RGPD para PMEs: o que é mesmo obrigatório (e o que é mito)

O RGPD já não é novidade, mas continua a ser uma dor de cabeça para muitas PMEs: toda a gente sabe que existe, poucos sabem ao certo o que têm de fazer. E o risco não desapareceu com o tempo; as coimas continuam a poder chegar aos 20 milhões de euros ou 4% do volume de negócios, e a fiscalização da CNPD não olha só para as grandes empresas. Neste guia traduzimos o regulamento para a realidade de uma empresa pequena: o que é mesmo obrigatório, o que é mito e por onde começar.

O RGPD aplica-se a uma empresa pequena?

Sim, sem exceção de dimensão. Basta tratar dados pessoais de clientes, funcionários ou fornecedores, e qualquer empresa os trata: nomes, contactos, moradas, números de contribuinte, dados de salários. O que muda com a dimensão é a complexidade das obrigações, não a sua existência. Uma microempresa com uma lista de clientes está tão abrangida como um grande grupo, embora com deveres mais leves.

O que são "dados pessoais", na prática?

Tudo o que identifique ou permita identificar uma pessoa. Para uma PME típica, os mais comuns são estes:

• Clientes: nome, telefone, email, morada, NIF, histórico de compras.
• Funcionários: contratos, salários, dados de saúde, registos de assiduidade.
• Candidatos: currículos recebidos, mesmo os que ficaram na gaveta.
• Videovigilância: as imagens das câmaras também são dados pessoais.

As obrigações que uma PME tem mesmo de cumprir

Esqueça o juridiquês; na prática, o essencial resume-se a isto:

Obrigação	O que significa
Fundamento para tratar dados	Só usar dados com razão válida: contrato, obrigação legal ou consentimento
Informar as pessoas	Política de privacidade clara no site e nos formulários
Responder aos direitos	Aceder, corrigir e apagar dados quando alguém o pede
Proteger os dados	Acessos controlados, backups e sistemas atualizados
Comunicar violações	Avisar a CNPD até 72 horas após conhecer uma fuga de dados
Contratos com fornecedores	Quem trata dados por si (ex.: contabilista, alojamento) assina acordo próprio

Preciso de um Encarregado de Proteção de Dados (DPO)?

A maioria das PMEs não precisa. O DPO só é obrigatório em casos específicos, como tratamento de dados em grande escala ou de categorias sensíveis como atividade principal. O que toda a empresa precisa é de saber quem, internamente, responde pelo tema, mesmo sem o título formal.

Onde é que a tecnologia entra no cumprimento?

O RGPD é tanto de processos como de sistemas. Grande parte das violações nasce de falhas técnicas evitáveis: um portátil sem cifra que desaparece, uma partilha aberta a toda a gente, um servidor sem atualizações, um email de phishing que rouba credenciais. As medidas que já vimos noutros artigos, como MFA, backups 3-2-1 e atualizações em dia, são também medidas de RGPD. E um ERP como o Cegid PHC ajuda ao permitir controlar quem acede a quê, registando os dados num sistema organizado em vez de ficheiros soltos espalhados por pen drives.

Por onde começar, sem drama

• Faça o levantamento: que dados tem, onde estão e quem lhes acede.
• Elimine o que já não precisa; dados a menos são risco a menos.
• Ponha a política de privacidade em dia no site e nos formulários.
• Feche os acessos: cada pessoa só deve ver o que precisa para trabalhar.
• Prepare um procedimento simples para pedidos de titulares e para violações.

Perguntas frequentes

Ainda há coimas do RGPD em Portugal?

Sim. A CNPD aplica coimas com regularidade, incluindo a empresas pequenas, sobretudo por videovigilância irregular, falta de informação e violações de dados mal geridas.

Posso enviar campanhas de email aos meus clientes?

Aos clientes existentes, em regra sim, para produtos semelhantes aos que compraram, desde que possam cancelar facilmente. A compra de listas de contactos é que é terreno proibido.

As câmaras de videovigilância estão abrangidas?

Sim, e é das áreas mais fiscalizadas: exigem aviso visível, finalidade legítima e prazos de conservação limitados.

O meu contabilista trata dados por mim. E agora?

Deve existir um contrato de subcontratação que defina o que ele pode fazer com os dados. O mesmo vale para o alojamento do site e para o software na nuvem.

Na RTC ajudamos as PMEs do Nordeste Transmontano a pôr o RGPD em ordem pelo lado que dominamos: sistemas seguros, acessos controlados e dados organizados. Se quer saber onde está a sua empresa, fale connosco. O primeiro diagnóstico é gratuito.

Fontes: Regulamento (UE) 2016/679 (RGPD); Comissão Nacional de Proteção de Dados (CNPD).