EDPB publica 3 Novos Guias sobre Proteção de Dados Pessoais

06.04.2023 – O Conselho Europeu de Proteção de Dados (European Data Protection Board – EDPB) – autoridade europeia para proteção de dados pessoais – publicou recentemente 3 (três) novos guias relacionados à proteção de dados pessoais, após consulta pública, da qual participaram diversos segmentos da sociedade europeia. São eles os seguintes:

1. Diretrizes 05/2021 sobre a interação entre a aplicação do Artigo 3 e as disposições sobre transferências internacionais de acordo com o Capítulo V da GDPR

2. Diretrizes 07/2022 sobre a certificação como ferramenta para transferências

3. Diretrizes 03/2022 sobre interfaces: Padrões de design enganosos em plataforma de mídia social como reconhecê-los e evitá-los

Passamos a uma breve descrição de cada um deles:

Como a GDPR não define o que é “transferência de dados pessoais para um país terceiro ou para uma organização internacional”, o EDPB utilizou 3 critérios cumulativos para qualificar uma operação de tratamento como transferência. Assim, se os três critérios identificados pelo EDPB forem cumpridos, há uma transferência e é aplicável o Capítulo V da GDPR:

1. Um controlador ou um operador (“exportador”) está sujeito à GDPR para o referido tratamento.

2. O exportador divulgar por transmissão ou de outra forma tornar dados pessoais, sujeito a este tratamento, à disposição de outro controlador, controlador conjunto ou operador (“importador”).

3. O importador se encontra em um país terceiro, independentemente de estar ou não sujeito à GDPR para o referido tratamento de acordo com o Artigo 3, ou ser uma organização internacional.

Dessa forma, a transferência de dados pessoais para um país terceiro ou para uma organização internacional somente poderá ocorrer no contexto de uma decisão de adequação da Comissão Europeia (artigo 45.º) ou mediante a disponibilização de salvaguardas adequadas (artigo 46.º).

Caso os três critérios não sejam atendidos, o Capitulo V da GDPR não se aplica, mas o responsável pelo tratamento deve cumprir com as demais disposições da GDPR, especialmente o Artigo 5 (“Princípios relativos ao processamento de dados pessoais”), o Artigo 24 (“Responsabilidade do controlador”) e o Artigo 32 (“Segurança do processamento”).

Os riscos desse tratamento de dados pessoais em um país estrangeiro não atender à GDPR são focados especialmente em leis nacionais conflitantes ou acesso desproporcional do governo.

O ponto alto desse guia, são os exemplos citados que ajudam a sociedade a entender a questão em casos práticos, conforme disposto a seguir:

