Sumário
Introdução
A presente cartilha tem como objetivo principal apresentar a utilização de cookies e a sua relação com a proteção de dados pessoais, com fundamento no “Guia Orientativo de Cookies e Proteção de Dados Pessoais”, publicado pela Autoridade Nacional de Proteção de Dados (ANPD) em 18/10/2022, e nas boas práticas internacionais.
A privacidade e proteção de dados pessoais dos usuários de serviços online é de grande importância, ainda mais à luz da Lei nº 13.709/18 - Lei Geral de Proteção de Dados Pessoais (LGPD), representante da maior revolução em matéria de normatização da proteção de dados pessoais, desde a Lei nº 12.965/14 - Marco Civil da Internet, legislação elaborada antes do advento de diversas formas de coleta e uso de dados comuns atualmente, em particular por meio da Internet.
O que é a Autoridade Nacional de Proteção de Dados (ANPD)?
É órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional (art. 5º, XIX, LGPD).
A privacidade, ademais, é uma questão cada vez mais importante para os usuários da Internet, preocupados com o fato de seus dados estarem sendo amplamente coletados e, ainda, comercializados sem sua permissão ou conhecimento. Isso não é importante apenas do ponto de vista jurídico, mas também empresarial. O direito à proteção de dados pessoais é um direito fundamental, expressamente protegido pela Constituição Federal de 1988 (art. 5º, inciso LXXIX) e pela LGPD, em conjunto com os interesses e demais liberdades civis e direitos fundamentais dos titulares de dados pessoais, nos termos do artigo 17 da LGPD.
Estar em conformidade com as diretrizes e normas da LGPD demonstra aos parceiros comerciais, clientes, colaboradores e prestadores de serviços preocupação e seriedade na condução e trato de dados pessoais por parte da [EMPRESA], fornecendo parâmetros de segurança e prevenção a incidentes ou uso inadequado dos dados pessoais, que destacarão a [EMPRESA] como empresa pioneira no Brasil ao adotar políticas e regras de boas práticas e de governança atinentes aos mais altos padrões nacionais e internacionais de tratamento diligente, finalístico e transparente de dados pessoais, como também resguarda a [EMPRESA] contra condenações na esfera cível por danos sofridos por titulares de dados pessoais e sanções administrativas em decorrência da violação de disposições da LGPD, com penas de multa que poderão chegar a até R$ 50.000.000,00 (cinquenta milhões de reais).
O que são cookies?
Você possivelmente deve ter notado quando entrou em um
website e apareceu o seguinte aviso:
Esse aviso faz referência aos cookies, arquivos que podem ser instalados no seu computador ou em outro dispositivo e que permitem a coleta de determinadas informações, incluindo dados pessoais, a fim de atender a finalidades diversas.
Bases legais aplicáveis
Na hipótese de ocorrer o tratamento de dados pessoais por meio do uso de cookies, esse tratamento deve estar amparado pelo que se chama de base legal. As bases legais, nesse sentido, são as hipóteses previstas em lei que permitirão (ou não) o uso dessa tecnologia para a coleta de dados pessoais dos usuários.
O artigo 7º da LGPD prevê 10 (dez) bases legais para o tratamento de dados pessoais comuns, ao passo que o artigo 11 prevê 8 (oito) para o tratamento de dados sensíveis².
Ao contrário do que muitos pensam, o consentimento não é a única hipótese que autoriza o tratamento de dados pessoais. Especificamente para o caso de
cookies, a ANPD ressaltou a utilização de duas bases legais: o consentimento e o legítimo interesse, conforme disposto na tabela abaixo:
| Hipótese Legal | Quando é indicada? |
|---|---|
| Consentimento (art. 7º, I ou art. 11, I – LGPD) | Cookies não necessários e cookies de publicidade. A possibilidade de aceitar ou recusar a utilização de cookies não necessários, de modo independente dos cookies necessários, permite que o consentimento seja livre. |
| Legítimo interesse (art. 7º, IX – LGPD) | Cookies estritamente necessários. Cookies analíticos ou de desempenho (em determinados contextos, observados os requisitos previstos na LGPD). |
Uma pergunta razoável a se fazer é: “Por que os controles de cookies incorporados aos navegadores de Internet não podem ser considerados instrumentos de manifestação do consentimento do titular de dados pessoais?”. Afinal, os usuários são livres para bloquear cookies utilizando as configurações ou extensões do navegador de Internet.
O problema com tais configurações ou extensões, entretanto, é que muitos usuários não as conhecem. Além disso, nem todos os navegadores de Internet são criados iguais e a sofisticação das configurações de
cookies e privacidade variam consideravelmente, muitas vezes não fornecendo níveis suficientes de controle.
