A resposta curta
O RGPD aplica-se a praticamente qualquer organização que processe dados pessoais, independentemente do tamanho. Isto significa que uma empresa de instalação com quatro funcionários, um trabalhador independente com clientes ou uma instituição de caridade com voluntários caem, em princípio, sob o âmbito da regulação assim que nomes, endereços de correio eletrónico, dados salariais ou outros dados pessoais sejam registados. Quanto à manutenção de um registo de atividades de tratamento, o RGPD prevê uma exceção para organizações com menos de 250 funcionários, mas essa exceção aplica-se apenas se forem cumpridas várias condições simultaneamente.
Na prática, poucos negócios de pequeno e médio porte cumprem todas essas condições, simplesmente porque uma administração de pessoal, uma base de dados de clientes ou uma gravação de câmara é rapidamente considerada como um tratamento estruturado. Se a exceção se aplica exatamente à sua organização é algo que seria melhor verificar através da própria legislação ou com um consultor jurídico; este artigo descreve quando a questão se torna relevante e em que aspetos deve prestar atenção.
O que a exceção exatamente significa
O RGPD determina no artigo 30.º, n.º 5, que a obrigação de manter um registo de atividades de tratamento não se aplica a organizações com menos de 250 funcionários, a menos que o tratamento que realizam represente um risco para os direitos e liberdades dos titulares de dados, não seja ocasional, ou diga respeito a categorias especiais de dados pessoais, como dados de saúde. Todas estas exceções à exceção têm uma razão: o legislador pretendia que as organizações pequenas mantivessem uma visão geral, mas isentá-las apenas da obrigação formal de registar em casos específicos e limitados.
A palavra "ocasional" é a mais determinante. Uma administração salarial que funciona todos os meses, uma base de dados de clientes que atualiza diariamente ou câmaras que registam continuamente imagens não são tratamentos ocasionais. Assim que um tratamento faz parte estruturalmente das operações comerciais, a exceção deixa rapidamente de ser aplicável.
Quando a questão é relevante para si
A questão "aplica-se isto a mim" é especialmente relevante para trabalhadores independentes sem pessoal e sem uma base de dados de clientes fixa, que ocasionalmente enviam uma fatura e, de resto, registam poucos dados pessoais. Para estes, a exceção pode teoricamente aplicar-se. Assim que há pessoal, um sistema CRM é utilizado, candidaturas são guardadas ou um website recolhe dados de visitantes através de cookies ou um formulário de contacto, há quase sempre tratamento estruturado e a exceção já não se aplica.
Uma empresa de instalação com uma administração de pessoal, um sistema de planeamento com dados de clientes e talvez uma câmara na oficina cai assim fora da exceção. Um gestor de recursos humanos que gere dados de candidatos, ficheiros de ausências e dados salariais certamente realiza tratamento estruturado. Para estas empresas, um registo de atividades de tratamento não é apenas uma questão legal, mas também praticamente útil: oferece uma visão geral de quais sistemas contêm quais dados, quem pode aceder e quanto tempo os dados são retidos.
Por que o registo é útil mesmo sem obrigação
Independentemente de a exceção se aplicar exatamente, clientes, seguradoras e entidades adjudicantes solicitam cada vez mais frequentemente comprovação de que uma organização tem controlo sobre os seus dados pessoais. Um registo de atividades de tratamento é o primeiro documento que consultam. Quem precise explicar quais ferramentas SaaS são utilizadas, que contratos de processamento de dados as acompanham e quem é responsável pelo quê, beneficia de um registo que já está sendo mantido, em vez de ter que elaborar um à última hora.
Essa visão geral não precisa ser complicada. Trata-se de registar por cada tratamento quais são os dados, para que fim são tratados, quem tem acesso, se uma terceira parte está envolvida e quanto tempo os dados são retidos. Na base de conhecimentos com tópicos RGPD por situação esclarece o que deve estar incluído em cada tipo de processamento, com a referência no texto oficial.
Como avaliar isso para sua própria situação
Se sua empresa se enquadra na exceção depende da natureza precisa e frequência dos processamentos que você realiza, e essa é uma avaliação que varia por organização. A Autoridade de Proteção de Dados publica diretrizes sobre o escopo da obrigação de registro, e para uma conclusão sobre sua situação específica é recomendável consultá-las ou envolver um jurista. O que fazemos em gdpria.eu é trazer estrutura: explicar o que a regra significa, com a fonte, para que você possa avaliar sua posição em a página sobre de onde vêm nossas informações você vê como essa vinculação com o texto legal e as diretrizes funciona exatamente.
Casos de dúvida frequentes, como um trabalhador independente com um único cliente fixo ou uma fundação com apenas voluntários, aparecem em perguntas frequentes sobre o RGPD na prática. Frequentemente, a discussão sobre a exceção acaba sendo menos importante do que se pensava, porque um registro claro de qualquer forma ajuda a responder perguntas de clientes ou a processar um pedido de um titular de dados.
Em resumo
O RGPD se aplica a praticamente qualquer organização que processe dados pessoais. A exceção à obrigação de registro é estreita e se aplica apenas se o processamento é ocasional, não apresenta risco e não envolve categorias especiais de dados. Para a maioria das pequenas e médias empresas com funcionários, clientes ou um site, essa exceção está fora do alcance, e um mapeamento dos seus próprios processamentos é principalmente de utilidade prática.
Quer ver rapidamente onde sua situação se situa? Faça a verificação rápida gratuita ou navegue pelos tópicos em criar uma conta comercial e começar você mesmo.