O que o PDPL jordaniano realmente exige

A Lei aplica-se ao tratamento de dados pessoais de indivíduos localizados na Jordânia independentemente de onde o responsável pelo tratamento ou o subcontratante esteja estabelecido, e a responsáveis pelo tratamento e subcontratantes estabelecidos na Jordânia independentemente de onde os titulares dos dados se encontrem. O âmbito territorial é amplo e abrange a maioria dos editores que servem leitores jordanianos, com o caso limite mais comum — um editor não jordaniano sem infraestrutura jordaniana mas com visitantes jordanianos — resolvido por referência a se o responsável pelo tratamento dirigiu ativamente serviços para a Jordânia. Os dados pessoais são amplamente definidos como qualquer informação que identifique ou torne identificável uma pessoa singular, com dados pessoais sensíveis — incluindo dados relacionados com origem étnica, opinião política, crença religiosa, saúde, vida sexual, registos criminais e dados financeiros — sujeitos a um limiar de consentimento mais elevado e a proteções procedimentais adicionais.

A Lei estabelece bases jurídicas para o tratamento, o elenco padrão de direitos dos titulares dos dados — acesso, retificação, apagamento, limitação, oposição e portabilidade — um quadro de responsabilização responsável-subcontratante com nomeação obrigatória de encarregado de proteção de dados para categorias de maior risco, obrigações de notificação de violações ao Conselho no prazo de 72 horas após a tomada de conhecimento, controlos de transferência transfronteiriça dependentes de determinações de adequação do Conselho ou garantias aprovadas, e um regime de sanções administrativas com coimas até JOD 1 milhão por violação, mais sanções penais para as categorias mais graves.

Como o PDPL trata o consentimento de cookies

O PDPL jordaniano não contém uma disposição separada no estilo ePrivacy sobre cookies; os cookies e as tecnologias análogas de armazenamento e acesso enquadram-se no regime geral de consentimento. O padrão é um acordo explícito, voluntário, específico e informado evidenciado por um ato afirmativo — a família de requisitos que o RGPD estabeleceu como referência global e que a Jordânia importou com a sua própria sobreposição procedimental. O Conselho, nas suas orientações emitidas, confirmou que caixas pré-assinaladas, consentimento implícito inferido da navegação continuada e banners de consentimento agrupados não satisfazem o limiar da Lei.

O efeito prático é que os cookies e tecnologias análogas que não são estritamente necessários para prestar o serviço que o utilizador solicitou ativamente não devem ser definidos antes de o utilizador ter dado o consentimento. Os cookies estritamente necessários — identificadores de sessão, conteúdo do carrinho, tokens de segurança, cookies de balanceamento de carga — podem ser definidos com base no facto de o utilizador ter solicitado ativamente o serviço. Tudo o resto — análises, publicidade, personalização, testes A/B, reprodução de sessão e qualquer tag de terceiros — requer consentimento prévio.

Como o PDPL jordaniano diverge do RGPD na prática

Três diferenças são importantes ao configurar um CMP. Em primeiro lugar, o PDPL exige que os responsáveis pelo tratamento que processam dados pessoais de mais de um limiar definido pelo Conselho de titulares de dados, ou que processam dados pessoais sensíveis, se registem no Conselho e obtenham uma licença de tratamento. Em segundo lugar, as regras de transferência transfronteiriça do PDPL exigem que o Conselho designe jurisdições de destino; as transferências para jurisdições não designadas requerem consentimento explícito do titular dos dados, garantias contratuais aprovadas pelo Conselho, ou uma das derrogações estatutárias restritas. Em terceiro lugar, o PDPL impõe a nomeação obrigatória de encarregado de proteção de dados para responsáveis pelo tratamento acima do limiar definido pelo Conselho, com o DPO nomeado nos arquivos do responsável junto do Conselho.

Como é um banner de cookies conforme ao abrigo do PDPL

Os requisitos técnicos convergem com o que cada CMP moderno já produz, mas a rotulagem, a documentação e o registo de consentimento devem refletir as especificidades jordanianas. O banner da primeira camada deve apresentar ao utilizador uma escolha real — aceitar, rejeitar, gerir — onde a opção de rejeição é pelo menos tão proeminente quanto a opção de aceitação. O consentimento agrupado é proibido, pelo que a segunda camada deve permitir opt-in por categoria cobrindo no mínimo análises, publicidade e qualquer tratamento dependente de transferência transfronteiriça. As categorias devem ter como predefinição desativado; o banner não deve carregar tags até que o utilizador as tenha ativado afirmativamente.

