Consentimento. Além de um check box: uma mudança estrutural no uso dos dados pessoais

Quando se fala da Lei 21.719, muitas conversas acabam girando em torno do consentimento. Mas por que ele é tão relevante? E, sobretudo, qual é o real desafio da sua gestão?

Neste artigo compartilhamos aprendizados do que vivemos na prática.

Por que o consentimento é tão importante?

A Lei 21.719 estabelece um princípio fundamental:

Os dados pessoais só podem ser tratados de forma lícita, e é o controlador quem deve ser capaz de comprovar essa licitude.

Concretamente:

É ilícito usar dados pessoais se você não puder demonstrar que conta com uma base de licitude válida para isso.

Uma dessas bases, a principal, é o consentimento. O artigo 12 da lei diz isso expressamente:

“É lícito o tratamento dos dados pessoais quando o titular outorga seu consentimento para tanto”, e esse consentimento deve ser livre, informado, específico, prévio e inequívoco, com uma clara ação afirmativa e anterior ao tratamento.

Dito sem linguagem jurídica:

Quer usar dados pessoais? Diga claramente quais vai usar, para que vai usá-los e peça permissão antes.

Sem truques, sem caixas pré-marcadas, sem obrigar, sem frases genéricas que sirvam “para qualquer coisa” e antes de usá-los.

Um bom exercício é pensar nos dados como dinheiro. Se você tivesse que administrar o dinheiro de outra pessoa, não o usaria:

sem a autorização dela

para finalidades diferentes das acordadas

tentando fazer com que ela erre ao escolher o que fazer com ele

para “qualquer coisa”

sem poder explicar o que você fez com ele e por quê

Isso, que é tão óbvio quando falamos de outros ativos, a gente esquece quando fala de dados.

Por isso, o consentimento deve ser gerenciado como um processo integrado ao negócio. Não é apenas um tema jurídico. Para deixar mais claro o que queremos dizer, este artigo traz recomendações práticas para você levá-lo a uma conformidade real (no operacional)

Vamos ao prático: quero começar a pedir consentimentos, o que preciso ter claro?

Nem todo uso de dados pessoais exige consentimento

Esse é o primeiro erro frequente.

O consentimento não é a única base de licitude. A lei reconhece outras, como o cumprimento de uma obrigação legal, a execução de um contrato e a existência de interesses legítimos (em certos casos em que sejam justificáveis), entre outras.

Por isso, o primeiro passo não é “pedir consentimento para tudo”, e sim identificar os tratamentos de dados que sua organização realiza, suas finalidades e qual base legal os justifica.

Por exemplo, você não precisa de consentimento para cumprir obrigações trabalhistas com seus funcionários.

Dessa análise sairá um subconjunto de tratamentos que de fato exigem consentimento, e são esses que você deve gerenciar.

Defina quais são as finalidades (propósitos) para o uso de dados pessoais

Para os tratamentos que de fato exigem consentimento, você precisa ter identificado: para que a organização realmente usa esses dados?

Exemplos:

Venda de produtos para novos clientes

Perfilamento para ofertas personalizadas

Análise do comportamento dos usuários para reduzir gastos de canal

Defina e tenha muito clara a “lista” de finalidades da sua organização.

Lembre-se de que as finalidades ou propósitos devem ser específicos. Quão específicos? Isso depende da realidade da sua organização, mas garanta que o titular entenda de verdade para que seus dados serão usados e que isso possa ser explicado de forma simples (lembre-se do princípio da transparência). Além de conformidade, isso gera confiança.

Identifique onde e como você capta os dados

Uma vez claras as finalidades, a próxima pergunta tem a ver com entender o processo:

Em quais canais esses dados são captados?

Por exemplo: site, call center, WhatsApp, lojas físicas, URAs.

Também é preciso identificar: quais sistemas tecnológicos esses canais usam?

Você terá que modificar esses canais e, em particular, seus sistemas tecnológicos para incorporar o consentimento e cumprir a nova Lei de proteção de dados pessoais.

Desenhe a experiência de consentimento por canal

O consentimento não é captado da mesma forma em todos os canais.

Um site, um chat de WhatsApp, uma ligação telefônica ou uma URA não são a mesma coisa.

Mas, em todos os casos, você deve desenhar a experiência considerando:

simplicidade

clareza e transparência

linguagem adequada ao canal

coerência nas mensagens entre canais (pensar sempre em omnicanal)

assegurar rastreabilidade e armazenar a evidência do consentimento

Assim, na web pode ser por meio de um check box, no WhatsApp marcando uma opção e, em uma ligação, com a pergunta direta.

O objetivo é que o titular entenda de verdade o que está aceitando, sem fricção desnecessária, sem ambiguidade e de forma comprovável.

