Conformidade com o RGPD e pequenas empresas

Não, não estão. O RGPD aplica-se sempre que uma empresa recolhe dados pessoais de uma pessoa localizada na UE. O mesmo se aplica quer seja uma empresa de uma só pessoa quer tenha escritórios em seis continentes.

Ainda assim, não tem de manter um registo escrito das suas atividades de processamento de dados se tiver menos de 250 colaboradores, a menos que:

• As suas atividades de processamento de dados podem afetar os direitos e as liberdades das pessoas

• Processa dados abrangidos pelo artigo 9 do RGPD. Estes dados revelam informações sobre uma pessoa:
  • Raça ou etnia
  • Crenças políticas, religiosas ou filosóficas
  • Filiação sindical
  • Dados genéticos ou dados biométricos, ou dados sobre a saúde ou sexualidade da pessoa

• Processa dados pessoais abrangidos pelo artigo 10, ou seja, dados relacionados com infrações penais e condenações

• Processa dados pessoais regularmente

Muitas pequenas empresas e muitos empresários em nome individual não estarão abrangidos pelas três primeiras isenções.

Mas e a quarta? A Comissão Belga para a Proteção da Privacidade sugeriu que nem todo o processamento de dados é "regular", mesmo que seja efetuado diariamente. De acordo com esta interpretação, não necessita de manter registos dos dados pessoais que utiliza, por exemplo, para fazer encomendas ou comunicar com clientes. No entanto, um documento de posição do Grupo de Trabalho do Artigo 29, antecessor do Comité Europeu para a Proteção de Dados, parece sugerir que deve interpretar "regular" literalmente. E o Comité Europeu para a Proteção de Dados concordou. Como a posição é tão pouco clara, é aconselhável manter registos, mesmo que considere beneficiar de uma isenção. Mais vale prevenir do que remediar.

Sim. O RGPD aplica-se às empresas dos EUA se estas:

• Fazer negócios na UE

• Não fazer negócios na UE, mas recolher ou monitorizar dados pessoais pertencentes a pessoas fisicamente localizadas na UE (o que abrange pessoas que estejam a viajar na UE mas que normalmente não residam aí). Pode estar a fazê-lo sem sequer se aperceber. Por exemplo, se os cookies do seu site puderem ser utilizados para identificar uma pessoa, são considerados dados pessoais ao abrigo do RGPD

Se pretender continuar a fazer negócios na UE, terá de cumprir o RGPD. Caso contrário, arrisca-se a receber uma multa avultada. Se não fizer negócios na UE, tem duas opções:

• Cumprir o RGPD ainda assim

• Restringir o acesso ao seu site, para que não possa recolher dados pessoais de pessoas localizadas na UE

Quando o RGPD entrou em vigor pela primeira vez, muitos sites dos EUA bloquearam os utilizadores da UE para evitar o incumprimento do RGPD. Por exemplo, mais de 1000 sites de notícias dos EUA estavam inacessíveis na UE em agosto de 2018. Alguns editores decidiram sair definitivamente da UE. O porta-voz da Lee Enterprises, Charles Arms, comentou: "o tráfego de Internet nos nossos sites de notícias locais proveniente da UE e do EEE é de minimis, e consideramos que bloquear esse tráfego é do interesse dos nossos clientes de meios de comunicação locais." Ainda assim, muitos sites dos EUA conseguiram entretanto voltar a ficar online na UE sem quaisquer problemas. E o site da sua pequena empresa também pode estar disponível na UE sem problemas. O que nos leva ao ponto seguinte.

Orientar a sua pequena empresa rumo à conformidade com o RGPD não é tão difícil como poderá pensar. Eis uma lista de verificação da conformidade com o RGPD para começar.

1. Que dados pessoais recolhe?

Deve saber que informações pessoais recolhe e se alguma delas é confidencial, ou seja, se está abrangida pelas categorias dos artigos 9 e 10 do RGPD. Também deve perguntar-se:

• De onde vêm as informações?

• Porque as está a recolher?

• O que está a fazer com elas?

Terá de conseguir responder a estas perguntas se lhe forem colocadas.