O aviso de privacidade apresentado a partir do banner deve identificar o responsável pelo tratamento, o número de registo do Conselho do responsável quando aplicável, as categorias de dados pessoais recolhidos, a base jurídica para cada finalidade de tratamento, o período de conservação dos dados, as categorias de destinatários incluindo quaisquer subcontratantes localizados fora da Jordânia, os direitos do titular dos dados ao abrigo da Lei, os dados de contacto do DPO quando a sua nomeação é obrigatória, e os dados de contacto do Conselho para reclamações.

O padrão de integração que passa numa revisão do Conselho

A implementação de referência tem quatro partes móveis. A primeira é um CMP que suporta opt-in por categoria, predefinição desativado, e expõe a escolha do utilizador através de uma cadeia de consentimento estruturada que o editor pode persistir. A segunda é uma camada de carregamento de tags — um gestor de tags do lado do servidor ou uma porta nativa de CMP — que aplica estritamente o estado de consentimento antes de qualquer cookie não essencial ser definido. A terceira é um registo de consentimento, armazenado do lado do servidor, que regista para cada evento de consentimento a escolha do utilizador por categoria, o carimbo de tempo, a versão do banner e um identificador IP truncado ou hash, de modo que o responsável pelo tratamento possa produzir o registo mediante pedido do Conselho. A quarta é um caminho de retirada pelo menos tão fácil quanto a concessão original — tipicamente uma ligação persistente de reabertura do banner no rodapé.

• Tags de análise — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — devem ser carregadas apenas após a categoria de análise ser concedida. Cada plataforma suporta uma configuração com porta de consentimento que impede qualquer escrita de cookie antes de a porta abrir.
• Tags de publicidade — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, header bidders programáticos — devem ser bloqueadas de forma similar, e quando o parceiro publicitário transfere dados fora da Jordânia para uma jurisdição que o Conselho não designou, a jurisdição do destinatário e a base de transferência devem aparecer no aviso de privacidade.
• Ferramentas de reprodução de sessão e mapas de calor — Hotjar, Microsoft Clarity, FullStory, Contentsquare — devem estar atrás de uma porta separada e mais rigorosa porque o Conselho alinhou-se com orientações internacionais que sinalizam a renderização de campos de entrada como uma categoria que requer consentimento explícito e granular.
• As divulgações de transferência transfronteiriça devem ser específicas para cada jurisdição de destino e fazer referência à determinação de adequação do Conselho, a uma garantia aprovada ou ao consentimento explícito do titular dos dados como base jurídica.

Validação, registo e postura de auditoria para 2026

Uma implementação jordaniana defensável em 2026 deve passar em quatro verificações técnicas. Em primeiro lugar, uma sessão de browser limpa servida a partir de um endereço IP jordaniano deve produzir zero cookies não essenciais antes de o banner ter sido acionado. Em segundo lugar, o caminho de rejeitar-tudo deve resultar na mesma postura que uma sessão sem ação — sem tags de análise, sem tags de publicidade, sem scripts de reprodução de sessão. Em terceiro lugar, um fluxo de aceitar-tudo deve produzir apenas as tags para as quais o utilizador deu consentimento, e o registo de consentimento deve conter um registo correspondente. Em quarto lugar, um fluxo de retirada deve imediatamente parar mais disparos de tags, expirar os cookies definidos durante a sessão consentida e acionar quaisquer sinais de eliminação ou opt-out a jusante exigidos pelos parceiros destinatários.

Para além das verificações técnicas, a postura de registo e auditoria é o que torna uma implementação defensável. Os responsáveis pelo tratamento que processam dados pessoais de residentes jordanianos acima dos limiares definidos pelo Conselho devem manter o registo relevante do Conselho e a licença de tratamento, e o registo de registo — juntamente com o registo de consentimento, o aviso de privacidade, os resultados da avaliação de impacto sobre a proteção de dados para tratamento de maior risco, os documentos de nomeação do DPO e as autorizações de transferência transfronteiriça — forma a documentação que o Conselho pode solicitar durante uma revisão de conformidade.