RGPD e hospedagem de vídeo: por que importa onde ele é armazenado e reproduzido na UE

A hospedagem de vídeo importa sob o RGPD porque reproduzir um vídeo no seu site implica tratar dados pessoais dos visitantes, como o endereço IP ou os identificadores que os cookies instalam. Onde esse vídeo é armazenado e servido, e quem o gerencia, determina quais obrigações você tem e quais riscos assume.

Este guia explica quais dados um player trata, o que acontece com as transferências fora da UE, por que os vídeos incorporados de plataformas gratuitas como o YouTube complicam a conformidade e o que convém exigir de uma hospedagem. É informação geral e não substitui assessoria jurídica para o seu caso concreto.

Por que importa onde o seu vídeo é armazenado e reproduzido sob o RGPD?

O RGPD protege os dados pessoais das pessoas que estão na União Europeia e se aplica ao seu site se pessoas da UE o visitam, esteja a sua empresa onde estiver. Quem decide como e para que esses dados são tratados é o responsável pelo tratamento, e essa figura é você, como titular do site.

Quando você incorpora um vídeo de um terceiro, esse provedor recebe dados dos seus visitantes desde o carregamento da página. Se você o hospeda na sua própria hospedagem, ou em uma que atua como operador do tratamento sob contrato, controla melhor o que é coletado, por quanto tempo e em que país é armazenado. A localização, portanto, não é um detalhe técnico: faz parte da sua conformidade.

Quais dados pessoais um player de vídeo trata?

Mais do que parece. Mesmo sem pedir nenhum formulário, o simples fato de servir um vídeo gera informação que pode identificar uma pessoa, de forma direta ou indireta.

• Endereço IP. Cada requisição do vídeo o revela, e ele pode ser considerado um dado pessoal.

• Identificadores e cookies. Alguns players instalam cookies ou usam identificadores para lembrar o usuário ou medir o comportamento dele.

• Dados de visualização. O progresso, as pausas e as interações podem ser associados a uma pessoa concreta se houver um cadastro ou um e-mail vinculado.

• Dados do dispositivo. O navegador, o idioma ou o tamanho da tela ajudam a construir um perfil se forem combinados com outros dados.

Se o seu player mostra dados do espectador, como uma marca d'água com o e-mail dele, você também está tratando dados pessoais e precisa poder justificá-los e explicá-los na sua política de privacidade.

O que acontece com as transferências de dados para fora da UE?

O RGPD permite enviar dados pessoais para fora do Espaço Econômico Europeu só se o destino oferecer um nível de proteção adequado ou existirem garantias, como as cláusulas contratuais-tipo. É o que o capítulo V regula.

Quando você usa um provedor com servidores ou empresa controladora em um país terceiro, precisa saber se há base legal para essa transferência. Para os Estados Unidos, a Comissão Europeia adotou em 2023 uma decisão de adequação que cobre as empresas certificadas no Quadro de Privacidade de Dados UE-EUA; convém conferir se o seu provedor consta como certificado e quais outras garantias ele oferece. Documente essa conferência: se um cliente ou uma autoridade perguntar, você terá uma resposta por escrito.

Hospedar e servir o vídeo dentro da UE simplifica essa questão, porque reduz o número de transferências que você precisa justificar. Não é uma exigência absoluta, mas é o caminho mais simples de demonstrar diligência diante de um cliente ou de uma autoridade.

Quais riscos há em incorporar vídeos do YouTube ou de outras plataformas gratuitas?

Uma plataforma gratuita oferece comodidade e alcance, mas o seu site compartilha os dados dos visitantes em troca. O player incorporado carrega recursos do provedor e, conforme o modo de incorporação, pode instalar cookies ou enviar identificadores antes de a pessoa ter decidido qualquer coisa.

O YouTube oferece um modo de privacidade aprimorada, com um domínio específico para incorporar, que, segundo a documentação dele, limita o armazenamento de informações até que o visitante reproduza o vídeo. Reduz a exposição, mas não muda o fato de que o provedor é um terceiro que recebe dados e de que você deve informar e, quando for o caso, pedir consentimento.

Convém distinguir incorporar e hospedar. Ao incorporar, o vídeo vive na plataforma e o seu site só o exibe; ao hospedar, o arquivo é armazenado e servido a partir de uma infraestrutura que você escolhe. Essa diferença é o que muda quem recebe os dados do visitante.

Somam-se a isso outros inconvenientes: recomendações de vídeos de terceiros ao terminar, anúncios e pouca capacidade de configurar o player ou os dados que ele coleta. Por isso muitos negócios decidem sair do YouTube para uma hospedagem própria, especialmente quando vendem formação ou trabalham com clientes que exigem garantias de privacidade.

Como gerenciar o consentimento e os cookies do vídeo?

Na Espanha, além do RGPD, a LSSI exige informar e obter o consentimento antes de instalar cookies não necessários no dispositivo do usuário. A Agência Espanhola de Proteção de Dados (AEPD) publica um guia com os critérios dela, e convém segui-lo.

