Como provar que um visitante deu consentimento

Todos os artigos

Você prova com um registro de consentimento: uma entrada armazenada mostrando quem consentiu, quando, com o que concordou por categoria, como deu, e qual versão do aviso viu. O Artigo 7(1) coloca esse ônus sobre você. Reguladores não pedem para ver o seu banner; eles pedem que você apresente um registro, de um visitante, em uma data.

Um banner não é evidência

O ônus é demonstrar que o consentimento foi dado, e essa palavra demonstrar faz todo o trabalho. Ele não é satisfeito mostrando que um banner existe, nem por uma captura de tela do que está no seu site hoje de manhã. Os dois descrevem a sua configuração atual. Nenhum diz nada sobre o que um visitante específico viu em uma terça específica de março, que é a única coisa sobre a qual alguém de fato pergunta.

O Artigo 7(1) é a linha que importa, e as listas publicadas o citam corretamente. Onde elas rareiam é na outra metade do trabalho. Elas são detalhadas na captura, listando os campos que um registro deveria ter, e largamente silenciosas sobre a recuperação: como você puxa a entrada de um visitante, o que ela tem que sobreviver, e de quem é o nome nela. Captura é a metade que vem com o produto. Recuperação é a metade que você descobre sob pressão.

Os cinco campos, e o que todo mundo esquece

Quem, quando, o quê, como, e sob qual aviso. Os quatro primeiros estão na maioria das listas publicadas. O quinto transforma o registro em evidência, e é o que mais falta.

Considere o que um registro sem isso diz: esta sessão aceitou análise e publicidade neste carimbo de data e hora. Ele não diz o que foi contado a ela que estava aceitando. Se o texto do seu banner mudou ao longo do ano, e quase certamente mudou, um registro sem versão de aviso anexada não consegue estabelecer que a pessoa concordou com nada em particular.

O campo quem parece um problema e não é: você registra uma referência pseudônima de sessão em vez de um nome, porque coletar mais dados identificáveis para provar que você pediu permissão para coletar dados seria um resultado estranho. O passo a passo dos requisitos cobre onde isso fica entre as outras obrigações.

O teste de recuperação

Rode isso uma vez. É o único jeito de saber se o seu registro de consentimento é evidência ou decoração.

1. Escolha uma data real e um visitante real

   Não uma sessão de teste. Escolha um dia comum de algumas semanas atrás e escolha um visitante dele, do jeito que uma solicitação chegaria. Isso só te diz alguma coisa se o registro já tiver passado pela sua retenção normal e pelo que quer que a sua plataforma faça com dados antigos. Um registro que você encontra para hoje de manhã prova pouco.

2. Recupere o registro na sua plataforma de consentimento

   Abra a sua ferramenta de consentimento e encontre a entrada daquele visitante. Cronometre. Esse é o passo que costuma emperrar, ou porque a interface reporta em agregado e não oferece busca por pessoa, ou porque a busca precisa de um identificador que ninguém capturou. Os dois são o mesmo achado: o registro existe, a recuperação não.

3. Confira se o registro responde às cinco perguntas

   Quem, quando, o quê, como e sob qual aviso. Uma entrada armazenada que diz que um visitante aceitou, sem registro de qual versão do banner ele viu ou com quais categorias concordou, não demonstra nada sobre com o que ele de fato concordou. O texto do aviso é o campo que mais falta, e é o que dá sentido ao resto.

4. Confirme quem é nomeado como controlador nele

   Leia o registro e veja de quem é o nome nele. Se você é uma agência rodando consentimento para clientes, esse campo decide de quem é a obrigação que você está segurando. Ela continua sendo do cliente, seja qual for a marca no banner, e um registro nomeando a parte errada parece resolvido quando não está.

5. Exporte antes de precisar

   Peça uma exportação completa em um formato que você consiga ler sem o fornecedor: um arquivo, não uma visão de painel. Faça agora, enquanto a conta está ativa. Uma exportação que você nunca rodou é um recurso cuja existência você está presumindo, e o momento em que você mais precisa do registro é o momento em que você tem menos chance de ainda ter acesso a ele.

As três falhas que parecem sucesso

Cada um desses deixa uma instalação que passa na revisão. A ferramenta está presente, o banner funciona, o painel enche com taxas de aceitação, e a coisa de que você precisaria no dia não está lá.

Sem recuperação. A plataforma foi feita para relatórios e não para busca. Você consegue ver que fatia dos visitantes aceitou mês passado e não consegue responder uma pergunta sobre um deles. Esse é o mais comum dos três e o mais fácil de deixar passar, porque o painel parece prova.

O controlador errado. Esse pertence às agências, e é silencioso. Um registro nomeando a agência em vez do dono do site não move a obrigação, só faz a papelada discordar da lei. De quem é o nome no registro, onde o log mora, e se ele sai com o cliente estão cobertos na nota sobre rodar consentimento sob a sua própria marca.

Sem exportação. Um registro que você só consegue ler dentro de um painel é um que você pode perder para um plano cancelado, uma migração, ou uma conta que você não tem mais. A virada é exatamente onde a prova tende a sumir.

Provar e repassar são trabalhos diferentes

Duas coisas são misturadas. O registro prova que o consentimento foi dado. Ele não diz nada sobre se as suas tags depois se comportaram como o visitante pediu, que é outra camada e é o tema do passo a passo de verificação do sinal. Um site pode ter registros imaculados e ainda vazar em uma recusa. Você precisa dos dois, e eles falham de forma independente.

O Velo registra cada decisão de consentimento como um evento imutável e devolve um id de recibo para cada uma, que é a parte que torna uma busca posterior possível. O Velo está em acesso antecipado, então trate o lado administrativo como ainda sendo preenchido. O mecanismo está na página de produto.