RGPD: o que o seu site precisa para estar em conformidade
Privacidade num site começa por saber que dados são tratados e para quê. Uma política copiada e um banner não substituem essa análise. O RGPD e as regras de comunicações eletrónicas têm âmbitos próprios que precisam de ser considerados.
Inventariar o funcionamento
Liste formulários, contas, encomendas, comentários, cookies e serviços externos. Identifique dados, finalidades, acessos e conservação. Inclua plataformas de email, alojamento e ferramentas de medição.
O âmbito territorial do RGPD não depende apenas de o visitante ser cidadão europeu. A localização e as atividades de tratamento são relevantes. Quando houver dúvida de enquadramento, obtenha análise do caso.
Escolher fundamento e informação
Consentimento é um dos fundamentos possíveis e não a resposta automática para cada formulário. Responder a um pedido ou executar um contrato pode assentar noutro fundamento, conforme a situação. Separe finalidades e evite recolher dados sem necessidade.
A informação apresentada ao titular deve corresponder ao funcionamento real: quem trata, para quê, por quanto tempo e com quem partilha. Não acrescente consentimentos obrigatórios e genéricos para cobrir operações que não precisam dessa base.
Verificar cookies e serviços externos
Determine quais as tecnologias que exigem escolha prévia e teste o que é ativado antes de aceitar. Disponibilize gestão e retirada quando aplicáveis. Recursos estritamente necessários e publicidade não devem ser tratados como a mesma categoria.
Uma integração sem cookies pode continuar a tratar dados pessoais. Avalie também os pedidos externos e os fornecedores, incluindo o que acontece depois de recusar uma categoria.
Preparar o exercício de direitos
Defina um contacto, verificação de identidade e procedimento para os pedidos. O prazo geral de resposta é um mês, com condições de extensão previstas no regulamento. Acesso, apagamento e portabilidade têm requisitos e limites diferentes.
As ferramentas WordPress podem ajudar com dados abrangidos pelas integrações, mas não garantem cobertura de todas as aplicações externas. Confirme o que foi exportado ou eliminado e mantenha evidência adequada do tratamento do pedido.
Manter medidas técnicas e organização
Use acessos individuais, HTTPS, atualizações e backups protegidos. Defina quem acompanha incidentes e mudanças. A conformidade exige continuidade: adicionar um plugin, uma campanha ou um novo formulário pode mudar o mapa de dados.
Onde termina a configuração técnica e começa a obrigação da empresa
Um plugin ou uma definição do servidor pode ajudar a implementar um requisito, mas não substitui a avaliação da atividade da empresa nem a informação que deve ser prestada aos utilizadores. Identifique que dados são recolhidos, para que finalidade, quem lhes acede e durante quanto tempo são conservados. Só depois configure formulários, cookies, permissões ou procedimentos de apagamento.
Registe as decisões e mantenha documentação atualizada. Teste o comportamento no navegador sem sessão iniciada e em dispositivos móveis, incluindo situações em que uma pessoa não dá consentimento a finalidades opcionais. Quando a interpretação legal ou fiscal é decisiva, confirme-a junto de um profissional habilitado; uma explicação técnica num blog não substitui esse aconselhamento.
Como agir nas primeiras horas depois de um alerta
Identifique o sistema afetado, limite acessos desnecessários e preserve registos. Não elimine ficheiros ou reinstale tudo sem compreender o alcance do incidente. Se suspeita que houve exposição de passwords, substitua-as a partir de um dispositivo de confiança e reveja os administradores existentes.
Depois da contenção, analise a origem e teste a recuperação. Restaurar um backup contaminado pode reproduzir a falha. Distinga factos confirmados de hipóteses para que a resposta não seja orientada por suposições.
Camadas de proteção com funções diferentes
SSL, firewall, proteção contra malware e backups têm objetivos distintos. O HTTPS cifra a comunicação, mas não elimina vulnerabilidades de plugins. Uma cópia de segurança apoia a recuperação, mas não substitui prevenção. A firewall pode bloquear padrões de ataque sem impedir que uma password roubada seja utilizada.
Reveja periodicamente versões, utilizadores e permissões. A empresa deve saber o que é responsabilidade do alojamento e o que pertence à manutenção da aplicação. Esta distinção facilita a resposta quando surge um incidente.
Aplicar requisitos ao funcionamento do site
Identifique formulários, serviços externos e dados tratados; a configuração técnica não substitui uma avaliação jurídica adequada.
O nosso serviço de criação de sites e lojas online pode ser enquadrado nos objetivos e nas funções de que a empresa precisa. Peça uma avaliação do projeto, indicando o objetivo, as funções necessárias e o que já existe.