Defina seu gestor de consentimentos (ou CMP, “Consent Management Platform”)

Aqui vem uma das maiores mudanças culturais e de processos: agora o consentimento não é só uma ação em um check box. A conformidade real vem de conseguir inseri-lo nos processos que usam os dados pessoais. Só assim se alcança uma conformidade real.

Agora, antes de usar um dado, você precisa validar que conta com o consentimento do titular do dado para a finalidade de que precisa, que esse consentimento está vigente e que é demonstrável.

Isso exige um gestor de consentimentos que, como base, permita:

registrar o consentimento por titular e finalidade

revogá-lo ou modificá-lo (ou seja, gerenciar o ciclo de vida)

ser consultado pelos diferentes sistemas antes de usar os dados

Gerar rastreabilidade e evidência demonstrável

Para isso, você pode desenvolvê-lo internamente ou usar uma solução já pronta.

Veja como a Soyio pode ajudar você a levar a gestão de consentimentos de forma rápida e simples para a sua organização.

Incorpore a gestão do consentimento aos seus processos

Chegou a hora da verdade: incorpore a gestão do consentimento aos seus processos. Para isso, identifique quais processos de negócio captam dados, quais os usam (e para quê) e quais poderiam modificar os consentimentos. Esses processos deverão estar integrados ao seu gestor de consentimentos.

Mas essas definições não são estáticas. Já dissemos que o consentimento não é só um check box: ele precisa ter vida. O que queremos dizer com isso? Explicamos com 5 ações práticas que vão orientar você:

Você precisa mudar a forma como usa os dados

Esse é, provavelmente, o maior desafio.

As organizações estão acostumadas a perguntar: tenho o dado? Ele me serve? E pronto, usam.

Agora precisam somar uma nova pergunta: tenho consentimento para usá-lo para esta finalidade específica?

Se não há consentimento, o dado não deve ser usado. E essa validação precisa ser sistêmica e demonstrável.

Cumpra o que você diz

Um dos riscos mais comuns é dizer uma coisa e fazer outra.

Por exemplo: o titular se opõe a receber comunicações comerciais, mas mesmo assim o incluímos em uma base de envio de SMS.

Isso é descumprimento, por mais bonita que seja a política de privacidade ou o banner de consentimento.

O consentimento não é apenas informativo: ele precisa ser executável operacionalmente. E isso implica alinhar todos dentro da organização que queiram usar os dados.

Gerencie o ciclo de vida do consentimento

O consentimento não é estático.

Ele tem um ciclo de vida:

É concedido

Pode ser modificado

Pode ser revogado

Pode expirar ou deixar de ser válido

Seus processos e sistemas devem contemplar todo esse ciclo. Um consentimento que não é gerenciado ou que não é rastreável não pode ser demonstrado. E um consentimento que não pode ser demonstrado nos dá a falsa sensação de que o risco está controlado, quando não está.

O consentimento deve ser monitorado continuamente

Um aprendizado importante é que o consentimento deve ser monitorado ao longo do tempo.

Lembremos que a lei é nova: vai ter adequações, regulamentos, boletins, e vamos ter jurisprudência. Os sistemas também não são estáticos e os usos dos dados são cada vez mais dinâmicos. Sempre aparece alguém com ideias inovadoras que desafiam o que já existe.

Por isso, a gestão do consentimento deve ser contínua, e não um “escopo limitado”. Mas é preciso levar em conta que as novas versões não devem eliminar o que veio antes.

Inclua a gestão das listas de bloqueio (No Molestar)

As normas do SERNAC e a plataforma No Molestar já hoje nos obrigam a manter listas de bloqueio para o envio de comunicações comerciais, com todos os que se opuseram nos diferentes canais de atendimento, em reclamações ou no próprio canal No Molestar do SERNAC.

Mas, no futuro, essas listas de bloqueio devem estar incorporadas ao ciclo de vida do consentimento, como oposições a finalidades de comunicações comerciais (por exemplo).

Se gerenciarmos isso como mundos isolados, vamos gerar risco de descumprir uma lei ou outra. E ambas buscam o mesmo: a declaração do titular é a que manda, e isso só pode ser gerenciado com uma única fonte da verdade.

O consentimento é um dos pilares da conformidade com a Lei 21.719 e, ao mesmo tempo, uma das maiores mudanças culturais que as organizações terão que enfrentar.

Implementá-lo corretamente implica:

deixar de pensar só em “obter dados” e achar que é só chegar e usá-los

começar a pensar para que posso usá-los, com qual permissão e por quanto tempo.

ser capaz de ter rastreabilidade e evidência de ter cumprido a lei

As organizações que tratam o consentimento como um simples check box podem cair rapidamente em descumprimentos. Já as que o integram como um processo vivo, conectado a seus sistemas, canais e decisões de negócio, não só reduzirão riscos legais como também fortalecerão a confiança com seus clientes, trabalhadores e usuários em geral.

Lembremos que usar bem os dados pessoais hoje é uma vantagem competitiva.