Quando compra online, publica nas redes sociais ou simplesmente dá um passeio com o telemóvel no bolso, gera dados pessoais. Esse é o ponto de partida de uma explicação do Vox Ukraine sobre a proteção europeia de dados pessoais, e é um enquadramento útil para este guia. Abaixo está o GDPR explicado para utilizadores comuns: o que as regras abrangem, que direitos lhe conferem, como são aplicadas e onde precisa das suas próprias ferramentas.

Uma nota sobre fontes: o excerto do artigo do Vox Ukraine disponível para nós é curto, pelo que este texto se cinge aos princípios amplos e bem estabelecidos do direito europeu de proteção de dados e evita afirmações específicas que os ultrapassem.

O que o GDPR Significa para Cookies, Aplicações e Dados de Localização

O Regulamento Geral sobre a Proteção de Dados (GDPR) regula a forma como as organizações recolhem e utilizam dados pessoais sobre pessoas na Europa. Na prática, três áreas do quotidiano são as mais relevantes.

Cookies e rastreadores. Os sites que colocam tecnologia de rastreamento não essencial no seu dispositivo geralmente precisam de uma base legal e, para a maioria da publicidade e analítica, isso significa pedir o seu consentimento. Os banners de cookies que vê são um resultado visível disso. As regras destinam-se a tornar a escolha real, para que recusar seja tão fácil como aceitar.

Rastreamento por aplicações. As aplicações que recolhem identificadores, dados de utilização ou informações de contacto devem explicar o que recolhem e porquê. Os dados devem limitar-se ao necessário para uma finalidade declarada, não sendo recolhidos apenas na eventualidade de se tornarem úteis mais tarde.

Dados de localização do telemóvel. A localização pode revelar onde vive, trabalha e reza, pelo que é tratada com particular cuidado. As aplicações devem ter uma razão clara para pedir, e deve poder recusar ou retirar a permissão mais tarde.

O fio condutor comum é que as organizações precisam de uma razão legal para tratar os seus dados e devem ser transparentes sobre isso.

Os Seus Direitos ao Abrigo do Direito Europeu de Proteção de Dados

O GDPR não é apenas uma lista de verificação de conformidade para as empresas. Confere às pessoas direitos concretos que podem exercer:

  • Acesso: perguntar a uma organização se detém os seus dados e solicitar uma cópia.
  • Retificação: corrigir dados inexatos.
  • Apagamento: em determinadas circunstâncias, pedir a eliminação dos seus dados.
  • Oposição e limitação: contestar alguns tipos de tratamento, como o marketing direto.
  • Portabilidade: receber os seus dados num formato utilizável para os poder transferir para outro lado.
  • Retirada do consentimento: mudar de ideias depois de ter dito sim.

Estes direitos só são úteis se os exercer. A maioria das empresas publica um contacto de privacidade ou um formulário de pedido, e um pedido por escrito é um ponto de partida razoável.

Os quadros jurídicos continuam também a ser uma questão política em aberto. A nossa cobertura do plano do Reform UK para eliminar o GDPR mostra que a forma do direito de proteção de dados pode mudar de país para país, pelo que vale a pena saber que regras se aplicam onde vive.

Como os Reguladores Aplicam as Regras e Onde Persistem Lacunas

Os direitos no papel dependem da aplicação. As autoridades nacionais de proteção de dados investigam queixas e podem impor sanções. A nossa explicação sobre como funciona o sistema de sanções do GDPR em dois níveis detalha por que os valores de multas mais mediáticos frequentemente deturpam a forma como as sanções são fixadas.

Os grandes casos mostram o sistema em ação. A Autoridade Neerlandesa de Proteção de Dados decidiu multar a Uber em 825 milhões de euros, cerca de 966 milhões de dólares, segundo um documento consultado pela Reuters, como abordámos no nosso relatório sobre a multa da Uber aplicada pelo regulador neerlandês.

Contudo, subsistem lacunas. Uma crítica de longa data é que a aplicação não tem sido feita de forma uniforme entre os Estados-Membros, razão pela qual temos acompanhado os esforços dos reguladores da UE para tornar as multas do GDPR mais consistentes. As investigações também levam tempo, e a lei só funciona depois de algo ter corrido mal. Tecnicamente, não impede que os dados sejam recolhidos em primeiro lugar e não consegue ver tudo o que acontece dentro de uma aplicação ou navegador. Alegações como as do nosso artigo sobre o Browsergate do LinkedIn ilustram como a recolha oculta de dados pode ser difícil de detetar pelos utilizadores comuns.

O que Isto Significa para Si

O GDPR confere-lhe um direito legal sobre os seus dados, mas funciona a posteriori e depende da atuação das empresas e dos reguladores. Não oculta o seu endereço IP dos sites que visita, não encripta o seu tráfego em Wi-Fi público, nem impede uma aplicação autorizada de ler dados de localização que já permitiu.

É aqui que entram as ferramentas pessoais. Uma VPN pode encriptar a sua ligação e ocultar o seu endereço IP dos sites que visita, e as mensagens com encriptação ponto a ponto protegem o conteúdo das conversas. Estas ferramentas não substituem os direitos legais. Uma VPN também não impede que um site onde inicia sessão saiba quem é, nem remove dados que uma empresa já detém. Pense no direito e na tecnologia como camadas complementares.

Passos Práticos para Proteger os Seus Dados Além da Lei

  1. Reveja as permissões das aplicações. Defina o acesso à localização como "durante a utilização" ou "nunca" para aplicações que não precisam dele, e remova permissões de aplicações que raramente abre.
  2. Rejeite cookies não essenciais. Utilize as opções de recusa ou gestão nos banners de cookies e limpe os cookies periodicamente.
  3. Envie um pedido de dados. Escolha um serviço que utilize intensamente e pergunte que dados detém sobre si. Solicite a eliminação de contas que já não utiliza.
  4. Use encriptação. Mantenha os dispositivos atualizados, ative a encriptação do dispositivo, use palavras-passe fortes e únicas com um gestor de palavras-passe e ative a autenticação de dois fatores.
  5. Considere uma VPN como uma camada. Pode reduzir a exposição em redes não confiáveis, mas é um complemento às suas proteções legais, não um substituto.

A Conclusão

O GDPR explicado para utilizadores comuns resume-se a isto: a lei confere-lhe direitos sobre cookies, rastreamento por aplicações e dados de localização, e os reguladores podem aplicá-los, mas subsistem lacunas em termos de rapidez e consistência. Dedique alguns minutos esta semana a rever as suas definições de privacidade e a exercer um dos seus direitos sobre os dados. Depois leia o nosso guia sobre como funcionam as multas do GDPR para ver como a aplicação se desenrola na prática.