Exemplo 1 – O controlador em um país terceiro coleta dados diretamente de um titular de dados na UE (sob Artigo 3(2) GDPR)	Maria, residente em Itália, insere o seu nome, apelido e endereço postal através do preenchimento de um formulário num site de vestuário online para concluir a sua encomenda e receber o vestido que comprou online na sua residência em Roma. O site de roupas on-line é operado por uma empresa de um país terceiro que não tem presença na UE, mas visa especificamente o mercado da UE. Neste caso, o titular dos dados (Maria) transmite os seus dados pessoais à empresa do país terceiro. Isso não constitui uma transferência de dados pessoais, uma vez que os dados não são transmitidos por um exportador (controlador ou operador), mas coletados diretamente do titular dos dados pelo controlador nos termos do Artigo 3(2) GDPR. Assim, o Capítulo V não se aplica a este caso. No entanto, a empresa de um país terceiro será obrigada a aplicar o RGPD, uma vez que as suas operações de tratamento estão sujeitas ao artigo 3.º, n.º 2.16
Exemplo 2 – O controlador em um país terceiro coleta dados diretamente de um titular de dados na UE (sob Artigo 3(2) GDPR) e usa um operador fora da UE para algumas atividades de tratamento	Maria, residente em Itália, insere o seu nome, apelido e endereço postal através do preenchimento de um formulário num site de vestuário online para concluir a sua encomenda e receber o vestido que comprou online na sua residência em Roma. O site de roupas on-line é operado por uma empresa de um país terceiro que não tem presença na UE, mas visa especificamente o mercado da UE. Para tratar os pedidos recebidos por meio do site, a empresa do país terceiro contratou um operador não pertencente ao Espaço Econômico Europeu (EEE). Neste caso, o titular dos dados (Maria) cede os seus dados pessoais à empresa de país terceiro e isso não constitui uma transferência de dados pessoais uma vez que os dados são recolhidos diretamente pelo responsável pelo tratamento ao abrigo do artigo 3.º, n.º 2, do RGPD. Assim, o responsável pelo tratamento terá de aplicar a GDPR ao tratamento destes dados pessoais. Na medida em que contrata um operador não pertencente ao EEE, tal divulgação da empresa de um país terceiro ao seu operador não pertencente ao EEE equivaleria a uma transferência, e será necessário aplicar as obrigações do Artigo 28 e do Capítulo V para garantir que o nível de proteção oferecida pela GDPR não seria prejudicada quando os dados fossem tratados em seu nome pelo operador não pertencente ao EEE.
Exemplo 3 – O controlador em um país terceiro recebe dados diretamente de um titular de dados na UE (mas não sob o Artigo 3(2) GDPR) e usa um operador fora da UE para algumas atividades de tratamento	Maria, que mora na Itália, decide reservar um quarto em um hotel em Nova York por meio de um formulário no site do hotel. Os dados pessoais são coletados diretamente pelo hotel, que não visa/monitora indivíduos no EEE. Neste caso, não ocorre qualquer transferência uma vez que os dados são transmitidos diretamente pelo titular dos dados e recolhidos diretamente pelo responsável pelo tratamento. Além disso, como nenhuma atividade de direcionamento ou monitoramento de indivíduos no EEE está sendo realizada pelo hotel, a GDPR não será aplicada, inclusive com relação a quaisquer atividades de tratamento realizadas por operadores fora do EEE em nome do hotel.
Exemplo 4 – Dados recolhidos por uma plataforma do EEE e depois transmitidos a um responsável pelo tratamento de um país terceiro	Maria, que mora na Itália, reserva um quarto em um hotel em Nova York por meio de uma agência de viagens online do EEE. Os dados pessoais de Maria, necessários para a reserva do hotel, são coletados pela agência de viagens online da EEA como controladora e enviados ao hotel que recebe os dados como controladora separada. Ao passar os dados pessoais para o hotel do país terceiro, a agência de viagens do EEE realiza uma transferência de dados pessoais e aplica-se o Capítulo V da GDPR.
Exemplo 5 – O controlador na UE envia dados para um processador em um terceiro país	A empresa X estabelecida na Áustria, na qualidade de responsável pelo tratamento, fornece dados pessoais dos seus empregados ou clientes à empresa Z num país terceiro, que trata esses dados como subcontratante em nome da empresa X. Neste caso, os dados são fornecidos por um responsável pelo tratamento, que no que respeita ao tratamento em causa, está sujeito à GDPR, a um subcontratante de um país terceiro. Assim, o fornecimento de dados será considerado como uma transferência de dados pessoais para um país terceiro e, portanto, aplica-se o Capítulo V da GDPR.
Exemplo 6 – O operador na UE envia dados de volta ao seu controlador em um terceiro país	A XYZ Inc., controladora sem estabelecimento na UE, envia dados pessoais de seus funcionários/clientes, todos titulares de dados não localizados na UE, ao operador ABC Ltd. para tratamento na UE, em nome da XYZ. ABC retransmite os dados para XYZ. O tratamento realizado pelo ABC, o operador, é coberto pelo GDPR para obrigações específicas do operador de acordo com o Artigo 3(1), uma vez que o ABC está estabelecido na UE. Uma vez que a XYZ é responsável pelo tratamento num país terceiro, a divulgação de dados da ABC à XYZ é considerada uma transferência de dados pessoais e, por conseguinte, aplica-se o Capítulo V.
Exemplo 7 – O operador na UE envia dados para um suboperador em um terceiro país	A empresa A estabelecida na Alemanha, na qualidade de controlador, contratou B, uma empresa francesa, como operadora em seu nome. B deseja delegar ainda uma parte das atividades de tratamento que está realizando em nome de A ao suboperador C, uma empresa em um país terceiro, e, portanto, enviar os dados para esta finalidade para C. O tratamento realizado por A e seu operador B é realizado no contexto de seus estabelecimentos na UE e, portanto, está sujeito ao GDPR de acordo com seu Artigo 3 (1), enquanto o tratamento por C é realizado em um país terceiro. Portanto, a passagem de dados do operador B para o suboperador C é uma transferência para um país terceiro, e aplica-se o Capítulo V da GDPR.
Exemplo 8 – Funcionário de um controlador na UE viaja para um país terceiro em viagem de negócios	George, funcionário da empresa A, sediada na Polônia, viaja para um terceiro país para uma reunião trazendo seu laptop. Durante sua estada no exterior, George liga seu computador e acessa remotamente dados pessoais nos bancos de dados de sua empresa para finalizar um memorando. Esta trazer o laptop e o acesso remoto de dados pessoais de um país terceiro não se qualifica como uma transferência de dados pessoais, uma vez que George não é outro controlador, mas um funcionário e, portanto, parte integrante do controlador (A). Portanto, a transmissão é realizada dentro do mesmo controlador (A). O tratamento, incluindo o acesso remoto e as atividades de tratamento realizadas por George após o acesso, são realizadas pela empresa polonesa, ou seja, um controlador estabelecido na União sujeito ao Artigo 3(1) da GDPR. Pode, no entanto, notar-se que, no caso de George, na sua qualidade de empregado de A, enviar ou disponibilizar dados a outro responsável pelo tratamento ou subcontratante no país terceiro, o fluxo de dados em questão equivaleria a uma transferência ao abrigo do Capítulo V; do exportador (A) na UE para esse importador no país terceiro.
Exemplo 9: Uma subsidiária (controlador) na UE compartilha dados com sua empresa-mãe (operador) em um terceiro país	A empresa irlandesa X, que é uma subsidiária da empresa-mãe Y em um país terceiro, divulga dados pessoais de seus funcionários à empresa Y para serem armazenados em um banco de dados centralizado de RH pela empresa-mãe no país terceiro. Nesse caso, a Irish Company X trata (e divulga) os dados na qualidade de empregadora e, portanto, como controladora, enquanto a empresa-mãe é a operadora. A Empresa X está sujeita à GDPR de acordo com o Artigo 3(1) para este tratamento e a Empresa Y está situada em um país terceiro. A divulgação, portanto, se qualifica como uma transferência para um país terceiro na acepção do Capítulo V da GDPR.
Exemplo 10 – O operador na UE envia dados de volta ao seu controlador em um terceiro país	A empresa A, controladora sem estabelecimento na UE, oferece bens e serviços no mercado da UE. A empresa francesa B está tratando dados pessoais em nome da empresa A. B retransmite os dados para A. O tratamento realizado pelo subcontratante B está abrangido pela GDPR para as obrigações específicas do subcontratante nos termos do artigo 3.º, n.º 1, uma vez que ocorre no contexto das atividades do seu estabelecimento na UE. O tratamento realizado por A também está abrangido pela GDPR, uma vez que o artigo 3.º, n.º 2, se aplica a A. No entanto, como A está em um país terceiro, a divulgação de dados de B para A é considerada uma transferência para um país terceiro e, portanto, o Capítulo V se aplica.
Exemplo 11 – Acesso remoto a dados na UE por um operador de um país terceiro agindo em nome de controladores da UE	Uma empresa num país terceiro (Empresa Z), sem estabelecimento na UE, oferece serviços como operador a empresas na UE. A empresa Z, atuando como operador em nome dos controladores da UE, está acessando remotamente, por exemplo, para fins de suporte, os dados armazenados na UE. Como a Empresa Z está localizada em um país terceiro, esse acesso remoto resulta em transferências de dados dos controladores da UE para seu operador (Empresa Z) em um país terceiro nos termos do Capítulo V.
Exemplo 12 – O controlador na UE usa um operador na UE sujeito à legislação de um terceiro país	A empresa dinamarquesa X, na qualidade de controladora, contrata a empresa Y estabelecida na UE como operadora em seu nome. A empresa Y é uma subsidiária da empresa-mãe Z de um país terceiro. A empresa Y está tratando os dados da empresa X exclusivamente na UE e não há ninguém fora da UE, incluindo a empresa-mãe Z, que tenha acesso aos dados. Além disso, resulta do contrato entre a Empresa X e a Empresa Y que a Empresa Y só tratará os dados pessoais mediante instruções documentadas da Empresa X, a menos que seja exigido pela legislação da UE ou do Estado-Membro ao qual a Empresa Y esteja sujeita. A Empresa Y está, no entanto, sujeita à legislação de países terceiros com efeito extraterritorial, o que neste caso significa que a Empresa Y pode receber pedidos de acesso de autoridades de países terceiros. Como a Empresa Y não está em um país terceiro (mas uma empresa da UE sujeita ao Artigo 3(1) GDPR), a divulgação de dados da Empresa X controladora para a Empresa Y operadora não equivale a uma transferência e Capítulo V da GDPR não se aplica. Conforme mencionado, existe, no entanto, a possibilidade de que a Empresa Y receba solicitações de acesso de autoridades de países terceiros e, caso a Empresa Y atenda a tal solicitação, tal divulgação de dados será considerada uma transferência nos termos do Capítulo V. Quando a Empresa Y atender a uma solicitação em violação do instruções do controlador e, portanto, o Artigo 28 da GDPR, a Empresa Y deve ser considerada um controlador independente desse tratamento nos termos do Artigo 28(10) da GDPR. Nesta situação, a Empresa X responsável pelo tratamento deve, antes de contratar o subcontratante, avaliar estas circunstâncias de forma a garantir que, conforme exigido pelo artigo 28.º da GDPR, apenas recorra a subcontratantes que apresentem garantias suficientes para a implementação de medidas técnicas e organizativas adequadas para que o tratamento seja efetuado em conformidade com a GDPR, incluindo o Capítulo V, bem como assegurar a existência de um contrato ou ato jurídico que regule o tratamento por parte do subcontratante.

