RGPD para PMEs: o que é mesmo obrigatório (e o que é mito)

O RGPD já tem anos, mas continua a ser uma dor de cabeça para muitas PMEs: toda a gente sabe que existe, poucos sabem ao certo o que têm de fazer. O risco mantém-se. As coimas continuam a poder chegar aos 20 milhões de euros ou 4% do volume de negócios, e a fiscalização da CNPD olha também para as empresas pequenas. Neste guia traduzimos o regulamento para a realidade de uma empresa pequena: o que é mesmo obrigatório, o que é mito e por onde começar.

O RGPD aplica-se a uma empresa pequena?

Sim, sem exceção de dimensão. Basta tratar dados pessoais de clientes, funcionários ou fornecedores, e qualquer empresa os trata: nomes, contactos, moradas, números de contribuinte, dados de salários. A dimensão só muda o peso das obrigações. Uma microempresa com uma lista de clientes está tão abrangida como um grande grupo, embora com deveres mais leves.

O que são "dados pessoais", na prática?

Qualquer informação que identifique uma pessoa. Numa PME típica, os mais comuns são estes quatro grupos:

• Clientes. Nome, telefone, email, morada, NIF e histórico de compras.
• Funcionários. Contratos, salários, registos de assiduidade e, em alguns casos, dados de saúde.
• Candidatos. Os currículos recebidos, mesmo os que ficaram na gaveta.
• Videovigilância. As imagens das câmaras contam.

As obrigações que uma PME tem mesmo de cumprir

Esqueça o juridiquês. Na prática, tudo cabe nesta tabela.

Obrigação	O que significa
Fundamento para tratar dados	Só usar dados com razão válida: contrato, obrigação legal ou consentimento
Informar as pessoas	Política de privacidade clara no site e nos formulários
Responder aos direitos	Aceder, corrigir e apagar dados quando alguém o pede
Proteger os dados	Acessos controlados, backups e sistemas atualizados
Comunicar violações	Avisar a CNPD até 72 horas após conhecer uma fuga de dados
Contratos com fornecedores	Quem trata dados por si (ex.: contabilista, alojamento) assina acordo próprio

Preciso de um Encarregado de Proteção de Dados (DPO)?

A maioria das PMEs não precisa. O DPO só é obrigatório em casos específicos, como tratamento de dados em grande escala ou de categorias sensíveis como atividade principal. O que toda a empresa precisa é de saber quem, internamente, responde pelo tema, mesmo sem o título formal.

Onde é que a tecnologia entra no cumprimento?

O RGPD é tanto de processos como de sistemas. Aqui pesa a técnica. Grande parte das violações nasce de falhas técnicas evitáveis: um portátil sem cifra que desaparece, uma partilha aberta a toda a gente, um servidor sem atualizações, um email de phishing que rouba credenciais. As medidas que já vimos noutros artigos, como MFA, backups 3-2-1 e atualizações em dia, são também medidas de RGPD. E um ERP como o Cegid PHC ajuda ao permitir controlar quem acede a quê, registando os dados num sistema organizado em vez de ficheiros soltos espalhados por pen drives.

Por onde começar, sem drama

• Faça o levantamento: que dados tem, onde estão e quem lhes acede.
• Elimine o que já não precisa. Menos dados, menos risco.
• Ponha a política de privacidade em dia, tanto no site como em todos os formulários que recolhem dados.
• Feche os acessos: cada pessoa só deve ver o que precisa para trabalhar.
• Prepare um procedimento simples para responder a pedidos de titulares e para reagir a violações.

Perguntas frequentes

Ainda há coimas do RGPD em Portugal?

Sim. A CNPD aplica coimas com regularidade, incluindo a empresas pequenas, sobretudo por videovigilância irregular, falta de informação e violações de dados mal geridas.

Posso enviar campanhas de email aos meus clientes?

Aos clientes existentes, em regra sim, para produtos semelhantes aos que compraram, desde que possam cancelar facilmente. A compra de listas de contactos é que é terreno proibido.

As câmaras de videovigilância estão abrangidas?

Sim, e é das áreas mais fiscalizadas: exigem aviso visível, finalidade legítima e prazos de conservação limitados.

O meu contabilista trata dados por mim. E agora?

Deve existir um contrato de subcontratação que defina o que ele pode fazer com os dados. O mesmo vale para o alojamento do site e para o software na nuvem.

Na RTC ajudamos as PMEs do Nordeste Transmontano a pôr o RGPD em ordem pelo lado que dominamos: sistemas seguros, acessos controlados e dados organizados. Quer saber onde está a sua empresa? Fale connosco. A primeira visita dura cerca de 90 minutos. Não tem custo.

Fontes: Regulamento (UE) 2016/679 (RGPD); Comissão Nacional de Proteção de Dados (CNPD).