No final de maio de 2018, entrou em vigor o novo regulamento da União Europeia sobre proteção de dados pessoais — o GDPR. São novas regras para qualquer pessoa que, dentro do território da UE, colete dados pessoais como e-mails, endereços IP e outros identificadores. E se você tem um blog e coleta esse tipo de dado, o GDPR para blogueiros também se aplica a você — sem exceções.

Isso significa que o novo regulamento vale para blogueiros também? Sim, sem exceção nenhuma.

“Será que vou ter que mandar um e-mail para todos os meus leitores pedindo para se recadastrarem na lista? E não posso mais usar cookies?!”

A internet está cheia desses cenários apocalípticos, mas a verdade é que o GDPR não é nenhum bicho de sete cabeças. É só questão de se organizar e entender o que precisa ser feito. Preparamos um guia prático com tudo que você precisa mudar no seu blog para estar em conformidade. E também vamos te contar o que fazer com os subscribers que você já tem na sua lista de e-mails.

AVISO IMPORTANTE. Não somos advogados nem especialistas em proteção de dados. Tudo o que você vai ler aqui é apenas a nossa interpretação do GDPR, do ponto de vista de blogueiros. As informações foram baseadas no próprio regulamento e em como outros criadores de conteúdo lidaram com o assunto. Não tome este artigo como conselho jurídico — use-o como um ponto de partida para entender como aplicar o GDPR no seu caso específico. Dito isso, vamos nessa!

O objetivo do GDPR é dar ao usuário (no caso do blogueiro, ao leitor) maior controle sobre os próprios dados. Portanto, quanto mais transparente você for no tratamento das informações e quanto mais autonomia der aos seus leitores, mais facilmente você vai cumprir todas as exigências.

Que dados coletamos dos leitores como blogueiros

Quando o regulamento fala em “tratamento de dados”, ele se refere a qualquer dado que você colete sobre seus usuários e à forma como você os utiliza. Dados pessoais são aqueles que permitem identificar uma pessoa — direta ou indiretamente. Isso inclui nomes, endereços, telefones, e-mails, endereços IP e outros identificadores. Portanto, se você faz qualquer uma das coisas abaixo no seu blog, o GDPR se aplica a você:

• Coleta e-mails — por exemplo, para enviar newsletters
• Tem comentários habilitados nos artigos (especialmente no WordPress)
• Monitora o comportamento dos usuários, por exemplo com o Google Analytics
• Tem um formulário de contato no blog
• Usa plugins que coletam dados dos usuários
• Realiza sorteios e giveaways

#1 Use checkboxes (ou outra forma de consentimento) sempre que o leitor fornecer dados

Sempre que você coletar dados pessoais de um leitor, precisa fazer isso com o consentimento explícito dele. Além disso, ao fornecer os dados, o leitor precisa saber exatamente para que eles serão usados. Se alguém te dá o e-mail para receber novidades, essa pessoa precisa confirmar explicitamente que quer mesmo receber seus conteúdos.

A forma mais simples de fazer isso é adicionar um checkbox, por meio do qual o leitor dá o consentimento de forma clara. É uma solução um pouco mais burocrática, mas que te protege em todas as frentes. Veja como fazemos aqui no Loudavým Krokem:

A segunda opção é incorporar o consentimento diretamente no botão. Por exemplo, ao se inscrever em um curso, o usuário confirma o consentimento ao clicar no botão de inscrição.

MODELO DE TEXTO

Para facilitar ainda mais, preparamos um texto modelo para você. Substitua as reticências pela lista do que você vai enviar aos seus leitores por e-mail e inclua um link para sua política de privacidade na última frase. (O modelo da política você pode baixar logo abaixo.)

TEXTO MODELO PARA CONSENTIMENTO: Ao clicar em “Concordo…”, você concorda em receber de nossa parte: …………… Se não quiser mais receber nossos e-mails, pode cancelar a inscrição a qualquer momento por meio do link de descadastramento presente em cada mensagem. Saiba mais sobre nossa política de privacidade aqui.

Se você usa formulários padrão do WordPress, o plugin WP GDPR Compliance resolve o problema. Se coleta e-mails via Mailchimp, ConvertKit ou outras plataformas similares, você encontrará as soluções diretamente nelas.

