Como exposto na última coluna, a política de privacidade é um dos instrumentos de implementação do privacy by design[1] para a proteção de dados, buscando dar visibilidade ao tratamento de dados pessoais, atendendo princípios da Lei Geral de Proteção de Dados Pessoais (LGPD).
Diante da existência de Política de Privacidade do IX.br[2], feito o seu estudo e essa coluna visa a apresentação de um cartaz explicativo para que possam ser entendidas as diretrizes utilizadas para a preservação da privacidade pela plataforma. Para tanto, utilizadas técnicas do Legal Design.
O QUE SERIA O LEGAL DESIGN?
A Diretora Executiva do Legal Design Lab, Margaret Hagan[3], um grupo de P&D da Stanford Law School Principal, utiliza o seguinte conceito: “O legal design é a aplicação do design centrado no ser humano ao mundo do direito, para tornar os sistemas e serviços jurídicos mais humanos, utilizáveis e satisfatórios”.
Trata-se o Design da solução de um problema envolvendo aspectos estéticos e funcionalidade. Por sua vez, o legal design é um conjunto de princípios e práticas do design para solucionar determinados problemas do direito, permitindo a criação de soluções funcionais, mais humanas e envolventes.
O USO DO LEGAL DESIGN NA POLÍTICA DE PRIVACIDADE
Os avisos de privacidade, popularmente conhecidos como políticas de privacidade, são declarações de empresas ou órgãos públicos para com seus usuários, a fim de dispor sobre o ciclo de vida do tratamento dos dados pessoais, incluindo as finalidades do tratamento, garantia de exercício dos direitos dos titulares, informações do Encarregado de Proteção de Dados Pessoais, também chamado de DPO (Data Protection Officer), entre outros assuntos.
A adoção do design visual aplicado ao Direito (Visual Law) tem transformado a forma como as informações jurídicas são apresentadas aos usuários dos serviços. A proposta do Visual Law é melhorar a comunicação de informações legais complexas e a experiência do usuário do sistema.
Por meio da aplicação do Legal Design (design de produtos e serviços jurídicos), documentos, como o aviso de privacidade, podem ter estruturação visual, facilitando a compreensão de termos legais por meio da utilização de iconografia, informações em camadas de resumo e estruturação por tópico de assunto abordado, facilitando a localização das informações.
O documento deve estar de acordo com as seguintes premissas:
ON-LINE: O documento deve estar em destaque, em local de fácil acesso aos usuários, como no site da empresa, nos aplicativos para dispositivos móveis e nos formulários on-line.
PÚBLICO ALVO: Deve ser redigido levando em consideração categorias ou tipos específicos de usuários
LINGUAGEM CLARA: O documento deve ser claro, em linguagem concisa e de fácil entendimento, para que os usuários sem nenhum conhecimento técnico ou jurídico possam compreender o conteúdo pelo menos razoavelmente.
CUIDADO COM AS REPRESENTAÇÕES GRÁFICAS: A interpretação de representações gráficas pode diferir entre os usuários.
PROPÓSITO E PERÍODO DE RETENÇÃO
Apresentar a finalidade atrelada ao tratamento de cada informação pessoal coletada é uma das diretrizes apresentadas pela norma técnica ISO 29.184. Na LGPD (Lei Geral de Proteção de Dados Pessoais), de acordo com o princípio da finalidade, o tratamento deve ser realizado para propósitos legítimos, específicos, explícitos e informados ao titular.
Com a utilização do aviso em camadas, é recomendável que a primeira camada seja um resumo com as principais informações para o usuário ou titular de dados. As demais camadas devem fornecer informações detalhadas sobre como se dá o tratamento dos dados (coleta e/ou processamento).
Para facilitar a visualização da finalidade por parte do titular, de acordo com a ISO 29.184, a recomendação é utilizar frases curtas e objetivas, que possam resumir e apresentar, de forma clara, quais os propósitos para tratamento dos seus dados pessoais.
Utilizar pop-ups e drill downs (acessar dados em níveis mais baixos em bases de dados hierarquicamente estruturadas) para exibir a íntegra do conteúdo.
O período de retenção dos dados pessoais deve ser apresentado de acordo com as finalidades que originaram sua coleta. Essas informações devem ser dispostas de forma conjunta no aviso de privacidade, conforme tabela ao lado. O tempo de retenção pode ser detalhado em período específico (ex. 2 anos) ou em data específica (ex. 11.08.2023).
COLETA
Apresentar as informações que serão coletadas em cada uma das principais atividades. Em vez de usar linguagem genérica, como “nós coletaremos suas informações”, optar pela descrição dos principais elementos contidos em cada atividade. Por exemplo:
MÉTODOS DE COLETA
Apresentar as formas de coleta das informações pessoais. É possível que, dentro de uma mesma atividade, os dados pessoais sejam obtidos por meio de diferentes métodos de coleta. Nesse caso, o titular de dados deverá ter visibilidade sobre todos eles.
