

As legislações de privacidade não adentram esse tipo de análise “micro” das categorias de Tags. Pois, seria inviável para as autoridades nacionais emitirem um parecer de classificação para cada nova Tag que surgisse no mercado.

Assim, cabe as empresas garantir que a comunicação seja clara, objetiva e respeite os aspectos de liberdade e finalidade já expostos anteriormente. Logicamente que o mercado se ajusta e então cria-se um padrão e até mesmo nomenclaturas próprias para cada uma delas.

Por exemplo, o nome: Tags Essenciais ou Necessárias não são determinados pela lei. Mas, esse nome ajuda na rápida compreensão de sua finalidade por isso o mercado o adotou, pois quanto menos confusão neste aspecto melhor. Afinal, a subjetividade está em todos os lugares e contextos. Se pudermos evitar esses pontos com um certo “padrão” minimizamos estas variáveis.

## Onde aplicar e, ou replicar essa informação?

Como já foi dito anteriormente a categorização das Tags é um ordenamento que deve refletir a finalidade operacional no uso daquele dado, logo antes de uma aplicação conceitual ela deve ter um uso prático que espelhe essa classificação.

Ainda assim, vale ressaltar que essa classificação é muitas vezes explanada, ou aprofundada nos documentos oficiais da empresa como a Política de Privacidade e a Política de Cookies.

[Qual a Política de Privacidade Ideal para a sua empresa?](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)

Além disso, um quesito importantíssimo diretamente relacionado à categorização de tags é a configuração do bloqueio de tags de terceiros de acordo com a escolha do visitante. Ou seja, o aviso de cookies só permite que determinada Tag seja executada após o consentimento do visitante.

Como assim?

Cada visitante é livre para escolher se quer ou não consentir com aquele grupo de Tags declarado pela empresa. Logo, a sua vontade é respeitada quando os cookies são de fato gravados somente mediante o consentimento “livre, informado e inequívoco” (sem equívocos, evidente, sem ambiguidade).

**É por isso que a AdOpt orienta que todos os usuários da ferramenta, sem exceção, façam a configuração de bloqueio de tags de terceiros. Pois, somente com essa configuração no ar que o aviso estará completa e propriamente instalado.**

[Aqui um tutorial para você configurar o bloqueio de tags de terceiros no seu site.](https://adopt-help.freshdesk.com/support/solutions/articles/67000400613-configurac%C3%A3o-via-google-tag-manager-do-bloqueio-autom%C3%A1tico-das-tags-e-cookies-de-terceiros-)

## Por que alguns sites não fazem o bloqueio de Tags de terceiros?

Não cabe à AdOpt julgar o porquê de determinado site, e até mesmo os seus clientes, optaram pela não realização dessa configuração. Ainda que constantemente reforçada em nossa comunicação e classificada como “essencial”.

Certamente, tal decisão prejudica a imagem de ambos, empresa e até mesmo da AdOpt. Mas, é preciso lembrar que antes deste setup, cada Tag tem uma função única dentro de cada empresa, em seu ambiente e contexto únicos. Um mecanismo imposto tecnologicamente pela AdOpt iria contra a liberdade de escolha dos seus clientes, na interpretação e aplicação da Lei que vale para todos.

Guardadas as devidas proporções e equivalências, como um exemplo. Seria como responsabilizar as fabricantes de veículos pelos carros que tem a capacidade de ultrapassar a velocidade permitida. A montadora pode instalar alertas, reforçar a comunicação de várias maneiras. Mas, nunca poderá impor que um cidadão não dirija segundo a sua liberdade.

## Último ponto, como uma regra de ouro!

#### **Sempre alinhe o Uso real dos dados, ao Processos, à documentação e à comunicação.**

**Ao [processo](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/):** Que a coleta de dados declarada para determinada finalidade, seja de fato o mesmo destino e uso dos dados dentro da sua empresa.

**À documentação:** Que os documentos oficiais estejam sempre atualizados, e que de fato reflitam a realidade praticada na empresa.

**À comunicação**: Que a Tag classificada como Necessária, ou as demais classificações, seja de fato. Que a tag não e esteja classificada como “essencial” apenas pelo fato do visitante não poder bloquear. Pois, isso seria uma tentativa de burlar a liberdade dos cidadãos que acessam o seu site.

Pois, o mesmo mercado que cria padrões de classificação para determinadas Tags, também é capaz de julgar a veracidade das intenções e dos fatos, declarados pelo seu aviso de cookies no seu site.

Lembrem-se sempre que: antes das empresas existem as pessoas. A LGPD já foi criada justamente para tentar equalizar melhor a relação entre empresas e cidadãos. Afinal, a privacidade é um direito universal, e não pode ter valor apenas quando perdida.

\---

Sentiu falta de algum ponto ou explanação? Manda a gente no [hey@goadopt.io](mailto:hey@goadopt.io), que será um prazer conversar mais sobre o tema contigo!

[Aqui você pode entender melhor sobre o funcionamento de um aviso de cookies](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)

Boas práticas na categorização de tags.

Uma vez que já temos o caminho dos dados dentro da sua empresa, precisamos destacar 2 aspectos da LGPD que vão te ajudar a determinar até onde vai a sua responsabilidade frente a tantos pontos listados na empresa. Estou falando da diferença entre Controlador e Operador de dados.

## Como determinar as diferenças entre as partes?

Um exemplo simples seriam os papéis entre uma empresa e sua agência de marketing. Neste caso a empresa seria o controlador e a agência o operador dos dados, pois, suas funções são distintas na cadeia de serviços e responsabilidades.

### Sempre se coloque no lugar do Titular dos Dados.

Por exemplo, quando ele for até um e-commerce comprar algum produto, na ótica dele, a quem ele está confiando os seus dados pessoais para realizar aquela compra?

Tem como ele saber se a agência recebe o lead e depois cadastra na ferramenta de e-mail marketing? Não. Isso então, faz do e-commerce o _controlador_ e da agência a _operadora_ dos dados. Logicamente cada um tem o seu papel perante a lei, mas, todos são corresponsáveis, em suas funções, para com os cuidados devidos aos dados dos titulares.

Assim sendo, no seu [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/), que falávamos a algumas linhas atrás; qual o seu papel: controlador ou o operador dos dados? Ou até mesmo, dependendo do seu modelo de negócios, os dois dependendo da etapa?

É importante que você destaque isso pois, assim como as suas responsabilidades são diferenciadas de acordo com o papel que você executa, a maneira como você vai conduzir uma solicitação de exclusão e, ou download dos dados é diferente. Pois, pode ser que você tenha os dados em mãos e também tenha e a capacidade para entrega-los aos titulares.

Mas, também pode acontecer que você só possa apontar ao controlador esse poder, afinal, você é apenas um elo na corrente, e não tem acesso aos dados diretamente, mas, a alguma criptografia que te dê apenas a visualização anonimizada destes.

## Mais exemplos entre Controlador e Operador de Dados - LGPD

Outros exemplos comuns onde há papeis diferentes, mas, uma corresponsabilidade clara para com os dados e seu uso,são:

#### Empresa <> Contabilidade Terceira. Empresa Imobiliária <> Corretores Terceirizados. Fundo de Investimento <> Agentes Autônomos. E-commerce <> Empresas de Logística e serviços de entrega. Escritórios de Advocacia <> Dados de qualificação dos clientes e seus funcionários.

Enfim, acredito que esteja claro a importância de uma listagem precisa de todos os controladores e operadores de dados dentro do mapeamento da sua empresa. Com isso em mãos, é recomendável que você faça o link de todos os envolvidos no processo de acordo a sua política de privacidade e termos de uso.

Futuramente, podemos falar das obrigatoriedades prescritas na lei.

Mas, isso você também pode consultar diretamente com o seu advogado, ainda mais se você tiver alguma legislação que se sobreponha à LGPD.

Em nosso próximo artigo, adentramos as [responsabilidades do DPO ou Encarregado de Dados.](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) Te espero lá.

As diferenças entre Operador e Controlador dos Dados - LGPD

A AdOpt é uma plataforma de gestão de consentimentos que permite que você construa uma relação de transparência e confiança com os visitantes do seu site.

Assim, todos os visitantes que acessarem o seu site serão abordados pelo aviso com uma notificação que pede o consentimento de cada um deles de maneira livre, direta, informada e detalhada.

Abaixo o passo a passo das etapas que processam esse registro de consentimento na AdOpt.

## Como funciona o [aviso de cookies da AdOpt](https://goadopt.io/)?

#### Esse é um exemplo do funcionamento da plataforma:

1. #### O visitante acessa seu site.
    
2. #### A AdOpt verifica se esse este acesso é de um novo visitante (ou seja, já tem o cookie AdOpt, ou não)
    
    #### 1 – Se sim, o aviso não é mostrado e apenas o controlador fica aparente no canto do site (controlador = bolinha com o logotipo da AdOpt, ou do seu site)
    
    #### 2.2 Se não, a AdOpt irá tratá-lo como um visitante novo.
    
    #### 2.3 Tags classificadas como Necessárias/Essenciais são disparadas.
    
3. #### Ele recebe uma notificação de configuração de privacidade da AdOpt. Com:
    
    #### 1 – Listagem de Tags/Cookies de terceiros e sua respectiva classificação feita pelo gestor da AdOpt naquele site.
    
    #### 3.2 – Links Públicos da Política de Privacidade e Termos de Uso.
    
    #### 3.3 – Links Públicos da página de Opt-out da AdOpt para aquele site.
    
4. #### Ele configura suas preferências, podendo detalhar a listagem de cada uma das categorias de [cookies](https://goadopt.io/blog/cookies-e-lgpd/) e das tags presentes.
    
5. #### Ao clicar em aceito, a AdOpt gera um cookieID único para aquele visitante, que fica armazenado em seu navegador.
    
6. #### As informações do consentimento, contendo:
    
    #### 1 – Data e Hora,
    
    #### 6.2 – CookieID anonimizado,
    
    #### 6.3 – Relação atualizada das Tags e Cookies aceitos ou não,
    
    #### 6.4 – Versão da Política de Privacidade e Termos de uso disponíveis há época,
    
    #### São registradas de maneira individualizada na sessão “Consent Log" ou "Logs de Consentimento”, dentro da plataforma da AdOpt (area logada).
    
7. #### Caso o [gestor do aviso da AdOpt](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) para o referido site, tenha feito a integração de bloqueia da AdOpt com o Tag Manager. Sempre que esse visitante acessar o site, a lista com as tags autorizadas ou não (item 6.3) estará no navegador do visitante.
    
    #### [– Aqui o tutorial de bloqueio de tags de terceiros](https://www.youtube.com/watch?v=8jqGLjZZ4UM)
    
    #### Assim, a cada novo acesso, as tags dento do GTM consultam a lista da AdOpt para que seja feito o disparo, ou para que fiquem inativas naquele acesso único.
    
8. #### Caso o visitante faça uma requisição de opt-out:
    
    #### a – A AdOpt atualiza o CookieID que fez a solicitação, com uma “marca/tag” classificando este cookie como inativo/optout. Assim, dentro do sistema AdOpt este “CookieID” será inutilizado, e só sirva para fins de registro – prova de consentimento.
    
    #### b – Os 2 (dois) e-mails são disparados notificando o titular (se identificado) e o gestor do site/empresa.
    
    #### 1 – A empresa recebe esse e-mail e pode analisar se há outras integrações que usam essas informações para então dar sequência na requisição em outros sistemas integrados (sistemas, call backs, e APIs).
    
    #### b.1.1 – Se você não tiver nenhum dado associado ao cookie, você não precisa fazer nada. Pois, na AdOpt estarão apenas as informações (anônimas) para fins de prova de consentimento, cuja cópia você já recebeu no e-mail.
    
    #### b.2 – Caso o titular também tenha informado o e-mail, você deve usar esse dado para excluí-lo de todos os demais sistemas, utilizando-o como chave de acesso, pelo seu data mapping/mapeamento de dados. ([aqui um artigo sobre data mapping](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/))
    
    #### b.2.1 – Caso esteja em seus processos a notificação de comprovação de que as exclusões foram feitas, aproveite o e-mail do titular para esse disparo.
    
    #### b.3 – O Titular é notificado, por um pop-up e por um link no rodapé do e-mail recebido, que o conduz para um ambiente educativo e público, que o ensina a apagar manualmente os Cookies do seu Navegador.
    
