O consentimento não é para sempre

Depois que um visitante faz uma escolha, você deve lembrá-la para não incomodá-lo em todas as páginas. Mas uma escolha armazenada não dura indefinidamente. As circunstâncias mudam, ferramentas são adicionadas e uma decisão tomada há muito tempo pode não refletir mais o que o visitante escolheria hoje. Este checklist ajuda você a definir regras sensatas de expiração e de nova solicitação.

O que as regras dizem (e o que não dizem)

O GDPR não define uma data de expiração fixa para o consentimento. Na prática, as orientações dos reguladores preenchem a lacuna. A CNIL francesa, por exemplo, recomenda manter a escolha do visitante por cerca de seis meses antes de perguntar de novo, e afirma que a vida útil dos próprios cookies de rastreamento não deve exceder 13 meses. Outras autoridades não definiram números exatos. Consulte a autoridade relevante para o seu público e documente o período que você escolher.

Checklist 1: defina a duração padrão

• Escolha uma duração para o consentimento e anote-a. De seis a doze meses é uma faixa comum; escolha o extremo mais curto onde o seu regulador sugerir.
• Armazene a data em que a escolha foi feita, não apenas a escolha.
• Aplique a mesma lógica de duração ao cookie ou item de armazenamento que guarda o registro de consentimento.
• Garanta que a escolha armazenada expire no servidor ou na sua lógica, e não apenas no navegador.

Checklist 2: defina os gatilhos de nova solicitação

Pergunte de novo ao visitante, independentemente da idade da escolha armazenada, quando:

• Você adicionar uma nova finalidade. Um novo uso de dados nunca foi coberto pela escolha anterior.
• Você adicionar um novo fornecedor ou parceiro que processe dados de uma forma não divulgada anteriormente.
• Sua política de privacidade ou de cookies mudar de forma relevante.
• A versão do banner mudar de um modo que altere as opções oferecidas.
• A escolha armazenada estiver ausente, corrompida ou ilegível.

Vincule isso a um número de versão do consentimento que você incrementa sempre que algo acima acontecer. Uma escolha armazenada com uma versão mais antiga aciona o banner.

Checklist 3: proteja a experiência do visitante

• Não pergunte de novo por temporizador dentro de uma única sessão.
• Não pergunte de novo a um visitante que rejeitou apenas para vencê-lo pelo cansaço; respeite uma rejeição durante todo o período, a menos que ocorra um gatilho genuíno.
• Mantenha um link permanente no rodapé para que os visitantes possam mudar de ideia a qualquer momento, sem esperar a expiração.
• Torne a retirada do consentimento tão fácil quanto concedê-lo.

Checklist 4: trate os casos extremos

• Cookies apagados. O banner vai reaparecer. Isso é esperado; não tente contornar com fingerprinting.
• Vários domínios ou subdomínios. Decida se uma escolha é compartilhada entre eles e torne o comportamento consistente.
• Apps. Armazene a escolha e sua data no armazenamento do app e pergunte de novo após atualizações do SDK que adicionem usos de dados.
• Mudanças de região. Se um visitante se mudar para outra jurisdição, verifique se as suas regras devem se aplicar de forma diferente.

Checklist 5: mantenha evidências

• Registre o carimbo de data e hora, a versão do banner e a escolha de cada consentimento.
• Mantenha um registro de alterações de quando e por que você mudou a duração ou o número de versão.
• Revise as configurações a cada trimestre junto com o seu inventário de cookies.

Onde a FlexyConsent se encaixa

A FlexyConsent é certificada pela IAB Europe e pela IAB Canada, oferece suporte ao IAB TCF 2.4 e ao Google Consent Mode v2 e cobre regiões como UE, EEE, Reino Unido, estados dos EUA, Canadá e Quebec. Seja qual for a plataforma que você use, verifique como ela armazena a escolha e o que aciona uma nova solicitação, e compare isso com as regras que você escreveu acima.

Principais conclusões

• O consentimento deve expirar; não há um único número legal, então escolha um período, anote-o e consulte a orientação do seu regulador.
• Pergunte de novo quando finalidades, fornecedores, políticas ou opções do banner mudarem, usando um número de versão do consentimento.
• Não importune visitantes que rejeitaram sem um gatilho real.
• Mantenha uma forma sempre disponível de alterar ou retirar o consentimento.
• Registre carimbo de data e hora, versão e escolha, e revise as regras a cada trimestre.