RGPD e marketing no WhatsApp

Duas leis, não uma

A maioria das pessoas que pergunta pelo RGPD e pelo WhatsApp começa por perguntar pela lei errada. Aplicam-se duas, fazem perguntas diferentes, e cumprir uma não o dispensa de cumprir a outra.

O RGPD pergunta: tem, antes de mais, um fundamento de licitude para tratar os dados desta pessoa, e consegue respeitar os direitos que ela tem sobre eles? Um número de telefone é um dado pessoal, e a conversa também.

A Diretiva ePrivacy — transposta para o direito nacional de cada Estado-Membro — faz uma pergunta mais estreita, sobre o próprio ato de enviar: pode enviar comunicações não solicitadas de comercialização direta por via eletrónica a esta pessoa? O seu artigo 13.º sujeita-as a consentimento prévio. Uma mensagem de marketing pelo WhatsApp é comercialização direta por via eletrónica, tal como um SMS ou um e-mail.

É por isso que «baseamo-nos no interesse legítimo» não arruma a questão. O interesse legítimo pode perfeitamente cobrir a vertente do RGPD. A regra da Diretiva ePrivacy aplica-se por cima dele e continua a exigir consentimento.

Há uma exceção reconhecida, habitualmente chamada soft opt-in: quando obteve os contactos no âmbito de uma venda a essa pessoa, pode fazer-lhe comercialização direta dos seus próprios produtos semelhantes, desde que lhe tenha dado a possibilidade de recusar, de forma gratuita e fácil, no momento da recolha e em cada mensagem. A maioria dos Estados-Membros transpôs esta exceção, mas as condições variam — até que ponto o produto tem de ser semelhante, quão recente tem de ser a venda e se abrange contactos profissionais. É mais estreita do que se gostaria, e a versão alemã é a mais restritiva.

Como é um consentimento válido

A definição do RGPD é uma lista curta, e quase todos os consentimentos que falham falham num destes pontos:

• Livre. Não pode ser condição de um serviço que dele não precisa. «Assinale para receber ofertas por WhatsApp e concluir a sua compra» não é consentimento.
• Específico. Consentimento para marketing pelo WhatsApp, não para «marketing». O canal faz parte daquilo que a pessoa aceita, tal como a identidade de quem envia.
• Informado. A pessoa sabe quem é, o que vai enviar e como parar.
• Inequívoco, mediante um ato positivo claro. Uma caixa pré-assinalada não o é. O silêncio não o é. Continuar a navegar não o é.
• Tão fácil de retirar como de dar. Se a inscrição exigiu um toque, deixar de receber não pode exigir um e-mail para o apoio ao cliente.

A Meta impõe o seu próprio requisito de opt-in, de forma independente, e não é idêntico. À Meta importa que a pessoa soubesse que ia receber mensagens da sua empresa pelo WhatsApp; não prescreve a forma como o recolheu. Na prática, um consentimento que cumpre o RGPD também cumpre as regras da Meta, e é por isso que vale a pena redigi-lo uma vez, como deve ser — a redação e o local de recolha são tratados aqui.

O que tem de conseguir provar

O RGPD faz recair sobre si o ónus de demonstrar que o consentimento foi dado. Uma lista de números não prova coisa nenhuma. Para cada contacto, deve conseguir apresentar:

Uma lista de exclusão não é uma lista de apagamento. Quando alguém pede para deixar de receber mensagens, conserva o mínimo necessário para o manter excluído; apagar o registo por completo é a forma de as pessoas voltarem a ser importadas e a receber mensagens.

Onde fica a Meta no seu mapa de dados

Com a Cloud API, as mensagens passam por infraestrutura alojada pela Meta. Isso faz da Meta um subcontratante para esse conteúdo, com consequências que tem de pôr por escrito em vez de as dar como adquiridas:

• O seu registo das atividades de tratamento tem de a indicar, juntamente com o fornecedor da sua plataforma, que é geralmente um subcontratante, sendo a Meta um subcontratante ulterior.
• A sua política de privacidade tem de informar as pessoas de que, ao enviarem-lhe mensagens pelo WhatsApp, a Meta trata essa troca de mensagens.
• Termos de tratamento de dados. Apoia-se nos da própria Meta para a parte da Meta e nos do seu fornecedor para a dele. Peça ao fornecedor o contrato de subcontratação (DPA) antes de assinar, não depois.
• Transferências para fora do EEE. Fazem parte da relação com a Meta e estão cobertas pelo mecanismo previsto nos termos da Meta. Se a sua organização tem uma política sobre transferências, é aqui que ela se faz sentir.
• O local onde o fornecedor aloja os dados é uma questão diferente do local onde a Meta os aloja, e é essa que pode realmente escolher.

Responder aos pedidos dos titulares dos dados

O histórico de conversas são dados pessoais, por isso os direitos habituais aplicam-se-lhe, e o WhatsApp acrescenta uma complicação prática: uma conversa diz respeito a duas pessoas. Quando exportar ou apagar, decida de forma deliberada o que fazer com as mensagens escritas pelos seus próprios agentes.

• Acesso. Uma pessoa pode pedir a conversa. Conseguir exportar o histórico de um contacto sem exportar o de toda a gente é um requisito, não um extra.
• Apagamento. Apagar o contacto tem de apagar a conversa, e tem de conservar o suficiente para que continue excluído. Tenha também presente que a cópia no telemóvel da própria pessoa é dela, não sua, e não a pode apagar.
• Oposição. A oposição à comercialização direta é absoluta — não há ponderação de interesses. Tem de produzir efeitos antes da campanha seguinte, não na próxima atualização da lista.
• A portabilidade aplica-se quando o tratamento se baseou no consentimento, o que, numa conversa de marketing, foi o caso.

Durante quanto tempo conservar as conversas

O RGPD não fixa nenhum número. A obrigação é decidir um prazo que consiga justificar e depois aplicá-lo de facto — uma caixa de entrada que nunca apagou nada falha na segunda parte, diga a política o que disser.

Na prática: as conversas de apoio ao cliente são normalmente conservadas enquanto puder surgir um litígio sobre a transação subjacente, o que é determinado pelo prazo de prescrição do seu país. As conversas de marketing raramente justificam mais de um ou dois anos. Os registos de consentimento duram mais do que ambas, porque são a prova de que tinha sequer autorização para enviar.

A lista de verificação

1. Uma redação de opt-in que indica o WhatsApp e o nome da sua empresa, desmarcada por defeito.
2. Um registo de consentimento por contacto: quando, onde, que redação, que canais.
3. Um mecanismo para parar dentro da própria mensagem e um agente que sabe o que fazer quando alguém escreve «stop».
4. Uma única lista de exclusão, verificada por todas as campanhas, incluindo as importações.
5. A Meta e o seu fornecedor indicados no seu registo das atividades de tratamento e na sua política de privacidade.
6. Um contrato de subcontratação (DPA) assinado com o fornecedor.
7. Um prazo de conservação escrito e aplicado por algo mais do que boas intenções.
8. Uma forma de exportar e apagar a conversa de um contacto.