    #### [– Aqui o tutorial encaminhado para o titular](https://goadopt.io/blog/apagar-cookies-cache-navegador/)
    
    ####  c – A AdOpt mantém esse registro em sua base, informando que o CookieID #xyz.exemplo.1234 fez uma requisição naquele momento (data/hora). Pois, caso você precise para utilização em bases legais, e auditorias de privacidade, ela estará facilmente acessível.
    

Esse é um detalhamento bastante completo das etapas!

Se sentiu falta de alguma parte mais detalhada de como funciona um aviso de cookies, fique à vontade para nos escrever [aqui](https://adopt-help.freshdesk.com/support/tickets), ou deixa um comentário pra gente!

Muito Obrigado! Time [AdOpt](https://goadopt.io/).

Como funciona um aviso de cookies da LGPD?

João Bruno Soares

Tudo sobre a Lei Geral de Proteção de Dados (LGPD)

Com o Data Mapping entendemos à fundo as 5 etapas que todo e qualquer dado passa dentro de qualquer departamento de uma empresa, não importando o tamanho ou mercado. Novamente meu caro, não é preciso ser nenhum PhD em PMBOK ou Gestão de Projetos para entender essas etapas tão importantes! Pois, o Data Mapping e o Inventário de Dados se tornaram, uma das maiores ferramentas de trabalho dos DPOs!

O mercado hoje trouxe muita tecnologia e qualidade para esses processos! Não temos o que falar. Mas, meu objetivo aqui hoje é te ensinar a ver as coisas de maneira mais simples e objetiva, como de fato são **– um simples ordenamento dos fatos**, e isso já vai te ajudar.

Então, vamos lá!

Um conceito básico que vai nortear a sua compreensão daqui pra frente:

## **Com o agrupamento de processos temos um departamento.**

Logo, cada processo pode ser organizado em uma ordem, ou não, formando assim as rotinas dos departamentos.

Assim, para cada processo da sua empresa, os 5 pontos abaixo podem ser cumpridos total ou parcialmente.

São eles:

1. #### Motivação precisamos deste dado – Por quê?
    
2. #### 2.1 – Consentimento.
    
3. #### Processamento / Tratamento
    
    #### 1 – Compartilhamento interno entre as áreas e sistemas.
    
    #### 3.2 – Armazenamento para uso e consulta interna.
    
    #### 3.3 – Back-up.
    
4. #### Descarte
    
5. #### Fim do processo?
    

_E o que eu faço com esses 5 pontos acima?_

### **Preenche eles e estrutura essa lógica em todos os seus processos e consequentemente, departamentos.**

Sim, dá trabalho eu sei!

Mas, isso será extremamente valioso em caso de uma notificação da ANPD ou antes mesmo, no caso de um cliente ou visitante do seu site te pedir acesso aos dados que vocês eventualmente tenham sobre ele.

Lógico, e se você é uma “EUpresa”, ou tem pouquíssimos funcionários e processos tudo isso pode se resumir a 3, 4 sistemas (e-mail, automação de marketing, algum google drive e a contabilidade) pois, tudo está armazenado nestes lugares. Agora, imagina uma empresa com 500 funcionários em 10 cidades.

Lembre-se, de acordo com a LGPD qualquer titular pode bater na sua porta perguntando se você tem algum dado dele, e, você deve responder com agilidade.

Logo, sem o “mapa do tesouro” como você vai saber que o [zé@emailmaroto.com](mailto:zé@emailmaroto.com) se cadastrou na Newsletter, já comprou há 3 meses e foi seu funcionário há 5 anos atrás?

Neste exemplo acima, você teria que reportar para o “Zé” que você possui dados como:

\- Nome, E-mail, CPF, Telefone, Endereço, Carteira de Trabalho, Filiação (dados do RH) e compartilhamento com Google e Facebook.

Pelos motivos de:  
1- Contratação no passado, logo a legislação trabalhista te obriga a manter esses dados na contabilidade por X anos. Ou seja, mesmo que ele peça a exclusão você poderá negá-la, por força maior da outra legislação.

2 – Compra do produto X, Y, Z há 3 meses.  
Que também gerou o cadastro na newsletter (com o famoso “aceito receber promoções”). Da newsletter, você tem ele na lista de disparo para novos produtos e novidades do seu e-commerce, e todas as ferramentas de remarketing estão ligadas perseguindo-o diariamente por toda a internet, toda vez que ele entra pra ver os seus produtos.

Sendo assim, ele pode livremente te pedir a exclusão de todos os seus dados para fins de marketing. Isso vai te levar a uma ação que desencadeia diversas outras. São elas:

\- Apagar o e-mail e demais dados no CRM e ferramenta de disparo de e-mails.  
\- Distribuir a solicitação de Opt-out para eventuais sistemas que você esteja integrado e usem esses dados. (sistema da logística e ERP, por exemplo)  
\- Remover ele do segmento de remarketing do Google e Facebook.  
\- Reportar em uma documentação oficial da empresa que os passos acima foram realizados prontamente.

(Para os clientes AdOpt, quando integrada ao Tag Manager a parte dos cookies fica bem mais fácil! Pois, no momento que o visitante não autoriza algum deles, a AdOpt já bloqueia esse disparo automaticamente!  
[Aqui um tutorial pra você!](https://adopt-help.freshdesk.com/support/solutions/articles/67000400613-configurac%C3%A3o-via-google-tag-manager-do-bloqueio-autom%C3%A1tico-das-tags-e-cookies-de-terceiros-)

Além disso, a requisição de um visitante na na página de opt-out já envia na mesma hora um e-mail pra você, com essa solicitação vinculando o e-mail do solicitante ao Cookie ID gerado no Opt-In.

Assim, você consegue já iniciar essa busca com um maior direcionamento caso o solicitante tenha te dado o consentimento a alguma ferramenta, e quando.

Entendeu agora a importância de um mapeamento dos processos da empresa?

Somente com tudo isso em mãos que você vai terá tranquilidade e, principalmente, facilidade de acessar a todos esses dados prontamente. Para algumas empresas cerca de 48, 72 horas (um prazo razoável para uma resposta...) dá e sobra, para outras é praticamente impossível.

Seja você ou o seu DPO contratado, nós não podemos parar a empresa a cada requisição que um visitante solicite. Com o Data Mapping em mãos, essa busca é muito mais rápida, direcionada e diria até automatizada, caso você use um software só pra isso.

Abaixo um detalhamento maior sobre cada um dos pontos do _Data Mapping_

1. **Motivação precisamos deste dado – Por quê?**Se a LGPD ainda não despertou em você e na sua empresa uma reflexão real sobre a real necessidade dos dados pessoais em sua empresa, pare e faça isso o quanto antes.
    
    Sim! Muitas vezes, principalmente as áreas de Marketing e Vendas tem uma compulsão pela informação de qualificação e identificação dos _prospects_ e _leads_ para cada etapa do funil. É ótimo pegar o telefone e fechar os últimos detalhes da venda, ou abordar um cliente indeciso na surpresa e conseguir convencê-lo do valor do seu negócio.
    
    Mas, o ponto que destaco é: Repense as reais necessidades de acessar, processar e armazenar esses dados. Você não necessariamente precisa ter um excel com milhares de linhas dos seus clientes inativos de 5 anos atrás, na esperança de um dia reaquecer essa lista morta. À luz da LGPD seu risco já foi mensurado, será que ele vale a pena?
    
    [Nesse artigo deixo pra você 10 processos do marketing que você deve repensar na LGPD!](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)
    
2. **Coleta**.  
    Quais são as maneiras com que cada processo coleta/recebe os seus dados, e juntamente com eles o seu consentimento? Todos os dados adentram a empresa por 1 única porta de entrada, ou mais de uma?
    
    Liste-as todas, e reveja se em cada porta de entrada estão dispostas as devidas comunicações de políticas e processos, e se juntamente com os dados, são também coletados os consentimentos de cada titular. Ainda que de maneira analógica/off-line, o consentimento é essencial  
    1 – Consentimento.  
    Sim, o consentimento é essencial mas, não é o único instrumento que te permite acessar ou processar dados pessoais.
    
    Nesse [artigo listamos todas as bases legais](https://goadopt.io/blog/bases-legais-da-lgpd/) que amparam o uso de dados pessoais, segundo a LGPD.
    
3. **Processamento / Tratamento**  
    1 – Compartilhamento interno entre as áreas e sistemas.  
    \- Para o processamento de dados são utilizados softwares terceiros?  
    \- Os dados trafegam entre eles de que maneira?  
    \- O software está alinhado ao seu processo e política de privacidade?  
    \- Caso algum titular solicite a exclusão dos dados pessoais da sua empresa, como notificar esse fornecedor externo ou interno, para que ele processe a exclusão?
    
    \- Há alguma documentação ou ferramenta de busca que assista ao DPO em caso de varredura, para facilmente localizar algum dado de titular no departamento
    
    3.2 – Armazenamento para uso e consulta interna.
    
    \- Durante os processos onde os dados são armazenados?  
    \- Por quanto tempo?  
    \- Arquivos, HDs físicos ou na nuvem?  
    \- Esta nuvem está em território nacional ou internacional?  
    \- Quem será o responsável pela ação de exclusão, ou consulta no banco de dados caso haja solicitação?
    
    \- Há alguma documentação ou ferramenta de busca que assista ao DPO em caso de varredura, para facilmente localizar algum dado de titular no departamento
    
    3.3 – Back-up.  
    \- Qual a periodicidade e regras para backup?  
    \- Arquivos, HDs físicos ou na nuvem?  
    \- Esta nuvem está em território nacional ou internacional?  
    \- Quem será o responsável pela ação de exclusão, ou consulta no banco de dados caso haja solicitação?
    
    \- Há alguma documentação ou ferramenta de busca que assista ao DPO em caso de varredura, para facilmente localizar algum dado de titular no departamento
    
4. **Descarte**  
    Apesar de extremamente facilitado para arquivos digitais, essa etapa do processo é bastante séria. Pois, muitos arquivos permanecem na “lixeira”, e não são devidamente deletados.  
    Para arquivos físicos esse problema é ainda maior, quando o descarte é mal feito ou negligenciado.  
    Entenda esse processo e principalmente caso haja terceiros na etapa, inclua-os no seu monitoramento de terceiros eventualmente envolvidos.
5. **Fim do processo?**  
    O fim do processo é de fato o fim da jornada do dado na empresa, ou ele é apenas o começo de um outro?

Certamente à primeira vista, essas perguntas e questionamentos todos podem soam como excessivos. Mas, acredite esses são só algumas das perguntas que você teria/terá que responder caso contrate uma consultoria e adequação.

Ou, em um cenário não tão informal como esse texto, uma visita da ANPD.

Espero ter te ajudado com uma melhor compreensão de o como essas etapas são essenciais na rotina de um DPO.  
Com o Data Mapping temos com certeza a base para a confecção de uma política de privacidade mais robusta.

Sentiu falta de algum item, ou descritivo?  
Manda pra gente, estamos abertos a melhorias, sempre! - Pode nos enviar no hey@goadopt.io

Uma próxima leitura que indico a você, para aprofundar mais o assunto é:

[As diferenças entre Operador e Controlador dos dados.](https://goadopt.io/blog/tag/controlador-e-operador/)

Data Mapping e Inventário de Dados – O Colete Salva Vidas do DPO

Embora não seja exatamente uma novidade, as conversas sobre política de privacidade começaram a pipocar com maior frequência desde o início da LGPD no Brasil. E apesar de parecer coincidência, não é!

Afinal, esse termo está diretamente atrelado à [LGPD ou Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), que entrou em vigor em agosto de 2020. Contudo, caso você não esteja familiarizado, não se preocupe, pois estamos aqui para ajudá-lo.

Abaixo você encontrará tudo sobre esse tipo de política, como ela funciona e a sua importância. Ainda, aproveite para conferir como desenvolver uma para a sua empresa e, assim, seguir a legislação já está em vigor no país.

## **Entenda tudo sobre políticas de privacidade**

Chegou a hora de você entender de uma vez por todas o que esses termos são e, também, do porquê você não deve ignorá-los ao entrar em um site! 
Afinal, a sua segurança e a de seus dados estão em jogo. Quer entender como? Veja!

As políticas de privacidade se aplicam principalmente ao ambiente online e dizem respeito ao resguardo dos seus dados. 
Em termos gerais, elas correspondem à declaração da empresa quanto à forma com que ela lida com suas informações e, agora com a LGPD, especificamente, quanto aos seus dados pessoais.

Mas, como assim?
Pois bem. Toda a sua atuação online deixa rastros. Isto é, dados que são guardados pelos sites e  redes sociais, que geram informações sobre você. Igualmente, são gravadas pelo seu navegador. Contudo, isso não pode ocorrer inadvertidamente pois, o simples "navegar nestes ambientes" já gera um dado e consequentemente uma coleta personalizada.

