Scraper Google Maps legalmente: regulamentação e boas práticas RGPD

O scraping do Google Maps para constituir ficheiros de prospeção B2B suscita numerosas interrogações legais junto dos empresários e responsáveis de marketing. É legal? Quais são os riscos? Como respeitar o RGPD? Estas questões são legítimas, tanto mais que as sanções em matéria de proteção de dados podem ter consequências pesadas para uma empresa.

A regulamentação europeia sobre a proteção de dados pessoais modificou consideravelmente as práticas de marketing desde 2018. Muitas empresas desenvolveram uma abordagem prudente, por vezes excessiva, por receio de sanções. Esta frieza é compreensível, mas não deve paralisar as ações comerciais legítimas.

A realidade é mais matizada do que deixam pensar os discursos alarmistas. O scraping de dados públicos pode ser perfeitamente legal, desde que se respeitem certas regras e boas práticas. O Google Maps, enquanto serviço público acessível a todos, contém milhões de informações sobre as empresas portuguesas e europeias. Estes dados, quando são públicos, podem ser recolhidos e utilizados para a prospeção comercial, num enquadramento legal preciso.

O objetivo deste artigo é desmistificar o enquadramento jurídico aplicável ao scraping do Google Maps e dar-lhe as chaves para conduzir as suas ações de prospeção com toda a serenidade. Abordaremos os aspetos técnicos, jurídicos e práticos para lhe permitir constituir legalmente os seus ficheiros de prospeção B2B, respeitando os direitos das pessoas e as exigências do RGPD.

O scraping de dados públicos é legal?

O princípio da liberdade de acesso aos dados públicos

O scraping de dados públicos repousa sobre um princípio fundamental: a liberdade de acesso à informação pública. Os dados exibidos publicamente na internet, nomeadamente as informações de empresas presentes no Google Maps, são considerados como acessíveis a todos. Esta acessibilidade não significa que todo o uso seja autorizado, mas estabelece uma base legal sólida para a recolha.

Em Portugal, a lei sobre os dados abertos e a reutilização de informações do setor público reforçou este princípio facilitando o acesso aos dados públicos. As informações sobre as empresas (denominação social, morada, setor de atividade) dependem largamente do domínio público, sobretudo quando já estão inscritas no registo comercial.

A jurisprudência europeia esclarece o debate

O Tribunal de Justiça da União Europeia pronunciou-se várias vezes sobre o web scraping. O acórdão de 2019 no caso GC e outros contra CNIL estabeleceu que a recolha de dados públicos não constitui necessariamente uma violação do RGPD, desde que esta recolha respeite certas condições.

O Tribunal precisou nomeadamente que os dados tornados públicos pelos seus detentores podem ser recolhidos e tratados, sob reserva do respeito dos direitos das pessoas em causa e das finalidades legítimas do tratamento. Esta jurisprudência oferece um enquadramento tranquilizador para as empresas que desejam utilizar o scraping para fins comerciais.

Dados públicos vs dados privados: uma distinção essencial

Nem todos os dados presentes no Google Maps são iguais perante o direito. Convém distinguir várias categorias:

Os dados de empresa estritamente públicos: nome da empresa, morada da sede social, setor de atividade, número de telefone principal. Estas informações são geralmente livremente acessíveis e a sua recolha coloca poucos problemas jurídicos.

Os dados pessoais tornados públicos: nome do dirigente, email pessoal, telefone direto. Embora públicos, estes dados permanecem dados pessoais no sentido do RGPD e necessitam de precauções particulares.

Os dados privados ou sensíveis: horários detalhados, dados financeiros específicos, informações sobre os empregados. Estes dados necessitam de uma atenção particular e podem necessitar do consentimento explícito.

Condições de utilização vs direito de acesso

O Google impõe condições de utilização para os seus serviços, incluindo o Google Maps. Estas condições proíbem geralmente o scraping automatizado massivo. Contudo, a validade jurídica destas proibições é debatida, nomeadamente quando se opõe ao direito fundamental de acesso à informação pública.

A jurisprudência americana, nomeadamente o caso hiQ Labs vs LinkedIn, estabeleceu que as condições de utilização não podem proibir o acesso a dados públicos quando este acesso responde a um interesse legítimo. Na Europa, esta posição tende a confirmar-se, mesmo que a prudência permaneça de ordem.

