O RGPD não é um formulário que se preenche uma vez e se esquece. É uma forma de trabalhar com os dados dos seus clientes e colaboradores que tem de manter ao longo do tempo. A boa notícia para uma empresa pequena é que cumprir a sério não exige um departamento jurídico inteiro: exige organização, alguns documentos bem feitos e uma parte técnica que quase ninguém olha até chegar um incidente ou uma inspeção.
Neste guia explicamos-lhe como cumprir o RGPD na sua empresa, centrando-nos no que de facto depende de si: o site, os registos, os contratos com fornecedores e a segurança dos dados. Não é aconselhamento jurídico —para isso existe o seu advogado ou o seu encarregado da proteção de dados—, é o roteiro técnico e organizativo que evita que uma falha tola acabe em coima.
O que o RGPD lhe pede realmente (em bom português)
Tire da cabeça a ideia de que o RGPD é sobre “não partilhar dados”. É sobre algo mais simples e mais exigente: saber que dados tem, para que os usa, onde estão e quem lhes toca. Se conseguir responder a estas quatro perguntas sobre qualquer dado pessoal que a sua empresa gere —o email de um cliente, o recibo de vencimento de um colaborador, o CV de um candidato—, está no bom caminho. Se não conseguir, é aí que está o seu problema.
O regulamento assenta em princípios que se traduzem em obrigações concretas e muito práticas:
- Uma base legal para cada tratamento. Não recolhe dados “por via das dúvidas”: cada dado responde a um motivo (um contrato, um consentimento, uma obrigação legal).
- Minimização. Pede apenas o que precisa. Um formulário de contacto não precisa do número do documento de identificação.
- Transparência. A pessoa sabe o que faz com os seus dados antes de lhos entregar.
- Direitos. Qualquer pessoa pode pedir-lhe acesso, retificação ou apagamento, e tem de conseguir dar resposta.
- Segurança. Protege os dados com medidas técnicas reais, não com boas intenções.
O essencial: o cumprimento demonstra-se, não se declara. O princípio da “responsabilidade” (accountability) significa que o ónus de provar que cumpre recai sobre si. Por isso a documentação e os registos não são burocracia; são a sua defesa no dia em que alguém perguntar.
O seu site: textos legais, formulários e cookies
O site é onde a maioria das empresas pequenas arrisca uma queixa, porque é a única coisa que qualquer um pode auditar de fora sem entrar no seu escritório. Aqui não há margem para improviso e três coisas têm de estar impecáveis.
Textos legais que digam a verdade
Precisa de uma política de privacidade, de um aviso legal e, se usar cookies, de uma política de cookies. O erro habitual é copiar a de outro site: fica com um documento que menciona finalidades que não aplica e omite as que aplica. A política tem de refletir a sua realidade —que dados recolhe de verdade, com que ferramentas (o seu CRM, o seu fornecedor de email marketing, a sua analítica) e durante quanto tempo os guarda—. Um texto genérico é pior do que não ter nada, porque prova que sabia que tinha de o colocar e ainda assim não o fez bem.
Formulários com consentimento real
Cada formulário —contacto, newsletter, orçamento— precisa de informar quem trata os dados e de remeter para a política de privacidade. Se o objetivo é enviar comunicações comerciais, é preciso uma caixa de consentimento não pré-assinalada. E esse consentimento tem de poder ser demonstrado: guarde quando e como foi dado. Um formulário que não regista nada é uma promessa que não consegue provar.
Cookies: bloquear antes de aceitar
O banner de cookies não é decorativo. Os cookies não essenciais —analítica, publicidade, píxeis de redes sociais— não podem carregar até o utilizador aceitar, e recusar tem de ser tão fácil como aceitar. Muitos banners “de modelo” mostram o aviso mas carregam os scripts na mesma: isso é incumprir com cartaz e tudo. A configuração técnica do banner e do gestor de etiquetas é tão importante como o texto.
Registo das atividades de tratamento e contratos de subcontratante
Aqui está a parte que quase nenhuma empresa pequena tem feita, e é das primeiras a serem pedidas numa inspeção. O registo das atividades de tratamento é o inventário de tudo o que faz com dados pessoais: cada atividade (gestão de clientes, processamento salarial, recrutamento, videovigilância) com a sua finalidade, a sua base legal, as categorias de dados, os prazos de conservação e as medidas de segurança.