Ou seja, a legislação protege a nós cidadãos de que os sites simplesmente não colham  informações e as usarem como bem entenderem.
Isso, aliás, é o foco da LGPD. O que deixa ainda mais evidente a necessidade de que um site contenha uma política de privacidade clara disponível, que organize estes fatos de maneira formal.

Primeiramente, a coleta de dados somente pode ocorrer com a devida autorização do usuário. Sejam mediante consentimento expresso, ou outras [Bases Legais da LGPD](https://goadopt.io/blog/bases-legais-da-lgpd/) que amparem essa coleta feita pela empresa. Portanto, você é uma peça-chave na escolha que delimita quais são as informações que poderão ser recolhidas, armazenadas e eventualmente utilizadas.

 
> Aqui está um enorme ganho, dado pela LGPD, para todos os cidadãos - **Poder exercer seus direitos de acesso, ou restrição a tudo o que envolva os seus dados pessoais. Os cidadãos agora podem participar ativamente na decisão, com liberdade e amparados pela lei.**<

Todavia, não para por aí! 

Segundo a lei, então, as empresas não apenas têm responsabilidade sobre o recolhimento dos dados no limite da vontade dos visitantes de seus sites ou redes. 

Elas também devem demonstrar claramente como guardam e para que fins utilizam tais dados. Afinal, eles têm dono! E, o uso deles deve seguir exatamente ao que se propõem, bem como garantir que as informações não vazem e causando sérias dores de cabeça. 

## Cookies x Política de Privacidade

Antes de vermos como essa política lhe afeta e como desenvolver uma com qualidade, cabe um esclarecimento. Afinal, muitas pessoas confundem os cookies e tais políticas. Embora estejam intimamente relacionados, não são sinônimos.

Sabe os dados que citamos acima, como foco da política de privacidade? Pois bem, alguns deles têm captação por meio dos [cookies](https://goadopt.io/blog/cookies-e-lgpd/)! Afinal, a página precisa saber quais são os dados aos quais você dá permissão de acesso. Igualmente, deve ter conhecimento sobre quais são as marcas que ele pode deixar no seu navegador.

Esses dados geralmente são colhidos para fins comerciais, ou de marketing digital, isto é, da divulgação de produtos e serviços por empresas na internet. Contudo, também auxiliam, muitas vezes, na própria navegabilidade e na experiência do visitante.

Mas como? Você provavelmente já entrou em sites que você já visitou e onde tem cadastro e, ao fazê-lo, deparou-se com o preenchimento automático de login e senha. Isso nada mais é do que a ação dessas “marcas” no seu navegador.

O mesmo acontece quando você analisou um produto, pensou, pensou, pensou e... deixou-o no carrinho. Ele provavelmente lhe perseguiu depois disso, não é mesmo? Seja em publicidades em redes sociais ou em sites, com certeza não parou mais de aparecer.

Novamente, então, temos uma ação dos cookies, que dão informações de acessos às páginas. E, por isso, relacionam-se com os dados e com os cuidados que a LGPD reforça sobre eles.

> [**_Entenda mais sobre: Cookies e LGPD_**](https://goadopt.io/blog/cookies-e-lgpd/)

E onde que a política de privacidade entra, mesmo? 
Pois, ela é justamente a informação que o site dá ao visitante sobre como ela trata os dados, como os armazena, como garante a segurança deles e a validade de utilização. Tanto para os dados que permitam uma identificação direta - ou seja,  aqueles que diretamente identificam o cidadão (Nome, Email, CPF, RG, etc), quanto indireta que, quando combinados, podem levar à pessoa final. (IP, Endereço, Cargo e Profissão, etc)

Ou seja, a política funciona como um contrato de boas maneiras da empresa. 

Ela é importante por ser um comprometimento público do site com o visitante. Com ela ele assume uma responsabilidade que deve ser seguida à risca.

## **Como fazer uma política de privacidade de acordo com a LGPD?**

Agora que já sabemos mais sobre as políticas de privacidade, o colhimento de dados e de cookies, e como a LGPD fez deles tão importantes, fica a pergunta:_ mas como fazer uma política de qualidade?_ Essa é uma questão crucial se você tiver um site, independentemente do fim que ele tenha.

### Use termos simples e claros

Em primeiro lugar, é indispensável que os termos sejam claros. Deixe o juridiquês de lado e aposte em termos simples. Isso garante que eles não serão ignorados e, ao mesmo tempo, dão toda a noção sobre a atuação do site com os dados do usuário.

Não deixar espaço para dúvidas ou desconfianças é muito importante e ajuda também na construção da imagem da página. 
Por isso, lembre-se de adotar a linguagem simples e bastante clara.

### Dê informações completas e informativas

Outra questão essencial ao desenvolver uma política de privacidade é ter informações completas. Ou seja, não deixe nada de fora e dê total noção do que está sendo feito com os dados e como é o cuidado com eles.

### Dentre as informações indispensáveis estão:

- Informações sobre a empresa por trás do site;
- Qual é a fonte de coleta dos dados;
- Como é o uso dos dados (finalidade);
- Como são as políticas de cookies;
- Informações sobre direitos do visitante;
- Tempo de armazenamento.

Pode ser que com a lista acima você se pergunte, mas como eu identifico tudo isso? Por onde eu começo? A resposta mais simples seria entender que a Política de Privacidade é o resultado de uma série de outras leituras e mapeamentos de dados que você deve percorrer para ter mais segurança ao escrevê-la. 

Por isso, abaixo dois artigos que podem te ajudar nos próximos passos:

#### [**_Data Mapping ou Mapeamento de Dados, O Colete Salva Vidas do DPO_**](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)

#### [**_Qual a política de Privacidade Ideal para a sua empresa?_**](https://goadopt.io/blog/tag/politica-de-privacidade/)

## Conte com uma plataforma inteligente e automatizada de aviso de cookies

Como vimos anteriormente, a coleta de cookies e a política de privacidade andam de mãos dadas. Por isso, a nossa última dica não poderia deixar de ser outra! Ela corresponde à adoção de uma plataforma de aviso de cookies.

Com isso, seus visitantes têm acesso ao mesmo tempo à personalização e autorização dos cookies e à política que o site aplica sobre a privacidade deles. E, para isso, conte com a [AdOpt](https://goadopt.io/), referência no mercado e que está aqui para lhe ajudar a cumprir com a LGPD e respeitar todos os direitos dos seus visitantes!

[Saiba mais sobre o funcionamento de um aviso de cookies!](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)

O que é uma política de privacidade?

A LGDP já é uma realidade e, todo o mercado digital segue passando pela sua transformação e adequação.

A [Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) foi sancionada em 2018 e começou a valer  desde agosto de 2020 no Brasil.

Com ela, toas as  empresa que coletam dados pessoais como e-mail, nome, telefone entre outros, devem estar atentos às suas diretrizes e obrigações. E com a chegada de novas leis, alguns termos começam tomar destaque, um deles é o Privacy by Design,  saiba mais na leitura desse post.

## O que é _Privacy by Design_?

_Privacy by Design_ é um conceito que foi desenvolvido nos anos 90 pela Doutora Ann Cavoukian, ex-Comissária de Informação e Privacidade da Província de Ontário. Ela observou a necessidade de  um mecanismos para garantir a privacidade do usuário.

O  mecanismo tem por objetivo garantir que ocorra a proteção de dados e privacidade de ponta a ponta. Desde a concepção das atividades de processamento e práticas do negócio, passando por todo o ciclo de vida do dado.

Se você quer garantir segurança e privacidade dos usuários através da abordagem do Privacy by Design, um bom começo é se basear pelos 7 princípios criados pela Doutora:

[Fique por dentro de Tudo sobre a LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)

## Os 7 princípios fundamentais

**1. Preventivo não reativo** – Antecipe  e evite eventos de invasão à privacidade. Não espere  os riscos se materializarem para tomar uma ação.

**2. Privacidade como a configuração padrão** – Procure entregar o máximo nível de privacidade automaticamente, garantindo que os dados pessoais sejam protegidos por padrão em qualquer tipo de negócios, ou seja, sem a necessidade do usuário configurar.

**3. Privacidade embutida no Design** –  Privacidade é um componente essencial da funcionalidade do sistema e não um componente opcional (add-ons).

**4. Funcionalidade completa** – soma positiva, não soma zero – Garantir que a proteção de dados pessoais aconteça alinhado com os interesses legítimos de quem é responsável pelo tratamento dessas informações. E que aconteça em uma perspectiva positiva, “ganha-ganha” entre o titular e os agentes de tratamento.

**5. Segurança de Ponta a Ponta** –  A proteção de dados deve ocorrer em todo o ciclo de vida do dado – coleta, armazenamento, tratamento, processamento, uso e descarte.

**6. Visibilidade e Transparência** – Visão clara dos dados coletados assim como os motivos da coleta e com quem estão sendo compartilhados. Podendo estes serem verificados a qualquer momento pelo titular.

**7.** Respeito a privacidade do cliente –  Acima de tudo, o desejo do consumidor. Dispor de mecanismos que protejam seus dados, mantendo os mesmos informados de maneira clara e apropriada.

## Privacy by Design e a LGPD

Buscar formas de se adequar a Lei Geral de Proteção de Dados, que entrou em vigor em Agosto de 2020, é uma necessidade recorrente de muitas empresas.

Os princípios fundamentais do Privacy by Design são um excelente começo e muitos deles influenciaram a construção  do Marco Civil da Internet antes mesmo da LGPD.

No artigo 6º da lei por exemplo, possui pontos como os de finalidade, necessidade, transparência e segurança que não seriam novidade para quem já segue os princípios do Privacy by Design.

Claro que a lei engloba outros aspectos que não são contemplados pelo PbD, no entanto para quem ainda não iniciou seu planejamento para a LGPD pode ser um bom pontapé inicial.

Quer se aprofundar mais nos temas da LGPD? Que tal aprofundar um pouco alguns aspectos sobre a [Política de Privacidade?](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)

O que é Privacy by Design?

[Considerada uma das profissões mais cotadas do momento](https://www.jota.info/ carreira/dados-dpo-carreira-direito-salarios-23102018), o surgimento da carreira do “_Data Protection Officer_” – DPO (ou “Encarregado de Proteção de Dados”, em português), é consequência direta da Lei nº 13.709/2018, a chamada Lei Geral de Proteção de Dados (LGPD), que entrou em vigor em agosto de 2020.

Desde a sanção da [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), em agosto de 2018, passando pela aprovação da Medida Provisória nº 869/2018, até a conversão da MP em lei (Lei nº 13.853/2019), o tema do Encarregado de Dados passou por algumas reviravoltas, como por exemplo a respeito da possibilidade do encarregado ser pessoa física ou jurídica, e a necessidade de possuir conhecimento jurídico regulatório.

Assim, esse breve artigo tem por objetivo trazer alguns esclarecimentos a respeito dessa pessoa tão importante no contexto da proteção de dados. As vagas de emprego surgiram sim mas, também com elas a responsabilidade e cobrança do mercado!

Na definição do artigo 5º, inciso VIII, da LGPD, o encarregado é a _“pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD)”_.

Fazendo uma analogia do país do futebol, podemos pensar na pessoa do encarregado como o “meio-campo” do time, ou seja, o responsável por fazer a ligação entre a defesa e o ataque. Graficamente, temos:

![DPO Encarregado de Dados.png](https://strapi.goadopt.io/uploads/DPO_Encarregado_de_Dados_3e447ae66a.png)

Assim, o Encarregado, é a figura responsável por intermediar o diálogo entre controlador e titular dos dados, ou entre controlador e a ANPD, acomodando suas necessidades e interesses.

## Quais a responsabilidades do Encarregado de Dados?

Dentre suas várias responsabilidades, todas previstas nos incisos do artigo 41, § 2º, da LGPD, o Encarregado, as atividades do encarregado consistem em:

_I - aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

II - receber comunicações da autoridade nacional e adotar providências;

III - orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e

IV - executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares._

Para desempenhar tais atribuições, o Encarregado deverá dominar as técnicas de [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/), identificando todas as fontes possíveis de coleta, bem como de controle do ciclo de vida dos dados, ou seja, como os mesmos serão armazenados e utilizados, com quem serão compartilhados, quando e de que forma serão eliminados.