Se o seu player ou o de um terceiro instala cookies não essenciais, o seu banner deve bloqueá-los até que a pessoa aceite. Se você prefere evitar o problema, pode escolher um player que não dependa de cookies de rastreamento para funcionar, de modo que o vídeo seja reproduzido sem pedir permissões adicionais.

A sua política de privacidade deve registrar quais provedores intervêm, quais dados recebem, com que finalidade e em que país os tratam. Se o vídeo é um conteúdo pago, acrescente também como você gerencia o acesso.

O que exigir de uma hospedagem de vídeo com controle RGPD?

Antes de contratar, revise alguns pontos concretos. Uma plataforma séria de hospedagem de vídeo deveria conseguir responder a todos eles com clareza e por escrito.

• Contrato de operador do tratamento. Um acordo conforme o artigo 28 do RGPD que fixe o que o provedor faz com os dados e que ele aja sob as suas instruções.

• Localização do armazenamento e da entrega. Onde os vídeos ficam guardados e de quais regiões são servidos, e quais suboperadores participam.

• Privacidade por padrão. Possibilidade de reproduzir sem cookies de rastreamento e de limitar os dados de analítica que são conservados.

• Controle de acesso e segurança. Criptografia, permissões e medidas que protejam o conteúdo e os dados dos seus espectadores.

Quanto ao acesso, ferramentas como o DRM para proteger o conteúdo ou a marca d'água dinâmica ajudam a controlar quem vê o vídeo, embora convenha lembrar que, se exibem dados da pessoa, também fazem parte do tratamento. Peça ainda informação sobre as medidas de segurança e a segurança da plataforma.

Como passar para uma hospedagem com controle RGPD?

1. Faça um inventário de onde você tem vídeos incorporados: site, cursos, e-mails e páginas de venda.

2. Revise quais provedores intervêm, quais cookies instalam e em quais países os dados são tratados.

3. Escolha uma hospedagem que ofereça contrato de operador, informação sobre a localização e reprodução sem cookies de rastreamento.

4. Migre os vídeos e substitua os códigos de incorporação antigos pelo novo player.

5. Atualize o banner de cookies e a política de privacidade com os novos provedores e finalidades.

6. Documente a mudança e guarde as provas de conformidade para o caso de precisar demonstrá-las.

Com o Atomic Player você pode hospedar e reproduzir seus vídeos com um player próprio, sem depender de uma plataforma gratuita para servi-los.

O que muda entre o YouTube e uma hospedagem própria com controle RGPD?

A diferença está em quem controla os dados, os cookies e a experiência. Esta comparação resume os pontos principais.

Aspecto

YouTube ou plataforma gratuita

Hospedagem própria com controle RGPD

Dados do visitante

O provedor os recebe, um terceiro com finalidades próprias

Um operador os trata sob contrato e segundo as suas instruções

Cookies e consentimento

Cookies podem ser instalados; é preciso gerenciar o consentimento

Reprodução sem cookies de rastreamento e menos fricção de consentimento

Localização e transferências

Dependem da infraestrutura do provedor

Você pode escolher e documentar onde é armazenado e servido

Controle do player

Anúncios, recomendações e marca de terceiros

Player configurável, sem conteúdo de terceiros e com a sua marca

Para quem vende formação ou trabalha com clientes europeus, a hospedagem própria com controle RGPD costuma ser a opção que melhor protege a empresa e os espectadores.

Perguntas frequentes

Incorporar um vídeo do YouTube cumpre o RGPD?

Pode cumprir se você informa os visitantes e gerencia o consentimento quando for necessário. Ainda assim, o provedor recebe dados dos seus visitantes, por isso você deve avaliar o modo de privacidade aprimorada e revisar o seu banner de cookies.

É obrigatório hospedar os vídeos em servidores da UE?

Não é obrigatório em todos os casos. O RGPD permite transferências fora da UE se houver base legal, como uma decisão de adequação ou cláusulas contratuais. Hospedar na UE simplifica a conformidade.

Um endereço IP é um dado pessoal?

Pode ser, porque permite identificar uma pessoa de forma direta ou indireta. Por isso, servir um vídeo já implica tratar dados pessoais e obriga a informar os visitantes.

O que é um contrato de operador do tratamento?

É o acordo que regula como um provedor trata dados pessoais por conta da sua empresa. O artigo 28 do RGPD o exige e ele deve fixar a finalidade, as medidas de segurança e o uso de suboperadores.

Preciso de um banner de cookies para um vídeo incorporado?

Se o player instala cookies não necessários, sim: você deve pedir consentimento antes. Um player que funcione sem cookies de rastreamento reduz essa necessidade e simplifica a experiência do visitante.

Escolha uma hospedagem que proteja os seus espectadores

Onde o seu vídeo é armazenado e reproduzido é uma decisão de conformidade tanto quanto técnica. Uma hospedagem com controle sobre os dados, a localização e os cookies dá segurança diante dos seus clientes e uma experiência mais limpa para quem assiste ao conteúdo.

Teste o Atomic Player e hospede seus vídeos com mais controle sobre os dados da sua audiência.