Não é preciso uma ferramenta cara: uma folha de cálculo bem estruturada e mantida atualizada cumpre. O que não cumpre é não o ter ou tê-lo desatualizado. O registo é além disso o melhor mapa para tudo o resto: quando o preenche a sério descobre tratamentos que não tinha documentado e fornecedores que tocam nos dados sem contrato.
Cada empresa a quem entrega dados pessoais para que trabalhe por si é um subcontratante. E com cada uma precisa de um contrato assinado. Sem exceções.
O contrato de subcontratante é um documento do artigo 28.º do RGPD que regula o que esse fornecedor pode fazer com os dados. E quem são os seus subcontratantes? Mais do que pensa:
- O seu contabilista ou gabinete de assessoria, que trata salários e dados fiscais.
- O fornecedor do seu email e do seu CRM, onde vivem os contactos de clientes.
- A plataforma de email marketing a partir da qual envia a sua newsletter.
- O alojamento onde está o seu site e os seus formulários.
- O seu suporte informático externo, que acede aos equipamentos e aos sistemas.
Muitos fornecedores sérios já disponibilizam o seu contrato de subcontratante pronto a assinar (às vezes chamam-lhe DPA). O seu trabalho é reuni-los todos e guardá-los. E atenção às transferências internacionais: se a sua ferramenta armazena dados fora do Espaço Económico Europeu, é preciso verificar que existe uma garantia válida. Não é opcional.
Erros típicos que acabam em coima
A maioria das coimas às PME não vem de casos rebuscados, mas de falhas repetidas que se podiam ter evitado com um pouco de organização. Estas são as que mais se repetem:
- Cookies que carregam sem consentimento. O clássico. Banner de fachada enquanto a analítica e os píxeis já estão a correr.
- Não responder a um direito a tempo. Alguém pede que apague os seus dados, ninguém trata do assunto, e esse silêncio transforma-se em queixa.
- Não notificar uma violação de segurança. Perante um incidente que afeta dados pessoais, há um prazo de 72 horas para avaliar e, se for caso disso, notificar a autoridade. Improvisar nesse dia sai caro.
- Enviar comunicações comerciais sem consentimento ou sem uma ligação clara para cancelar a subscrição.
- Dados sem proteção. Palavras-passe partilhadas, portáteis sem cifra, backups que ninguém testa, acessos de ex-colaboradores ainda ativos.
Repare no padrão: quase todos são falhas técnicas e de organização, não de interpretação jurídica. Uma violação por um servidor desatualizado, um backup que falhou em silêncio ou um banner mal configurado não se resolvem com um bom advogado; previnem-se com uma infraestrutura bem montada e vigiada. É aí que a proteção de dados deixa de ser papelada e se torna cibersegurança aplicada.
Como a MagicBoxDesk o ajuda
Sejamos claros: a MagicBoxDesk não é a sua assessoria jurídica. Não redigimos a sua política de privacidade nem lhe dizemos que base legal se aplica a cada tratamento —isso é trabalho do seu advogado ou do seu encarregado da proteção de dados—. O que fazemos é a metade técnica e de segurança do RGPD, que é a que costuma ficar a meio e a que, quando falha, acaba em incidente.
Encarregamo-nos de que as medidas de segurança que o regulamento exige existam de verdade e funcionem: controlo de acessos, cifra, cópias de segurança testadas, atualizações em dia, monitorização dos seus sistemas e um plano de resposta para o dia em que houver uma violação. Configuramos bem o seu site e o seu banner de cookies, revemos onde e como se armazenam os dados que gere e ajudamo-lo a manter a ordem técnica que sustenta tudo o resto. Como externalizamos o seu departamento de TI, isto não é um projeto avulso: é apoio contínuo em toda a Espanha, remoto e presencial quando é preciso.
Cumprir o RGPD na sua empresa é sobretudo ter as coisas organizadas e protegidas antes de alguém perguntar. Nós pomos a parte técnica para que se ocupe do seu negócio. Peça um orçamento sem compromisso e revemos consigo o que precisa mesmo para dormir descansado.
