RGPD na análise de códigos QR: lista de verificação

RGPD na análise de códigos QR: uma lista de verificação prática

Antes de uma página aparecer, um código QR pode encaminhar o telemóvel através de vários serviços. A leitura pode passar por uma plataforma de ligações curtas, por um fornecedor de análise de dados e, depois, carregar uma página de campanha com os seus próprios cookies. Cada etapa pode afetar as informações recolhidas e quem as trata.

A relação entre RGPD e análise de códigos QR começa por analisar todo o percurso da leitura, não apenas o painel onde aparecem os totais. Esta lista explica como cumprir o RGPD ao usar códigos QR: use-a antes do lançamento e volte a consultá-la sempre que mudar o destino, o fornecedor ou uma definição de seguimento. As obrigações legais dependem da configuração e das pessoas afetadas; por isso, confirme quaisquer dúvidas com um profissional qualificado.

1. Antes do lançamento: mapeie o percurso da leitura

Comece pelo código impresso. Anote todos os destinos e serviços com que o telemóvel comunica após a leitura, incluindo redirecionamentos, serviços de ligações curtas, páginas de destino, gestores de etiquetas, ferramentas de análise e píxeis publicitários. Um cartaz de campanha que aponta para um URL curto pode envolver mais operações de tratamento do que sugere o destino visível.

Guarde uma cópia da ligação efetiva e teste-a num telemóvel. Registe cada redirecionamento pela ordem em que ocorre, a organização que o opera e os campos de dados recolhidos nessa etapa. Por exemplo, um serviço de redirecionamento pode registar a data e hora e o endereço IP, enquanto uma página de destino também pode acionar um evento de análise baseado em cookies.

Crie um inventário simples para cada etapa. Inclua a finalidade, os dados recolhidos, os destinatários, o local de armazenamento, se conhecido, e durante quanto tempo os registos ficam disponíveis. Assinale as incógnitas para as esclarecer, em vez de presumir que um fornecedor não recolhe nada só porque o painel apresenta apenas totais.

• Código QR: Identifique se o código é estático ou aponta para um redirecionamento editável.
• Redirecionamento: Verifique se o serviço regista endereços IP, dados do dispositivo ou horas de leitura.
• Página de destino: Faça uma lista dos cookies, píxeis, formulários e scripts de análise que são carregados.
• Ferramentas subsequentes: Registe todos os sistemas CRM, plataformas de correio eletrónico ou contas publicitárias que recebem eventos.

Para uma campanha pequena, uma folha de cálculo costuma ser suficiente. Atribua um nome de campanha a cada código QR, como «Menu de primavera — montra do café», para que seja possível associar um registo de leitura ao material impresso correto, sem depender de uma designação vaga como «QR 4».

2. Atribua responsabilidades e escolha uma base jurídica

Identifique quem decide por que motivo os dados das leituras são recolhidos e como a campanha os utiliza. Essa organização pode ser responsável pelo tratamento, enquanto um fornecedor que atua apenas segundo as suas instruções pode ser subcontratante; as funções dependem do tratamento efetivo e dos acordos estabelecidos. A designação usada num contrato, por si só, não resolve a questão.

Para cada finalidade, documente a base jurídica proposta e os motivos pelos quais é adequada. Medir o número agregado de visitas, atribuir compras a uma campanha e criar um perfil publicitário são finalidades diferentes; não as trate como uma única atividade genérica de «análise». Se um retalhista e uma agência decidirem em conjunto que dados recolher e como os utilizar, avalie as respetivas funções e responsabilidades.

A avaliação da privacidade e seguimento em códigos QR deve incluir as regras aplicáveis em matéria de privacidade e comunicações eletrónicas, que podem exigir consentimento para cookies, píxeis ou tecnologias de seguimento semelhantes. A leitura de um código QR não constitui automaticamente consentimento para o seguimento. Se for necessário obter consentimento, certifique-se de que a opção é apresentada antes de começar qualquer seguimento não essencial e teste se, ao recusá-la, os mesmos scripts não são acionados silenciosamente.

O consentimento não é uma mera formalidade. Quando necessário, guarde provas da escolha, como o registo do consentimento e a versão do aviso apresentado. No caso de uma campanha que utilize apenas um redirecionamento básico e contagens agregadas, documente por que motivo essa medição limitada é necessária e verifique se ainda há dados pessoais a ser tratados.

Analise as condições de terceiros antes do lançamento. Se uma campanha com códigos QR encaminhar visitantes para um serviço Google, consulte a política de privacidade – privacidade e termos aplicáveis e determine quais as definições ou os avisos relevantes para a sua utilização; não presuma que o aviso do fornecedor substitui o seu.

3. Prepare avisos claros e acessíveis

Informe as pessoas sobre o que acontece quando leem o código. O aviso deve identificar a organização responsável, as finalidades da recolha, os tipos de dados envolvidos, os destinatários ou as respetivas categorias e os prazos de conservação, além de outras informações exigidas para a situação. Evite dizer apenas «utilizamos ferramentas de análise» se a página também enviar eventos para uma plataforma publicitária.

Disponibilize o aviso antes de a recolha começar ou no momento em que começa, para que as pessoas possam compreender o tratamento desde o início. Uma frase curta junto ao código pode encaminhar para um aviso de privacidade completo, mas um aviso escondido a vários toques de distância no destino pode não explicar um redirecionamento que já registou informações sobre a leitura.