Outro aspecto fundamental para que o Encarregado possa de fato cumprir o papel que a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) propõe é a autonomia no poder de tomada de decisões independentes e exercício de fiscalização dos processos internos da empresa. Naturalmente, como um profissional contratado por determinada empresa para atuar conforme seus interesses, o Encarregado terá sua dose de sujeição às diretrizes de seu contratante. Isso, no entanto, não pode comprometer sua posição de interlocutor perante o titular dos dados pessoais, tampouco perante a ANPD.

Para concluir, é válido ponderar que embora a redação atual da LGPD não mais exija que o DPO possua conhecimento jurídico regulatório, o conhecimento e, sobretudo, o domínio da LGPD e demais normas aplicáveis no contexto da proteção de dados pessoais é essencial para o bom desempenho das funções do encarregado. Principalmente pois, a LGPD não deve ser analisada de maneira isolada mas, sempre dentro do contexto de mercado e regulações da empresa que busca a adequação.

Sem prejuízo,  a crescente preocupação do empresariado a respeito da LGPD é natural. Afinal, o Brasil é um país extremamente complexo para se empreender e toda nova regulação traz incerteza e instabilidade para o jogo.

_**SOBRE O AUTOR:**_

_**Dânton Zanetti**_ _é advogado, sócio fundador do_ _Zanetti, Oliveira & Machado Sociedade de Advogados_ _([www.zomadv.com](http://www.zomadv.com)), atuando nas áreas de Direito Empresarial, Contratual, e Direito Digital, Mestre em privacidade e proteção de dados._

As Responsabilidades do Encarregado de Dados - DPO na LGPD

Certamente você já deve ter visto aquelas inúmeras previsões de multas e sanções que a LGPD trouxe consigo, certo?

Já que temos a tal "nova" [Lei Geral de Proteção de Dados, a LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), e agora?

Calma! 

Antes de uma perspectiva alarmista ou até mesmo pessimista diante da lei, é essencial deixarmos claro que: o uso de dados pessoais (leia-se tratamento e processamento) não está proibido pela lei, mas, simplesmente – agora, regulado por ela. Assim sendo, você como empresário ou especialista do seu mercado pode e deve manter os seu trabalho e estratégias como um todo. Porém, agora também, você deve entender como adequar o seu modelo de negócios às normativas que a lei prescreve para o uso dos tais dados pessoais.

Mas, então, qual seria então o significado da [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) para a sua empresa?

Meu objetivo aqui é te entregar, de maneira mais breve e prática o possível, um compilado de informações-chave que servirão como um norte diante das dúvidas e bifurcações que você enfrentará no seu caminho de compreensão e, sobretudo, adequação!

## Introdução



### Antes de começarmos, quem é a AdOpt pra me ajudar com isso?

Após vários anos à frente de iniciativas de trabalho e estudos sobre dados, marketing e privacidade na internet é preciso fazer uma confissão. Nós sinceramente já vimos de tudo. Estamos neste mercado desde o nascimento dos conceitos de análise preditiva, e todas as AdTechs que surgiram desde então. Vimos a ascensão e queda da Cambridge Analytica e seus escândalos e vazamentos, inúmeras análises e documentários, Wikileaks, Snowden, etc.

Logicamente, acompanhamos todo o mercado com o surgimento da GDPR, CCPA e suas derivações ao redor do globo, que hoje – aqui no Brasil, culminam com a LGPD. Há quase 8 anos estamos trabalhando diariamente com vários dos pilares que hoje o mercado de “Marketing por dados” está tão familiarizado. - A construção de modelos de dados para análise de métricas de performance,

\- Bancos de dados sequenciais, não relacionais, físico, em nuvem e tantos outros que já passaram por nossas mãos.

\- Inúmeras características de tags de rastreio, fingerprints, SDKs, etc. - Infinitas atualizações de tecnologia, privacidade, boatos e navegadores com seus bloqueios de cookies de terceiros. - Diversas integrações com Adservers, CRMs, ferramentas de e-mail, DSPs, Cookie Syncs com DMPs, Data Providers, Bureaus de Crédito, etc. - Firewalls, Backdoors, Rotinas de Segurança, DNS,  etc.

Enfim, são mais de 200M de usuários únicos mapeados em nossos sistemas, e 40 mil sites já passaram por nossa rede desde 2015, quando criamos a nossa primeira versão de Tag e Cookie.

 

Tudo isso para te dizer que, todo esse conhecimento que acumulamos até hoje só nos dão uma certeza. De nada vale saber tudo isso, se:

1 – Não executarmos com prontidão as melhores práticas de trabalho e segurança, 
2 – Não conseguimos traduzir a teorias internacionais para nossas legislações e realidades do mercado local. 
3 – Se não desmistificarmos a necessidade de recursos infinitos, e extremamente elaborados, para começar um bom trabalho. 
4 – Se a Teoria não gerar um ganho real para os clientes, e consequentemente, vendas para os dois lados.

Durante o ano de 2019 entrevistamos quase 250 empresas sobre a LGPD e seus impactos e percepções no desafio da adequação, e a maioria das dificuldades listadas há época foram: _a dificuldade de compreensão da lei, falta de mão de obra capacitada, dificuldades com o manejo de novas tecnologias e,_ não menos importante_, a administração e coleta dos consentimento dos titulares_.

Desde então tínhamos o mesmo o sentimento, a LGPD permanece uma incógnita para a maioria, e ao mesmo tempo nós – que somos parte viva do mercado, temos em nossas mãos a oportunidade de reforçar o quanto a Privacidade pode e deve ser levada a sério. Não sendo valorizada apenas quando perdida, mas – em suma,** como um direito individual de todos os cidadãos.**

Quanto mais hoje em dia onde é impossível ignorar o elefante na sala, ou melhor, o número crescente de celulares e dispositivos coletando dados de texto, áudio e vídeo em praticamente todos os lares. Quem nunca teve a sensação do celular estar te escutando, que atire a primeira pedra!

O fato é, todas as legislações de privacidade vieram pra ficar! 

Sim, estamos em um caminho sem volta no que se refere ao uso de dados pelas nossos gadgets favoritos. Com isso, é essencial que saibamos o valor da Privacidade enquanto ainda – teoricamente, temos o controle. Mas, principalmente que tenhamos acesso a tecnologias que trabalhem ao nosso favor, não apenas coletando os dados mas, nos dando a liberdade em frente às inúmeras ocasiões de coleta, que enfrentamos diariamente. 

Sim, antes da coleta há uma escolha de um cidadão livre, que deve ser respeitada e informada de maneira clara e transparente.

Assim, exatamente neste acumulado de dados, serviços, dúvidas e testes infinitos das tecnologias, nasceu a AdOpt.

São anos de estudo e aplicações práticas, que tem como objetivo minimizar as consequências que o mercado de marketing e publicidade sofreram. Não só quando a GDPR entrou em vigor na Europa e derrubou drasticamente a receita dos grandes publishers, mas, também pelo amadurecimento do nosso mercado local – Brasileiro, frente as inúmeras tecnologias que sequer conseguimos testar, graças aos nossos budgets tupiniquins.

A AdOpt, começa como uma maneira rápida e prática com que todas as empresas possam comunicar e coletar o consentimento dos seus visitantes sem correrem o risco de destruírem suas métricas e engajamento com mais um aviso feio, que mais parece um Pay Wall, ou diríamos – Cookie Wall?

Em todo o roadmap da AdOpt e sua evolução como produto, temos por objetivo também democratizar o acesso a informação a respeito da legislação e suas aplicações em si, de modo que respeitemos a privacidade de todos! Novamente, o contexto que a AdOpt nasce, faz dela impossível de ser ignorada, tamanha a sua importância nos dias de hoje.

#### De um ponto de vista comercial, chegamos à conclusão que o mercado carece de alguns posicionamentos de fácil compreensão e, acima de tudo, desmistificando os interesses de algumas classes do mercado, no que tange à nova Lei Geral de Proteção de Dados Pessoais, a LGPD. É certo que advogados, contadores, agências de marketing, profissionais de TI e diversos outros “experts” estão ávidos para abocanhar seu pedaço no mercado. O que é perfeitamente compreensível, pois, a lei abarca conhecimentos de diversas áreas simultaneamente. Contudo, antes de qualquer vantagem de mercado ou de classe de trabalhadores, nós da AdOpt acreditamos que existem 2 princípios que devem sempre reger a nossa interpretação disto tudo, à luz da privacidade; exaltada pelas inúmeras legislações de privacidade ao redor do mundo.

## 1 – **Um princípio de liberdade**.

Sim, a liberdade é de um valor imensurável e só quem a perde é capaz de realmente descrever o impacto de sua ausência. Seja no acesso à informação, no direito de ir e vir, na liberdade de imprensa ou no simples direito ao esquecimento. Somos a geração que criou os memes, mas também o “cancelamento”, a crítica ferrenha às _Fake News_, o banimento de algumas redes sociais, entre outras. Pautados em premissas de valorização da verdade, algumas vezes esquecemos de mensurar o real impacto de alguns mecanismos unilaterais que acabam ofuscando real o valor da liberdade. 

A LGPD, GDPR, CCPA, e tantas outras são também um mecanismo que ajuda o cidadão na manutenção de sua liberdade, diante dos gigantes da internet.

#### 2 – **Sem produtores de conteúdo, não teríamos a internet.**

Quando isso (a internet) "_era tudo mato_" e tínhamos meia dúzia de blogs e portais de notícias, a LGPD jamais faria sentido. Porém,  foram graças a essas âncoras da internet que criou-se a oportunidade de monetizar a atenção das pessoas em determinadas páginas! Sem os grandes _publishers_ não teríamos a mídia programática e todas as oportunidades de automatizar o fluxo monetário gerado hoje globalmente, na escala e proporção que vivemos.

 

#### Sem a mídia programática não teríamos as redes sociais como as conhecemos hoje. Afinal, como diria o Mr. Zuckemberg.

“We Run Ads”.

 

Talvez essa introdução tenha um ar de “Manifesto” para você, quando exaltamos tanto o valor da Privacidade e da Liberdade, expressas no livre acesso a informação e consequentemente na produção de conteúdo.

Aqui vai mais uma confissão para você, caro leitor. A AdOpt hoje, tem a função de aviso de cookies, ajudando como uma [CMP (](https://goadopt.io/blog/o-que-e-uma-cmp/)_Consent Management Plataform)._ Mas, você não faz ideia do que virá pela frente quando ligarmos todos esses pontos acima e te dermos acesso às tecnologias que estamos desenhando!

#### Se os dados são o novo petróleo, a privacidade será a nova moeda!

O assunto ainda não acabou, mas, espero que você tenha entendido o quanto somos apaixonados por esse assunto e queremos te conduzir por ele!

Em nosso próximo capítulo (artigo) eu quero te mostrar a base de toda a compreensão da lei: [As Bases Legais da LGPD,](https://goadopt.io/blog/bases-legais-da-lgpd/) te espero lá!


Entenda o significado da LGPD para a sua empresa

Os termos de uso são parte essencial de diversos sites, na [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/). Apesar de constantemente ignorados, os Termos de Uso são literalmente o contrato firmado entre você e a empresa que oferece aquele produto ou serviço, de maneira digital. Assim, não apenas o desenvolvimento deles, mas também eventuais alterações requerem bastante cuidado.

Esse cuidado se refere tanto às situações em que tais alterações podem ou devem ser aplicadas quanto à forma de alteração e aos reflexos disso. Confira, no texto que segue, como funciona cada um desses aspectos e garanta a validade dos seus termos, bem como a [adequação à LGPD, GDPR, CCPA, PIPEDA, POPIA](https://goadopt.io) entre outras.

## Quais os principais temas tratados nos Termos de Uso?

Antes de adentrarmos especificamente nos porquês de uma eventual alteração dos Termos de Uso, e a melhor maneira de fazê-la, vamos analisar rapidamente alguns dos principais capítulos/temas distribuídos que costumam ser encontrados em qualquer documento padrão.

Tendo como base os próprios Termos de Uso da [AdOpt](https://goadopt.io/termos-de-uso), a divisão do texto é a seguinte:

**1. Objeto**

**2. Funcionalidades**

**3. Contratação e Prestação de Serviços**

**4. Prazo**

**5. Remuneração**

**6. Interrupção dos serviços.**

**7. Responsabilidades**

**8. Tratamento de Dados Pessoais**

Abaixo um breve resumo do que cada seção trata:

1. **Objeto**
 Identificação das partes envolvidas e detalhamento dos serviços prestados, suas características e definições operacionais.
 
2. **Funcionalidades**
No caso de um software como o da AdOpt, dedica-se esta seção à listagem das funcionalidades envolvidas e o respectivo detalhamento dentro dos planos.