Enquadramento RGPD para o scraping Google Maps

Dados pessoais vs dados de empresa

O RGPD aplica-se unicamente aos dados pessoais, ou seja, às informações que permitem identificar direta ou indiretamente uma pessoa física. Esta distinção é fundamental para compreender as obrigações legais ligadas ao scraping.

As informações puramente comerciais de uma empresa (denominação social, morada da sede, setor de atividade, número de identificação fiscal) não são geralmente consideradas como dados pessoais. Em contrapartida, o nome do dirigente, o seu email profissional ou o seu telefone direto constituem dados pessoais sujeitos ao RGPD.

Esta nuance permite fazer scraping legalmente de numerosas informações de empresas sem constrangimentos RGPD particulares, aplicando regras específicas para os dados pessoais associados.

As bases legais aplicáveis

Quando dados pessoais são recolhidos, é preciso identificar uma base legal entre as seis previstas pelo RGPD. Para a prospeção B2B via scraping, a base legal mais pertinente é geralmente o interesse legítimo.

O interesse legítimo permite tratar dados pessoais sem consentimento, desde que este interesse seja real, sério e que não atente de maneira desproporcionada contra os direitos das pessoas em causa. A prospeção comercial B2B responde geralmente a estes critérios, sobretudo quando segmenta dados tornados públicos pelas próprias empresas.

É preciso contudo realizar um teste de proporcionalidade: o interesse comercial da empresa deve ser posto na balança com os direitos e liberdades das pessoas em causa. Este teste deve ser documentado e justificado.

Princípio da minimização dos dados

O RGPD impõe recolher unicamente os dados necessários à finalidade prosseguida. Para a prospeção B2B, isso significa:

• Limitar a recolha às informações diretamente úteis à prospeção
• Evitar recolher dados sensíveis ou excessivos
• Não armazenar informações sem relação com a atividade comercial
• Suprimir regularmente os dados obsoletos

Na prática, para um ficheiro de prospeção B2B, os dados pertinentes limitam-se geralmente a: nome da empresa, setor de atividade, morada, telefone, email de contacto, nome do decisor. Todo o elemento suplementar deve ser justificado por uma necessidade comercial real.

Direitos das pessoas em causa

Mesmo em caso de recolha legal, as pessoas em causa conservam os seus direitos RGPD:

Direito de informação: as pessoas devem poder saber que os seus dados são tratados, por quem, e com que fim. Na prática, esta informação pode ser fornecida aquando do primeiro contacto comercial.

Direito de acesso: qualquer pessoa pode pedir que dados detém sobre ela. É preciso poder responder num prazo de um mês.

Direito de retificação: se os dados são inexatos, a pessoa pode pedir a sua correção.

Direito ao apagamento: sob certas condições, a pessoa pode pedir a supressão dos seus dados.

Direito de oposição: qualquer pessoa pode opor-se à prospeção comercial. Esta oposição deve ser respeitada imediatamente.

Prospeção B2B: o que diz a lei

Distinção B2B vs B2C

A regulamentação portuguesa estabelece uma distinção nítida entre prospeção B2B (business to business) e B2C (business to consumer). Esta distinção é essencial para compreender as regras aplicáveis ao scraping do Google Maps.

Em B2C, a prospeção por email necessita do consentimento prévio do destinatário (opt-in). Esta regra rigorosa torna muito difícil a utilização de dados scrapados para contactar particulares.

Em B2B, a regulamentação é mais flexível. A prospeção por email é autorizada sem consentimento prévio, desde que se respeitem certas condições: endereço email profissional, relação com a atividade do destinatário, possibilidade de cancelamento de subscrição, respeito da lista de oposição.

Soft opt-in para a prospeção profissional

O "soft opt-in" autoriza a prospeção por email para endereços profissionais sem consentimento prévio, sob reserva de várias condições:

• O endereço email deve ser profissional (sem endereço pessoal tipo Gmail, Yahoo, etc.)
• A mensagem deve estar relacionada com a atividade profissional do destinatário
• Cada email deve permitir um cancelamento de subscrição simples e gratuito
• É preciso respeitar os pedidos de cancelamento de subscrição imediatamente

Esta regra permite utilizar legalmente dados scrapados do Google Maps para a prospeção B2B, desde que se segmente exclusivamente endereços profissionais e se respeitem as condições mencionadas.

Lista de oposição nacional

Existe uma lista de oposição ao marketing direto. Embora diga respeito principalmente ao telefone, esta lista de oposição aplica-se também parcialmente à prospeção por email quando segmenta profissionais no seu domicílio ou na sua linha pessoal.