O Artigo 46 da GDPR preconiza que os exportadores de dados implementem salvaguardas adequadas para
transferências de dados pessoais para países terceiros ou organizações internacionais e dentre essas salvaguardas, surge a certificação como um novo mecanismo de transferência (artigos 42.º, n.º 2, e 46.º, n.º 2, f).

Segundo o Artigo 44 da GDPR, qualquer transferência de dados pessoais para países terceiros ou organizações internacionais deve cumprir as condições das restantes disposições da GDPR para além do cumprimento do Capítulo V da GDPR. Portanto, cada transferência deve cumprir, entre outros, os princípios de proteção de dados do Artigo 5 da GDPR, ser legal de acordo com o Artigo 6 da GDPR e cumprir o Artigo 9 da GDPR no caso de categorias especiais de dados.

Assim, um teste de duas etapas deve ser aplicado. Como primeiro passo, deve-se garantir o cumprimento das disposições gerais da GDPR e, como segundo passo, deve-se cumprir o disposto no Capítulo V da GDPR.

Nos termos do Artigo 46, n.º 2, alínea f, da GDPR, essas salvaguardas adequadas podem ser fornecidas por um mecanismo de
certificação aprovado, juntamente com compromissos vinculativos e exequíveis do responsável pelo tratamento ou
operador no país terceiro para aplicar as salvaguardas adequadas, incluindo, como respeitar os direitos dos titulares dos dados.

O EDPB tem poderes para aprovar critérios de certificação em todo o EEE (Selo Europeu de Proteção de Dados) e emitir opiniões sobre projetos de decisão das Autoridades Supervisoras sobre critérios de certificação e requisitos de credenciamento dos organismos de certificação, de modo a garantir a conformidade persistência. Também é competente para reunir todos os mecanismos de certificação e selos e marcas de proteção de dados em um registro e disponibilizá-los publicamente.

Já as Autoridades Supervisoras (SAs) aprovam os critérios de certificação quando o mecanismo de certificação não é um Selo
Europeu de Proteção de Dados . Eles também podem credenciar o organismo de certificação, definir os critérios de
certificação e emitir a certificação, se estabelecido pela legislação nacional de seu Estado-Membro.

Por outro lado, o Organismo Nacional de Acreditação pode credenciar organismos de certificação de terceiros usando a ISO 17065 e os requisitos adicionais de acreditação da SA, que devem estar de acordo com a seção 2 destas diretrizes. Em alguns Estados-
Membros, a acreditação pode ser oferecida tanto pela SA competente como por um organismo nacional de acreditação ou
por ambos.

E finalmente, o Proprietário do Esquema é outro importante stakeholder, constituindo-se em uma organização que estabeleceu os critérios de certificação e os requisitos metodológicos segundo os quais a conformidade deve ser avaliada. A organização que realiza as avaliações pode ser a mesma que desenvolveu e é proprietária do esquema, mas pode haver arranjos em que uma organização é proprietária do esquema e outra (ou mais de uma) realiza as avaliações como organismo de certificação.

Além disso, o exportador de dados que pretenda utilizar uma certificação como salvaguarda adequada nos termos do Artigo 46,
n.º 2, alínea f) da GDPR, é nomeadamente obrigado a verificar se a certificação a que pretende recorrer é eficaz face às
características do destinatário pretendido para o tratamento. Para o efeito, o exportador de dados deve consultar a certidão
emitida de forma a verificar se a certidão é válida e não expirou, se abrange a transferência específica a efetuar e se o trânsito
de dados pessoais se enquadra no âmbito da certificação, bem como se houver transferências posteriores e uma documentação adequada for fornecida sobre elas. Considerando que o exportador é responsável pela aplicação de todas as disposições do Capítulo V, ele também deve avaliar se a certificação que pretende utilizar como ferramenta para transferências é eficaz à luz da legislação e práticas vigentes no terceiro país e relevante para a transferência em causa.

Considerando que o exportador é responsável pela aplicação de todas as disposições do Capítulo V, ele também deve avaliar se
a certificação que pretende utilizar como ferramenta para transferências é eficaz à luz da legislação e práticas vigentes no
terceiro país relevantes para a transferência em causa.

Considerando que o exportador é responsável pela aplicação de todas as disposições do Capítulo V, ele também deve avaliar se
a certificação que pretende utilizar como ferramenta para transferências é eficaz à luz da legislação e práticas vigentes no
terceiro país relevantes para a transferência em causa. Portanto, a certificação deve ser baseada na avaliação dos critérios de certificação de acordo com uma metodologia de auditoria obrigatória.

Os seguintes critérios mínimos devem ser levados em consideração pelo mecanismo de certificação com respeito ao tratamento:

1. o propósito
2. o tipo de entidade (controlador ou operador)
3. tipo de dados transferidos tendo em conta se estão envolvidas categorias especiais de dados pessoais, conforme definido no artigo 9.º da GDPR
4. as categorias de titulares de dados
5. os países onde o tratamento de dados ocorre

E com respeito à transparência e aos direitos dos titulares de dados, devem ser observados os seguintes critérios:

1. Exigir que sejam prestadas informações sobre as atividades de tratamento aos titulares dos dados, incluindo, se for caso disso, sobre a transferência de dados pessoais para um país terceiro ou uma organização internacional (ver os Artigos 12, 13 e 14 da GDPR)
2. Exigir que sejam garantidos aos titulares dos dados os direitos de acesso, retificação, eliminação, restrição, notificação de retificação ou eliminação ou restrição, oposição ao tratamento, direito a não ficar sujeito a decisões baseadas exclusivamente no tratamento automatizado, incluindo a definição de perfis, essencialmente equivalente a as previstas nos Artigos 15 a 19, 21 e 22 da GDPR
3. Exigir que um procedimento adequado de tratamento de reclamações seja estabelecido pelo importador de dados titular de uma certificação, a fim de garantir a implementação efetiva dos direitos do titular dos dados
4. Exigir a avaliação se e em que medida esses direitos são exigíveis para os titulares de dados no país terceiro relevante e quaisquer medidas adicionais apropriadas que possam ser necessárias para aplicá-los, por exemplo, exigindo que o importador aceite se submeter a a jurisdição e cooperar com a autoridade de supervisão competente para o(s) exportador(es) em todos os procedimentos destinados a garantir o cumprimento desses direitos e, em particular, que se compromete a responder a inquéritos, submeter-se a auditorias e cumprir as medidas adotadas pela referida autoridade supervisora, incluindo medidas corretivas e compensatórias

Critérios de certificação adicionais incluem a avaliação da legislação do país terceiro, obrigações gerais dos importadores e exportadores, regras sobre transferências posteriores, reparação e execução dos direitos do titular de dados, processo e ações para situações em que a legislação nacional impeça o cumprimento de compromissos assumidos como parte da certificação, como lidar com pedidos de acesso a dados por autoridades de países terceiros e salvaguardas adicionais relativas ao exportador.

