Segurança

O que significa o RGPD para as empresas?

Maio 11, 2023

4 minute read

O Regulamento Geral de Proteção de Dados (RGPD) é um novo quadro jurídico europeu que entrou em vigor a 25 de maio de 2018.

O RGPD centra-se na proteção, na recolha e na gestão de dados pessoais, ou seja, dados sobre indivíduos, e aplica-se a todas as empresas e organizações da UE que detêm ou processam dados pessoais, daí a pertinência de falarmos sobre o que significa o RGPD para as empresas.

No âmbito do RGPD, é conveniente contratar ou nomear um responsável pela proteção de dados para aplicar procedimentos. Além disso, deve haver alguém com a formação adequada para evitar possíveis sanções, que podem atingir 4% do volume anual de negócios ou 20 milhões de euros.

Os indivíduos têm direitos sobre os seus dados pessoais e devem receber informações por parte das empresas sobre os dados que as mesmas recolhem (incluindo os propósitos com que são recolhidos esses dados). Na maioria dos casos, essa comunicação consiste na disponibilização de fácil acesso de uma Política de Privacidade ou notificações de cookies (no caso dos websites).

O RGPD para as empresas exige que a recolha e uso dos dados seja realizado com o consentimento expresso dos indivíduos, através de uma declaração ou outra ação afirmativa clara.

Definições importantes do RGPD

Estas definições irão ajudar a definir as respetivas responsabilidades relacionadas com o tratamento de dados pessoais:

Titulares de dados: as pessoas que fornecem informações pessoais. Podem ser um cliente, um colaborador, ou alguém que visita o seu site.

Responsável pelo tratamento de dados: quem determina a finalidade e os meios para o tratamento dos dados pessoais.

Tratamento: uma operação ou um conjunto de operações efetuadas sobre dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação, difusão ou qualquer outra forma de disponibilização, a comparação, o eliminação ou a destruição.

Dados pessoais: informação relativa a uma pessoa singular identificável. Esta definição estabelece um amplo conjunto de identificadores pessoais de modo a constituir dados pessoais, incluindo nome, número de identificação, dados de localização ou identificadores por via eletrónica.

Algumas exigências legais do RGPD para as empresas

Conheça alguns dos princípios-chave do RGPD:

Transparência: Que dados recolhe e como serão utilizados? Explicá-lo aos seus clientes de forma fácil de compreender é um princípio importante. O RGPD exige que as empresas demonstrem maior transparência e clareza na forma como recolhem e utilizam as informações dos clientes. Ao redigir a sua Política de Privacidade, lembre-se que deve explicar como é que os seus clientes o podem contactar ou exercer os direitos em relação aos seus dados. Para as pessoas que visitam o seu website, é importante mostrar um banner de cookies para consentimento, de forma a permitir uma maior transparência.
Controlo dos dados recolhidos: Ao apresentar um banner de cookies, as pessoas podem aceitar ou recusar a recolha de dados, bem como controlar quais cookies consideram aceitáveis de serem utilizados. Se envia campanhas de marketing por e-mail, deve também utilizar uma plataforma de e-mail marketing que permita aos utilizadores controlar se querem continuar a receber os seus e-mails ou se querem remover-se daquelas comunicações.
Direito a ser esquecido: O RGPD confere às pessoas singulares o “direito a serem esquecidas”. Isto significa que o cliente pode pedir que os respetivos dados sejam apagados, nos casos em que os dados pessoais recolhidos já não sejam necessários para os fins para os quais foram recolhidos. Nos casos em que tal direito se aplique, terá de apagar os dados pessoais dos titulares dos seus sistemas (a menos que existam motivos legais e comerciais legítimos para que tais dados sejam mantidos, por exemplo, para finalidades de relato financeiro ou necessidades de retenção legal). Por exemplo, se um cliente decidir suspender os seus negócios consigo, poderá exercer este direito.
Notificações de violação de dados: Na infeliz eventualidade de uma violação de dados pessoais, as empresas têm a obrigação de notificar a autoridade de controlo, no prazo de 72 horas após ter conhecimento da violação ou sem demora injustificada.
Resposta a pedidos: Se a sua empresa receber um pedido de uma pessoa que pretenda exercer os seus direitos, deve responder a este pedido sem demoras indevidas e, em qualquer caso, no prazo de um mês a contar da receção do pedido. Este prazo pode ser prorrogado por um período de dois meses para pedidos complexos ou múltiplos, desde que a pessoa seja informada da prorrogação. Os pedidos devem ser tratados de forma gratuita.