Como a CNPD chega à sua empresa
A Comissão Nacional de Proteção de Dados é a autoridade de controlo portuguesa para o Regulamento (UE) 2016/679 (RGPD), cuja execução na ordem jurídica nacional é feita pela Lei n.º 58/2019. Na prática, a maioria dos processos começa de três formas: uma queixa de um cliente, trabalhador ou ex-trabalhador; uma notificação de violação de dados feita pela própria empresa; ou uma ação de fiscalização por iniciativa da CNPD, muitas vezes ligada a um setor ou a um tema específico, como videovigilância ou cookies.
Em qualquer destes cenários, a lógica é a mesma. O RGPD assenta no princípio da responsabilidade (artigo 5.º, n.º 2): não basta cumprir, é preciso conseguir demonstrar que se cumpre. Por isso, a pergunta útil não é «estamos em conformidade?», mas «se a CNPD nos pedisse isto amanhã, o que enviávamos?». Os 12 pontos seguintes seguem essa lógica.
Pontos 1 a 4: a base documental
Estes são os primeiros documentos que costumam ser pedidos e os que mais revelam sobre a maturidade de uma organização. Se não existirem, todo o resto fica fragilizado.
1. Registo das atividades de tratamento (artigo 30.º). Deve listar, por atividade, as finalidades, as categorias de titulares e de dados, os destinatários, as transferências para fora do EEE, os prazos de conservação e uma descrição das medidas de segurança. A exceção para empresas com menos de 250 trabalhadores é muito estreita: deixa de se aplicar se o tratamento não for ocasional, e o processamento salarial ou a gestão de clientes nunca é ocasional. Na prática, quase todas as PME precisam de um registo.
2. Fundamento de licitude para cada finalidade (artigo 6.º). O erro clássico é usar o consentimento para tudo, incluindo tratamentos que decorrem de um contrato ou de uma obrigação legal. Isto cria problemas quando o titular retira o consentimento. Para cada linha do registo deve estar claro o fundamento e, no caso do interesse legítimo, deve existir uma avaliação documentada de ponderação.
3. Informação aos titulares (artigos 13.º e 14.º). Política de privacidade no site, cláusulas nos formulários, aviso aos trabalhadores e aviso nos locais com câmaras. A CNPD compara frequentemente o que a política diz com o que a empresa realmente faz, por exemplo prazos de conservação anunciados versus dados guardados há dez anos.
4. Encarregado de proteção de dados (artigos 37.º a 39.º). Nem todas as empresas são obrigadas a designar um EPD, mas as que tratam dados sensíveis em grande escala ou fazem monitorização sistemática em grande escala são. Se designou um, a designação deve estar comunicada à CNPD, o contacto publicado e a pessoa sem conflito de interesses. Se concluiu que não precisa, guarde a análise que fundamenta essa conclusão.
Pontos 5 a 8: terceiros, riscos e segurança
5. Contratos com subcontratantes (artigo 28.º). Cada fornecedor que trata dados por sua conta, como software de recursos humanos, alojamento, contabilidade externa, CRM ou plataforma de email marketing, precisa de um contrato com o conteúdo mínimo do artigo 28.º, n.º 3: instruções documentadas, confidencialidade, segurança, regras para subcontratação ulterior, apoio no exercício de direitos, devolução ou eliminação dos dados e direito de auditoria. Aceitar os termos standard de um fornecedor é aceitável, desde que tenha verificado que esses elementos lá estão.
6. Transferências internacionais (capítulo V). Ferramentas norte-americanas são comuns em qualquer PME. Verifique se o fornecedor está certificado ao abrigo do EU-US Data Privacy Framework ou se existem cláusulas contratuais-tipo, e se fez a avaliação de impacto da transferência quando aplicável.
7. Avaliação de impacto sobre a proteção de dados (artigo 35.º). Obrigatória quando o tratamento é suscetível de resultar num elevado risco. A CNPD publicou uma lista de tratamentos que exigem AIPD, onde surgem, entre outros, a utilização de dados de localização, tratamentos com tecnologias inovadoras e o controlo de trabalhadores. Videovigilância extensa, geolocalização de frotas e biometria para controlo de assiduidade são exemplos típicos em PME.
8. Medidas técnicas e organizativas (artigo 32.º). A CNPD não exige uma norma concreta, mas pede evidência de que a segurança é adequada ao risco: gestão de acessos, palavras-passe e autenticação multifator, cópias de segurança testadas, cifragem de portáteis, registos de acesso a sistemas com dados sensíveis, formação dos colaboradores.
- Evidência útil: lista de fornecedores com tratamento de dados e estado do contrato de cada um
- Evidência útil: relatório do último teste de reposição de backups
- Evidência útil: matriz de acessos às pastas e aplicações com dados pessoais
Verifique a sua preparação gratuitamente
10–15 minutos, sem registo: pontuação de prontidão, relatório de lacunas e recomendações de IA.
Pontos 9 a 12: direitos, incidentes e situações específicas
9. Procedimento para direitos dos titulares (artigos 15.º a 22.º). O prazo de resposta é de um mês, prorrogável em casos complexos, com informação ao titular. Muitas queixas que chegam à CNPD resultam de pedidos de acesso ou de apagamento ignorados. Tenha um procedimento escrito, um canal identificado e um registo dos pedidos recebidos e das respostas dadas.
