Depois de ler, poderá perceber se o RGPD se aplica a si e que obrigações vêm primeiro.
Definição
Dados pessoais são qualquer informação sobre uma pessoa identificável. Contam dois papéis: o responsável pelo tratamento decide porquê e como os dados são usados, e o subcontratante trata-os por conta do responsável.
A geografia pode surpreender. Segundo o artigo 3.º, uma empresa fora da UE fica abrangida se oferecer bens ou serviços a pessoas na UE ou controlar ali o seu comportamento.
Porque é importante
O artigo 83.º permite coimas até 20 milhões de euros ou 4 % do volume de negócios anual mundial, consoante o montante mais elevado, para as infrações mais graves.
A pressão do dia a dia vem muitas vezes das vendas, porém. Os compradores querem um contrato de subcontratação e informação de segurança antes de assinar.
Como funciona
Mantenha o registo das suas atividades de tratamento (artigo 30.º). Atribua a cada uma uma finalidade e um dos seis fundamentos de licitude do artigo 6.º: consentimento, contrato, obrigação jurídica, interesses vitais, interesse público ou interesses legítimos.
Aplique os princípios do artigo 5.º, informe as pessoas do que faz e responda aos seus pedidos de acesso, retificação, apagamento e semelhantes, em regra no prazo de um mês (artigo 12.º).
Seguem-se a segurança (artigo 32.º), os contratos com subcontratantes (artigo 28.º) e a notificação à autoridade de uma violação a notificar no prazo de 72 horas (artigo 33.º).
Um caso prático
Uma empresa de recrutamento regista uma atividade para as candidaturas. O fundamento é a execução de diligências pré-contratuais. A conservação é de dois anos após o último contacto, com uma nota do motivo, e o destinatário é o seu software de gestão de candidaturas, abrangido por um contrato de subcontratação.
Quando um candidato pede uma cópia dos seus dados, o pedido é registado e respondido em três semanas.
Boas práticas
- Atualize o registo à medida que os projetos mudam, enquanto as pessoas ainda se lembram dos pormenores.
- Escolha o fundamento de licitude antes de o tratamento começar, porque é difícil mudá-lo depois.
- Fixe um prazo de conservação para cada finalidade e depois apague mesmo.
- Ensaie uma violação e um pedido de um titular, porque ambos chegam com prazo.
- Verifique onde cada subcontratante guarda os dados e que instrumento de transferência se aplica.
Erros frequentes
- Usar o consentimento para tudo. Pode ser retirado a qualquer momento, e muitas vezes outro fundamento serve melhor.
- Copiar uma política de privacidade que não corresponde ao que faz, o que transforma um problema de papelada numa falha de transparência.
- Guardar dados «para o caso de», contra o princípio da limitação da conservação.
- Esquecer que um portátil perdido pode ser uma violação de dados pessoais.
Perguntas
- O RGPD aplica-se às pequenas empresas?
- Sim. A dimensão apenas alivia algumas obrigações, como a dispensa limitada do registo prevista no artigo 30.º, n.º 5.
- É obrigatório um encarregado da proteção de dados?
- Apenas nos casos do artigo 37.º: autoridades públicas, controlo regular em grande escala e tratamento em grande escala de categorias especiais de dados.
- Todas as violações de dados pessoais têm de ser notificadas?
- Não. São notificadas à autoridade salvo se for improvável que resultem num risco para as pessoas, e aos titulares quando o risco é elevado (artigo 34.º). Todas as violações têm de ser registadas internamente.
- Podem os dados pessoais ser transferidos para fora da UE?
- Sim, ao abrigo do capítulo V: uma decisão de adequação, garantias adequadas como as cláusulas contratuais-tipo, ou derrogações limitadas.
- Qual a diferença entre responsável pelo tratamento e subcontratante?
- O responsável decide as finalidades e os meios. O subcontratante age segundo as suas instruções e tem obrigações diretas próprias.