Sempre que um cliente preenche um formulário, solicita um orçamento ou efetua uma compra através de um website, pode estar a fornecer dados pessoais, como o nome, o endereço de email, o número de telefone ou a morada. A empresa responsável deve garantir que essa informação é recolhida e utilizada de forma adequada, respeitando o Regulamento Geral sobre a Proteção de Dados (RGPD).
A proteção dos dados não depende apenas da política de privacidade. Envolve também a segurança técnica do website, a gestão dos acessos, a conservação da informação e os procedimentos adotados para prevenir incidentes.
Ligação segura (HTTPS)
O protocolo HTTPS permite cifrar a comunicação entre o navegador do visitante e o servidor do website, reduzindo o risco de interceção dos dados transmitidos. A sua implementação é especialmente importante em formulários de contacto, áreas de cliente e lojas online.
A existência de HTTPS é uma medida essencial de segurança, mas não garante, por si só, que o website esteja protegido contra todos os ataques. A configuração do servidor, a segurança das aplicações e a manutenção regular continuam a ser necessárias. O Google recomenda a utilização de HTTPS para proteger os utilizadores e os próprios websites.
Recolha e tratamento de dados pessoais
O RGPD estabelece que os dados pessoais devem ser adequados, pertinentes e limitados ao necessário para a finalidade para a qual são recolhidos. Num formulário de pedido de orçamento, por exemplo, poderá ser suficiente solicitar o nome, um meio de contacto e uma descrição do serviço pretendido.
A empresa deve ainda identificar uma base de licitude para o tratamento dos dados e informar o titular sobre a finalidade da recolha, o prazo de conservação, os destinatários da informação e os direitos que lhe assistem.
Atualizações e cópias de segurança
Um website desatualizado pode apresentar vulnerabilidades que facilitam o acesso não autorizado ou a instalação de software malicioso. A atualização do sistema, dos componentes e das extensões, sempre que aplicável, é uma medida importante para reduzir estes riscos.
As cópias de segurança permitem recuperar conteúdos e informação após uma falha técnica, um ataque ou uma eliminação acidental. Para serem eficazes, devem ser realizadas com regularidade, armazenadas de forma segura e testadas periodicamente, de modo a confirmar que os dados podem ser recuperados.
Controlo de acessos e palavras-passe
A segurança de um website depende também de quem pode aceder à sua área de administração e aos dados nele armazenados. Cada utilizador deve dispor apenas das permissões necessárias às suas funções, evitando contas partilhadas e acessos desnecessários.
A utilização de palavras-passe fortes, da autenticação multifator sempre que disponível e da remoção de contas que já não são utilizadas ajuda a reduzir o risco de acessos indevidos. Estas medidas são particularmente relevantes quando várias pessoas ou prestadores de serviços participam na gestão do website.
Política de privacidade e cookies
A política de privacidade deve explicar, de forma clara, quais os dados recolhidos, para que finalidades são tratados, durante quanto tempo são conservados e como podem os titulares exercer os seus direitos. Entre estes direitos encontram-se, nos termos legalmente aplicáveis, o acesso, a retificação, o apagamento e a oposição ao tratamento dos dados.
Os cookies devem igualmente ser analisados em função da sua finalidade. Os que não sejam estritamente necessários estão, em regra, sujeitos a consentimento prévio, devendo o visitante dispor de informação clara e de uma forma efetiva de aceitar ou recusar a sua utilização. A simples inclusão de uma ligação para a política de privacidade não substitui as obrigações aplicáveis ao mecanismo de consentimento de cookies.
Como agir perante uma falha de segurança
Mesmo com medidas preventivas, podem ocorrer incidentes que comprometam a confidencialidade, a integridade ou a disponibilidade dos dados pessoais. Perante uma situação desta natureza, a empresa deve avaliar o incidente, adotar medidas para o conter e documentar as decisões tomadas.
Quando esteja em causa uma violação de dados pessoais, o RGPD prevê a notificação à autoridade de controlo competente, sem demora injustificada e, sempre que possível, no prazo de 72 horas após o conhecimento do incidente, salvo quando seja improvável que este resulte num risco para os direitos e liberdades das pessoas. Nos casos de risco elevado, poderá também ser necessário informar os titulares dos dados.
Quer confirmar se o seu site cumpre estes pontos? Falamos sobre isso na consultoria gratuita.