10. Gestão de violações de dados (artigos 33.º e 34.º). As violações com risco para os titulares devem ser notificadas à CNPD em 72 horas após o conhecimento. Todas as violações, mesmo as não notificadas, devem ficar documentadas internamente. Um email enviado ao destinatário errado com dados de clientes é uma violação e deve, pelo menos, entrar nesse registo.
11. Videovigilância e dados de trabalhadores. É uma das áreas com mais queixas. A Lei n.º 58/2019 tem regras próprias sobre câmaras, incluindo limites quanto aos locais que podem ser filmados e ao uso das imagens. O controlo de email, a geolocalização de viaturas de serviço e os dados biométricos de trabalhadores exigem cuidado adicional e articulação com o Código do Trabalho. Em caso de dúvida, confirme diretamente com as orientações da CNPD.
12. Cookies e marketing direto. A colocação de cookies não essenciais exige consentimento prévio, regra que decorre da legislação de comunicações eletrónicas (Lei n.º 41/2004, na redação atual) e não apenas do RGPD. O banner deve permitir recusar com a mesma facilidade com que se aceita. No marketing por email ou SMS, confirme a origem dos contactos e mantenha prova do consentimento.
Erros que surgem repetidamente
Há padrões que se repetem em empresas de vários setores. Nenhum deles exige grandes investimentos para corrigir, mas todos são fáceis de detetar numa análise da CNPD.
- Política de privacidade copiada de outro site, que menciona tratamentos que a empresa não faz e omite os que faz
- Registo de atividades criado em 2018 e nunca atualizado, sem as ferramentas adotadas desde então
- Prazos de conservação definidos no papel mas sem rotina de eliminação efetiva
- Contas partilhadas por várias pessoas em sistemas com dados de clientes
- Ausência de qualquer registo de violações, o que sugere que nenhuma foi identificada, e não que nenhuma ocorreu
- Câmaras apontadas para postos de trabalho ou para a via pública
Como preparar a empresa em quatro semanas
Não é necessário um projeto de meses para chegar a um nível defensável. Uma abordagem realista para uma PME é dedicar a primeira semana ao inventário: que dados existem, em que sistemas, quem tem acesso e que fornecedores intervêm. Na segunda semana, construa ou atualize o registo do artigo 30.º e associe a cada tratamento o fundamento de licitude e o prazo de conservação.
Na terceira semana, trate dos terceiros e dos riscos: recolha os acordos de tratamento de dados dos fornecedores, identifique transferências internacionais e decida se algum tratamento precisa de AIPD. Na quarta semana, feche os procedimentos operacionais: resposta a pedidos de titulares, gestão de violações, revisão da política de privacidade e do banner de cookies, e uma sessão curta de formação para quem lida com dados de clientes ou trabalhadores.
No fim, deve conseguir montar uma pasta de evidências com um documento ou registo por cada um dos 12 pontos. Essa pasta é o que tornará uma eventual inspeção, ou um questionário de um cliente grande, num exercício de horas e não de semanas.
O que está em jogo
O artigo 83.º do RGPD prevê coimas que podem chegar a 20 milhões de euros ou 4 % do volume de negócios anual mundial, consoante o montante mais elevado, para as infrações mais graves. Na prática, os montantes aplicados dependem de muitos fatores, incluindo a dimensão da empresa, a gravidade, a duração e o grau de cooperação. Para além da coima, a CNPD pode ordenar a suspensão de um tratamento ou a eliminação de dados, o que pode afetar diretamente a operação.
Igualmente relevante é o impacto comercial. Clientes empresariais e entidades públicas pedem cada vez mais evidência de conformidade em processos de contratação. Uma autoavaliação gratuita na baltum.ai mostra rapidamente em quais destes 12 pontos a sua empresa está coberta e onde estão as lacunas prioritárias.
Perguntas frequentes
Uma PME com 10 trabalhadores precisa de registo de atividades de tratamento?
Na grande maioria dos casos, sim. A exceção para empresas com menos de 250 trabalhadores não se aplica quando o tratamento não é ocasional, e a gestão de salários ou de clientes é contínua. Um registo simples numa folha de cálculo é suficiente se estiver completo e atualizado.
A CNPD avisa antes de fazer uma fiscalização?
Depende do tipo de ação. Muitos processos começam com um pedido escrito de informação e documentos com um prazo de resposta. Ter a documentação organizada permite responder dentro do prazo e de forma consistente.
Todas as violações de dados têm de ser notificadas à CNPD?
Não. A notificação em 72 horas é obrigatória quando a violação é suscetível de resultar num risco para os direitos e liberdades dos titulares. Todas as violações, porém, devem ser documentadas internamente com os factos, os efeitos e as medidas tomadas.
Ter a certificação ISO 27001 garante a conformidade com o RGPD?
Não garante. A ISO/IEC 27001 cobre bem a segurança do artigo 32.º, mas não trata de fundamentos de licitude, direitos dos titulares ou prazos de conservação. É um bom complemento, não um substituto.
É obrigatório ter um encarregado de proteção de dados?
Só em casos previstos no artigo 37.º, como entidades públicas ou empresas cuja atividade principal envolva monitorização sistemática ou dados sensíveis em grande escala. Se não for obrigado, documente a análise que levou a essa conclusão.
Verifique a sua preparação gratuitamente
10–15 minutos, sem registo: pontuação de prontidão, relatório de lacunas e recomendações de IA.
Fontes
Este artigo é informativo e não constitui aconselhamento jurídico. O baltum.ai é um software independente, não um organismo de certificação.