Novamente, um rol de exemplos de medidas complementares a serem implantadas pelo importador, caso o trânsito esteja incluído no escopo da certificação, acaba sendo um ponto alto do guia, conforme exposto a seguir:

Caso 1 – armazenamento de dados para backup e outras finalidades que não exijam acesso a dados em claro	Devem ser estabelecidos critérios relativos às normas de encriptação e à segurança da chave de desencriptação, nomeadamente critérios relativos à situação jurídica do país terceiro. Caso o importador possa ser obrigado a repassar as chaves de descriptografia, a medida adicional não pode ser considerada efetiva.
Caso 2 – transferência de dados pseudonimizados	No caso de dados pseudonimizados, devem ser estabelecidos critérios relativos à segurança da informação adicional necessária para atribuir os dados cedidos a uma pessoa identificada ou identificável, nomeadamente: – Critérios relativos à situação jurídica no país terceiro. Se o importador puder ser forçado a acessar ou usar dados adicionais para atribuir os dados a uma pessoa identificada ou identificável, a medida não pode ser considerada eficaz. – Critérios relativos à definição de informações adicionais à disposição das autoridades de países terceiros que possam ser suficientes para atribuir os dados a uma pessoa identificada ou identificável.
Caso 3 – criptografia de dados para protegê-los do acesso pelas autoridades públicas do terceiro país do importador quando transitam entre o exportador e seu importador	No caso de dados criptografados, devem ser incluídos quaisquer critérios para a segurança do trânsito. Caso o importador possa ser obrigado a repassar chaves criptográficas para descriptografia ou autenticação ou a modificar um componente utilizado para trânsito de forma que suas propriedades de segurança sejam prejudicadas, a medida adicional não pode ser considerada efetiva.
Caso 4 – destinatário protegido	No caso de destinatários protegidos, devem ser definidos critérios para os limites do privilégio. O processamento de dados deve permanecer dentro dos limites do privilégio legal. Isso também se aplica ao processamento por (sub)processadores e transferências posteriores, cujos destinatários também devem ser privilegiados.

Outro rol de exemplos de medidas complementares caso o trânsito não esteja coberto pela certificação e o exportador tenha que garantir, são igualmente interessantes:

Caso 1 – transferência de dados pseudonimizados	Devem ser fornecidos critérios relativos às informações adicionais disponíveis para as autoridades do país terceiro que possam ser suficientes para atribuir os dados a uma pessoa identificada ou identificável.
Caso 2 – criptografia de dados para protegê-los do acesso pelas autoridades públicas do terceiro país do importador quando transitam entre o exportador e seu importador	Devem ser fornecidos critérios relacionados à confiabilidade da autoridade de certificação de chave pública ou infraestrutura usada, à segurança das chaves criptográficas usadas para autenticação ou descriptografia e à confiabilidade do gerenciamento de chaves e ao uso de software mantido adequadamente sem vulnerabilidades conhecidas. Se o importador puder ser forçado a divulgar chaves criptográficas adequadas para descriptografia ou autenticação ou modificar um componente usado para trânsito a fim de prejudicar suas propriedades de segurança, a medida não pode ser considerada eficaz.
Caso 3 – destinatário protegido	No caso de destinatários protegidos, devem ser definidos critérios para os limites do privilégio. O tratamento de dados deve permanecer dentro dos limites do privilégio legal. Isso também se aplica ao tratamento por (sub)operadores e transferências posteriores, cujos destinatários também devem ser privilegiados.

Essas Diretrizes oferecem recomendações práticas para provedores de mídia social como controladores de mídia social,
designers e usuários de plataformas de mídia social sobre como avaliar e evitar os chamados “padrões de design
enganosos” em interfaces de mídia social que infringem os requisitos da GDPR.

No que diz respeito à conformidade da proteção de dados das interfaces de usuário de aplicativos online no setor de mídia social, os princípios de proteção de dados aplicáveis são definidos no Artigo 5 da GDPR. O princípio do tratamento justo estabelecido no Artigo 5 (1) (a) da GDPR serve como ponto de partida para avaliar se um padrão de design realmente constitui um “padrão de design enganoso”.

O EDPB fornece exemplos concretos de tipos de padrões de design enganosos para os seguintes diferentes casos de uso dentro deste ciclo de vida: a inscrição, ou seja, o processo de registro; os casos de uso de informações relativos ao aviso de privacidade, controle conjunto e comunicações de violação de dados; gestão de consentimento e proteção de dados; exercício dos direitos do titular dos dados durante a utilização das redes sociais; e, finalmente, fechar uma conta de mídia social.

Os padrões de design enganosos abordados nestas Diretrizes resultam de uma análise interdisciplinar das interfaces
existentes e podem ser divididos nas seguintes categorias:

1. Sobrecarga: os usuários são confrontados com uma avalanche/grande quantidade de solicitações, informações,
   opções ou possibilidades, a fim de induzi-los a compartilhar mais dados ou permitir involuntariamente o processamento
   de dados pessoais contra as expectativas do titular dos dados.
2. Desvio: projetar a interface ou a jornada do usuário de forma que os usuários esqueçam ou não pensem sobre todos ou alguns dos aspectos de proteção de dados.
3. Tumulto: afeta a escolha que os usuários fariam apelando para suas emoções ou usando cutucadas visuais.
4. Obstrução: uma obstrução ou bloqueio dos usuários em seu processo de informação ou gerenciamento de seus dados, dificultando ou impossibilitando a ação.
5. Instabilidade: o design da interface é inconsistente e pouco claro, tornando difícil para os usuários navegar pelas diferentes ferramentas de controle de proteção de dados e entender a finalidade do tratamento.
6. No escuro: uma interface é projetada de forma a ocultar informações ou ferramentas de controle de proteção de dados ou deixar os usuários inseguros sobre como seus dados são tratados e que tipo de controle eles podem ter sobre eles no exercício de seus direitos.

No que diz respeito à conformidade da proteção de dados das interfaces de usuário de aplicativos online no setor de mídia social, os princípios de proteção de dados aplicáveis são definidos no Artigo 5 da GDPR. O princípio do tratamento justo estabelecido no Artigo 5, 1, a da GDPR é um ponto de partida para uma avaliação da existência de padrões de design enganosos. Como o EDPB já afirmou, a justiça é um princípio abrangente que exige que os dados pessoais não sejam tratados de forma prejudicial, discriminatória, inesperada ou enganosa para o titular dos dados. Se a interface tiver informações insuficientes ou enganosas para os usuários e cumprir as características dos padrões de design enganosos, pode ser classificado como tratamento injusto. O princípio da imparcialidade tem uma função abrangente e todos os padrões de design enganosos não estariam de acordo,
independentemente da conformidade com outros princípios de proteção de dados.