3. **Contratação e Prestação de Serviços**
Descritivo dos processos e detalhamentos necessários para a contratação do serviço.

4. **Prazo**
Periodicidade de entrega e, ou disponibilidade do produto/serviço após/durante a compra.

5. **Remuneração**
Como será feito o pagamento, preço, prazos e condições de pagamento.

6. **Interrupção dos serviços**
Situações onde a interrupção dos serviços é prescrita, necessária e justificada. Bem como, fatos que podem levar à interrupção.

7. **Responsabilidades**
Ambas as partes têm responsabilidades mediante o aceite dos termos. De um lado o contratado em prestar o serviço, e o cliente em realizar os pagamentos e em utilizar o sistema/plataforma conforme necessário para a entrega do serviço.

8. **Tratamento de Dados Pessoais**
Definição dos papéis de [controlador vs. operador de dados](https://goadopt.io/blog/tag/controlador-e-operador/), dentro dos processos criados pelo contrato. Caso sejam coletados dados, é feito o devido enquadramento de base legal utilizada, e, responsabilidades dos processos advindos da operação.

9. **Disposições gerais**
Declarações que posicionam o contrato geograficamente, estabelecem condições para eventuais atualizações, direcionamento caso uma das partes descumpra o contrato e foro.

## Por que alterar os termos de uso?

As alterações nesses documentos, embora muitos sequer se atentem, são necessárias sempre que haja alguma alteração significativa no descritivo do seu conteúdo. Aspectos como: objeto da entrega do serviço ou produto da empresa, condições de atendimento ao público, dados oficiais, e agora aos aspectos obrigatórios pela LGPD.

Tanto a [LGPD (Lei Geral de Proteção de Dados)](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), bem como às outras normas que se apliquem no caso, especificam aspectos sobre a coleta, tratamento e processamento de dados que podem fazer parte do objeto do serviço ou produto, logo devem fazer parte dos termos de uso.

Ainda, muitas vezes as alterações são necessárias para adequação do conteúdo dos termos de uso à realidade da marca. Afinal, tais termos devem ser um reflexo da realidade da empresa e não uma história fictícia.

Em caso contrário corre-se o risco de que não haja compatibilidade entre os termos de uso do site e a realidade dele, dos seus serviços, regras e normas que lhe atingem. Portanto, é como se ele fosse inútil.

Aspectos da nossa vida mudam constantemente e isso também é uma verdade quando nos referimos às marcas, às formas de atuação delas e às regras às quais elas se submetem.

Uma vez que os termos de uso dizem respeito a essas questões, qualquer mudança nelas também deve refletir sobre eles para que continuem sendo válidos e relevantes, bem como prestem o papel que lhes cabe frente à marca.

##Quando, então, é necessário alterar os termos de uso?

Em termos gerais, sempre que houver identificação de algum desses aspectos:
- Alteração no modo de operação do site;
- Adição ou mudança nos serviços e produtos disponíveis;
- Mudanças legais que reflitam sobre as regras que um site pode aplicar, bem como nos deveres e direitos que impõe;
- Inadequação entre os termos e a realidade da marca (como suas características, o que oferta e como opera), ou, então, entre eles e as leis vigentes (como LGPD ou Código do Consumidor, por exemplo).

Portanto, são vários os motivos que podem levar à alteração dos termos de uso. E todas elas são relevantes especialmente para manter a validade desse documento, bem como sua aplicabilidade.

## Preciso de autorização para a alteração dos termos de uso?

Sim! Os termos estão entre os documentos que esclarecem ao público como são as regras vigentes naquele espaço, ou seja, no site. 

Ele se junta, então, à [política de privacidade ](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)e o aviso de cookies para promover a transparência com o usuário. Enquanto os termos indicam as regras válidas ali, direitos e deveres, a política diz respeito à privacidade e ao uso de dados, coisa que os [cookies](https://goadopt.io/blog/cookies-e-lgpd/) também fazem parte.

Todos esses documentos são importantes porque ajudam no cumprimento das regras da LGPD. Ela tem como norte a transparência.

Sendo assim, sequer faria sentido a alteração dos termos de uso poder ocorrer sem a anuência do usuário, certo?! Não se trata necessariamente de uma autorização; afinal, cabe ao titular decidir se aceita os termos, mantendo seu acesso a serviços do site e deixando disponível a ele suas informações, ou se abre mão disso e retira seu aceite.

Concluindo: sempre que houver alteração em regras e políticas que atinjam usuários e titulares de dados estes devem ser notificados para que se manifestem sobre. Ou seja, para que demonstrem a aceitação ou não das novas normas e diretrizes vigentes.

Por isso que alterações são sempre anunciadas para uma data futura, dando aos usuários um tempo hábil para a leitura e compreensão das mudanças.

## Meus termos de uso possuem cláusula indicando possibilidade de alteração deles, preciso notificar os usuários mesmo assim?

Mais uma vez a resposta é positiva. Por mais que muitos termos e políticas prevejam a possibilidade de alteração deles, não é uma boa ideia alterá-los sem qualquer notificação e obtenção da anuência do titular de dados.

Afinal, isso se revela em uma alteração unilateral. Uma vez que os termos de uso funcionam como um contrato online, essa não é uma decisão interessante e pode ser vista como abusiva. Igualmente, como contrária à LGPD, para quem a transparência e o consentimento são essenciais.

## Como notificar seus usuários na alteração dos termos de uso?

É indispensável que você dê ciência aos seus usuários e clientes quanto à alteração das suas políticas de privacidade e termos. Por isso, veja dicas de como fazê-lo para não deixar isso passar em branco.

## Notificação por mensagem

Uma das possibilidades de notificar seus usuários quanto a alteração dos termos de uso do seu site é por notificação por mensagem. Nesse caso, então, é possível optar por e-mail ou por outros meios de comunicação que tenham sido cedidos pelo titular (SMS, etc.).

Nessa hipótese, então, busque informar sobre as alterações, bem como dê acesso ao indivíduo aos novos termos. Da mesma forma, certifique-se de que ao acessar o documento o visitante tenha a chance de manifestar se aceita ou não essas alterações (na famosa caixinha de “Declaro que li e aceito os termos de uso”. 

Ainda, é claro, garanta que esse tipo de concessão de alteração será identificado e devidamente arquivado como prova.

## Notificação no acesso ao site
Outra possibilidade é fazer com que assim que o usuário acesse o seu site ele se depare com um banner que indique a alteração dos termos de uso. Nesse cenário é interessante impedir que ele navegue pela página até que leia e concorde (ou não) com os novos termos. 

Geralmente essa prática é utilizada quando os novos termos já entraram em vigor. Pois, podem ser mais drásticas no aspecto da experiência do usuário. Mas, essenciais para ambos.

## Cuidado! Quem cala não consente

Por fim, nossa última dica ao alterar os termos de uso é ter cuidado quanto ao silêncio. Aqui, diferentemente do que consideramos muitas vezes, quem cala não consente. É essencial que haja a obtenção expressa do aceite do titular de dados quanto às alterações dos termos.

## Ajude o visitante na leitura dos novos termos de uso!

Nem todos os seus visitantes, para não dizer a minoria, têm a paciência e o interesse pela leitura dos seus Termos de Uso. Sim, isso é preocupante dada a sua importância mas, este é o fato que observamos diariamente.

Então, uma vez que você já vai ter que notificar os usuários quanto às alterações, uma boa prática é já destacar quais foram as principais mudanças, e se elas afetam o usuário para que ele já tenha os principais pontos de maneira destacada, acelerando a compreensão e, consequentemente, a coleta do aceite dos termos.

Então, uma vez que você já vai ter que notificar os usuários quanto às alterações, uma boa prática é já destacar quais foram as principais mudanças, e se elas afetam o usuário para que ele já tenha os principais pontos de maneira destacada, acelerando a compreensão e, consequentemente, a coleta do aceite dos termos.

Ficou com alguma dúvida, ou trabalha como como [Encarregado de Dados ](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) e pode contribuir com esseas dicas?

Conta pra gente como podemos melhorar, estamos sempre abertos a feedbacks!

Dicas para notificação de usuários na alteração dos Termos de Uso.

A [LGPD - Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) trouxe consigo várias siglas e termos específicos. Muitos deles importados de outros países e legislações. Um deles é o ROPA (_Record Of Processing Activities_), adaptado no Brasil para Registros das Atividades de Tratamento. Um documento essencial para qualquer DPO, Encarregado de Dados.

Se você trabalha na área ou está em processo de adequação da sua empresa, esse artigo foi feito para te ajudar a entender melhor esse documento.
 
O ROPA (_Record Of Processing Activities_), nada mais é do que um documento que organiza as provas oficiais da empresa sobre:
- **Como é feita a coleta de dados**, seus processos e atividades; 
- **O que é feito com o dado**, se há algum tratamento ou compartilhamento;
- **Como o dado é excluído**, se for o caso.

Ou seja, as perguntas e respostas essenciais em caso de consulta da ANPD - Autoridade Nacional de Proteção de Dados, à sua empresa. Abaixo falaremos melhor de cada um destes pontos.

Vale destacar que todos os documentos e processos mapeados pelo Encarregado de Dados da empresa são "vivos", em constante atualização e mudança. Um processo novo criado no departamento X pode alterar o ROPA, a [Política de Privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) e tantos outros controles.

Assim, independente do tamanho da sua empresa, os documentos devem sempre refletir a realidade e serem constantemente atualizados.

Pode ser que empresas menores não sintam tanto a necessidade ou complexidade de manter esse "Mapeamento dos fluxos" atualizados, afinal tudo é menor e com menos pessoas envolvidas. Agora, para uma empresa maior, já existem softwares que ajudam nesse controle de maneira mais automatizada, como a [LGPDNOW](http://lgpdnow.com.br/), por exemplo.

## O que é o ROPA?
 
ROPA (_Record Of Processing Activities_), traduzido pelo mercado brasileiro para Registros das Atividades de Tratamento, é um documento oficial das empresas, gerado por um sistema ou não, que registra todos os fluxos, processamentos e atividades envolvendo dados pessoais. 

Nele, lista-se principalmente todas as finalidades e razões pela qual a empresa precisa daquele(s) dado para sua operação, embasamento jurídico ([Base Legal](https://goadopt.io/blog/bases-legais-da-lgpd/)), critérios de segurança, período de armazenamento/retenção do dado.

## ROPA é a mesma coisa que Data Mapping?
 
A resposta fácil é: _depende_.

O [Data Mapping ou Inventário de Dados ](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)funciona como um mapa visual do fluxo de dados pessoais dentro do Agente de Tratamento, trazendo muito mais do que o ROPA, como mapas de sistema e transferências internacionais, parâmetros de adequação à ISO, NIST entre outros.

Já o ROPA foca nas atividades onde haja tratamento de dados. Ou seja, em uma empresa mais estruturada, pode acontecer de um Data Mapping conter alguns ROPAs como parte dele.

De qualquer maneira, o registro das atividades é parte essencial de ambos os documentos. A ótica e metodologia aplicada em cada um pode ser o seu diferencial.

## Como deve ser um ROPA?

De acordo com a [ICO (Information Commissioner’s Office) um ROPA deve ter no mínimo:](https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/#requirements)

- Nome e dados de contato de sua organização, seja ela um controlador ou um operador (e onde aplicável, o controlador conjunto, seu representante e o DPO);
- Os objetivos do processamento;
- Uma descrição das categorias de indivíduos e dos dados pessoais;
- As categorias de destinatários dos dados pessoais;
- Os detalhes das transferências para países terceiros, incluindo um registro das salvaguardas do mecanismo de transferência em vigor;
- Os horários de retenção / armazenamento;
- Uma descrição das medidas de segurança técnica e organizacional em vigor.
- Se você tem um registro interno de todas as atividades de processamento realizadas por qualquer processador em nome de sua organização.

**### Perguntas que o ROPA deverá responder:**

- Você já considerou a eficácia de suas medidas de responsabilização?
- O pessoal diria que você tem processos eficazes para manter o registro atualizado, preciso e garantir que os dados sejam minimizados?
- O pessoal poderia explicar suas responsabilidades e como as executam na prática?


## Boas práticas para um bom ROPA.

Ainda, de acordo com a [ICO (Information Commissioner’s Office)](https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/#requirements) O ROPA também inclui, ou faz links para, a documentação que cobre:

- Informações necessárias para os avisos de privacidade, tais como a base legal para o processamento e a fonte dos dados pessoais;
- Registros de consentimento;
- Contratos do controlador-processador;
- A localização dos dados pessoais;
- Relatórios da DPIA;
- Registros de violações de dados pessoais;
- Informações necessárias para o processamento de dados de categoria especial ou dados de condenações penais e infrações nos termos da Lei de Proteção de Dados de 2018 (DPA 2018); e
- Documentos de política de retenção e exclusão.

