A resposta em resumo
O erro mais comum num registro de atividades de tratamento de dados é não que falte, mas que seja preenchido uma única vez e depois nunca mais seja atualizado. Um registro deve ser uma visão atual do que acontece na sua empresa com dados pessoais. Assim que adquira uma nova ferramenta, mude de processador de folha de pagamento ou coloque uma câmara à entrada, essa visão muda — mas na prática isso muitas vezes não acontece.
Para além disso, vemos três outros erros que se repetem constantemente: apenas os sistemas óbvios são incluídos, a finalidade e o período de retenção são formulados de forma demasiado vaga, e o registro é confundido com um contrato de processamento de dados quando se trata de algo diferente. Abaixo, esclarecemos cada erro e mostramos como pode evitá-lo na prática.
Erro 1: o registro torna-se um instantâneo em vez de um documento vivo
Muitas empresas preenchem o registro no momento em que começam — frequentemente após uma pergunta de um cliente ou contador — e consideram-no concluído posteriormente. Mas um tratamento de hoje muitas vezes parece diferente daqui a um ano: surge um novo software de contabilidade, a ferramenta de RH é substituída, ou começa-se com uma newsletter através de outra plataforma. Se o registro não se adaptar, surge uma diferença entre o que está escrito no papel e o que realmente acontece. Essa diferença geralmente só é notada quando alguém precisa do registro: quando há uma pergunta de um titular de dados, durante uma licitação, ou após uma violação de dados.
O cerne deste erro é que um registro é frequentemente tratado como um projeto quando na verdade é um processo. Não há um momento fixo definido para o verificar e ninguém é estruturalmente responsável por ele. leia como esse registro se mantém automaticamente atualizado quando está ligado às ferramentas que já utiliza, em vez de ser mantido separadamente num documento do Word.
Erro 2: apenas os sistemas mais notáveis são incluídos no registro
Um segundo erro recorrente é que apenas os tratamentos "grandes" são incluídos: o sistema de CRM, a administração salarial, talvez a loja online. Tratamentos menores ou menos visíveis são omitidos, embora se enquadrem igualmente no RGPD. Pense numa lista de Excel com dados de clientes mantida ao lado do CRM, um grupo de WhatsApp que também contém números de telefone de clientes, ou um sistema de reservas independente para uma sala de exposição. Ferramentas SaaS amplamente utilizadas como uma aplicação de agendamento, um serviço de assinatura digital ou uma ferramenta de registo de tempo também devem constar no registro, mesmo que tenham sido introduzidas "rapidamente".
Este erro geralmente não resulta de negligência, mas de desconhecimento: muitos empresários não sabem exatamente quais ferramentas na sua organização tratam dados pessoais. Uma visão geral de ferramentas SaaS conhecidas ajuda a reduzir este ponto cego; na base de conhecimento encontrará explicado por tema quando uma ferramenta se enquadra no RGPD.
Erro 3: a finalidade e o período de retenção são formulados de forma demasiado vaga
O terceiro erro comum está no conteúdo do próprio registro. Para cada tratamento, deve constar uma finalidade concreta, uma base legal, e uma indicação de quanto tempo os dados serão retidos. Na prática, isso é frequentemente preenchido com formulações como "operações comerciais" ou "enquanto necessário". Isso não é um erro no sentido de o registro se tornar inválido, mas torna o registro menos útil: não responde à pergunta de por que os dados são retidos e quando deveriam ser eliminados.
O próprio RGPD funciona com o princípio da limitação de finalidade e da limitação de armazenamento, sem estabelecer períodos fixos — esses períodos variam conforme o tipo de dado e o setor. Um registro que torna isso concreto para cada operação de tratamento é, portanto, mais valioso do que um registro que utiliza a mesma formulação geral em todos os casos.
Como evitar isso na prática
O fio condutor por trás desses erros é que um registro é visto como uma tarefa única e não como parte das operações comerciais. Um bom hábito é vincular o registro a momentos que já ocorrem: adquirir uma nova ferramenta, trocar de fornecedor ou a reunião anual com o contador. Nesses momentos, é lógico também verificar se o registro ainda está correto.
Também ajuda estabelecer com antecedência quem dentro de sua organização é responsável por sua manutenção, mesmo que seja uma pessoa cumulando outras tarefas. Sem um responsável, a atualização fica dependente do acaso. Se você encontrar dificuldades em uma situação específica, por exemplo se uma determinada ferramenta deve ou não constar no registro, encontrará nesta perguntas frequentes frequentemente uma resposta breve e concreta, com a indicação do local no texto oficial.
Deseja ver como seu próprio registro ficaria com base nas ferramentas que você já utiliza, sem precisar investigar tudo manualmente primeiro? Faça a verificação rápida gratuita ou crie uma conta comercial para ver o que deveria constar no registro para sua situação.