Negócios
Última Atualização:
Rafael Parreira
O Regulamento Geral sobre a Proteção de Dados faz uma distinção que organiza tudo o resto. A empresa que decide para que servem os dados e como são usados é o responsável pelo tratamento. Quem trata esses dados por conta dela, seguindo as suas instruções, é um subcontratante. O CRM onde estão os clientes, a plataforma de email marketing, o serviço de armazenamento na cloud, o programa de processamento salarial e o contabilista que recebe os recibos de vencimento são, quase sempre, subcontratantes.
Esta distinção tem uma consequência direta. Ao escolher uma ferramenta, a empresa continua responsável pelo que acontece aos dados dentro dela. O fornecedor tem obrigações próprias, mas a empresa responde por ter escolhido bem, por ter um contrato adequado e por dar instruções claras.
Os dados mostram porque é que isto importa cada vez mais. O relatório de investigação de violações de dados da Verizon de 2025, que analisou mais de 22.000 incidentes e 12.195 violações confirmadas, registou que a participação de terceiros duplicou num ano, passando de 15% para 30% das violações. O fator humano esteve presente em cerca de 60% dos casos, e nas pequenas e médias empresas o ransomware apareceu em 88% das violações analisadas. Os números vêm de uma empresa que vende serviços de segurança e cobrem sobretudo os mercados onde ela opera, mas a tendência é consistente com o que as autoridades europeias descrevem: o risco deslocou-se para fora da porta da empresa, para os fornecedores e para a forma como as pessoas usam as ferramentas.
O guia RGPD para PME cobre os princípios, a política de privacidade e o plano de arranque. Aqui o foco está no funcionamento diário: o que verificar em cada ferramenta, o que exigir aos fornecedores e o que ensinar à equipa.
O mapa que substitui meia dúzia de documentos
O passo que abre tudo é olhar para a empresa através dos sistemas por onde os dados passam, em vez de o fazer através dos documentos. Uma folha de cálculo com uma linha por ferramenta, preenchida numa tarde, resolve mais problemas do que semanas de redação de políticas.
Para cada ferramenta, as colunas úteis são poucas:
Que dados pessoais lá estão, e de quem (clientes, candidatos, trabalhadores, fornecedores).
Quem tem acesso dentro da empresa, e com que tipo de conta.
Onde estão fisicamente os dados, dentro ou fora do Espaço Económico Europeu.
Se existe contrato de tratamento de dados aceite, e onde está guardado.
Durante quanto tempo os dados ficam lá, e quem os apaga.
A lista costuma ser mais longa do que o empresário espera. Além do óbvio, como o CRM, a faturação e o email, aparecem os formulários do site, a ferramenta de agendamento, o sistema de videovigilância, o programa de recrutamento, as folhas de cálculo partilhadas, o WhatsApp dos comerciais e as ferramentas de inteligência artificial que alguém começou a usar por iniciativa própria.
O artigo 30.º do RGPD dispensa do registo de atividades de tratamento as organizações com menos de 250 trabalhadores, mas a exceção tem 3 condições que raramente se verificam em simultâneo numa PME. A dispensa cai se o tratamento puder implicar risco para os titulares, se incluir dados de saúde ou outras categorias especiais, ou se não for ocasional. Processar salários todos os meses, gerir uma base de clientes ou enviar campanhas regulares não é ocasional. Na prática, quase todas as PME estão obrigadas a ter o registo.
A Comissão Europeia propôs, em 2025, alargar a dispensa a organizações até 750 trabalhadores, e o tema voltou a aparecer no pacote de simplificação digital apresentado em novembro desse ano. Até setembro de 2026, essa alteração não foi aprovada. A regra que vale é a atual, e a folha de cálculo por ferramenta é a forma mais barata de a cumprir, porque os campos exigidos pelo artigo 30.º são quase os mesmos.
Contratos com fornecedores: o artigo 28.º em linguagem de gestão
Sempre que um fornecedor trata dados pessoais por conta da empresa, tem de existir um contrato que cumpra o artigo 28.º do RGPD. Nas grandes plataformas digitais esse contrato existe, costuma chamar-se DPA (data processing agreement) e é aceite nas definições da conta ou integrado nos termos de serviço. Nos fornecedores tradicionais, como o contabilista, a empresa de manutenção informática ou a agência de marketing, muitas vezes não existe nada escrito.
O que esse contrato tem de garantir, visto como decisões de gestão:
O fornecedor só usa os dados para o que a empresa pediu. Não os aproveita para os seus próprios fins, incluindo treinar modelos de inteligência artificial, sem base para isso.
As pessoas do fornecedor que acedem aos dados estão obrigadas a confidencialidade.
O fornecedor aplica medidas de segurança adequadas e diz quais são.
Não subcontrata outra empresa sem autorização da empresa cliente, e informa quando muda de subcontratante.