### **Questionamento para a criação do seu ROPA:**

- Você já considerou a eficácia de suas medidas de responsabilização?
- O pessoal entende como acessar outros documentos relevantes vinculados ao ROPA?
- É fácil para o pessoal acessar a documentação relevante da ROPA?
- O pessoal poderia explicar este processo e como ele impacta a sua função?


## Como fazer um ROPA para LGPD?
Um bom exemplo para quem está começando, ou tem uma empresa menor é utilizar planilhas para esse controle e organização.

Além disso, no site do [gov.br existem diversos guias e templates para te ajudar na adequação à LGPD.](https://www.gov.br/governodigital/pt-br/seguranca-e-protecao-de-dados/guias-operacionais-para-adequacao-a-lei-geral-de-protecao-de-dados-pessoais-lgpd)

Para empresas maiores que precisam estruturar melhor esses processos uma plataforma de gerenciamento da privacidade e mapeamento de dados pode ajudar muito! 

Por isso indicamos que você marque com o pessoal da [LGPDNOW](http://lgpdnow.com.br/) para uma conversa, sem compromisso, e ver como eles podem te ajudar no desenvolvimento do seu ROPA para LGPD.

Pois, templates e modelos importados de outras empresas ajuda muito. Mas, é essencial que você consiga traduzir exatamente a realidade da sua empresa com clareza e objetividade.

Todas as vezes que nos deparamos com a complexidade de justificar e embasar um a coleta de um dado, re-pensarmos a sua real necessidade. Afinal, devemos sempre prezar pela privacidade ao longo de todos os processos, como nos ensina o [Privacy by Design](https://goadopt.io/blog/o-que-e-privacy-by-design/)

## Como a AdOpt pode te ajudar no ROPA?
 
Conforme as recomendações da ICO listadas acima a Plataforma para LGPD da AdOpt te ajuda a mapear e organizar:

- [Banner de Cookies](https://goadopt.io/blog/banner-de-cookies/) dentro dos padrões da ICO, LGPD, GDPR, CCPA.
- Registros de todos os consentimentos por escrito; (organizado por usuário com data, hora e detalhes de cada consentimento.)
- API de Integração com suas demais plataformas para enriquecer os dados coletados com as informações de consentimento registradas.
- Entre outros, a depender do tamanho da sua empresa.

Estamos aqui para te ajudar!

Então, neste [link](https://calendly.com/valquiriaadopt) a nossa agenda aberta para discutirmos os seus desafios de adequação do seu negócio.

ROPA na LGPD? Conheça os Registros das Atividades de Tratamento

O [encarregado de dados, ou DPO](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) (_Data Protection Officer_ em inglês) é um cargo novo que surgiu, no Brasil, junto à [Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/). Embora já existisse em outras legislações internacionais, como na [GDPR](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/) da União Europeia, aqui ele ainda é uma novidade que se impõe desde 2020. Com ele também surge a possibilidade de terceirização, o DPOaaS (DPO as a Service).

Por ser uma figura nova e pela importância que seu papel resguarda, muitas empresas e organizações estão optando pela terceirização dessa atividade. Mas será que isso realmente é uma boa? Quais são os riscos e vantagens em fazê-lo?

Confira as respostas para essas perguntas e conheça melhor o encarregado de dados e suas atribuições conforme determinações presentes na LGPD.

## O que é o DPO?

O DPO é uma pessoa física ou jurídica que é estabelecida dentro das Políticas de Proteção de Dados como um dos agentes que atua junto ao tratamento e uso de informações de titulares. Dessa forma, sua atuação é de extrema importância.

Ele pode ser uma pessoa física ou jurídica. Contudo, não pode corresponder a um departamento ou equipe da empresa. Afinal, é preciso que os documentos referentes à captação e tratamento de dados indiquem de forma específica quem se responsabiliza enquanto encarregado.

**### Saiba mais sobre as funções de controlador e operador de dados da LGPD**

As funções do DPO se revelam na intermediação da relação entre os titulares de dados, o agente de tratamento e, também, a Autoridade Nacional de Proteção de Dados (ANPD). 

Ele não necessariamente toma decisões em relação aos dados e ao uso deles. Mas, auxilia no seguimento e cumprimento  das diretrizes que são impostas pelo agente de dados e pela Lei Geral de Proteção de Dados. E, aqui, surge outra das atribuições do DPO.

Afinal, ele também tem a responsabilidade de orientar os colaboradores que têm acesso aos dados de terceiros e que os utilizam como devem agir para respeitar as diretrizes da LGPD, bem como os consentimentos que foram concedidos.

_### Seu papel é de educar, organizar e auditar de acordo com as normativas da ANPD._

Dentre as principais atividades que um DPO encontra - sendo ele terceirizado ou não - estão:

- Aceitar reclamações dos titulares de dados, prestar esclarecimentos e adotar as providências necessárias;
- Receber comunicações da ANPD e tomar providências;
- Receber as revogações de consentimento ou as alterações no consentimento e dar as devidas providências;
- Garantir a aplicação dos princípios da LGPD referentes ao tratamento de dados pessoais;
- Monitorar a conformidade das organizações em relação à Lei Geral de Proteção de Dados, etc.

Assim, tem-se que o DPO realiza um serviço de meio de campo, pois ele intermedia relações e, ainda, é um dos agentes que se responsabiliza pelo respeito e adequação das ações à LGPD.

## Quando é possível terceirizar o DPO?

Sempre que a empresa ou organização desejar ela pode terceirizar esses serviços. A lei não exige que o encarregado seja um funcionário interno. Aliás, ela sequer exige que seja uma pessoa física que assuma esse papel.

Portanto, qualquer profissional autônomo ou empresa que preste serviços nessa área pode prestar serviços para outras empresas. Assim, estipula-se um contrato de prestação ou terceirização de serviços.

No caso da contratação de uma pessoa externa como DPO _as a service_, (_DPOaaS_) toma-se um contrato de prestação de serviços diretamente com o profissional.

Por outro lado, quando há contratação de uma empresa, há uma terceirização de DPO. Quem fica determinado como encarregado, dentro das Políticas de Privacidade, é a pessoa jurídica, então.

Ela concede, desse modo, profissionais que irão realizar os serviços típicos de um DPO. Contudo, eles prestam esse serviço a uma empresa em razão da contratação do seu empregador.

## Vantagens do DPO as a service

Para saber se vale a pena apostar na terceirização do DPO LGPD é necessário saber quais são as vantagens que isso oferta. Confira as principais delas abaixo.

Primeiramente, é indispensável para a adequação das empresas, organizações e sites à [LGPD](https://goadopt.io/blog/ignorar-a-lgpd/) que eles tenham a determinação clara de quem é o DPO. Atualmente todas as empresas devem ter um, embora existam indícios de limitação da obrigação no futuro.

### Abaixo algumas vantagens para o DPOaaS

### Agilidade
Nesse sentido, note que nem sempre é fácil contratar alguém que tenha os conhecimentos necessários para essa função ou treiná-lo para que cumpra as atividades do DPO. Por isso, a adequação pode ser mais rápida e fácil pela terceirização de tais serviços.

### Velocidade
Uma vez que se encontre um profissional já qualificado, ou até mesmo uma empresa que concentre o conhecimento multidisciplinar para a função, ganha-se muita velocidade no processo de adequação, já que cada empresa e mercado tem a sua especificidade.

### Treinamento e capacitação
Toda nova área e lei pede muito estudo e está sujeita a diversas mudanças no curto prazo. Logo, terceirizar essa função também designa a terceirização da responsabilidade de estar sempre atualizado e investindo na formação dos profissionais.

### Autonomia
Funções de guarda e auditoria acabam criando certos atritos com as áreas e até mesmo gestores. É essencial que o DPO tenha autonomia no seu trabalho, e até mesmo estabilidade, algo prescrito pela lei. Afinal, ele não pode ser ameaçado de perder o emprego por fiscalizar processos dentro da empresa. Assim, terceirizar essa responsabilidade por tornar as coisas um pouco mais leve no clima organizacional.

### Flexibilidade
Assim como todo prestador de serviço trabalha com um contrato, a sua substituição é muito mais fácil do que no caso de um funcionário CLT. Logo, o DPOaaS como PJ dará muito mais flexibilidade em caso de necessidade de ajustes ou substituições ao longo do tempo.

### Menor Custo
Encargos trabalhistas e previdenciários são muito pesados no Brasil, logo a contratação de um PJ para essa função pode servir de acordo reduzindo custos para a empresa e aumentando a remuneração do prestador de serviços.

**ATENÇÃO**: Vale destacar que todo prestador de serviço, por mais responsável que seja, pela função desempenhada, ainda está embaixo da hierarquia do empregador. Logo, decisões de última instância podem ser levadas à responsabilidade última dos administradores da empresa, mesmo tendo o DPOaaS. Logo, tome cuidado para não se apoiar na terceirização como uma isenção de responsabilidades.

O mesmo acontece quando a empresa não indica um DPO,os administradores assumem automaticamente. Falaremos mais a seguir.

## Se ninguém for nomeado DPO, o que acontece?

Independente da nomeação, os sócios administradores da empresa também já acumulam essa responsabilidade, a não ser que outra pessoa seja de fato designada. 

Contudo, em última instância a responsabilidade sempre cairá sob os sócios administradores. Quando nomeado então, o profissional age em nome da empresa e dos seus representantes diante da autoridade nacional.

**### Sabe qual a diferença entre o Mapeamento de Dados e o [ROPA na LGPD](https://goadopt.io/blog/ropa-lgpd/)?**

## Contrate especialistas no assunto

Outro ponto interessante na terceirização do DPO é que desse modo você pode contar com um especialista no assunto. Como dito acima, veja que não é a sua empresa quem se responsabiliza pela capacitação, mas sim a empresa ou profissional contratado.

Com isso é possível garantir ainda mais segurança às operações para que elas se adequem a LGPD e estejam em mãos de experts.

Melhor ainda quando o profissional faz parte de uma rede ou grupo multidisciplinar que pode auxiliá-lo nas peculiaridades do seu negócio e mercado.

## Quais são as funções do DPO quando há terceirização?

As funções, nesse caso, são as mesmas que um encarregado interno teria. Afinal, a terceirização somente se refere à possibilidade de que as atividades sejam realizadas por um agente externo à empresa.

Como vimos acima, então, esse agente pode ser uma pessoa jurídica ou natural. Seja como for, deverá ocorrer a indicação de quem ele é, de forma específica, dentro da [Política de Privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) e demais documentos referentes ao consentimento, uso e tratamento de dados.

Aliás, qualquer alteração referente a quem é o responsável enquanto encarregado de dados LGPD deve refletir em uma alteração das políticas. Em caso contrário, haverá transgressão à Lei Geral de Proteção de Dados e criação de risco de sanções como [multas e até suspensão das bases de dados.](https://goadopt.io/blog/multas-na-lgpd/)

Quer saber mais sobre as [responsabilidades do Encarregado de Dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/), separei esse artigo para você!




Terceirizar o DPO (DPOaaS), ou encarregado de dados da empresa é uma boa?

Como lidar com uma profissão que sequer existia até alguns anos atrás e cuja presença se faz obrigatória, hoje, nas empresas? Essa é justamente a pergunta que se apresenta quando pensamos na figura do [Encarregado de Dados ou DPO](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/).

Esse termo, bem como o profissional por trás dele, surgiu com a promulgação das leis de privacidade, no Brasil a [Lei Geral de Proteção de Dados - LGPD.](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) Esta, ocorreu em 2018, e entrou em vigor apenas em 2020. Segundo a lei, então ele é o encarregado por garantir o correto tratamento dos dados que a empresa eventualmente use e que pertençam a terceiros.

E essa responsabilidade que a lei atribui sobre a figura profissional do encarregado pode dar a entender que ele é o único e exclusivo responsável pelos cuidados que se aplicam a tais dados. E aí? É isso ou não? O trabalho do Encarregado de Dados é solitário ou deve ser em equipe? Confira tudo isso na sequência.

## Encarregado de Dados e suas responsabilidades

Sabe aquelas listas em que vemos as “profissões do futuro”? Pois saiba que se por futuro considerássemos 2021, a figura do Encarregado de Dados estaria nessa lista, pois em termos profissionais ela é o que há de mais novo e moderno no mercado.