IDENTIDADE DO CONTROLADOR
O titular deverá saber quem será o responsável pelo tratamento de seus dados pessoais. Para tanto, a apresentação do nome e contato do controlador é necessária Observe:
LOCALIZAÇÃO E TEMPO: Os avisos de privacidade devem, preferencialmente, ser exibidos ao titular antes do tratamento de seus dados. Quando o método de coleta não envolver a interação direta com o titular, incluir a fonte e o período em que a informação foi coletada.
LOCAL DE ARMAZENAMENTO
Os avisos de privacidade devem indicar o local de armazenamento das informações pessoais, em especial quando a atividade de tratamento ocorrer em outras jurisdições. Ex.: armazenamos seus dados pessoais no Brasil.
USO
Incluir detalhes sobre como a informação será utilizada. Também é preciso informar ao titular o uso que será dado aos seus dados pessoais, de acordo com o princípio da transparência disponível na LGPD.
COMPARTILHAMENTO DE DADOS COM TERCEIROS
O aviso deverá detalhar se a informação pessoal será transferida para terceiros. Neste caso, deverão ser disponibilizadas as seguintes informações:
- Para qual terceiro a informação será compartilhada.
- Ao invés de inserir o nome do(s) terceiro(s) destinatário(s) dos dados pessoais, poderão ser detalhadas as categorias que melhor descrevam a atividade de compartilhamento. Ex.: prestadores de serviço, parceiros comerciais e órgãos governamentais.
- A geolocalização dos terceiros destinatários de dados, em especial se houver qualquer mudança de jurisdição.
- A razão atrelada à transferência. Ex.: para processamento da biometria facial detalhada no propósito. Eventuais impactos negativos causados pela transferência. Ex.: possível diminuição do nível de segurança. Detalhes sobre as salvaguardas adotadas para a transferência. Ex.: inclusão de cláusulas contratuais, etc.
- Eventuais impactos negativos causados pela transferência. Ex.: possível diminuição do nível de segurança.
- Detalhes sobre as salvaguardas adotadas para a transferência. Ex.: inclusão de cláusulas contratuais, etc.
DIREITOS DOS TITULARES
A empresa deverá apresentar detalhes sobre os direitos dos titulares (acesso, confirmação de existência, correção etc). Para além da especificação sobre os possíveis direitos, deverão ser detalhados:
- Meios que os titulares podem solicitar acesso aos seus dados e quais elementos poderão ser acessado.
- Quais informações deverão ser fornecidas pelo titular para autenticação de sua identidade O tempo médio de atendimento dos direitos.
- Quando o consentimento for a base legal, os meios para a sua revogação.
- Os meios pelos quais os titulares poderão solicitar a correção de seus dados Eventuais cobranças para exercício de acesso aos dados (se possível e aplicável pela legislação).
- Eventuais circunstâncias que impedirão a deleção ou alteração dos dados, detalhando os meios em que o titular poderá protestar pela correção de seus dados.
- Eventuais cobranças para exercício de acesso aos dados (se possível e aplicável pela legislação).
DÚVIDAS E RECLAMAÇÕES
Inserir, no aviso de privacidade, canal apropriado para dúvidas e reclamações. Importante contemplar a identidade e as informações de contato do Encarregado de Proteção de Dados Pessoais, conforme determina o parágrafo primeiro do artigo 41 da LGPD.
ESBOÇO CRIADO
Como exposto, o processo de legal design possui diferentes etapas: é preciso descobrir, sintetizar, construir, testar e evoluir. Esse fluxo de trabalho faz com que você conheça melhor o que está em “jogo”.
Com base no estudo voltado à legibilidade das políticas de privacidade, criei um esboço para a política acima mencionada. Foram criadas figuras para explicar um documento com 9 (nove) páginas. É algo que muito deve ser melhorado e estudado, mas criado especificamente para ajudar os usuários da plataforma a melhor entenderem como são dados pessoais são tratados.
Veja a minha criação nesse link: https://docs.google.com/document/d/1RBFcDWAjTcXs5PhKSdXWcEztU-zuRKMj6OqwIsYf9qM/edit
[1] Resumidamente, privacy by design, ou privacidade desde a concepção, é uma abordagem ligada à Engenharia de Sistemas e que preza pela privacidade do usuário durante todo o processo de construção de uma solução.
[2] Política de Privacidade do IX.br. Disponível em: https://docs.ix.br/doc/Politica_de_Privacidade_IXbr_MeuIXbr_2021_07_15.pdf.
[3]Linkedin de Margaret Hagan disponível em: https://www.linkedin.com/in/margaret-hagan-a7b18941/
BLUM, R.O., & Vainzof, R. E-books e Cartilhas. Disponível em: https://opiceblum.com.br/ebooks/. Acesso em: 29 de jul. 2023