O plano de ação é simples: você precisa ter registrado, para cada leitor, como e quando ele deu o consentimento para o envio de e-mails.

#2 Para se proteger ainda mais, use o double opt-in — ou seja, a confirmação dupla do consentimento

Mesmo que o GDPR não exija isso explicitamente, ter um double opt-in é uma boa prática. Depois que alguém se inscreve na newsletter ou em um curso, enviamos um e-mail com um botão de confirmação, para que a pessoa confirme que realmente quer receber nossas mensagens. Se não confirmar, não adicionamos o contato à lista. Por que isso é útil?

• Consentimento duplo para o envio de mensagens
• Garante que o leitor tem interesse genuíno no seu conteúdo
• Evita que e-mails digitados com erro entrem na sua base de dados

Veja como é um e-mail de double opt-in na prática:

Só depois que o usuário clica no botão de confirmação é que o e-mail é adicionado à base de dados e a sequência de e-mails é ativada. Os dados de usuários que não confirmarem o consentimento devem ser excluídos da base sem demora.

#3 Crie uma Política de Privacidade conforme o GDPR e publique-a no seu site

Criar uma Política de Privacidade é o que mais assusta as pessoas. Mas não precisa ser assim — preparamos um modelo para você, é só preencher com as suas informações. Veja como é a nossa. Você precisa criar uma Política de Privacidade para cada blog que você administra e colocá-la no menu do site — pode ficar em um submenu. O que deve constar na Política:

• Quem é o responsável pelo tratamento dos dados pessoais
• Quais dados você trata e com qual finalidade
• Para quem os dados são repassados
• Como você protege os dados
• Quais são os direitos dos leitores

No modelo que preparamos, indicamos exatamente onde você deve inserir suas informações, com comentários explicando o que escrever em cada campo. 🙂

#4 Informe seus subscribers atuais que você está em conformidade com o GDPR, ou peça o consentimento deles

E agora chegamos ao ponto mais delicado. Provavelmente você já tem dezenas, centenas ou até milhares de e-mails na sua base. O que fazer com eles? Precisa enviar um novo formulário de cadastro para cada pessoa confirmar o consentimento? Ou pode deixar como está? Depende de como você coletou esses e-mails até agora.

1. Você coletou os e-mails com uma finalidade específica e cumpriu o combinado

Se você sempre coletou e-mails da forma exigida pelo GDPR, não precisa pedir o consentimento novamente. Coletar conforme o GDPR significa que você consegue comprovar quando, como e com qual finalidade o leitor deu o consentimento e forneceu o e-mail.

Nesse caso, na nossa opinião, basta informar os seus subscribers atuais sobre:

• Como você obteve os dados deles (onde eles se cadastraram)
• Para que você usa esses dados (o que você envia para eles)
• Que a partir de agora você trata os dados de acordo com o GDPR
• Como eles podem se descadastrar da lista

É assim que fizemos aqui:

1. Você coletou e-mails via formulários genéricos (ou de outras formas), ou envia conteúdo para o qual o leitor não se inscreveu especificamente, ou não cumpriu outras condições na coleta

Se você tem um certo peso na consciência porque coletou e-mails sem consentimento explícito, ou porque manda todo tipo de conteúdo para a base inteira, você vai precisar obter o consentimento explícito de cada leitor — se quiser continuar enviando.

Esse foi exatamente o nosso caso: no Loudavým Krokem, coletávamos e-mails principalmente por meio de sorteios e giveaways de viagem, sem nunca deixar claro para os participantes que, ao entrar no sorteio, eles também estavam se inscrevendo na nossa newsletter. Por isso, pedimos o consentimento para tudo que planejamos enviar:

Ao clicar no link, o leitor é direcionado para uma página onde precisa marcar o checkbox confirmando explicitamente o consentimento para receber os e-mails.

#5 Se você segmenta leitores com tags e coleta e-mails por vários formulários, planeje bem a sua estrutura

Não foi fácil adaptar o GDPR à nossa estrutura de formulários, porque usamos muitos deles. Temos várias categorias de interesse nas quais os leitores podem se cadastrar, e vamos marcando os subscribers com tags para enviar conteúdo segmentado.