O primeiro passo que os usuários precisam dar para ter acesso a uma plataforma de mídia social é se inscrever criando uma
conta. Como parte deste processo de registro, os usuários são solicitados a fornecer seus dados pessoais, como nome e
sobrenome, endereço de e-mail ou, às vezes, número de telefone. Os usuários precisam ser informados sobre o tratamento
de seus dados pessoais e geralmente são solicitados a confirmar que leram o aviso de privacidade e concordam com os
termos de uso da plataforma de mídia social. Essas informações precisam ser fornecidas em uma linguagem clara e simples,
para que os usuários possam compreendê-las facilmente e concordar conscientemente.

O consentimento deve ser livre, informado e específico na fase de inscrição. Para provedores de mídia social que solicitam o consentimento dos usuários para diversos fins de tratamento, as Diretrizes EDPB 05/2020 sobre consentimento fornecem orientações valiosas sobre a coleta de consentimento. As plataformas de mídia social não devem contornar condições, como a capacidade dos titulares de dados de dar consentimento livremente, por meio de desenhos gráficos ou redação que impeça o titular dos dados de exercer tal vontade. A este respeito, o Artigo 7, 2 da GDPR estabelece que o pedido de consentimento deve ser apresentado de forma claramente distinguível de outras matérias, de forma inteligível e facilmente acessível, utilizando linguagem clara e simples. Os usuários de plataformas de mídia social podem fornecer consentimento para anúncios ou tipos especiais de análise durante o processo de inscrição e, posteriormente, por meio das configurações de proteção de dados. Em qualquer caso, como estabelece o item 32 da GDPR, o consentimento deve ser sempre fornecido por um ato afirmativo claro, de modo que as caixas pré-selecionadas ou a inatividade dos usuários não constituam consentimento.

De acordo com o Artigo 7, 3, frase 1 da GDPR, os usuários de plataformas de mídia social devem poder retirar seu consentimento a qualquer momento. Antes de fornecer consentimento, os usuários também devem estar cientes do direito de retirar o consentimento, conforme exigido pelo Artigo 7, 3, frase 3 da GDPR. Em particular, os controladores devem demonstrar que os usuários têm a possibilidade de recusar o consentimento ou retirá-lo sem nenhum prejuízo. Os usuários de plataformas de mídia social que consentem com o processamento de seus dados pessoais com um clique, por exemplo, marcando uma caixa, poderão retirar seu consentimento de maneira igualmente fácil. Isso destaca que o consentimento deve ser uma decisão reversível, portanto que existe um grau de controle para o titular dos dados relacionado ao respectivo processamento. A retirada fácil do consentimento constitui um pré-requisito do consentimento válido nos termos do Artigo 7, 3, frase 4 da GDPR e deve ser possível sem diminuir os níveis de serviço. A propósito, o consentimento não pode ser considerado válido sob a GDPR quando o consentimento é obtido por meio de apenas um clique do mouse, deslize ou uma tecla pressionada, mas a retirada requer mais etapas, e é mais difícil de ou leva mais tempo para ser obtido.

E novamente os exemplos tornam muito mais fácil o entendimento de padrões de mídia enganosos, conforme exposto a seguir:

