Quando se aplica a conformidade de dados de crianças e o que fazer a seguir

A conformidade de dados de crianças se aplica quando um produto SaaS, processo de suporte, fornecedor, recurso de IA, analytics ou uso por cliente coleta ou usa dados pessoais sobre crianças. A resposta prática é identificar onde esses dados podem entrar, decidir se crianças são usuários-alvo, usuários prováveis ou presentes em dados do cliente, e transformar isso em responsáveis, controles e evidências.

O GDPR dá proteção específica às crianças. O artigo 8 inclui condições quando o consentimento é usado para serviços da sociedade da informação oferecidos diretamente a uma criança. A idade geral é 16 anos, mas Estados-membros podem reduzi-la até 13. Abaixo da idade aplicável, o consentimento deve ser dado ou autorizado por quem tem responsabilidade parental.

Regra rápida

O tema está em escopo quando crianças são usuários previstos, usuários prováveis, pessoas nos dados do cliente ou podem razoavelmente aparecer em um fluxo.

Isso inclui educação, saúde, família, comunidades, jogos, mensagens, tickets de suporte, uploads, gravações, texto livre, eventos de analytics, prompts de IA e integrações. B2B não elimina a análise.

O que fazer a seguir

Crie um inventário com pontos de entrada, categorias de dados, finalidade, base legal, sinal de idade, fornecedores, retenção, acesso e localização das evidências. Depois decida como a idade será tratada. Às vezes, padrões mais protetivos para todos são melhores do que coletar mais dados para verificar idade.

Revise a base legal e o consentimento. Consentimento não é automaticamente a opção correta. Se for usado, aviso, escopo, retirada, autorização parental e evidência precisam funcionar.

Erros comuns

Erros comuns são assumir que B2B exclui crianças, tratar idade como uma única pergunta, esquecer dados não estruturados e usar consentimento sem retirada operacional. Boas evidências mostram o escopo, os controles alterados e os responsáveis.

FAQ

Quando isso se aplica a SaaS?

Quando crianças são usuários-alvo ou prováveis, aparecem em dados de clientes ou podem surgir em fluxos de produto, suporte, analytics, IA ou fornecedores.

O que documentar primeiro?

Inventário, abordagem de idade, base legal, consentimento ou autorização parental, decisão de DPIA, padrões de privacidade, fornecedores, retenção e dono da evidência.

Fontes

Este artigo se baseia no GDPR, nas diretrizes do EDPB sobre consentimento e nas orientações do ICO sobre o Children's Code.