Ajuda a responder a pedidos de titulares e a gerir violações de dados.
No fim do contrato, devolve ou apaga os dados, à escolha da empresa.
Permite verificar o cumprimento, por auditoria ou por informação equivalente.
A lista de subcontratantes ulteriores merece atenção especial, porque é aí que os dados costumam sair da Europa sem que ninguém repare. O caso mais conhecido em Portugal mostra o que pode acontecer. Em dezembro de 2022, a Comissão Nacional de Proteção de Dados aplicou ao INE uma coima de 4,3 milhões de euros por violações no âmbito dos Censos 2021. Entre elas estava o contrato com o fornecedor que protegia o site dos Censos, que permitia a transferência de dados para os Estados Unidos e outros países. A CNPD considerou que o INE agiu com dolo ao não verificar se esse fornecedor passaria dados para fora da União. O INE contestou a decisão em tribunal, e o caso envolve uma entidade pública e dados sensíveis, mas a lição serve a qualquer empresa: aceitar os termos de um fornecedor sem os ler não transfere a responsabilidade.
Grande parte das ferramentas que uma PME usa pertence a empresas norte-americanas ou tem servidores fora do Espaço Económico Europeu. Isso não é proibido, mas exige uma base legal para a transferência, nos termos dos artigos 44.º e seguintes do RGPD.
Para os Estados Unidos, a base mais simples é hoje o Quadro de Privacidade de Dados UE-EUA, reconhecido pela Comissão Europeia como adequado em julho de 2023. O Tribunal Geral da União Europeia confirmou a validade dessa decisão a 3 de setembro de 2025, no processo movido por um deputado francês, que recorreu para o Tribunal de Justiça no final de outubro de 2025. Os 2 mecanismos anteriores foram anulados pelo Tribunal de Justiça, em 2015 e em 2020, pelo que é prudente não construir toda a operação sobre a garantia de que este vai durar.
Na prática, a verificação faz-se fornecedor a fornecedor:
Localização: confirmar se a ferramenta permite escolher servidores na União Europeia, e ativar essa opção quando existe.
Certificação: para fornecedores norte-americanos, confirmar se a empresa está certificada no Quadro de Privacidade de Dados, na lista pública do Departamento do Comércio dos EUA.
Cláusulas contratuais-tipo: quando não há certificação nem decisão de adequação, confirmar que o contrato inclui as cláusulas-tipo aprovadas pela Comissão Europeia.
Plano alternativo: para as ferramentas críticas, ter identificada uma alternativa europeia para o caso de a base legal cair de um dia para o outro.
O site: formulários, cookies e pixels de publicidade
O site é a ferramenta onde a empresa recolhe dados de pessoas que ainda não conhece, e é também aquela onde mais dados saem para terceiros sem que ninguém dê por isso. Cada ferramenta de analítica, cada pixel de uma rede social e cada widget de chat instalado no site envia informação sobre os visitantes para o respetivo fornecedor, muitas vezes fora da Europa.
A regra aplicável não mudou. A Lei 41/2004 exige consentimento prévio para guardar ou ler informação no equipamento do visitante, com exceção do que for estritamente necessário ao funcionamento do site. Os pixels de publicidade e a analítica com fins de marketing só podem disparar depois de o visitante aceitar. O pacote de simplificação digital propõe mover estas regras para dentro do RGPD e criar novas exceções, mas, até ser aprovado, o regime é o atual.
O ponto que escapa à maioria das PME está na configuração por trás do banner. Um banner bem desenhado que não bloqueia os pixels até ao clique não serve de nada. Há 3 verificações que qualquer pessoa consegue fazer:
Abrir o site numa janela anónima, recusar tudo e confirmar, nas ferramentas do navegador, que não são carregados pedidos para plataformas de publicidade.
Rever os formulários e retirar os campos que não servem para responder ao pedido, porque cada campo a mais é um dado a mais para proteger.
Confirmar que quem gere o site, seja uma agência ou um freelancer, tem contrato de tratamento de dados e acessos individuais, e que esses acessos são retirados quando a relação termina.
Nenhuma área mudou tanto em tão pouco tempo. Uma parte significativa das equipas já usa ferramentas de inteligência artificial generativa no trabalho, muitas vezes com contas pessoais, gratuitas e fora de qualquer controlo da empresa. O mesmo relatório da Verizon mediu esse padrão: 15% dos trabalhadores acediam com regularidade a ferramentas de IA generativa em dispositivos da empresa, e 72% desses entravam com endereços de email que não eram da empresa. Outros 17% usavam o email da empresa, mas sem a autenticação integrada nos sistemas da organização.
O problema é concreto. Um comercial que cola no assistente de IA o histórico de emails com um cliente, para lhe pedir um resumo, está a enviar dados pessoais a um terceiro com quem a empresa não tem contrato. Se a conta for gratuita e pessoal, os termos podem permitir que esses dados sejam usados para melhorar o modelo. A empresa perdeu o controlo sobre eles, e nem sabe que isso aconteceu.