Exemplo 1	Variação A: Na primeira etapa do processo de inscrição, os usuários devem escolher entre diferentes opções de registro. Eles podem fornecer um endereço de e-mail ou um número de telefone. Quando os usuários escolhem o endereço de e-mail, o provedor de mídia social ainda tenta convencer os usuários a fornecer o número de telefone, declarando que será usado para segurança da conta, sem fornecer alternativas sobre os dados que poderiam ser ou já foram fornecidos pelos usuários. Concretamente, várias janelas aparecem durante o processo de inscrição com um campo para o número de telefone, junto com a explicação “Usaremos seu número de [telefone] para segurança da conta”. Embora os usuários possam fechar a janela, eles ficam sobrecarregados e desistem de fornecer seu número de telefone. Variação B: Outro provedor de mídia social pede repetidamente aos usuários que forneçam o número de telefone toda vez que fazem login em sua conta, apesar do fato de que os usuários anteriormente se recusaram a fornecê-lo, seja durante o processo de inscrição ou no último login.
Exemplo 2	Uma plataforma de mídia social usa uma informação ou um ícone de ponto de interrogação para incitar usuários para realizar a ação “opcional” atualmente solicitada. No entanto, em vez de apenas fornecer informações aos usuários que esperam ajuda desses botões, a plataforma solicita que os usuários aceitem a importação de seus contatos de sua conta de e-mail, exibindo repetidamente um pop-up dizendo “Vamos fazer isso ”.
Exemplo 3	Ao se registrar em uma plataforma de mídia social por meio do navegador de desktop, os usuários são convidados a também usar o aplicativo móvel da plataforma. Durante o que parece ser outra etapa do processo de inscrição, os usuários são convidados a descobrir o aplicativo. Quando eles clicam no ícone, esperando ser encaminhados para uma loja de aplicativos, eles são solicitados a fornecer seu número para receber uma mensagem de texto com o link para o aplicativo.
Exemplo 4	A plataforma de mídia social pede aos usuários que compartilhem sua geolocalização afirmando: “Ei, um lobo solitário, é você? Mas compartilhar e se conectar com outras pessoas ajuda a tornar o mundo um lugar melhor! Compartilhe sua geolocalização! Deixe os lugares e as pessoas ao seu redor inspirarem você!”
Exemplo 5	O provedor de mídia social incentiva os usuários a incentivá-los a compartilhar mais dados pessoais do que realmente exigido, solicitando aos usuários que forneçam uma autodescrição: “Conte-nos sobre o seu eu incrível! Nós não podemos esperar, então venha agora e deixe-nos saber!
Exemplo 6	A parte do processo de inscrição em que os usuários são solicitados a enviar suas fotos contém um “?” botão. Clicar nele revela a seguinte mensagem: “Não precisa ir primeiro ao cabeleireiro. Basta escolher uma foto que diga ‘este sou eu’.”
Exemplo 7	Durante o processo de inscrição, os usuários que clicarem nos botões “pular” para evitar a inserção de determinado tipo de dado verão uma janela pop-up perguntando “Tem certeza?” Ao questionar sua decisão e, portanto, fazê-los duvidar, o provedor de mídia social incita os usuários a revisá-la e divulgar esses tipos de dados, como sexo, lista de contatos ou foto. Por outro lado, os usuários que optam por inserir os dados diretamente não veem nenhuma mensagem pedindo para reconsiderar sua escolha.
Exemplo 8	Imediatamente após a conclusão do registro, os usuários só podem acessar as informações de proteção de dados acessando o menu geral da plataforma de mídia social e navegando na seção do submenu que inclui um link para “configurações de privacidade e dados” . Ao visitar esta página, um link para a política de privacidade não é visível à primeira vista. Os usuários devem notar, em um canto da página, um pequeno ícone apontando para a política de privacidade, o que significa que os usuários dificilmente podem notar onde estão as informações para as políticas relacionadas à proteção de dados.
Exemplo 9	Neste exemplo, quando os usuários inserem sua data de nascimento, eles são convidados a escolher com quem compartilhar essas informações. Considerando que opções menos invasivas estão disponíveis, a opção “compartilhar com todos” é selecionada por padrão, o que significa que todos, ou seja, usuários registrados, bem como qualquer usuário da Internet, poderão ver a data de nascimento dos usuários.
Exemplo 10	Os usuários não recebem nenhum link para informações de proteção de dados depois de iniciarem o processo de inscrição. Os usuários não podem encontrar essas informações, pois nenhuma é fornecida em nenhum lugar da interface de inscrição, nem mesmo no rodapé.
Exemplo 11	Durante o processo de registo, os utilizadores podem consentir no tratamento dos seus dados pessoais para fins publicitários e são informados de que podem alterar a sua escolha quando quiserem, uma vez registados nas redes sociais, acedendo à política de privacidade. No entanto, uma vez que os usuários concluíram o processo de registro e vão para a política de privacidade, não encontram meios ou pistas sobre como retirar seu consentimento para esse processamento.
Exemplo 12	Neste exemplo, as informações relacionadas ao compartilhamento de dados dão uma impressão altamente positiva da perspectiva do tratamento, destacando os benefícios de compartilhar tantos dados quanto possível. Acoplado à ilustração que representa a fotografia de um animal fofo brincando com uma bola, esse Guia Emocional pode dar aos usuários a ilusão de segurança e conforto quanto aos riscos potenciais de compartilhar algum tipo de informação na plataforma. Por outro lado, as informações fornecidas sobre como controlar a publicidade dos próprios dados não são claras. Primeiro, diz-se que os usuários podem definir suas preferências de compartilhamento a qualquer momento. Então, no entanto, a última frase indica que isso não é possível uma vez que algo já foi postado na plataforma. Essas informações conflitantes deixam os usuários inseguros sobre como controlar a publicidade de seus dados.
Exemplo 13	As informações relacionadas aos direitos do titular dos dados estão espalhadas pelo aviso de privacidade. Embora os diferentes direitos dos titulares de dados sejam explicados na seção “Suas opções”, o direito de apresentar uma reclamação e o endereço de contato exato é indicado somente após várias seções e camadas referentes a diferentes tópicos. O aviso de privacidade, portanto, deixa parcialmente de fora os detalhes de contato nos estágios em que isso seria desejável e aconselhável.
Exemplo 14	A política de privacidade não está dividida em diferentes seções com títulos e contente. Existem mais de 70 páginas fornecidas. No entanto, não há um menu de navegação na lateral ou na parte superior para permitir que os usuários acessem facilmente a seção que procuram. A explicação do termo autocriado “dados de criação” está contida em uma nota de rodapé na página 67.
Exemplo 15	Um aviso de privacidade descreve parte de um tratamento de forma vaga e imprecisa, como nesta frase: “Seus dados podem ser usados para melhorar nossos serviços”. Adicionalmente, o direito de acesso aos dados pessoais é aplicável ao tratamento com base no Artigo 15, n.º 1, da GDPR, mas é mencionado de forma a que não fique claro para os utilizadores o que lhes permite aceder: “Pode ver parte do suas informações em sua conta e revisando o que você postou na plataforma”.
Exemplo 16	Variação A: A plataforma de mídia social está disponível em croata como o idioma de escolha dos usuários (ou em espanhol como o idioma do país em que se encontram), enquanto todas ou algumas informações sobre proteção de dados estão disponíveis apenas em inglês. Variação B: Cada vez que os usuários acessam determinadas páginas, como a página de ajuda, elas mudam automaticamente para o idioma do país em que os usuários estão, mesmo que tenham selecionado anteriormente um idioma diferente.
Exemplo 17	Em sua plataforma, o provedor de mídia social disponibiliza um documento chamado “aconselhamento útil” que também contém informações importantes sobre o exercício dos direitos do titular dos dados. No entanto, a política de privacidade não contém nenhum link ou outra dica para este documento. Em vez disso, menciona que mais detalhes estão disponíveis na seção de perguntas e respostas do site. Os usuários que esperam informações sobre seus direitos na política de privacidade não encontrarão essas explicações lá e terão que navegar mais e pesquisar na seção de perguntas e respostas.
Exemplo 18	Em sua política de privacidade, um provedor de mídia social oferece muitos hiperlinks para páginas com mais informações sobre tópicos específicos. No entanto, existem várias partes na política de privacidade contendo apenas declarações gerais de que é possível acessar mais informações, sem dizer onde ou como.