As empresas que praticam a prospeção devem consultar esta lista antes de qualquer campanha e excluir os números inscritos. Para o scraping Google Maps, isso diz respeito principalmente aos números de telefone recolhidos.

Obrigações de informação

Aquando do primeiro contacto comercial, seja por email ou por telefone, várias informações devem ser fornecidas:

• Identidade da empresa que prospecta
• Finalidade do tratamento (prospeção comercial)
• Base legal do tratamento (interesse legítimo)
• Direito de oposição e modalidades de exercício
• Coordenadas do responsável pelo tratamento

Estas informações podem ser integradas naturalmente na mensagem de prospeção ou fornecidas através de um link para uma política de confidencialidade.

Condições de utilização Google Maps

O que o Google autoriza e proíbe

As condições de utilização do Google Maps são claras sobre certos pontos mas deixam zonas cinzentas sobre outros. O Google proíbe explicitamente:

• O scraping automatizado massivo dos seus serviços
• A utilização de robots ou de scripts para recolher dados
• A revenda de dados recolhidos nas suas plataformas
• O uso comercial dos dados sem autorização

Contudo, o Google tolera geralmente a consulta manual dos seus serviços e não impede o uso comercial das informações públicas que aí são exibidas. A fronteira entre uso autorizado e uso proibido permanece confusa e depende largamente do volume e do método de recolha.

Uso razoável vs uso abusivo

A noção de uso razoável é central na abordagem do Google. Um uso razoável poderia incluir:

• Consulta manual pontual de informações
• Recolha limitada para necessidades comerciais legítimas
• Respeito dos limites técnicos (sem sobrecarga dos servidores)
• Uso não-concorrencial direto com o Google

Um uso abusivo incluiria:

• Scraping automatizado massivo e repetido
• Recolha sistemática do conjunto da base de dados
• Utilização intensiva que poderia perturbar o serviço
• Criação de um serviço concorrente baseado nos dados Google

Limites técnicos e legais

O Google implementa limites técnicos para impedir o scraping massivo: limitação da taxa de pedidos, deteção dos comportamentos automatizados, bloqueio de IP suspeitos. Estes limites técnicos constituem também indicadores do que o Google considera como um uso aceitável.

De um ponto de vista legal, estes limites técnicos não têm força de lei, mas dão indicações sobre a política do Google e podem influenciar a apreciação jurídica do uso feito dos seus serviços.

API oficial vs scraping

O Google propõe APIs oficiais para aceder aos seus dados de maneira legal e controlada. A API Places permite nomeadamente aceder às informações de empresas de maneira estruturada e autorizada.

As vantagens da API oficial:

• Uso legalmente autorizado pelo Google
• Dados estruturados e fiáveis
• Apoio técnico disponível
• Respeito automático dos limites de uso

Os inconvenientes:

• Custo elevado para volumes importantes
• Limitações sobre os tipos de dados acessíveis
• Quotas rigorosas sobre o número de pedidos
• Dependência técnica do Google

O scraping apresenta a vantagem inversa: custo baixo, flexibilidade máxima, mas riscos jurídicos e técnicos mais elevados.

Boas práticas para permanecer conforme

Respeito dos volumes razoáveis

A primeira regra para um scraping legal é permanecer em volumes razoáveis. Não existe um limiar legal preciso, mas alguns princípios podem guiar esta avaliação:

• Limitar a recolha às suas necessidades comerciais reais
• Evitar a recolha sistemática e exaustiva
• Espaçar os pedidos para não sobrecarregar os servidores
• Utilizar ferramentas respeitadoras dos robots.txt

Na prática, para uma PME, um ficheiro de alguns milhares de contactos recolhidos progressivamente permanece numa zona de risco aceitável. Para volumes mais importantes, o uso da API oficial torna-se recomendado.

Informação das pessoas em causa

Embora a lei não imponha informar previamente as pessoas cujos dados são recolhidos (quando estes dados são públicos), é recomendado fazê-lo aquando do primeiro contacto comercial.

Esta informação pode tomar a forma de um parágrafo no seu email de prospeção ou de um link para a sua política de confidencialidade. Deve mencionar:

• A fonte de recolha dos dados (Google Maps)
• A finalidade do tratamento (prospeção comercial)
• Os direitos da pessoa (oposição, acesso, retificação)
• As modalidades de exercício destes direitos

Direito de retificação e de apagamento

Deve estar em condições de responder aos pedidos de retificação e de apagamento dos dados. Isso implica:

• Manter um ficheiro organizado e acessível
• Implementar procedimentos de tratamento dos pedidos
• Responder nos prazos legais (1 mês máximo)
• Formar as suas equipas a estes procedimentos

Na prática, estes pedidos permanecem raros na prospeção B2B, mas deve poder responder-lhes eficazmente.

