RGPD para PME: cinco decisões que resolvem noventa por cento do problema
A conformidade com o RGPD numa pequena empresa não exige um departamento. Exige cinco decisões tomadas uma vez e escritas num sítio onde se encontrem.
Há uma indústria construída sobre a ideia de que o RGPD é impenetrável. Para uma empresa com dez pessoas e sem tratamento de dados sensíveis em massa, não é. É um conjunto pequeno de decisões que quase ninguém toma explicitamente — e é a ausência da decisão, não a decisão errada, que dá origem à maioria das coimas em pequenas organizações.
Um: saber que dados tem
Não é preciso software. Uma folha com quatro colunas resolve: que dados, de quem, para quê, e onde estão guardados. Faça a lista percorrendo o que a empresa realmente faz — o formulário do website, a caixa de correio, a faturação, o processamento salarial, as candidaturas espontâneas que ficaram numa pasta.
Este exercício é, na prática, o registo de atividades de tratamento previsto no artigo 30.º. É também o único documento que a autoridade de controlo pede primeiro em quase todas as inspeções.
Dois: escolher o fundamento de cada tratamento
Cada finalidade precisa de uma base legal, e são poucas as que se aplicam a uma PME:
- Execução de contrato — dados de clientes necessários para prestar o serviço. Não precisa de consentimento.
- Obrigação legal — faturação, contabilidade, retenções. Também não precisa.
- Interesse legítimo — por exemplo segurança das instalações ou prevenção de fraude, desde que ponderado e documentado.
- Consentimento — newsletters, cookies não essenciais, uso de imagem.
O erro clássico é pedir consentimento para tudo. Consentimento é revogável: se o fundamento para guardar uma fatura for o consentimento do cliente, ele pode retirá-lo e a empresa fica em incumprimento fiscal. Escolha o fundamento certo e o problema desaparece.
Três: definir prazos de conservação
"Guardamos enquanto for necessário" não é um prazo. Defina números, ancorados na lei onde ela existe: dez anos para documentação fiscal, os prazos laborais aplicáveis para dados de recursos humanos, um prazo curto e justificado para candidaturas não selecionadas, o período de garantia mais o prazo de prescrição para dados de clientes.
Depois cumpra-os. Um prazo escrito e não cumprido é pior do que nenhum, porque prova que a empresa sabia.
Quatro: saber quem mais toca nos dados
Cada serviço que trata dados por conta da empresa é um subcontratante e exige contrato nos termos do artigo 28.º: o alojamento do email, o software de faturação, o serviço de cópias de segurança, a contabilidade externa. A maioria dos fornecedores sérios tem o acordo pronto — basta aceitá-lo e guardar cópia.
Verifique também onde os dados ficam fisicamente. Fora do Espaço Económico Europeu é possível, mas exige garantias adequadas e passa a ter de ser explicado a quem perguntar.
Cinco: preparar a resposta antes do pedido
Um titular tem direito a saber que dados existem sobre si, a corrigi-los e, em muitos casos, a apagá-los. A lei dá um mês para responder. Uma empresa que já fez o exercício do ponto um responde numa tarde; uma que não fez passa esse mês a procurar.
Tenha um endereço dedicado para estes pedidos, uma pessoa responsável e um procedimento de uma página.
O que fica de fora
Nem toda a empresa precisa de encarregado de proteção de dados — a obrigação depende da natureza e da escala do tratamento. Nem toda a empresa precisa de avaliação de impacto. E poucas precisam da consultoria permanente que lhes é vendida.
O que todas precisam é de conseguir mostrar, quando perguntadas, que pensaram no assunto e escreveram o que decidiram.