Exemplo 19	Com relação aos padrões de projeto enganosos, o desafio para os controladores neste constelação é integrar essas informações no sistema on-line de forma que possam ser facilmente percebidas e não percam sua clareza e compreensão, embora o Artigo 12, 1, frase 1 da GDPR não se refira diretamente ao Artigo 26, 2, frase 2 da GDPR.
Exemplo 20	O controlador refere-se apenas a ações de terceiros, que a violação de dados foi originada por um terceiro (por exemplo, um processador) e que, portanto, não ocorreu nenhuma violação de segurança. O controlador também destaca algumas boas práticas que nada têm a ver com a violação real. O controlador declara a gravidade da violação de dados em relação a si mesmo ou a um processador, e não em relação ao titular dos dados.
Exemplo 21	Por meio de uma violação de dados em uma plataforma de mídia social, vários conjuntos de dados de saúde foram acidentalmente acessíveis a usuários não autorizados. O provedor de mídia social apenas informa aos usuários que “categorias especiais de dados pessoais” foram tornadas públicas acidentalmente.
Exemplo 22	O controlador fornece apenas detalhes vagos ao identificar as categorias de dados pessoais afetados, por exemplo, o controlador refere-se a documentos enviados por usuários sem especificar quais categorias de dados pessoais esses documentos incluem e quão sensíveis eles eram.
Exemplo 23	Ao relatar a violação, o controlador não especifica suficientemente o categoria dos titulares dos dados afetados, por exemplo, o controlador apenas menciona que os titulares dos dados em questão eram estudantes, mas o controlador não especifica se os titulares dos dados são menores ou grupos de titulares dos dados vulneráveis.
Exemplo 24	Um responsável pelo tratamento declara que os dados pessoais foram tornados públicos através de outras fontes quando notifica a violação à Autoridade de Supervisão e ao titular dos dados. Portanto, o titular dos dados considera que não houve violação de segurança.
Exemplo 25	O controlador relata através de textos que contêm muitas informações não relevantes e omitem os detalhes relevantes. Nas falhas de segurança que afetam as credenciais de acesso e outros tipos de dados, o controlador declara que os dados são criptografados, enquanto são apenas protegidos por senhas.
Exemplo 26	A interface usa um botão de alternância para permitir que os usuários dêem ou retirem o consentimento. No entanto, a maneira como a alternância é projetada não deixa claro em que posição ela está e se os usuários deram consentimento ou não. De fato, a posição do botão não corresponde à cor. Se o botão estiver do lado direito, que geralmente está associado à ativação do recurso (“switch on”), a cor do botão é vermelha, o que geralmente significa que um recurso está desativado. Por outro lado, quando o botão está no lado esquerdo, geralmente significando que o recurso está desativado, a cor de fundo do botão de alternância é verde, que normalmente está associada a uma opção ativa.
Exemplo 27	O provedor de mídia social fornece informações contraditórias aos usuários: Embora as informações primeiro afirmem que os contatos não são importados sem consentimento, uma janela pop-up de informações explica simultaneamente como os contatos serão importados de qualquer maneira.
Exemplo 28	Os usuários navegam em seu feed de mídia social. Ao fazê-lo, eles são mostrados anúncios. Intrigados com um anúncio e curiosos sobre os motivos pelos quais ele é exibido, eles clicam em um “?” sinal disponível no canto inferior direito do anúncio. Ele abre uma janela pop-in que explica por que os usuários veem esse anúncio específico e lista os critérios de segmentação. Ele também informa aos usuários que eles podem retirar seu consentimento para anúncios direcionados e fornece um link para fazê-lo. Quando os usuários clicam neste link, eles são redirecionados para um site totalmente diferente, com explicações gerais sobre o que é consentimento e como gerenciá-lo.
Exemplo 29	Na parte da conta de mídia social onde os usuários podem compartilhar pensamentos, fotos, etc., eles são solicitados a confirmar que gostariam de compartilhar este conteúdo depois de digitá-lo ou carregá-lo. Os usuários podem escolher entre um botão dizendo “Sim, por favor”. e outro dizendo “Não, obrigado”. No entanto, quando os usuários decidem não compartilhar o conteúdo com outras pessoas clicando no segundo botão, o conteúdo é publicado em sua conta de mídia social.
Exemplo 30	Um banner de cookie na plataforma de mídia social afirma “Para biscoitos deliciosos, você só precisa de manteiga, açúcar e farinha. Confira nossa receita favorita aqui [link]. Também usamos cookies. Leia mais em nossa política de cookies [link]”, juntamente com um botão “ok”.
Exemplo 31	Os usuários desejam gerenciar as permissões concedidas à plataforma de mídia social com base no consentimento. Eles devem encontrar uma página nas configurações relacionadas a essas ações específicas e desejam desativar o compartilhamento de seus dados pessoais para fins de pesquisa. Quando os usuários clicam na caixa para desmarcá-la, nada acontece no nível da interface e eles têm a impressão de que o consentimento não pode ser retirado.
Exemplo 32	Um provedor de mídia social trabalha com terceiros para o processamento dos dados pessoais de seus usuários. Na sua política de privacidade, fornece a lista desses terceiros sem fornecer um link para cada uma das suas políticas de privacidade, limitando-se a aconselhar os utilizadores a visitar os sites de terceiros para obterem informações sobre o modo como essas entidades tratam os dados e exercem os seus direitos.
Exemplo 33	Um provedor de mídia social não fornece um cancelamento direto do processamento de um anúncio direcionado, embora o consentimento (opt-in) exija apenas um clique.
Exemplo 34	As informações para retirar o consentimento estão disponíveis em um link acessível apenas ao verificar todas as seções de sua conta e informações associadas a anúncios exibidos no feed da mídia social.
Exemplo 35	Neste exemplo, quando os utilizadores criam a sua conta, é-lhes perguntado se aceitam que os seus dados sejam tratados para obter publicidade personalizada. Caso os usuários não concordem ao se cadastrar para esse uso de seus dados, eles veem regularmente – enquanto usam a rede social – a caixa de solicitação ilustrada acima, perguntando se desejam anúncios personalizados. Esta caixa está bloqueando o uso da rede social. Sendo exibido regularmente, esse prompt contínuo provavelmente cansará os usuários a consentir em anúncios personalizados. Além disso, nesta interface também é utilizado o padrão “No escuro” , pois a ação de aceitar anúncios é bem mais visível do que a opção de recusar.
Exemplo 36	É provável que os usuários não saibam o que fazer quando o menu de uma plataforma de mídia social contém várias guias que tratam da proteção de dados: “proteção de dados”, “segurança”, “conteúdo”, “privacidade”, “suas preferências”.
Exemplo 37	O usuário X desativa o uso de sua geolocalização para fins de publicidade. Depois de clicar no botão que permite fazer isso, aparece uma mensagem dizendo “Desativamos sua geolocalização, mas sua localização ainda será usada”.
Exemplo 38	Tópicos relacionados, como as configurações de compartilhamento de dados do provedor de mídia social com terceiros e vice-versa, não são disponibilizados nos mesmos espaços ou próximos, mas sim em diferentes guias do menu de configurações.
Exemplo 39	Em toda a plataforma de mídia social, nove em cada dez configurações de proteção de dados opções são apresentadas na seguinte ordem: – opção mais restritiva (ou seja, compartilhar menos dados com outras pessoas) – opção limitada, mas não tão restritiva quanto a primeira – opção menos restritiva (ou seja, compartilhar o máximo de dados com outras pessoas). Os usuários desta plataforma estão acostumados com suas configurações de proteção de dados apresentadas nesta ordem. No entanto, esta ordem não é aplicada na última configuração, onde a escolha da visibilidade dos aniversários dos usuários é mostrada na seguinte ordem: – Mostrar todo o meu aniversário: 15 de janeiro de 1929 (= opção menos restritiva) – Mostrar apenas dia e mês: 15 de janeiro (= opção limitada, mas não a mais restritiva) – Não mostrar aos outros o meu aniversário (= opção mais restritiva).
Exemplo 40	Entre as opções de visibilidade de dados “visível para mim”, “para meus amigos mais próximos” “para todas as minhas conexões” e “público”, a opção do meio “para todas as minhas conexões” é pré-definida. Isso significa que todos os usuários conectados a eles podem ver suas contribuições, bem como todos os informações inseridas para inscrição na plataforma de mídia social, como endereço de e-mail ou data de nascimento.