Conservação limitada dos dados

O RGPD impõe conservar os dados apenas o tempo necessário à finalidade prosseguida. Para a prospeção B2B, esta duração pode variar segundo o seu ciclo de venda:

• 3 anos máximo para prospects inativos
• Supressão imediata em caso de oposição
• Arquivo ou supressão dos dados obsoletos
• Revisão regular da sua base de dados

Proteção dos ficheiros

Os dados recolhidos devem ser protegidos contra os acessos não autorizados. Isso inclui:

• Armazenamento seguro (servidores protegidos, acessos limitados)
• Encriptação dos dados sensíveis
• Cópias de segurança regulares e protegidas
• Formação das equipas às boas práticas de segurança

Gestão dos direitos das pessoas

Direito de acesso e de retificação

Qualquer pessoa pode pedir para conhecer os dados que detém sobre ela e pedir a sua retificação se são inexatos. Para gerir bem estes pedidos:

Procedimento de acesso:

• Verificar a identidade do requerente
• Fornecer uma cópia dos dados num prazo de um mês
• Explicar a fonte e o uso dos dados
• Mencionar os direitos da pessoa

Procedimento de retificação:

• Verificar o pedido e os justificativos
• Corrigir os dados em todos os seus ficheiros
• Informar a pessoa das correções efetuadas
• Atualizar as suas fontes se necessário

Direito ao apagamento ("direito ao esquecimento")

O direito ao apagamento não é absoluto em matéria de prospeção B2B, mas deve ser respeitado em certos casos:

• Oposição explícita da pessoa
• Dados recolhidos de maneira ilegal
• Finalidade do tratamento expirada
• Pedido justificado da pessoa

A supressão deve ser efetiva em todos os seus sistemas e ficheiros, incluindo as cópias de segurança recuperáveis.

Direito de oposição à prospeção

O direito de oposição à prospeção comercial é um direito absoluto. Qualquer pessoa pode opor-se sem justificação, e esta oposição deve ser respeitada imediata e definitivamente.

Modalidades práticas:

• Link de cancelamento de subscrição em cada email
• Procedimento simples e gratuito
• Tratamento imediato (menos de 48h)
• Supressão de todos os ficheiros de prospeção
• Formação das equipas comerciais

Atenção: a oposição vale geralmente apenas para a prospeção. Não se aplica necessariamente à gestão da relação cliente se a pessoa se tornar cliente posteriormente.

Procedimentos práticos a implementar

Registo dos pedidos: mantenha um registo de todos os pedidos de exercício de direitos com as datas de receção e de tratamento.

Formação das equipas: as suas equipas comerciais e de marketing devem conhecer estes procedimentos e saber reagir corretamente aos pedidos.

Ferramentas técnicas: utilize ferramentas CRM que permitem gerir facilmente estes direitos (marcação das oposições, histórico dos pedidos, etc.).

Documentação: conserve o rasto dos seus procedimentos e da sua aplicação para demonstrar a sua conformidade em caso de controlo.

Erros jurídicos a evitar absolutamente

Utilização abusiva dos dados pessoais

O erro mais grave consiste em tratar os dados pessoais recolhidos além da finalidade declarada. Se recolhe dados para a prospeção B2B, não pode:

• Revendê-los a terceiros sem consentimento
• Utilizá-los para prospeção B2C
• Transmiti-los a parceiros comerciais
• Utilizá-los para outras finalidades comerciais

Cada uso diferente necessita de uma base legal própria e, muitas vezes, de uma informação específica das pessoas em causa.

Não-respeito do direito de oposição

Ignorar ou tratar mal os pedidos de oposição é uma falta grave que pode acarretar sanções importantes. Os erros clássicos:

• Continuar a prospectar após uma oposição
• Tornar o cancelamento de subscrição complexo ou pago
• Não transmitir a oposição a todas as equipas
• Atrasar o tratamento do pedido

O direito de oposição deve ser respeitado imediatamente e sem condições.