Certifique-se de que a explicação inicial é fácil de ler num telemóvel. Por exemplo, num suporte de mesa de um restaurante, coloque uma ligação curta para a informação de privacidade junto ao código QR e disponibilize o aviso completo na página do menu. Use descrições simples, como «registamos a hora da visita para contar as leituras do menu», em vez de termos como «tratamento de eventos».

Compare o aviso com o mapa do percurso. Se o código abrir primeiro uma plataforma de ligações curtas, certifique-se de que a explicação abrange essa recolha, quando aplicável, e não apenas o script de análise na página final. Inclua dados de contacto e uma forma clara de colocar questões sobre privacidade, como um endereço de correio eletrónico monitorizado ou um formulário Web.

Se a campanha utilizar ferramentas Google, consulte os termos de serviço do Google – privacidade relevantes, juntamente com a configuração do serviço e as suas próprias obrigações. As condições do fornecedor podem ajudar a identificar funcionalidades e fluxos de dados, mas não fornecem automaticamente um aviso completo para a sua campanha.

4. Minimize os dados e defina prazos de conservação

Recolha apenas os campos necessários para uma finalidade definida. Se a equipa da campanha precisar de comparar leituras por localização do cartaz, poderá bastar um código específico da campanha ou uma indicação aproximada da localização; recolher coordenadas GPS precisas ou uma impressão digital completa do dispositivo pode aumentar o risco sem responder a uma questão útil.

Analise separadamente o tratamento de endereços IP, identificadores de dispositivos, datas e horas e dados de localização. Pergunte se cada campo é necessário, se pode ser reduzido ou agregado e se a análise pode funcionar sem ele. A classificação de um campo como dado pessoal depende do contexto e da forma como é utilizado.

Defina um prazo de conservação para os eventos de leitura em bruto e os registos associados. Um calendário útil pode distinguir os registos de eventos identificáveis dos totais agregados da campanha e indicar quando cada um será apagado ou transformado, de modo a deixar de identificar as pessoas. Escolha os prazos com base nas necessidades operacionais e nos requisitos aplicáveis, em vez de conservar os dados indefinidamente só porque as predefinições do fornecedor o permitem.

Mantenha um registo das eliminações. Por exemplo, se estiver prevista a eliminação dos registos em bruto após um período aprovado, anote o responsável, o sistema e a forma de verificar a eliminação; inclua as cópias de segurança e as exportações no plano. Se a campanha não precisar de associar uma leitura a um cliente identificado, evite ligar os dados das leituras a um registo CRM só porque ambas as ferramentas estão disponíveis.

5. Analise os fornecedores de análise e os fluxos de dados

Faça uma lista de todos os fornecedores que recebem informações relacionadas com as leituras, incluindo a plataforma de códigos QR, o serviço de alojamento, o serviço de análise, o gestor de etiquetas e qualquer agência com acesso à conta. Para cada um, verifique as condições de tratamento, as instruções, os compromissos de segurança, as informações sobre subcontratantes e o apoio a pedidos de eliminação ou acesso. Se a documentação pública não esclarecer uma questão relevante, peça respostas por escrito.

Verifique onde os dados são armazenados e a partir de onde podem ser acedidos. Um fornecedor pode alojar informações num país e permitir que pessoal de apoio ou subcontratantes lhes acedam a partir de outro; por isso, analise todo o percurso, em vez de se basear apenas na localização destacada na página de marketing. Verifique se os dados são transferidos ou acedidos fora da jurisdição relevante e identifique as garantias aplicáveis antes do lançamento.

Confirme que o contrato abrange o tratamento que realmente tenciona efetuar. Se um fornecedor receber identificadores de leitura para medir a campanha, mas as respetivas definições também ativarem funcionalidades publicitárias, desative as funcionalidades desnecessárias e confirme a alteração na conta. Um contrato assinado não torna segura, por si só, uma configuração inadequada.

No caso de uma integração de redirecionamento ou análise baseada numa API, documente o ponto de acesso, as credenciais e os campos de dados enviados em cada pedido. Não inclua credenciais nos destinos públicos dos códigos QR nem em documentos destinados aos funcionários. Limite as permissões da conta às pessoas que gerem a campanha e reveja os acessos quando terminar o contrato com uma agência.

6. Teste os pedidos das pessoas e as alterações à campanha

Documente como a equipa encaminhará pedidos de acesso, apagamento ou oposição ao tratamento, e como registará a retirada do consentimento, quando este se aplicar. Identifique os direitos, os prazos de resposta e as exceções aplicáveis às circunstâncias e jurisdições relevantes. Designe um responsável e um contacto de substituição.

Teste o processo com um registo de exemplo antes de imprimir ou distribuir os códigos. Verifique se a equipa consegue localizar um registo de leitura na plataforma de redirecionamento, na conta de análise e no CRM, caso esses sistemas estejam ligados. Se não for possível localizar os registos sem um identificador, documente essa limitação e decida se a campanha deve mesmo recolher esse identificador.

Volte a testar após qualquer alteração relevante. Reveja o percurso quando um fornecedor é substituído, uma página de destino passa a incluir um píxel, o destino muda ou a campanha se dirige a um novo público. Uma atualização do redirecionamento pode alterar a recolha de dados mesmo que o código QR impresso permaneça exatamente igual.

Mantenha um dossier datado da campanha com o mapa do percurso, a versão do aviso, a avaliação da base jurídica, a análise dos fornecedores, o calendário de conservação e os resultados dos testes. Antes de aprovar a próxima impressão, compare o percurso de leitura em funcionamento com esse dossier e resolva quaisquer novas recolhas de dados antes de o código chegar aos clientes.