²Art. 5º Para os fins desta Lei, considera-se: (...)
II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural; (...)
Consentimento
Caso seja utilizado o consentimento como base legal, há determinados requisitos que devem ser seguidos, nos termos da LGPD:
- Deve ser livre, ou seja, o titular deve ter assegurada a possibilidade efetiva de aceitar ou recusar a utilização de cookies.
- Deve ser informado, de modo que sejam apresentadas todas as informações necessárias para que o titular tome a sua decisão de modo consciente.
- Deve ser inequívoco, ou seja, o titular deve ativamente conceder o seu consentimento, de modo que ele não possa ser presumido. Por esse motivo, não é recomendável a utilização de banners de cookies com opções de autorização pré-selecionadas ou a pressuposição de que, ao continuar a navegação em uma página, o titular forneceria o consentimento de seus dados pessoais automaticamente.
- No caso de dados pessoais sensíveis, o consentimento deve ser específico e destacado, para finalidades específicas.
- A [EMPRESA] deverá registrar todos os consentimentos coletados, tendo em vista que é de sua responsabilidade comprovar, caso necessário, que foram obtidos de forma lícita.
Legítimo Interesse
O legítimo interesse é uma base legal prevista no artigo 7º, inciso IX da LGPD, não sendo permitido utilizá-lo como prerrogativa para a coleta de dados pessoais sensíveis. Além disso, somente poderá fundamentar o tratamento de dados pessoais para finalidades legítimas, consideradas a partir de situações concretas, que incluem, mas não se limitam a:
- Apoio e promoção de atividades do controlador;
- Proteção, em relação ao titular, do exercício regular de seus direitos ou prestação de serviços que o beneficiem, respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais, nos termos da LGPD.
Dentre os seus requisitos, é importante que:
- Seja comprovada a adoção de medidas de segurança, técnicas e administrativas, capazes de salvaguardar a operação e os dados utilizados.
- A [EMPRESA] se certifique de que a utilização pretendida, além de não ferir direitos e liberdades, poderia ser razoavelmente prevista pelo titular de dado.
- O titular tenha um canal de contato caso deseje se opor ao tratamento realizado com base no legítimo interesse, em caso de descumprimento aos requisitos previstos na LGPD (art. 18, §2º, LGPD).
- Seja elaborada uma Avaliação de Legítimo Interesse (LIA) pelo Encarregado (DPO) da [EMPRESA].
Princípios da LGPD que devem ser observados na utilização de cookies
De acordo com o guia orientativo fornecido pela ANPD, dentre os 10 (dez) princípios expostos no artigo 6º da LGPD, devem ser observados, principalmente, os seguintes:
- Princípio da finalidade;
- Princípio da adequação;
- Princípio da necessidade;
- Princípio do livre acesso;
- Princípio da transparência.
De acordo com o
princípio da finalidade, o tratamento deve ser feito para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades.
Já o
princípio da adequação dispõe que deve haver compatibilidade do tratamento de dados pessoais com as finalidades informadas ao titular, ou seja, os dados devem ser tratados de acordo com a sua real destinação.
Com relação ao
princípio da necessidade, o tratamento deverá ser relativo somente aos dados pessoais que forem necessários à persecução da finalidade informada. Desse modo, não se deve coletar ou manter dados pessoais que não possuam destinação certa ou finalidade definida.
O
princípio do livre acesso garante, aos titulares, consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais. Na prática, significa dizer que a [EMPRESA] deve contar com mecanismos para que o titular dos dados exerça o seu direito de consultar informações relacionadas aos seus dados pessoais, de forma gratuita. Além disso, a [EMPRESA] necessita deixar evidente os seus objetivos e o período em que os dados pessoais serão utilizados.
Por fim, o
princípio da transparência objetiva que os titulares tenham informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento. Em resumo, esse princípio determina que a [EMPRESA], ao utilizar os dados pessoais do titular nas suas atividades, deve, de forma clara, informar como serão utilizados os referidos dados.
Como elaborar um banner de Cookies
Usualmente, um aviso de cookies possuirá duas telas, ou dois banners, chamados de (i) banner de primeiro nível e, (ii) banner de segundo nível, respectivamente.
Na elaboração do
banner de primeiro nível, ou seja, aquele que aparece no momento em que o usuário visita o site pela primeira vez, recomenda-se, como boa prática, que (i) seja disponibilizado um botão que permita rejeitar todos os
cookies não necessários; (ii) aceitar todos os
cookies; (iii) ver preferências e escolher quais
cookies deseja habilitar.
Ainda no banner de primeiro nível, é importante que seja fornecido um
link,
direcionando para a Política de Privacidade.