Conservação excessiva dos dados

Conservar dados além da duração necessária constitui uma violação do princípio de limitação da conservação. Os riscos:

• Sanções da autoridade de proteção de dados em caso de controlo
• Riscos de segurança acrescidos (pirataria, fuga)
• Custos de armazenamento inúteis
• Complexificação da gestão dos direitos

Implemente procedimentos de purga automática dos seus ficheiros.

Revenda de dados sem consentimento

A revenda ou a troca de ficheiros de prospeção sem consentimento explícito das pessoas em causa é estritamente proibida. Esta prática, ainda corrente em certos setores, expõe a sanções severas.

Se deseja partilhar dados com parceiros, deve:

• Obter o consentimento explícito das pessoas
• Informar claramente sobre esta finalidade
• Permitir a oposição a esta partilha
• Verificar a conformidade RGPD do parceiro

Recomendações práticas

Checklist de conformidade

Antes de lançar um projeto de scraping Google Maps, verifique estes pontos:

Aspetos legais: □ Finalidade clara e legítima da recolha □ Base legal identificada (interesse legítimo para o B2B) □ Volumes razoáveis e justificados □ Procedimentos de gestão dos direitos das pessoas □ Informação das pessoas aquando do primeiro contacto

Aspetos técnicos: □ Ferramentas respeitadoras dos servidores target □ Limitação dos volumes e frequências □ Proteção dos dados recolhidos □ Procedimentos de cópia de segurança e de supressão □ Testes de funcionamento dos procedimentos

Aspetos organizacionais: □ Formação das equipas □ Documentação dos procedimentos □ Designação dos responsáveis □ Seguimento das performances e da conformidade

Documentação a conservar

A conformidade RGPD impõe documentar os seus tratamentos. Conserve:

• Registo dos tratamentos: descrição das suas atividades de scraping e de prospeção
• Análises de impacto: avaliação dos riscos para os direitos das pessoas
• Procedimentos internos: gestão dos direitos, segurança, conservação
• Provas de conformidade: formações, auditorias, correções aportadas
• Correspondências: pedidos das pessoas e as suas respostas

Esta documentação será a sua melhor defesa em caso de controlo da autoridade de proteção de dados.

Processo de conformização

Fase 1 - Auditoria do existente (2 semanas)

• Inventário dos dados detidos
• Análise das fontes de recolha
• Identificação das não-conformidades
• Avaliação dos riscos

Fase 2 - Conformização técnica (4 semanas)

• Proteção dos ficheiros
• Implementação dos procedimentos de direitos
• Formação das equipas
• Testes dos procedimentos

Fase 3 - Documentação e seguimento (2 semanas)

• Redação do registo dos tratamentos
• Documentação dos procedimentos
• Implementação do seguimento de conformidade
• Formação contínua das equipas

Formação das equipas

A conformidade RGPD não é apenas uma questão técnica ou jurídica, é também uma questão humana. As suas equipas devem compreender:

Para a equipa de marketing:

• As regras de recolha e de uso dos dados
• As obrigações de informação
• A gestão das listas de oposição
• As boas práticas de prospeção

Para a equipa comercial:

• O tratamento dos pedidos de direitos
• Os procedimentos de oposição
• A informação dos prospects
• A atualização dos dados

Para a equipa técnica:

• A proteção dos dados
• Os procedimentos de cópia de segurança
• A gestão dos acessos
• As ferramentas de conformidade

Conclusão

O scraping do Google Maps para a prospeção B2B não é proibido, mas necessita de respeitar um enquadramento jurídico preciso. As empresas que dedicam tempo a compreender estas regras e a aplicá-las corretamente podem desenvolver as suas ações comerciais com toda a serenidade.

Os três pontos essenciais a reter:

A legalidade do scraping depende principalmente do caráter público dos dados recolhidos e do uso que deles é feito. A prospeção B2B beneficia de um enquadramento legal favorável, desde que se segmentem endereços profissionais e se respeitem os direitos das pessoas.

A conformidade RGPD obtém-se por uma abordagem metódica: identificação das bases legais, respeito dos direitos das pessoas, limitação da recolha às necessidades reais, proteção dos dados e documentação dos procedimentos.

As boas práticas permitem minimizar os riscos: volumes razoáveis, ferramentas respeitadoras, procedimentos claros, formação das equipas e vigilância jurídica contínua.

O scraping do Google Maps permanece um dos meios mais eficazes de constituir ficheiros de prospeção B2B qualificados. As empresas que dominam este processo num enquadramento legal conservam uma vantagem competitiva significativa sobre aquelas que se proíbem estas práticas por excesso de prudência.