Afinal, esse cargo sequer existia antes da LGPD, ou da GDPR. A lei criou uma nova profissão. Isso ocorreu a partir do momento em que a Lei Geral de Proteção de Dados estipulou expressamente a existência dessa figura. Ao mesmo tempo, trouxe todas as suas responsabilidades.

O Encarregado de Dados ou DPO (_Data Protection Officer_) é justamente uma figura que deve controlar e gerenciar o tratamento de dados - ou seja, o uso deles - no dia a dia da empresa. Assim, é ele quem se responsabiliza por garantir que todos os processos, fluxos e ações respeitem os limites amparados pela Base Legal que sustenta o uso daquela dado pela empresa. Assim, em caso de uma consulta da ANPD à empresa, ele é quem deve responder em nome da instituição.

### Saiba mais sobre as Bases Legais da LGPD.

Dentre as responsabilidades do DPO que estão claras na LGPD estão:

- Executar atribuições determinadas pelo Controlador de Dados e nos limites dessa determinação (e, claro, da lei);
- Lidar com as reclamações dos titulares dos dados pessoais;
- Prestar esclarecimentos sobre o uso dos dados aos titulares deles;
- Comunicar-se com os titulares de dados sempre que necessário;
- Tomar as providências para que haja o devido reflexo no uso e captação de dados diante de eventual alteração de consentimento do titular;
- Orientar os demais profissionais que lidem com esses dados e os tratem quanto aos cuidados com a segurança e aos limites de consentimento e aplicação dessas informações.
- 
Aliás, note que por responder às diretrizes do [Controlador de Dados](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/), o DPO não se confunde com essa figura. Enquanto o controlador se refere a quem define o modo de tratamento das informações desde a sua entrada até a eliminação delas, o Operador de Dados é quem executa o processo e garante que isso será seguido à risca. Ambos, Controlador e Operador, quando distintos, devem ter os seus DPOs responáveis.

### [Conheça mais sobre as responsabilidades do Encarregado de Dados e como o trabalho dele impacta as empresas frente à Lei Geral de Proteção de Dados ](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)

## Todos os clichês de trabalho em equipe se tornam realidade nos cuidados ao tratamento de dados conforme LGPD.

São várias as atribuições que um DPO possui dentro de uma empresa, como vimos acima. E isso não se dá por acaso, afinal os tratamentos de dados impõem limites específicos e requerem atenção e cuidados essenciais.

Nesse sentido, fica claro que o Encarregado de Dados acumula uma série de atividades. Mas, por mais que ele seja capacitado para as suas responsabilidades e esteja em dia com as atividades da empresa que envolvam o tratamento de dados, isso não é suficiente.

_O trabalho isolado do DPO é algo que é impossível de ocorrer. _

Ou melhor, não encontra possibilidades de se desenvolver com a qualidade necessária e com a manutenção da segurança contra vazamentos de dados ou uso deles de forma indevida.

É por isso que quando falamos no trabalho do Encarregado de Dados não podemos entender que suas atividades se dão de forma isolada ou individual. A importância e o número das atribuições fazem com que seu trabalho se dê em equipe.

Para que não haja confusão, entenda: o DPO realmente tem responsabilidade sobre as questões que envolvem o uso de dados. Assim, em caso de acidentes ou problemas que envolvam essas informações, ele estará diretamente envolvido.

Por outro lado, isso não significa, então, que ele deva trabalhar sozinho. Muito pelo contrário! Garantir que os demais colaboradores e equipes se envolvam no cuidado que os tratamentos de dados exigem em razão da LGPD é crucial.

O trabalho do Encarregado de Dados é multidisciplinar. Jurídico, Tecnologia, [Marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/), Segurança da Informação, Gestão de Processos, Relações 
Institucionais,etc. Como é muito difícil que uma pessoa domine todas essas áreas, o auxílio de uma equipe/time de suporte é essencial!

Somente assim se torna possível desenvolver um trabalho em sintonia, que ocorra conjuntamente de forma a garantir o uso correto dos dados. Dessa forma, nada de isolar o seu DPO! O trabalho dele deve acontecer perto dos demais colaboradores e com a assistência destes.

## Formação de um comitê de segurança

Uma forma de dar ao Encarregado de Dados o apoio do qual ele precisa para desenvolver suas atividades com sucesso é criar um comitê de segurança de dados. Ele, então, deve ser formado por diversos profissionais que representam as equipes da empresa.

Ainda, que representem os principais interesses que entram em jogo quando estamos diante do vazamento ou mau uso de dados. Por isso, deve ter representantes de Recursos Humanos, do setor Jurídico e de Tecnologia da Informação, no mínimo.

Da mesma forma, podem contar, fixamente ou em situações específicas, com representante do time de marketing, bem como dos departamentos de Comunicação, Comercial, Financeiro…

Com isso o DPO encontra possibilidades de, conjuntamente, traçar estratégias, de forma que os representantes de cada um desses departamentos ajudem na implementação delas, bem como no mapeamento dos principais problemas que o tratamento de dados encontra nos mais diversos processos empresariais.

Cada representante age como um braço direto do DPO no seu(s) departamento(s), assim, é importante que haja um bom conhecimento dos processos e autonomia na investigação dos fluxos e detalhes.

## Conhecimento sobre os processos da empresa que se baseiam em tratamento de dados

Como vimos, o DPO se encarrega por garantir que o uso de dados ocorra de acordo com a [base legal ](https://goadopt.io/blog/bases-legais-da-lgpd/)que ampara o uso de dados dos usuários e com os limites da LGPD. E, também, em fiel seguimento às determinações do Controlador de Dados.

São inúmeros os tipos de atividades que ocorrem simultaneamente, dentro de uma empresa, que envolvem o tratamento de dados. Considere, nesse sentido, uma venda online. Nesse caso, são colhidos dados de endereço, CPF, telefone e nome completo, que deverão ser usados para:

- Cobrança;
- Geração de nota fiscal;
- Comunicação da conclusão da venda com o próprio cliente;
- Logística de separação e encaminhamento do produto;
- Oferecimento de rastreamento;
- Contato para pós-venda.
- …

E essas são apenas algumas das atividades que requerem dados em um processo de venda. Portanto, é necessário que o Encarregado de Dados conheça esses processos, como eles se dão, os dados que usam, como são armazenados, descatados e outras informações do tipo.

Somente dessa maneira se torna possível saber onde a empresa está acertando e errando no tratamento de dados, bem como traçar estratégias de segurança e garantir que o tratamento de dados se dê dentro dos seus limites e normas.

## Estipular limites e regras para o uso dos dados pelas equipes

Ideias e possibilidades não faltam. 
Mas, para tentar encerrar esse tópico, uma última dica.

Quando o DPO está em contato com as equipes ele também se torna capaz de orientá-las para que, no seu dia a dia, o tratamento de dados ocorra da maneira correta. Isso pode ser feito de diversas formas, como pelo desenvolvimento de um manual, treinamentos, etc.

É crucial que todos que de alguma forma trabalham com o tratamento de dados tenham acesso a tais normas e que saibam exatamente qual é o limite do uso das informações. 

Com isso, o trabalho em equipe do Encarregado de Dados não apenas se torna possível, mas, igualmente, traz melhorias efetivas na empresa e a deixa segura frente às diretrizes da LGPD.

Já ouviu falar do [ROPA na LGPD](https://goadopt.io/blog/ropa-lgpd/), sabe o que é esse documento?

Aqui falamos um pouco mais dele, para te ajudar nos [processos de adequação](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/).



Encarregado de Dados e LGPD, um trabalho solitário ou em equipe?

Ter um aviso de cookies no site da sua marca tornou-se indispensável para muitos. Já para os e-commerces acabou se tornando, praticamente, uma obrigação tê-lo. Pois, esse tipo de site possui uma composição tecnológica cujos cookies são parte estrutural. Fluxo de login, itens no carrinho, vitrine de recomendação, remarketing… Todos na sua grande maioria disparam cookies.

Com isso, o uso de cookies é algo essencial para que o comércio online sobreviva. Logo, também os banners de cookies, para evitar multas e outros tipos de penalidades que podem se impor após a entrada da [LGPD (a Lei Geral de Proteção de Dados)](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) em vigor.

Contudo, saibamos que além da simples obrigação por lei, o aviso de cookies mantém uma relação transparente e aberta com o público.

Nossa experiência nos permite antecipar para você algumas "consequências" do aviso de cookies na sua loja virtual. É importante que você entenda cada uma delas para não ser pego de surpresa e conseguir se ajustar a essa nova realidade.

## Aviso de cookies: O que é?

Como o nome dele já indica, o aviso de cookies nada mais é do que um alerta sobre o uso desse tipo de dado pelo seu site. A partir dele, então, o visitante toma conhecimento do fato de que aquela página usa esses arquivos tão importantes para seu funcionamento, bem como para melhorar a experiência do usuário.

Contudo, não é apenas isso. Com a entrada em vigor da LGPD em 2020, o titular dos dados passou a ter poder de autorizar ou não o uso dessas ferramentas durante sua navegação. Ou seja, ele pode aceitar os cookies ou não, a qualquer momento.

Por isso, o aviso de cookies informa o uso deles pelo site e, ao mesmo tempo, solicita a autorização do usuário para usá-los. Este, então, tem o poder de escolha quanto aos tipos de cookies que autorizará.

Assim, todo o gerenciamento dessas variáveis está contido em uma plataforma chamada CMP - _Consent Management Platform_, ou Plataforma de Gestão de Consentimentos.

[Para saber mais o que é uma CMP, separamos este artigo para você.](https://goadopt.io/blog/o-que-e-uma-cmp/)

**## Algumas dicas para a configuração do aviso de cookies**

Conforme o texto da [LGPD o consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.](https://presrepublica.jusbrasil.com.br/legislacao/612902269/lei-13709-18#art-5) Ou seja, abaixo alguns pontos que você deve observar ao construir a coleta de consentimentos para o seu e-commerce.

 - **LIVRE**: Fica proibida a coleta de consentimento em troca de algum benefício. Pois, pode configurar o chamado "vício de consentimento". Assim, o visitante não pode ser forçado ou coagido a aceitar.
 - **INFORMADA**: O cidadão deverá ser informado sobre os detalhes do consentimento. Somente com o livre acesso a estas informações o consentimento poderá ser "celebrado"  entre as partes. 
 - **INEQUÍVOCA**: O consentimento deverá ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular, podendo ser demonstrado com registro, data e hora.
 - **FINALIDADE DETERMINADA**: O consentimento deverá ser dado para um uso com finalidade específica e não generalista, genérica.

Somente com os 4 pontos acima listados pode-se desenhar uma série de interpretações para o fluxo de coleta de consentimentos. Neste [artigo](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) separamos uma análise específica sobre cada um dos argumentos de fluxo, design e jurídicos para te ajudar na escolha do seu aviso de cookies.

## A configuração mais ignorada e temida do mercado.

A configuração mais complexa e ignorada do mercado é a de bloqueio de cookies de terceiros, liberando-os apenas após o consentimento. Ou seja, somente após o consentimento do visitante você poderá disparar tags como: Google Analytics, Pixel de Conversão, Remarketing, etc. Com exceção das tags essenciais, logicamente.

Esse é um dos pontos mais importantes que asseguram o direito de escolha dos titulares e sua privacidade, que muitas empresas ainda custam em compreender, aderir e implementar. Afinal, isso impactaria completamente na leitura do site, KPI's de conversão, e infinitas métricas de acompanhamento.

Contudo, vale destacar que essa configuração também é uma das primeiras análises que se faz quando se olha se o site está adequado ou não. Logo, disparar cookies antes do consentimento causam uma péssima impressão e, certamente, é uma red-flag para auditorias e autoridades.

Infelizmente muitas ferramentas de SEO, performance e analytics não valorizam a privacidade. O próprio Google favorece os sites que usam seus serviços e compartilham os dados com ele. Então o mercado todo deverá passar pela adaptação. Uma alternativa interessante para quem procura um serviço de analytics respeitando a privacidade é o [Fathom](https://usefathom.com/)

## Como um aviso de cookies impacta seu e-commerce?

Aprofundando um pouco mais as interferências diretas e indiretas do aviso de cookies no e-commerce, listamos abaixo algumas das principais interferências.

**1. Bounce, cuidado com o tamanho e harmonia de design.**
Todo pop-up, banner ou aviso que aparece na tela tende a causar uma pronta reação e, consigo, rejeição (principalmente no mobile). Para que isso não aconteça, é importante que o Aviso de Cookies tenha um design minimalista e esteja em harmonia com o estilo do seu site. Caso contrário a chance da rejeição/bounce aumentar é muito grande. Procure oportunidades de customização de cores, formatos, fonte, textos e imagens para que a comunicação do aviso seja a mais leve o possível.