2. Tem consentimento?

A menos que tenha fundamentos legais para utilizar dados pessoais, as pessoas têm de dar o seu consentimento. Tem de ser:

• Prestado livremente

• Específico

• Informado

• Inequívoco

Tem de manter um registo escrito do consentimento. Também tem de garantir que a retirada do consentimento é rápida e fácil. O software de CRM (Gestão das Relações com os Clientes) em conformidade com o RGPD pode ajudar neste aspeto. Em particular, pode:

• Manter um registo escrito dos nomes das pessoas e dos dados pessoais que detém sobre elas

• Registar o consentimento e especificar para que finalidade consentiram que utilize os seus dados (por exemplo, para receber a sua newsletter mensal)

• Dar às pessoas uma forma fácil de retirar o consentimento caso mudem de ideias (por exemplo, através de scripts de "anular a subscrição" com um clique)

3. Os dados estão seguros?

A sua empresa é responsável pelos dados pessoais que recolhe. E arrisca-se a receber uma multa se caírem nas mãos erradas. Assim:

• Utilizar software de encriptação ao armazenar ou transmitir dados pessoais online

• Proteja a sua rede. Os colaboradores descuidados são a principal causa das falhas de segurança de dados, pelo que é indispensável dispor de uma política de TI sólida. Também deve investir em software de segurança, incluindo uma firewall

• Crie avisos de cookies e de política de privacidade em conformidade com o RGPD. Estes exemplos de modelos de cookies e exemplos de modelos de políticas de privacidade podem ajudar. Também pode consultar o Centro de Confiança da Microsoft para saber mais sobre as melhores práticas relativas ao RGPD

• Verificar os seus fornecedores quanto à conformidade com o RGPD

4. E se ocorrer uma falha de segurança grave?

Tem de comunicar falhas de segurança graves à entidade reguladora no prazo de 72 horas, sob pena de receber uma multa. Certifique-se de que dispõe de procedimentos de comunicação. E, mais importante ainda, dê formação aos seus colaboradores para:

• Manter-se alerta

• Compreender o que é uma falha de segurança grave

• Reconhecer sinais de alerta

Qual foi o impacto do RGPD nas pequenas empresas até agora?

Não há volta a dar. A conformidade com o RGPD exige tempo e é dispendiosa. No período que antecedeu 25 de maio de 2018, as pequenas empresas do Reino Unido despenderam cerca de 600 horas cada na preparação para o RGPD. E sem contar com o custo financeiro. A nível mundial, as pequenas e médias empresas gastaram 1,3 milhões de dólares na conformidade com o RGPD. Da mesma forma, o incumprimento pode ter um enorme impacto no seu resultado final. No primeiro caso ao abrigo do RGPD, uma rede social alemã foi multada em 20 000 € (aproximadamente 22 600 $) por não manter seguros os dados pessoais dos utilizadores, após um hacker ter roubado 330 000 endereços de e-mail e palavras-passe. Mas, embora possa haver a tentação de a encarar como um fardo, a conformidade com o RGPD também teve um impacto positivo nas pequenas empresas. Eis porquê. Os consumidores nunca levaram a sua privacidade tão a sério. E esperam que as empresas com as quais partilham as suas informações pensem da mesma forma. Num estudo recente, 69% dos consumidores dos EUA chegaram mesmo a afirmar que gostariam de ver uma lei semelhante ao RGPD aprovada nos EUA. Mais concretamente, um estudo do CMO Council concluiu que os membros que estavam preparados para o RGPD registaram maior interação, mais fidelização e maior confiança por parte dos consumidores. É evidente que o RGPD é mais do que um conjunto de regras que tem de seguir para evitar receber uma multa. Ninguém gosta que as suas informações privadas sejam obtidas sem o seu consentimento. Ou mantidas num local onde os criminosos lhes possam deitar a mão. Assim, ao dar passos para alcançar a conformidade com o RGPD, pode posicionar a sua pequena empresa como uma empresa que se preocupa verdadeiramente com os dados privados dos seus clientes. E, com isso, poderá ganhar vantagem sobre a sua concorrência.