RGPD: Há vários “esquemas” a aproveitarem-se da febre das confirmações por email

Nos últimos dias os utilizadores têm sido inundados de emails a pedir o consentimento para usar os dados segundo o novo regulamento de proteção de dados que é aplicado a partir de hoje. Mas é preciso cuidado porque nem todos são legítimos e há muitos que não são sequer válidos.

Na redação do SAPO TEK recebemos várias centenas de emails nos últimos dias (numa análise conservadora) à procura de um consentimento para continuarem a enviar-nos emails de informação, promoções e até newsletters que nem sabíamos ter subscrito. E a  situação é geral, com muitos dos nossos leitores, amigos e colegas a queixarem-se do mesmo mal. De tal maneira as regras do novo Regulamento de Proteção de Dados assustaram as organizações para o risco de terem listas de assinantes sem o consentimento expresso que geraram uma inundação de “spam” (mensagens enviadas sem consentimento) que queriam combater.

Carina Branco, Senior Tech & IT Counsel da Techlwayers by pbbr, admite que esta invasão de emails que foi sentida nos últimos dias ainda não terminou – como aliás se viu hoje, o primeiro dia de aplicação real do novo regulamento comunitário. Tudo indica que as empresas vão continuar a insistir até obterem o desejado consentimento, com mensagens mais ou menos criativas para conseguirem o almejado OK. Mas será que estes “esforços” são todos válidos?

O RGPD vem mudar o paradigma da comunicação com os utilizadores, exigindo um consentimento livre, expresso e não condicionado, como explicou ao SAPO TEK Clara Guerra, coordenadora no Serviço de Informação e Relações Internacionais da CNPD. Se até agora os endereços de email eram muitas vezes associados a listas apenas por visitar um site, subscrever um serviço ou por ver uma informação online, de forma tácita, com opções às vezes já pré-selecionadas, agora o regulamento impõe de forma inequívoca que é preciso um consentimento informado.

E se optarmos por não dar o consentimento? Em alguns dos principais serviços online, como o Facebook, Instagram ou Twitter, já não é possível ver conteúdos sem ter passado pela leitura e aceitação das condições. No caso dos emails “é suposto que os agentes económicos que os gerem deixem de nos enviar mensagens” no caso de não confirmarmos que queremos continuar a receber os emails, afirma Carina Branco, e retirem os dados das suas listas.

Mensagens legítimas. Ou talvez não

A advogada avisa ainda que apesar desta invasão de emails fazer parecer que todas as situações são semelhantes, e válidas, há algumas mensagens que vão contra as regras do regulamento, nomeadamente as que oferecem desconto, promoções ou pontos a que confirmar a subscrição. Isto porque são consideradas “consentimento premiado” e não “consentimento livre”.

“A ideia que se criou é errada e advém do stress que se colocou à volta da ideia do consentimento. Parecia que era a fórmula que ia resolver todas as coisas e não é. Há seis fundamentos de legitimidade para o envio das comunicações”, salienta.

Há ainda outro tipo de esquemas que estão a aproveitar “a onda”, como organizações que tentam que os consumidores aprovem tudo sem discriminar o tipo de tratamento de dados que será feito, ou que querem obter consentimento para marketing quando apenas têm direito de envio de informação contratual, como adianta Clara Guerra, que alerta para o facto de que “o próprio envio pode ser ilícito e podem ter de deitar fora a lista mesmo depois de validada pelos consumidores”.

O que se pede é serenidade e calma, em vez do frenesim a que se assistiu nos últimos dias. “Vivemos um ambiente de pânico dos agentes económicos que não querem perder as suas bases de dados”, afirma a jurista, lembrando que “dia 26 de maio não vai cair o mundo”, e que nada vai acontecer de muito extraordinário, até porque falta a legislação de execução que define o quadro sancionatório.

O que fazer com tantos emails?

Se ainda não teve paciência para responder a todos os emails que pedem o seu consentimento, o melhor é dedicar algum tempo a “limpar” esta tarefa e responder “Sim” ou “Não”, embora validando primeiro se se tratam de mensagens fidedignas e não esquemas de phishing ou vírus. Até porque tudo indica que as organizações vão continuar a insistir por mais algum tempo para conseguir “fisgá-lo”.

“O legislador quis devolver-nos o controle da nossa vida. Não tínhamos a noção de onde estavam os nossos dados”, explica Carina Branco, definindo as informações dispersas como “um emaranhado”. “Temos a oportunidade de assumir o controle de uma parte considerável da informação, provavelmente não em tudo porque vão continuar as backdoors, mas haverá uma higienização que devemos valorizar”, defende.

Mesmo assim, para ler todas as condições definidas pelos serviços de forma atenta e séria seriam precisas muitas horas, tal como para uma análise criteriosa das longas listas de emails com pedidos de autorização. Tempo que não há, ou que é sempre curto demais. No final podemos acabar com uma caixa de correio mais limpa, mas também podemos perder involuntariamente ligação a informação, mailling lists e newsletters que gostaríamos de continuar a receber.

Um esforço das empresas que pode ser inglório

Muitas empresas já gastaram uma fatia significativa do seu orçamento neste processo de “compliance”, mas em muitos casos estarão mal aconselhadas e não estão de facto a cumprir as regras do RGPD, pelo que mesmo quando obtêm o consentimento dos utilizadores este pode não ser válido. Certo é que quem fizer o trabalho a sério e apagar da lista os consumidores que não terem o seu OK vai ver o tamanho das suas bases de dados de contactos diminuir significativamente, numa percentagem que ninguém se arrisca a estimar.

Por isso o RGPD só traz prejuízos para as empresas? Carina Branco questiona o “esforço” que está a ser feito pelas organizações, admitindo que não sabe se é um esforço sério ou mera operação de cosmética, passando verniz na forma como são tratados os dados. “Não devia ser feito esforço para obter consentimento mas para preparar a organização para o RGPD e trazer conformidade legal, o que vai muito além do consentimento. Isso obriga a dotar as organizações de meios organizativos, é um esforço de transformação, implica questionar processos, tecnologia, segurança e modelo de negócios, fazer o mapeamento das operações de tratamento de dados e inventariar os dados. Custa muito dinheiro de assessoria jurídica e técnica”, defende.

A jurista admite que “há ainda muito para fazer” e avisa que muito deste esforço feito agora, nos últimos dias antes da entrada em efeito do RGPD é inglório. “Vai aguentar algum tempo, enquanto os meios de fiscalização no terreno não estão definidos, permite ganhar algum tempo mas mais tarde ou mais cedo vai ceder”, justifica.