**2. Bloqueio de cookies, impacto das métricas. Aviso em formato balão é mais aceito que barra.**
Conforme explanado no item anterior, uma vez implementado o bloqueio de cookies de terceiros as métricas associadas a esse disparo serão diretamente impactadas. 

Pela nossa experiência observamos que cerca de 25% dos visitantes do site dão o consentimento. E, os sites que utilizam o aviso de cookies como balão tem 80% mais aceitação que o formato de barra inferior.

**3. Requisições dos titulares criarão um novo fluxo/processo na sua empresa.**
Uma das obrigatoriedades que as leis de privacidade ([LGPD, GDPR, CCPA, PIPEDA](https://goadopt.io), etc) trazem é o livre acesso dos cidadãos aos seus dados, bem como as consultas diretas às empresas. Ou seja, um cidadão poderá a qualquer momento questionar a sua empresa se vocês possuem algum dado relacionado a ele, bem como pedir maiores informações, a portabilidade ou até mesmo exclusão deste.

É por isso que na AdOpt prezamos tanto pelo fluxo de requisições dos titulares. Cada aviso da AdOpt gera também uma página de Opt-out onde, a qualquer momento, as pessoas poderão fazer suas requisições. Isso gera um e-mail que é enviado ao [Encarregado de Dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) da empresa e, pela lei deve ser respondido em até 15 dias.

Logo, sua empresa precisará de um processo estruturado para que as requisições e suas respostas sejam plenamente atendidas dentro do prazo. Para isso alguém deverá ser treinado e responsabilizado por este fluxo.

Quer maiores dicas sobre como organizar a casa para melhro atender essas requisições? Separei dois artigos para você:

- Conheça mais sobre o [documento ROPA da LGPD](https://goadopt.io/blog/ropa-lgpd/).
 - [Data Mapping ou Inventário de Dados, o colete salva vidas do DPO.](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)

**4. Alterações das tags, testes de ferramentas terão um fluxo maior.**
Algumas empresas costumam testar muitas ferramentas e tecnologias nos seus sites. Isso não é um problema em si. Contudo, uma vez que muitas destas disparam cookies é essencial que todo o fluxo de comunicação, agora estabelecido pela LGPD seja revisado e, se necessário, atualizado com a entrada de uma nova tecnologia que dispare cookies e, ou colete dados.

Principalmente se nos seus documentos como a Política de Privacidade e, eventualmente, os Termos de Uso você já tenha listado os cookies que utiliza, suas finalidades, prazos, etc.

Assim, caso haja alguma alteração na listagem dos documentos oficiais, é importante que a comunicação também seja toda refeita e atualizada. Vale destacar que sempre que uma nova política de privacidade, ou política de cookies é atualizada todos os consentimento coletados até aquele momento deverão ser atualizados/substituídos. Pois, o consentimento é um acordo entre a empresa e o cidadão, cujos termos estão justamente na política. Logo, se a política muda, a anuência das partes deve ser coletada.

 - [Saiba mais sobre como notificar usuários na atualização dos termos.](https://goadopt.io/blog/notificacao-usuarios-termos-de-uso/)
 - [Dicas importantes sobre a política de privacidade ideal das empresas.](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)


## Aviso de Cookies e CMP são a mesma coisa?

Não, a CMP (_Consent Management Platform_) ou Plataforma de Gestão de Consentimentos é a ferramenta onde, aviso ou banner de cookies é uma funcionalidade integrada a diversas outras. 

Essa diferenciação é importante pois algumas pessoas acham que o banner de cookies é só um pop-up com um botão para o site. Contudo, a tecnologia envolvida vai muito além disso.

O banner é capaz de identificar se o visitante está acessando pela primeira vez, ou não. Ao coletar o consentimento do visitante ela dispara esse registro para o banco de dados, e para as demais ferramentas que aguardam o consentimento para também reagir ao acesso. Tudo isso em milésimos de segundo.

Isso é apenas uma das várias funcionalidades. Outras como:

- Bloqueio de cookies de terceiros;
- Esconder após o aceite;
- Reconhecimento do idioma do navegador, para que o aviso seja traduzido para o idioma de prefência;
- Reconhecimento do país do IP que acessou, para que o aviso seja adequado à legislação do país do visitante;
- Redirecionamento para página de Opt-out/direito dos titulares;
- Acionar o DPO quando uma solicitação é feita, unificando as informações do visitante;
- Integração com sistemas via API, call-backs para que os dados alimentem outros bancos de dados.
- entre outras…

- Quer saber mais sobre uma [CMP e como escolher uma para sua empresa, esse link pode te ajudar.](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)

## Por que ter um aviso de cookies?

Em resumo, de acordo com o que vimos até aqui, isso é importante especialmente por dois motivos. Em primeiro lugar, porque a LGPD exige. Segundo a lei, todo e qualquer uso de dados de titulares deve contar com a ciência deles, bem como com a concordância deles. Se você conseguir controlar essa informação no off-line, ou de alguma maneira particular, ótimo! Se precisar dar escala e automação aos fluxos, o aviso de cookies (CMP) é essencial para você

Mas não é só isso. O aviso de cookies também é importante para demonstrar ao seu público como você se importa, ao mesmo tempo, com a experiência dele no seu site e com a transparência na relação entre a página e ele.

Portanto, melhora a confiabilidade da relação. Igualmente, mostra responsabilidade do site perante seu público e a busca dele pela melhor experiência possível sem que isso passe por cima da sua privacidade.

Por isso, é de extrema importância contar com um bom aviso de cookies. Ele deve ser intuitivo, chamar a atenção do público e se integrar ao seu site de forma natural. Abaixo, então, veja como obter um bom banner de informações e gestão de consentimentos.

## Como obter um bom aviso de cookies que ajude na gestão de dados e consentimentos?

Para isso você pode contar com a AdOpt! A nossa plataforma de cookies acompanha não só o aviso deles, mas também uma ferramenta de gestão, isto é, de CMP.

A plataforma, aliás, é adaptável ao seu site de acordo com o seu design, acoplando-se naturalmente. Assim, ao abrir o site ela fica disponível e conta com informações sobre os cookies que são utilizados, bem como apresenta a possibilidade de configuração personalizada sobre aqueles que terão autorização ou não pelo titular de dados.

Igualmente, a AdOpt traz juntamente ao aviso de cookies outros documentos essenciais ao cumprimento da LGPD pela página: os Termos de Uso e a Política de Privacidade. Desse modo, em um só lugar há a organização de todos esses dados.

Para fechar com chave de ouro, então, a AdOpt traz tudo isso combinado com uma ferramenta que atualiza e acompanha em tempo real todas as entradas, saídas e alterações de consentimento. Ao fazê-lo, garante que somente haverá o uso dos dados de acordo com a vontade do titular.

Por isso, não deixe de contar com a AdOpt e conhecer nossos planos. Você vai ver como se adequar à LGPD é muito mais fácil e benéfico do que parece!


O impacto dos aviso de cookies no seu e-commerce - LGPD

Se você já navegou pela internet, com certeza se deparou com um pequeno pop-up ou aviso no canto de um site, informando sobre o uso de cookies. Esses são os famosos "[banners de cookies](https://goadopt.io/blog/banner-de-cookies/)", e eles desempenham um papel crucial na experiência online dos usuários, bem como na conformidade com as regulamentações de proteção de dados, como o [Guia Orientativo da ANPD.](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/)

Neste artigo, vamos explorar o significado por trás desses banners, as exigências estabelecidas pelo [Guia Orientativo da Autoridade Nacional de Proteção de Dados (ANPD)](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/) e como a [plataforma de gestão de consentimentos AdOpt](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) vai além de ser um mero aviso, representando segurança e transparência nos [cookies](https://goadopt.io/blog/cookies-e-lgpd/) utilizados nos sites, e assegurando a conformidade com a ANPD.

## O Significado do Banner de Cookies

O [banner de cookies](https://goadopt.io/blog/banner-de-cookies/) é muito mais do que apenas um aviso incômodo que aparece quando você visita um site. Ele desempenha um papel fundamental na proteção da privacidade e na garantia de transparência para os usuários da web. Em essência, ele serve como um aviso de que o site coleta informações por meio de cookies, pequenos arquivos de texto que armazenam dados sobre suas atividades online.

Esses cookies podem variar desde os essenciais, que são necessários para o funcionamento básico do site, até os de desempenho, publicidade e análise. O [banner de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) informa aos visitantes sobre a finalidade e o uso desses cookies e permite que eles tomem decisões informadas sobre o que desejam compartilhar.

#### Qual o modelo de [Política de Privacidade, ideal](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) para a sua empresa?

## As Exigências da ANPD e o Guia Orientativo

No Brasil, a [ANPD (Autoridade Nacional de Proteção de Dados)](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/) desempenha um papel fundamental na regulamentação e fiscalização da proteção de dados pessoais. 

O [guia orientativo](https://goadopt.io/blog/anpd-cookies-guia-orientativo-cookies-protecao-dados-pessoais/) emitido por esta autoridade estabelece diretrizes claras para a implementação de banners de cookies em sites. Entre as principais exigências estão:

1. **Consentimento Informado:** Os banners de cookies devem fornecer informações claras e acessíveis sobre o uso de cookies, incluindo a finalidade da coleta de dados e a identificação dos responsáveis pelo tratamento.

2. **Opção de Escolha:** Os usuários devem ter a opção de aceitar ou recusar o uso de cookies não essenciais. É importante destacar que o consentimento deve ser livre, específico, informado e inequívoco.

3. **Facilidade de Gestão:** Os banners devem permitir que os usuários gerenciem suas preferências de cookies com facilidade, incluindo a revogação do consentimento a qualquer momento.

4. **Documentação de Consentimento:** Os controladores de dados devem ser capazes de comprovar que obtiveram o consentimento dos usuários para a coleta de dados por meio de cookies.

#### Conheça mais sobre as diferenças entre o [Controlador e o Operador de dados na LGPD](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/)

## [AdOpt](https://goadopt.io/): Mais do que um Aviso, Uma Solução Completa

É nesse contexto que a plataforma de gestão de consentimentos [AdOpt](https://goadopt.io/) se destaca. Vai muito além de ser um mero banner de cookies. AdOpt representa segurança e transparência nos cookies disparados a partir dos sites que a utilizam. Como parte da solução, a AdOpt oferece:

- **Configuração Personalizada:** Os banners de cookies podem ser personalizados de acordo com as necessidades de cada site, garantindo que os avisos sejam claros e informativos.

- **Consentimento e Rastreamento de Preferências**: AdOpt permite que os usuários forneçam consentimento informado e rastreia suas preferências de cookies, permitindo uma gestão mais eficaz.

- **Relatórios de Conformidade**: A [plataforma](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) gera relatórios que documentam o consentimento dos usuários, auxiliando os controladores de dados na comprovação de conformidade com as regulamentações da ANPD.

- **Atualizações em Conformidade**: A AdOpt está comprometida em manter-se atualizada com as regulamentações em constante evolução, garantindo que os banners de cookies estejam em conformidade com as diretrizes da ANPD.

## A Corresponsabilidade da Plataforma de Gestão de Consentimentos

Além de apenas exibir banners de cookies, uma [plataforma de gestão de consentimentos como a AdOpt](https://goadopt.io/) assume a responsabilidade de ser corresponsável pela proteção dos dados coletados. Isso significa que a plataforma não apenas informa, mas também ajuda a garantir a conformidade com as regulamentações de proteção de dados. É um parceiro confiável na jornada de proteção da privacidade dos usuários e na prevenção de possíveis sanções da ANPD.

Em resumo, o banner de cookies não é apenas um detalhe estético em um site, mas sim um pilar de transparência e segurança na era da proteção de dados. A plataforma de gestão de consentimentos AdOpt vai além do óbvio, MESMO, garantindo que os websites estejam em conformidade com as regulamentações da ANPD e proporcionando aos usuários o controle que merecem sobre suas informações pessoais. 

Portanto, ao escolher uma [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/), lembre-se de que você está escolhendo muito mais do que um aviso - você está escolhendo confiança, segurança e transparência. Afinal, a privacidade dos usuários é uma responsabilidade compartilhada.

Deixe os cookies com a [AdOpt](https://goadopt.io/), e foque no crescimento do seu site!
[Comece agora mesmo](https://goadopt.io/register)!


