Desde a entrada em vigor do RGPD em maio de 2018, as antigas formalidades de declaração prévia junto à CNIL foram eliminadas para a grande maioria dos tratamentos de dados relacionados a um site internet. O mecanismo de conformidade agora se baseia em uma lógica de responsabilização: cada organismo deve documentar seus próprios tratamentos e ser capaz de provar sua conformidade a qualquer momento.
Registro de tratamentos: a peça-chave que substitui a declaração CNIL
O antigo sistema diferenciava entre declaração simplificada e declaração normal. Um site que coleta endereços de e-mail por meio de uma newsletter ou um formulário de contato precisava obter um recibo da CNIL antes de tratar esses dados. Este regime não existe mais.
Hoje, a conformidade de um site internet passa pelo registro das atividades de tratamento. Este documento interno lista cada operação envolvendo dados pessoais: finalidade, categorias de dados coletados, durações de conservação, medidas de segurança. Ele deve poder ser apresentado em caso de fiscalização.
Para um site vitrine com um formulário de contato, o registro permanece simples. Para um site e-commerce que armazena dados bancários e um histórico de compras, as entradas se multiplicam. A granularidade do registro reflete a complexidade real dos tratamentos, não o tamanho da empresa.
Concretamente, seguir uma procedimento de declaração CNIL simplificada equivale a estruturar este registro e documentar cada tratamento de acordo com as exigências do RGPD, sem esperar um recibo ou um número de registro.
Consentimento e cookies: os controles que a CNIL prioriza
A gestão do consentimento em um site web se tornou o principal motivo de reclamação junto à CNIL. As banners de cookies mal configuradas, as caixas pré-marcadas ou a ausência de um mecanismo de recusa tão simples quanto o de aceitação geram notificações regulares.
A CNIL adotou uma procedimento de sanção simplificada para tratar rapidamente as infrações comuns. Desde janeiro de 2026, 23 sanções foram impostas nesse contexto, a maioria em resposta a reclamações de usuários. O mecanismo permite sancionar sem passar pela formação restrita completa, o que acelera os prazos de tratamento.
Os pontos verificados durante uma fiscalização em um site internet cobrem vários aspectos concretos:
- A presença de um banner de cookies permitindo aceitar ou recusar os rastreadores com a mesma facilidade, sem design enganoso
- A efetiva colocação de cookies antes de qualquer ação do usuário (os cookies não essenciais não devem ser carregados antes do consentimento explícito)
- A conservação de uma prova datada do consentimento, consultável em caso de solicitação da CNIL
- A existência de uma política de privacidade acessível, descrevendo os tratamentos, as durações de conservação e os direitos dos usuários
Um site que atende a esses quatro pontos cobre a maioria dos riscos identificados pela CNIL sobre os tratamentos web comuns.
Responder aos direitos dos usuários: a obrigação mais subestimada
Muitos gestores de sites concentram seus esforços no banner de cookies e na política de privacidade, mas negligenciam a gestão das solicitações de exercício de direitos. O RGPD concede às pessoas afetadas um direito de acesso, retificação, exclusão e portabilidade de seus dados.
Um usuário pode solicitar a qualquer momento quais dados um site possui sobre ele, ou exigir sua exclusão. O responsável pelo tratamento tem um mês para responder. A ausência de resposta ou uma resposta tardia constitui uma infração passível de sanção.
Implementar um circuito de tratamento de solicitações
Para um site de pequeno porte, um formulário dedicado ou um endereço de e-mail específico (tipo [email protected]) é suficiente. O objetivo é rastrear cada solicitação recebida, a data de recebimento e a resposta dada.
Essa rastreabilidade alimenta diretamente o registro dos tratamentos. Em caso de fiscalização, a CNIL verifica não apenas a existência de um canal de contato, mas também a capacidade real de localizar e excluir os dados de uma pessoa identificada nas bases do site.
AIPD e casos particulares: quando a conformidade básica não é suficiente
A análise de impacto relativa à proteção de dados (AIPD) não é exigida para todos os sites. Ela se torna obrigatória quando um tratamento apresenta um risco elevado para os direitos e liberdades das pessoas: perfilamento sistemático, coleta de dados sensíveis (saúde, opiniões políticas), vigilância em larga escala.
Um site e-commerce clássico geralmente não se enquadra nesse escopo. Em contrapartida, uma plataforma de saúde online que oferece teleconsultas, ou um site que coleta dados biométricos para autenticação, deve realizar uma AIPD antes da implementação do tratamento.
Transferências de dados fora da União Europeia
A utilização de ferramentas de análise ou hospedagem localizadas fora da UE (serviços de nuvem americanos, por exemplo) impõe garantias adicionais. O responsável pelo tratamento deve verificar se o prestador oferece um nível de proteção adequado, por meio de cláusulas contratuais padrão ou uma decisão de adequação da Comissão Europeia.
Documentar a escolha de cada subcontratado no registro permite demonstrar essa verificação. A CNIL sancionou vários sites por transferir dados para servidores americanos sem um enquadramento contratual suficiente.
Conformidade RGPD de um site web: o que importa durante uma fiscalização
A lógica atual da CNIL se baseia na capacidade de demonstrar sua conformidade, não em um carimbo administrativo prévio. Uma fiscalização se baseia em provas tangíveis: o registro atualizado, as provas de consentimento, as respostas às solicitações de direitos, a documentação dos subcontratados.
- O registro das atividades de tratamento, mesmo sob a forma de planilha, deve ser completo e atualizado
- As provas de consentimento dos usuários devem ser datadas e mantidas durante toda a duração do tratamento
- Os contratos com os subcontratados (hospedagem, ferramenta de e-mail marketing, solução de pagamento) devem incluir cláusulas RGPD
A conformidade de um site internet não se resume mais a uma declaração pontual. Ela se constrói ao longo do tempo, por meio da manutenção rigorosa desses documentos e pela atualização regular das práticas a cada evolução do site ou de suas ferramentas.
