Proteção de dados e códigos QR: o que as empresas suíças devem ter em conta segundo a LPD
Os códigos QR são geralmente vistos como ferramentas técnicas inofensivas – um padrão de quadrados pretos e brancos que leva a um site. No entanto, assim que um código processa dados ou leva a formulários que recolhem informação pessoal, entra num domínio do direito da proteção de dados que também é relevante para as empresas suíças.
Nota: Este artigo dá uma visão geral e não substitui aconselhamento jurídico. Se tiveres questões concretas sobre a tua situação, recomenda-se que consultes um especialista.
A nova Lei de Proteção de Dados (nLPD) como base legal
A Lei Federal sobre a Proteção de Dados revista (nLPD) está em vigor na Suíça desde setembro de 2023. Entre outras coisas, exige às empresas:
- Transparência: as pessoas em causa têm de poder perceber que dados são tratados e para que fim – normalmente através de uma política de privacidade.
- Minimização de dados: só podem ser recolhidos os dados realmente necessários para a finalidade concreta.
- Segurança adequada: medidas técnicas e organizativas têm de proteger os dados tratados contra abuso, perda ou acesso não autorizado.
- Obrigação de notificar violações: determinadas violações de dados têm de ser comunicadas ao Comissário Federal para a Proteção de Dados e da Informação (PFPDT).
Onde os códigos QR entram concretamente em jogo
O rastreio de leituras como tratamento de dados
Se um código QR dinâmico regista quando, quantas vezes e com que dispositivo foi lido, isso constitui uma forma de tratamento de dados. Se as leituras individuais puderem eventualmente ser associadas a uma pessoa concreta através do endereço IP, este processo deve ser mencionado na tua política de privacidade – mesmo que muitos fornecedores de códigos QR já tratem os endereços IP de forma anonimizada, reduzindo bastante o risco.
Formulários e páginas de destino por trás do código
Se um código QR leva a um formulário de contacto, a uma inscrição numa newsletter ou a um passatempo que pede dados pessoais, aplicam-se a essa página de destino os mesmos requisitos que a qualquer outro formulário: tem de haver informação clara sobre a finalidade e uma base legal válida para o tratamento. Em caso de dúvida, é também necessário um consentimento explícito.
Códigos vCard com dados de contacto de terceiros
Se um código QR vCard não for criado para ti, mas para outra pessoa (por exemplo, para colaboradores em crachás partilhados), convém verificar se a pessoa em causa concorda com a publicação dos seus dados de contacto.
Localização fora da Suíça
Se a leitura ou o tratamento de dados subjacente for feito por um fornecedor com sede ou servidores no estrangeiro, a questão do tratamento transfronteiriço de dados pode também tornar-se relevante. Fornecedores com sede e alojamento na Suíça ou na UE simplificam bastante esta avaliação na prática.
Uma lista de verificação prática
- A tua política de privacidade refere que as leituras de códigos QR podem ser analisadas para fins estatísticos?
- Os endereços IP são anonimizados ou, pelo menos, truncados na análise?
- Algum código QR leva a um formulário que recolhe dados pessoais – e esse formulário está, ele próprio, em conformidade com a proteção de dados?
- Há conteúdos sensíveis ou não destinados ao público a ser distribuídos através de um código QR de acesso livre, quando uma proteção por palavra-passe seria mais adequada?
- Sabes onde o teu fornecedor de códigos QR tem os servidores?
Uma perspetiva pragmática
Na maioria das utilizações do dia a dia – um menu, um código com informação de produto, um link para as redes sociais –, a legislação de proteção de dados não levanta grandes obstáculos, desde que se cumpram os requisitos básicos de transparência. A situação torna-se mais delicada assim que um código QR leva, direta ou indiretamente, a dados pessoais – por exemplo, através de um formulário, de um inquérito com campo para o nome ou de um cartão de contacto. Nesses casos, vale a pena uma verificação breve mas cuidadosa antes de o código seguir para impressão.
O que ter em conta ao escolher um fornecedor de códigos QR
Se queres garantir que a tua atividade cumpre as regras de proteção de dados, deves também olhar com atenção para a ferramenta de códigos QR que usas. Onde estão alojados os dados? Os endereços IP são anonimizados? E é possível proteger conteúdos sensíveis com palavra-passe, se necessário? O QRown está alojado na Suíça e, por predefinição, guarda os endereços IP das leituras apenas de forma truncada – uma base sólida para cumprires as tuas obrigações de proteção de dados de consciência tranquila.
Começa hoje mesmo!
Cria os teus códigos QR com um fornecedor suíço que dá prioridade à proteção de dados desde o primeiro momento.