Caixas de consentimento que valem como prova

O artigo 6.º, n.º 1, do RGPD enumera seis bases legais, e o consentimento é apenas uma delas. Qual se aplica depende do que fazes com os dados, e não do formulário em si.

• Responder a um pedido de informação. A pessoa perguntou algo e espera uma resposta. Isto costuma enquadrar-se no artigo 6.º, n.º 1, alínea b), diligências a pedido da pessoa antes de um contrato, ou na alínea f), interesses legítimos. Uma caixa de consentimento acrescenta pouco aqui, e tem um custo: o consentimento pode ser retirado a qualquer momento (artigo 7.º, n.º 3), após o que terias de deixar de tratar os dados com essa base.
• Email de marketing ou newsletter. Adicionar alguém a uma lista de envio vai além do que a pessoa pediu. Este é o caso clássico de uma caixa de consentimento separada e opcional. O email de marketing é também regulado por regras nacionais que transpõem a Diretiva ePrivacy, que na maioria dos casos exigem igualmente consentimento prévio.
• Guardar dados para mais tarde. Manter o CV de um candidato a emprego para futuras vagas, ou partilhar dados com um parceiro para uso próprio deste, são finalidades distintas. Cada uma precisa da sua própria base, e o consentimento é muitas vezes a que se adequa.
• Dados de categorias especiais. Informação de saúde e as outras categorias do artigo 9.º exigem uma condição do artigo 9.º, n.º 2, além de uma base legal; o consentimento explícito é uma delas.

O artigo 4.º, n.º 11, define consentimento como livre, específico, informado e inequívoco. O artigo 7.º acrescenta as condições. Em termos de formulários:

• A caixa começa desmarcada. O silêncio, as caixas pré-marcadas e a inação não são consentimento (considerando 32).
• Uma caixa por finalidade, separada da aceitação dos teus termos (artigo 7.º, n.º 2).
• O serviço não depende de marcar a caixa quando os dados não são necessários para o serviço (artigo 7.º, n.º 4).
• A pessoa pode retirar o consentimento tão facilmente como o deu, e é informada disso antes de concordar (artigo 7.º, n.º 3).
• Consegues demonstrar que a pessoa consentiu, e com que texto (artigo 7.º, n.º 1).

O Comité Europeu para a Proteção de Dados descreve cada condição em pormenor, com exemplos, nas suas Orientações 05/2020 relativas ao consentimento.

Um bom texto de consentimento indica quem és, a finalidade específica e como retirar o consentimento. Lê-se como uma frase que uma pessoa aceitaria, e não como uma cláusula jurídica. Por exemplo:

Envia-me por email a newsletter mensal da Acme Studio sobre novos cursos. Posso cancelar a subscrição a qualquer momento através da ligação que consta em cada email. Lê a política de privacidade.

Formulações a evitar: “Concordo com os termos e a política de privacidade” (agrupado e sem finalidade específica), “Consinto o tratamento dos meus dados” (que tratamento, para quê?), ou qualquer formulação que condicione o envio do pedido de contacto à subscrição de uma lista de envio.

Cada formulário tem uma definição de consentimento RGPD nas suas definições de privacidade, disponível em todos os planos, incluindo o Free. Ativas a recolha de consentimento, escreves o texto do consentimento (até 2000 caracteres) e escolhes se o consentimento é obrigatório.

• Formulários alojados mostram automaticamente a caixa de seleção, desmarcada, com o teu texto ao lado.
• Consentimento obrigatório. Quando é obrigatório, uma submissão sem a caixa marcada é rejeitada com 422 consent_required antes de ser guardada ou contabilizada na tua quota.
• Prova. Quando a pessoa marca a caixa, a Formward guarda juntamente o texto de consentimento configurado no formulário e a hora da submissão. Ambos aparecem na vista da submissão. O texto é um instantâneo: se alterares a formulação mais tarde, as submissões anteriores mantêm a formulação que os remetentes viram.
• Consentimento opcional. Se o consentimento não for obrigatório e a caixa ficar desmarcada, a submissão é aceite e não fica registado qualquer consentimento para ela.

A Formward regista o consentimento, mas não gere a retirada por ti. Se uma pessoa retirar o consentimento, deixa de efetuar o tratamento que dependia dele (no caso de uma newsletter, cancela a subscrição dela na tua ferramenta de envio) e, se o pedir, apaga as suas submissões.

Num formulário que alojas por conta própria, adiciona uma caixa de seleção com o nome _consent. A Formward considera on, true, 1 e yes como consentimento dado; um navegador envia on para uma caixa marcada e nada para uma desmarcada.

Copy<form action="https://forms.formward.eu/f/<FORM_ID>" method="POST">
  <label>Email <input type="email" name="email" required /></label>
  <label>Message <textarea name="message" required></textarea></label>

  <!-- Optional and unticked. Same wording as the form's consent text. -->
  <label>
    <input type="checkbox" name="_consent" />
    Email me Acme Studio's monthly newsletter about new courses.
    I can unsubscribe at any time with the link in every email.
  </label>

  <input type="text" name="_gotcha" style="display:none" tabindex="-1" autocomplete="off" />
  <button type="submit">Send</button>
</form>

Mantém o rótulo idêntico ao texto de consentimento nas definições do formulário. A Formward guarda o texto configurado, nunca o texto enviado pelo navegador, pelo que os dois têm de coincidir para que o registo descreva o que a pessoa efetivamente viu. O valor de _consent em si não é guardado com as respostas.