Exemplo 41	Neste exemplo, quando os usuários desejam gerenciar a visibilidade de seus dados, eles devem acessar a guia “preferências de privacidade” . As informações para as quais eles podem definir suas preferências estão listadas lá. No entanto, a maneira como as informações são exibidas não torna óbvio como alterar as configurações. De fato, os usuários devem clicar na opção de visibilidade atual para acessar um menu suspenso no qual podem selecionar a opção de sua preferência.
Exemplo 42	As configurações de proteção de dados são difíceis de encontrar na conta do usuário, pois no primeiro nível não há capítulo de menu com um nome ou cabeçalho que leve nessa direção. Os usuários devem procurar outros submenus como “Segurança”.
Exemplo 43	A alteração da configuração é dificultada, pois na área de trabalho da plataforma de mídia social, o botão “salvar” para registrar suas alterações não fica visível com todas as opções, mas apenas no topo do submenu. É provável que os usuários ignorem isso e suponham erroneamente que suas configurações são salvas automaticamente, portanto, movendo-se para outra página sem clicar no botão “salvar” . Esse problema não ocorre nas versões app e mobile. Portanto, isso cria uma confusão adicional para os usuários que mudam da versão móvel/aplicativo para a versão desktop e pode fazê-los pensar que só podem alterar suas configurações na versão móvel ou no aplicativo
Exemplo 44	Os usuários clicam em “exercer meu direito de acesso” no aviso de privacidade, mas são redirecionados para o seu perfil, que não fornece nenhum recurso relacionado ao exercício do direito.
Exemplo 45	Ao clicar em um link relacionado ao exercício dos direitos do titular dos dados, as seguintes informações não são fornecidas no(s) idioma(s) oficial(is) do estado do país do usuário, enquanto o serviço é. Em vez disso, os usuários são redirecionados para uma página em inglês.
Exemplo 46	A plataforma de mídia social não declara explicitamente que os usuários na UE têm o direito de apresentar uma reclamação a uma autoridade supervisora, mas apenas menciona que em alguns países – sem mencionar quais – existem autoridades de proteção de dados que a mídia social provedor coopera com relação a reclamações.
Exemplo 47	Aqui, as informações relacionadas aos direitos de proteção de dados estão disponíveis em pelo menos quatro páginas. Embora a política de privacidade informe sobre todos os direitos, ela não redireciona para as páginas relevantes para cada um deles. Por outro lado, quando os usuários visitarem sua conta, não encontrarão nenhuma informação sobre alguns dos direitos que podem exercer. Este labirinto de privacidade obriga os usuários a vasculhar muitas páginas para descobrir onde exercer cada direito e, dependendo da navegação, podem não estar cientes de todos os direitos que possuem.
Exemplo 48	Neste exemplo, os usuários desejam atualizar alguns de seus dados pessoais, mas não encontram uma maneira de fazê-lo em sua conta. Eles clicam em um link (1) redirecionando-os para a página de Perguntas e Respostas onde inserem sua pergunta (2). Vários resultados aparecem (3), alguns relacionados aos direitos de acesso e exclusão. Após conferir todos os resultados, eles clicam (4) no link disponível na página “Como acessar seus dados”. Ele os redireciona para a política de privacidade (5). Lá, eles encontram informações sobre direitos adicionais. Após a leitura desta informação, clica (6) no link associado ao exercício do direito de retificação que o redireciona para a conta de utilizador (7). Insatisfeitos, eles voltam para a política de privacidade e clicam em um link geral “Envie-nos uma solicitação” (8). Isso leva os usuários ao seu painel de privacidade (9). Como nenhuma das opções disponíveis parece corresponder à sua necessidade, os usuários acabam por acessar à página “exercício de outros direitos” (10) onde encontram finalmente uma forma de contato.
Exemplo 49	O parágrafo sob o subtítulo “direito de acesso” na política de privacidade explica que os usuários têm o direito de obter informações sob o Artigo 15, 1 da GDPR. No entanto, apenas menciona a possibilidade de os usuários receberem uma cópia de seus dados pessoais. Não há link direto visível para exercer o componente de cópia do direito de acesso nos termos do Artigo 15, 3 da GDPR. Em vez disso, as três primeiras palavras em “Você pode ter uma cópia de seus dados pessoais” estão ligeiramente sublinhadas. Ao passar o mouse sobre essas palavras com o mouse do usuário, uma pequena caixa é exibida com um link para as configurações.
Exemplo 50	A plataforma de mídia social oferece diferentes versões (desktop, aplicativo, celular). Em cada versão, as configurações (conduzindo ao acesso/objeção etc.) são exibidas com um símbolo diferente, deixando os usuários que alternam entre as versões confusos.
Exemplo 51	Quando o usuário opta por deletar o nome e local de sua escola de ensino médio ou a referência a um evento que participou e compartilhou, uma segunda janela aparece pedindo para confirmar essa escolha (“Você realmente quer fazer isso? Por que você quer fazer isso?”).
Exemplo 52	Os usuários estão procurando o direito de apagar. Eles têm que ligar para a conta configurações, abra um submenu chamado “privacidade” e role até o final para encontrar um link para excluir a conta.
Exemplo 53	No primeiro nível de informação, a informação é dada aos usuários destacando apenas as consequências negativas e desanimadoras de excluir suas contas (por exemplo, “você vai perder tudo para sempre” ou “seus amigos vão te esquecer”).
Exemplo 54	Quando os usuários excluem sua conta, eles não são informados sobre o tempo em que seus dados serão mantidos após a exclusão da conta. Pior ainda, em nenhum momento de toda a exclusão, os usuários do processo são avisados sobre o fato de que “alguns dos dados pessoais” podem ser armazenados mesmo após a exclusão de uma conta. Eles precisam buscar a informação por conta própria, nas diversas fontes de informação disponíveis.
Exemplo 55	Os usuários só podem excluir sua conta por meio de links denominados “Até mais” ou “Desativar” disponível em sua conta.
Exemplo 56	No processo de exclusão de sua conta, os usuários têm duas opções para escolher: Excluir sua conta ou pausá-la. Por padrão, a opção de pausa é selecionada.
Exemplo 57	Após clicar em “Excluir minha conta”, os usuários têm a opção de baixar seus dados, implementado como direito à portabilidade, antes de excluir a conta. Ao clicar para baixar suas informações, os usuários são redirecionados para uma página de informações de download. No entanto, uma vez que os usuários tenham escolhido o que e como baixar seus dados, eles não são redirecionados para o processo de exclusão.
Exemplo 58	Neste exemplo, os usuários primeiro veem uma caixa de confirmação para apagar sua conta depois de clicar no link ou botão correspondente em sua conta. Mesmo que haja alguma Direção Emocional nesta caixa, esta etapa pode ser vista como uma medida de segurança para que os usuários não excluam sua conta após um clique incorreto em sua conta. No entanto, quando os usuários clicam no botão “Excluir minha conta”, eles são confrontados com uma segunda caixa perguntando para descrever textualmente o motivo pelo qual desejam sair da conta. Desde que não tenham inserido algo na caixa, não podem excluir sua conta, pois o botão associado à ação está inativo e acinzentado. Essa prática torna o apagamento de uma conta mais demorado do que o necessário, especialmente porque pedir aos usuários que produzam um texto descrevendo por que eles querem sair de uma conta requer esforço e tempo extras e não deve ser obrigatório excluir a conta.
Exemplo 59	O provedor de mídia social torna obrigatório que os usuários respondam a uma pergunta sobre seus motivos para desejar apagar sua conta, por meio de uma seleção d e respostas em um menu suspenso. Parece aos usuários que responder a essa pergunta (aparentemente) permite que eles realizem a ação que desejam, ou seja, excluir a conta. Depois que uma resposta é selecionada, uma janela pop-up aparece, mostrando aos usuários uma maneira de resolver o problema declarado em sua resposta. O processo de perguntas e respostas, portanto, retarda os usuários em seu processo de exclusão de conta.
Exemplo 60	Na plataforma de mídia social XY, o link para desativar ou excluir a conta é encontrado na guia “Seus dados XY” .
Exemplo 61	A guia real para apagar uma conta é encontrada na seção “excluir uma função de sua conta”.

Portanto, os 3 (três) guias são exemplos de boas práticas para estabelecer diretrizes que possam orientar a sociedade, de maneira geral.