Exemplo:
Na elaboração do banner de segundo nível, de acordo com as recomendações da ANPD, sugere-se:
- A classificação dos cookies em categorias, de acordo com seus usos e finalidades;
- A apresentação de descrição e informações simples, claras e precisas quanto a essas finalidades;
- A obtenção do consentimento para cada cookie não necessário, ou seja, as opções devem estar desativadas por padrão;
- A disponibilização de informações sobre como realizar o bloqueio de cookies pelas configurações do navegador. Caso o cookie ou rastreador não possa ser desabilitado por meio do navegador, o usuário deverá ser informado a respeito.
Exemplo:
(Guia Orientativo de Cookies e Proteção de Dados Pessoais” – ANPD, p. 32)
Portanto, quanto mais ressaltada for a comunicação da [EMPRESA] com seus usuários, melhor. Cumpre mencionar, ainda, que o usuário médio da Internet não possui um alto grau de conhecimento técnico, de modo que é sempre aconselhável usar uma linguagem amistosa, acessível e direta nas informações de
cookies da [EMPRESA].
Direitos dos Titulares
Caso o titular identifique que a [EMPRESA] está utilizando cookies e coletando seus dados pessoais, possui, dentre outros direitos dispostos no artigo 18 da LGPD:
- Direito de acesso aos seus dados pessoais tratados;
- Eliminação dos dados pessoais tratados com o seu consentimento;
- Revogação do consentimento antes fornecido – Nesse sentido, deve ser “disponibilizado ao titular um procedimento simplificado e gratuito para revogar o consentimento fornecido para a utilização de cookies, de forma similar ao procedimento utilizado para obtê-lo”.⁵
- Oposição ao tratamento, em caso de descumprimento da LGPD.
Observação: Conforme orientado pela ANPD, “não são compatíveis com a LGPD práticas que impliquem a coleta indiscriminada de dados pessoais – sem finalidade especificamente definida e clara para o titular – e o correspondente rastreamento ilimitado de seus titulares no ambiente digital”.
Quem é o titular?
De acordo com o art. 5º, inciso V da LGPD, titular é a pessoa natural a quem se referem os dados pessoais que são objeto de tratamento, ou seja, ocorrendo a coleta dos seus dados pessoais por meio de cookies, por exemplo, você é considerado titular.
Importante!
O Código Civil dispõe que a existência da pessoa natural termina com a morte (art. 6º, CC), portanto, pessoas falecidas não são titulares de dados pessoais.
⁵Guia Orientativo de Cookies e Proteção de Dados Pessoais” – ANPD (p. 19).
Conclusão
Resta explanada, nesta cartilha, a importância da adequação do site da [EMPRESA] aos termos e condições impostas pela Lei Geral de Proteção de Dados Pessoais, no que tange à utilização de cookies.
As ações deverão ser implementadas no site da [EMPRESA], garantindo a sua conformidade à LGPD. O conteúdo e mensagens neste documento são sugestões e orientações que seguem as melhores práticas em conformidade com a privacidade e proteção de dados. Não obstante, o texto apresentado pelos modelos poderá ser ajustado de acordo com a realidade, cultura organizacional e design da [EMPRESA].
Sobre a Peduti Advogados
A Peduti Advogados é uma banca especializada em Propriedade Intelectual e Direito Digital e está sediada, estrategicamente, no centro financeiro e de negócios de São Paulo, com correspondentes especializados em todo país e no exterior.
Com mais de 46 anos de tradição nestas áreas, nossa prática nos âmbitos nacional e internacional é permeada pelo mais alto padrão de excelência técnica e atendimento aos padrões internacionais de Compliance, oferecendo assessoria full-service em nossas áreas de atuação, atendendo a toda a gama de serviços relacionados a privacidade e proteção de dados, patentes, marcas, direitos autorais, softwares, transferência de tecnologia, nomes de domínio, publicidade e segredos de negócio – incluindo assessoria, consultoria, condução de litígios judiciais e administrativos, licenciamentos, comércio internacional, gerenciamento de portfólio, combate à pirataria/contrafação e concorrência desleal.
Nossa equipe conta com aproximadamente 40 profissionais entre advogados, engenheiros, paralegais, estagiários e equipe administrativa, todos com atuação focada em Propriedade Intelectual e Direito Digital, gerando resultados práticos e eficazes às demandas de nossos clientes.
Você ainda tem dúvidas sobre a LGPD e como isso pode afetar a sua empresa ou negócio?
Agende uma conversa com um de nossos advogados. Envie uma mensagem ou ligue para nosso escritório.
Ficaremos felizes em poder ajudar e responder possíveis dúvidas!