Alguém pode estar interessado em criptomoedas, outro em marketing digital ou empreendedorismo online. Se alguém se inscreve em um curso de criptomoedas, não podemos, pelo GDPR, enviar para essa pessoa um artigo sobre como promover o blog no Instagram. Por isso, é fundamental acompanhar quem deu qual tipo de consentimento. Recomendamos criar um mapa visual para se organizar melhor. O nosso ficou assim:

Como você pode ver, adicionamos o double opt-in de GDPR em todos os formulários de entrada pelos quais o leitor pode se cadastrar na nossa base de e-mails.

#6 “Interesse legítimo” e como usá-lo

No contexto do GDPR, existe o conceito de “interesse legítimo”, que é uma exceção que pode ser usada para justificar o envio de e-mails sem consentimento explícito em determinados casos.

Por exemplo, se alguém compra um produto no seu site, você pode presumir razoavelmente que essa pessoa tem interesse em receber novidades da sua loja — e assim adicioná-la à sua newsletter. Isso se enquadra como interesse legítimo no contexto de marketing direto.

No entanto, use o interesse legítimo com cuidado: sua definição é bastante vaga e, na nossa opinião, é melhor recorrer a ele o mínimo possível e sempre buscar o consentimento explícito.

#7 Uso de cookies e ferramentas como o Google Analytics

Se você usa ferramentas de análise para monitorar o comportamento dos visitantes no seu blog — como o Google Analytics —, o GDPR também se aplica a você.

Quando um leitor acessa seu site pela primeira vez, o Google Analytics instala cookies no navegador dele para rastrear seu comportamento. Esses cookies coletam dados pessoais na forma de identificadores que podem ser usados, potencialmente, para identificar indiretamente o usuário.

Por isso, você precisa informar as pessoas que coleta cookies — e não só isso: elas também precisam saber quais dados são coletados, para que são usados e como podem recusar os cookies.

A forma mais simples de fazer isso (se você usa WordPress) é instalar um plugin:

• Cookie Law / GDPR Info

As informações sobre cookies também devem constar na sua Política de Privacidade.

#8 Os leitores podem solicitar todas as informações que você possui sobre eles

Pelo GDPR, os usuários têm o chamado “direito de acesso” às informações que você possui sobre eles.

Por isso, certifique-se de que você consegue acessar e exportar essas informações. Isso inclui registros de quando e como o usuário se cadastrou, quais e-mails você enviou para ele, e também dados sobre o comportamento dele no site — como os coletados pelo Google Analytics.

O Google, felizmente, preparou ferramentas para isso, incluindo a possibilidade de excluir os dados coletados de qualquer usuário específico.

Resumo

O GDPR não é tão assustador quanto parece. Para nós, inclusive, foi uma ótima oportunidade para organizar melhor nossas bases de e-mails, melhorar a segurança dos dados e limpar subscribers inativos. Então, quais passos você deve dar para estar em conformidade com o GDPR?

• Criar uma Política de Privacidade
• Ter o consentimento explícito de cada contato para o tratamento dos dados com uma finalidade específica
• Ser capaz de comprovar quando e como o leitor deu o consentimento
• Incluir na Política de Privacidade informações sobre os outros responsáveis pelo tratamento de dados

Modelo elaborado por nós para ajudar na criação do seu documento GDPR

Reunimos essas informações ao longo de muitas horas de pesquisa e não queremos guardar isso só para nós. Por isso, preparamos um documento detalhado com um modelo de Política de Privacidade (GDPR) — é só preencher e pronto. Está cheio de notas e explicações para que até quem está começando não se perca. 👇

AVISO IMPORTANTE. Não somos advogados nem especialistas em proteção de dados. Tudo o que você vai ler aqui é apenas a nossa interpretação do GDPR, do ponto de vista de blogueiros. As informações foram baseadas no próprio regulamento e em como outros criadores de conteúdo lidaram com o assunto. Não tome este artigo como conselho jurídico — use-o como um ponto de partida para entender como aplicar o GDPR no seu caso específico.