O RGPD também se aplica à minha empresa se não tenho funcionários?
O Regulamento Geral sobre a Proteção de Dados não faz distinção baseada no tamanho da empresa. Não há qualquer limite inferior na lei relativamente ao número de colaboradores ou volume de faturação abaixo do qual as regras não se aplicam. A questão determinante é uma só: processa dados pessoais? Assim que registe um nome de cliente, um endereço de correio eletrónico, um endereço para uma fatura ou dados de um candidato, está a realizar um processamento na aceção do RGPD, mesmo que seja o único colaborador da sua empresa.
Isso significa na prática que praticamente qualquer empresa, desde uma empresa individual até grandes organizações, se enquadra em algum ponto no âmbito de aplicação do RGPD. A diferença não está em se a lei se aplica ou não, mas sim na extensão e natureza do que processa: um profissional independente que emite três faturas por ano tem uma tarefa prática diferente da de uma loja online com milhares de perfis de clientes. As obrigações tornam-se mais pesadas à medida que o processamento é mais arriscado ou volumoso, mas o princípio de base permanece o mesmo para todos.
O que realmente determina o peso do RGPD para si
O RGPD tem uma exceção concreta relacionada com o tamanho da empresa: a obrigação de manter um registo de atividades de processamento não se aplica, em princípio, a organizações com menos de 250 colaboradores, exceto se o processamento não for ocasional, se criar um risco para os direitos dos titulares, ou se disser respeito a categorias especiais de dados pessoais, como dados de saúde. Na prática, a maioria das PME ainda se enquadra numa destas exceções, simplesmente porque os dados dos clientes são processados estruturalmente e, portanto, não ocasionalmente. A exceção é, assim, mais restrita do que parece à primeira vista.
Mais importante do que essa única exceção é a natureza do que processa. Se processa apenas dados de contacto comercial de outras empresas, o risco é geralmente limitado. Se processa dados de consumidores, pessoal, candidatos ou imagens de câmaras, as mesmas obrigações aplicam-se como em uma grande empresa: uma base legal para o processamento, clareza para com os titulares, acordos com as partes que processam dados em seu nome, e um plano para o caso de algo correr mal.
Situações em que o RGPD claramente se lhe aplica
Se tem uma loja online, processa dados de clientes, dados de encomendas e frequentemente dados através de um fornecedor de pagamento ou serviço de entrega. Se tem pessoal, processa dados de salários, dados de ausências e por vezes um número de identificação fiscal. Se trabalha com candidatos, processa currículos e cartas de motivação. Se utiliza videovigilância num local, processa material de vídeo de visitantes e colaboradores. Em todos estes casos, o RGPD é inquestionavelmente aplicável, independentemente de trabalhar sozinho ou com dez pessoas.
Situações em que pesa menos, mas não desaparece
Um profissional independente que fattura exclusivamente a clientes comerciais e não tem pessoal nem consumidores processa geralmente dados menos sensíveis e em volumes menores. Isso torna a tarefa prática mais gerível, mas não significa que a lei não se aplica. Também neste caso tem de conseguir explicar por que razão conserva dados, por quanto tempo, e com quem os partilha eventualmente, por exemplo através de software de contabilidade ou um serviço em nuvem. As orientações do EDPB e a explicação da Autoridade Nacional de Proteção de Dados sublinham constantemente que as obrigações acompanham o risco, não que desapareçam em organizações pequenas.
Como verificar isto para a sua própria situação
A questão mais útil não é "sou suficientemente grande para ter importância", mas "que dados pessoais processo, de quem, e porquê". Analise os seus principais processos comerciais: faturação, contacto com clientes, administração de pessoal, marketing, segurança. Em cada processo onde surge um nome, endereço de correio eletrónico ou outro dado identificável, o RGPD entra em jogo. Quem ainda não tem uma visão clara desse panorama, encontra em banco de conhecimentos com explicações por situação um ponto de partida para determinar quais obrigações se aplicam a qual tipo de tratamento.
As perguntas mais frequentes de outros empresários também dão uma boa ideia de onde reside geralmente a dúvida; estas estão reunidas na página com respostas a perguntas que empresários do segmento PME frequentemente fazemDeseja saber como as informações em gdpria.eu foram desenvolvidas e qual fonte corresponde a cada resposta, então leia isso na página que explica de onde vêm as informações utilizadas.
A avaliação final da sua própria situação cabe a si, eventualmente com um jurista ou com a Autoridade de Proteção de Dados como referência para orientação geral. O que oferecemos nessas páginas é estrutura para poder fazer essa avaliação, não o próprio conselho.
Deseja ver de forma rápida e sem compromisso quais obrigações se aplicam ao seu tipo de negócio, então pode criar uma conta empresarial e construir o resumo da sua própria situação. A primeira exploração, incluindo a localização de cada resposta, é e permanece gratuita.