O Regulamento Geral sobre a Proteção de Dados aplica-se a qualquer empresa que trate dados pessoais, desde a base de clientes até à folha de salários. Para muitas PME, o tema parece burocrático e distante, mas tem uma componente muito concreta de segurança da informação: proteger o que se guarda e saber agir quando algo corre mal.
Que dados tem e onde estão
O ponto de partida é fazer um inventário. Que dados pessoais recolhe (clientes, colaboradores, candidatos, fornecedores), com que finalidade, onde os guarda e quem lhes tem acesso? Muitas empresas descobrem nesta fase que têm dados em sítios inesperados: folhas de cálculo em computadores pessoais, pastas partilhadas sem controlo, emails antigos.
Com o inventário feito, torna-se mais fácil aplicar o princípio da minimização: guardar apenas o que é necessário e apenas durante o tempo necessário. Dados que já não servem para nada são apenas um risco, porque se forem alvo de uma violação, a empresa responde por eles na mesma.
Documente também os fundamentos legais de cada tratamento e mantenha uma política de privacidade clara, escrita em linguagem simples, para os titulares dos dados.
Medidas técnicas e organizativas
O regulamento exige medidas adequadas ao risco, e não uma lista fixa de tecnologias. Na prática, isto traduz-se em controlo de acessos por perfil, palavras-passe fortes com autenticação multifator, cifragem de portáteis e de suportes amovíveis, atualizações de software e cópias de segurança testadas.
As medidas organizativas contam tanto como as técnicas: formar os colaboradores, definir quem pode aceder a que dados, ter contratos com os subcontratantes que tratam dados em nome da empresa, e regras claras para a saída de colaboradores, incluindo a remoção de acessos no próprio dia.
Se a atividade envolve dados mais sensíveis, de saúde por exemplo, ou tratamento em larga escala, avalie a necessidade de realizar uma avaliação de impacto e de nomear um encarregado de proteção de dados. Em caso de dúvida, peça aconselhamento jurídico especializado.
Violações de dados: o que fazer
Uma violação de dados pessoais pode ser um portátil perdido, um email enviado à pessoa errada ou um ataque informático. Quando existe risco para os direitos dos titulares, a empresa deve notificar a autoridade de controlo, a CNPD, sem demora injustificada e, sempre que possível, no prazo de 72 horas após ter conhecimento do incidente.
Em situações de risco elevado, é também necessário informar os próprios titulares. Por isso, é essencial ter um procedimento simples: quem recebe o alerta, quem avalia, quem decide e quem comunica. Registar todos os incidentes, incluindo os que não são notificados, é igualmente uma obrigação.
Preparar este processo com antecedência e treinar a equipa para reportar de imediato é a melhor proteção. Não se trata apenas de evitar coimas: trata-se de manter a confiança de quem lhe entrega os seus dados.
