Sempre que um cliente preenche um formulário, solicita um orçamento ou faz uma compra num website, pode estar a fornecer dados pessoais, como o nome, o endereço de email, o número de telefone ou a morada. A empresa responsável deve adotar medidas para assegurar que essa informação é recolhida e utilizada de forma adequada, respeitando o Regulamento Geral sobre a Proteção de Dados (RGPD).
A proteção dos dados vai além da publicação de uma política de privacidade. Exige atenção à segurança técnica do website, à gestão dos acessos, à conservação da informação e aos procedimentos de prevenção de incidentes.
Ligação segura (HTTPS)
O protocolo HTTPS permite cifrar a comunicação entre o navegador do visitante e o servidor do website, reduzindo o risco de interceção dos dados transmitidos. A sua implementação é especialmente importante em formulários de contacto, áreas de cliente e lojas online.
A existência de HTTPS é uma medida importante de segurança, mas não significa que o website esteja protegido contra todos os ataques. A configuração do servidor, a segurança das aplicações e a manutenção regular continuam a ser necessárias.
Recolha e tratamento de dados pessoais
O RGPD estabelece que os dados pessoais devem ser adequados, pertinentes e limitados ao necessário para as finalidades para as quais são recolhidos. Num formulário de pedido de orçamento, por exemplo, poderá ser suficiente solicitar o nome, um meio de contacto e uma descrição do serviço pretendido.
A empresa deve ainda identificar um fundamento legal adequado para o tratamento e informar o titular sobre a finalidade da recolha, o prazo de conservação, os destinatários da informação e os direitos que lhe assistem.
Atualizações e cópias de segurança
Um website desatualizado pode apresentar vulnerabilidades que facilitem acessos não autorizados ou a instalação de software malicioso. A atualização do sistema, dos componentes e das extensões, sempre que aplicável, ajuda a reduzir esses riscos.
As cópias de segurança permitem recuperar conteúdos e informação após uma falha técnica, um ataque ou uma eliminação acidental. Para serem eficazes, devem ser realizadas com regularidade, guardadas de forma segura e testadas periodicamente, para confirmar que a informação pode ser recuperada.
Controlo de acessos e palavras-passe
A segurança de um website depende também de quem pode aceder à sua área de administração e aos dados nele armazenados. Cada utilizador deve dispor apenas das permissões necessárias às suas funções, evitando contas partilhadas e acessos desnecessários.
A utilização de palavras-passe fortes, da autenticação multifator quando disponível e da remoção de contas que já não são utilizadas ajuda a reduzir o risco de acessos indevidos. Estas medidas são particularmente relevantes quando várias pessoas ou prestadores de serviços participam na gestão do website.
Política de privacidade e cookies
A política de privacidade deve explicar, de forma clara, quais os dados recolhidos, para que finalidades são tratados, durante quanto tempo são conservados e como podem os titulares exercer os seus direitos. Entre estes direitos encontram-se, nas condições legalmente previstas, o acesso, a retificação, o apagamento e a oposição ao tratamento dos dados.
Os cookies devem igualmente ser analisados em função da sua finalidade. Os que não sejam estritamente necessários estão, em regra, sujeitos a consentimento prévio, devendo o visitante dispor de informação clara e de uma forma efetiva de aceitar ou recusar a sua utilização. Uma ligação para a política de privacidade não substitui um mecanismo de consentimento adequado.
Como agir perante uma falha de segurança
Mesmo com medidas preventivas, podem ocorrer incidentes que comprometam a confidencialidade, a integridade ou a disponibilidade dos dados pessoais. Perante uma situação desta natureza, a empresa deve avaliar o incidente, adotar medidas para o conter e documentar as decisões tomadas.
Quando esteja em causa uma violação de dados pessoais, o RGPD prevê a notificação à autoridade de controlo competente, sem demora injustificada e, sempre que possível, até 72 horas após o responsável pelo tratamento ter tomado conhecimento da violação, salvo quando seja improvável que esta resulte num risco para os direitos e liberdades das pessoas. Nos casos de risco elevado, poderá também ser necessário informar os titulares dos dados.