Para uma pequena empresa com um número gerenciável de atividades de tratamento — administração de pessoal, contabilidade, uma base de dados de clientes, algumas ferramentas SaaS — o primeiro panorama aproximado pode ser feito em algumas horas. O prazo até um registro que seja realmente completo e utilizável é, na prática, mais longo: contabilize alguns dias de trabalho, distribuído ao longo de duas a quatro semanas. Essa distribuição não é porque o preenchimento em si leva muito tempo, mas porque você fica aguardando respostas de terceiros.
A lei em si não estabelece um prazo para a elaboração de um registro. O que o RGPD exige é que um responsável pelo tratamento mantenha um inventário das atividades de tratamento de dados sob sua responsabilidade, incluindo, entre outros, o objetivo, as categorias de dados e destinatários, e os prazos de retenção. Quanto tempo leva para chegar lá, portanto, não depende de um prazo legal, mas de como sua organização sabe bem o que acontece com os dados.
Onde os primeiros dias se vão
A primeira fase é sobre inventariar: quais sistemas você usa, quem tem acesso e quais dados estão neles. Para um autônomo ou uma empresa com um punhado de funcionários, isso geralmente é compreendido em uma manhã. Em uma organização com vários departamentos, isso rapidamente se acumula, simplesmente porque ninguém tem sozinho o quadro completo: Recursos Humanos sabe quais ferramentas usam para recrutamento e ausências, a administração sabe qual pacote contábil está em execução, e a direção muitas vezes não sabe que o departamento de marketing fechou uma assinatura de CRM separada. Essa fragmentação é a primeira e maior fonte de atraso, não o próprio trabalho de preenchimento.
Uma abordagem prática é começar pelas faturas: cada assinatura que é debitada mensalmente é uma boa indicação de uma atividade de tratamento que pertence ao registro. Uma biblioteca de ferramentas SaaS conhecidas pode acelerar essa parte, pois o software comum já vem com os objetivos e prazos de retenção usuais, para que você não tenha que descobrir por conta própria. Em a base de conhecimentos você encontra uma resposta breve por tópico com a localização no texto oficial, o que é útil para determinar o que deve ou não constar no registro.
Onde as coisas travam: contratos de processamento de dados
O segundo atraso surge ao vincular contratos de processamento de dados às atividades de tratamento no registro. Para cada fornecedor de SaaS que trata dados pessoais em seu nome, deve haver um contrato. Na prática, muitas vezes não existe ou ninguém tem certeza da versão mais recente. Isso significa que você precisa contatar fornecedores, o que pode resultar em dias ou semanas de tempo de espera — não porque a elaboração leva muito tempo, mas porque você depende da velocidade de resposta de outra empresa.
É portanto mais prudente não considerar o registro e o monitoramento dos contratos de processamento de dados como dois projetos separados, mas como um processo contínuo: assim que uma nova ferramenta é adquirida, o contrato deve estar junto, em vez de ter que reconstruir posteriormente o que foi acordado.
Prazo com crescimento e mudança
Um registo nunca está terminado no sentido de que depois já não se altera. Novas ferramentas, novos colaboradores, novos processos de clientes — cada uma dessas mudanças afeta o registo novamente. O tempo necessário para um levantamento único diz pouco sobre a manutenção posterior. As empresas que preenchem o registo apenas na sua criação e depois o deixam de lado correm o risco de que, passado um ano, já não corresponda à realidade. Quem deixa o registo crescer com a biblioteca de ferramentas e permite que o sistema sinalize automaticamente quando algo está em falta, poupa-se a si mesmo o levantamento repetido que, de outro modo, seria necessário novamente em cada auditoria ou concurso público.
Para quem precisa demonstrar que as bases estão em ordem — por exemplo, perante uma seguradora ou num concurso público — não conta apenas que existe um registo, mas também o quão atualizado está. Um resumo com meio ano de idade, enquanto entretanto três novas ferramentas foram adicionadas, transmite uma imagem diferente da de um registo que é atualizado semanalmente.
Fazer por conta própria ou deixar acompanhar
Quer mantenha o registo você mesmo numa folha de cálculo ou o deixe preencher a partir de um sistema, o tempo necessário encontra-se em ambos os casos principalmente na recolha de informações, não na sua introdução. A diferença está na manutenção: uma folha de cálculo exige que você próprio se lembre de quando algo precisa ser atualizado, enquanto um sistema ligado à biblioteca de ferramentas e aos seus contratos de processamento de dados sinalizará isso para você. Mais informações sobre como exatamente essa ligação funciona pode ler-se em a página sobre o funcionamento do sistema.
Se deseja saber quanto tempo e recursos um registo completo e atualizado custaria para a sua situação, o resumo de tarifas fornece uma indicação do que se adequa ao tamanho da sua empresa. E caso duvide se a sua visão geral atual é suficiente, pode encontrar em as perguntas mais frequentes respostas para uma série de casos práticos de dúvida.
A avaliação final sobre se o seu registo cumpre os requisitos legais cabe a si próprio ou a um jurista, e em caso de dúvida à Autoridade para a Proteção de Dados. Se primeiro deseja ter uma ideia de onde se encontra, faça a verificação rápida gratuita ou folheie os tópicos na base de conhecimento.