As regras que resolvem a maior parte dos casos cabem numa página:
Usar apenas contas empresariais, com contrato de tratamento de dados e com a utilização dos dados para treino desativada.
Não introduzir dados de saúde, dados de menores, dados financeiros detalhados ou documentos de identificação em nenhuma ferramenta de IA, mesmo empresarial, sem avaliação prévia.
Anonimizar sempre que possível: um resumo de uma reunião raramente precisa dos nomes completos.
Manter uma lista das ferramentas de IA autorizadas, e comunicar à equipa que as outras não se usam com dados da empresa.
Tratar os resultados da IA como rascunhos, sobretudo quando envolvem pessoas.
Este último ponto tem base legal própria. O artigo 22.º do RGPD dá às pessoas o direito de não ficarem sujeitas a decisões tomadas exclusivamente por meios automatizados que as afetem de forma significativa. Usar um sistema de IA para excluir automaticamente candidatos a um emprego, ou para recusar crédito a um cliente sem intervenção humana, entra nesse terreno. Os riscos e limitações da IA nas empresas vão para lá da proteção de dados, e a ligação entre os 2 temas é mais apertada quando a empresa começa a usar agentes de IA com acesso a caixas de correio, calendários ou bases de clientes. Um agente com acesso a tudo é, do ponto de vista do RGPD, um utilizador com acesso a tudo.
As regras europeias estão em movimento. O pacote de simplificação digital de novembro de 2025 propõe esclarecer quando o interesse legítimo pode servir de base ao uso de dados pessoais no desenvolvimento de sistemas de IA. A parte relativa ao Regulamento da IA foi aprovada e publicada em julho de 2026, adiando obrigações dos sistemas de alto risco. A parte que altera o RGPD continuava em negociação em setembro de 2026. Até haver texto final, as regras aplicáveis são as atuais.
Email, SMS e WhatsApp: o que a lei portuguesa exige
O marketing eletrónico é a área que gera mais queixas à CNPD, e tem regras que vão para lá do RGPD. O envio de comunicações de marketing a pessoas singulares por email, SMS ou chamada é regulado pela Lei 41/2004, a lei da privacidade nas comunicações eletrónicas, e a CNPD explicou como a aplica na Diretriz 2022/1, de janeiro de 2022.
As regras essenciais para uma PME:
Clientes atuais, produtos análogos: a empresa pode enviar comunicações sobre produtos ou serviços semelhantes aos que o cliente já comprou, sem consentimento prévio, desde que tenha dado a possibilidade de recusa no momento da recolha do contacto e a repita em cada mensagem.
Produtos diferentes, ou pessoas que nunca foram clientes, exigem consentimento prévio e expresso.
Listas compradas ou obtidas de terceiros não servem para email ou SMS. Segundo a CNPD, dados obtidos dessa forma só podem ser usados para correio postal.
O ónus da prova é da empresa: tem de conseguir demonstrar quando e como obteve cada consentimento, ou a relação de clientela.
O marketing dirigido a empresas segue um regime próprio, nos artigos 13.º-A e 13.º-B da mesma lei, que a diretriz da CNPD deixou de fora. Um email para o endereço genérico de uma empresa não é o mesmo que um email para a caixa pessoal de um trabalhador.
A configuração das ferramentas de email marketing deve refletir estas regras: campos de origem de cada contacto, registo da data e forma de consentimento, e ligação de cancelamento visível em todas as mensagens.
O WhatsApp da equipa
O WhatsApp e outras aplicações de mensagens tornaram-se ferramentas de trabalho sem nunca terem sido escolhidas como tal. Os riscos são previsíveis: contactos de clientes em telemóveis pessoais, documentos enviados em grupos com dezenas de pessoas, e informação que sai com o trabalhador no dia em que muda de emprego.
Algumas decisões simples reduzem muito a exposição. Usar números e contas de empresa para comunicar com clientes, em vez dos números pessoais dos comerciais. Não criar grupos em que clientes veem os contactos uns dos outros. Não usar o chat como arquivo de documentos, e passar o que é importante para o sistema da empresa. E, voltando ao início, não guardar fotografias de documentos de identificação: a Lei 7/2007 proíbe a reprodução do cartão de cidadão, por fotocópia ou qualquer outro meio, sem consentimento do titular, e na maioria dos casos basta registar os dados necessários na presença do cliente. As regras de marketing por WhatsApp e SMS para campanhas estão desenvolvidas à parte.
Os dados dos trabalhadores e dos candidatos
Os dados mais sensíveis que uma PME trata raramente são os dos clientes. São os da própria equipa: salários, baixas médicas, dados bancários, avaliações de desempenho, registos de assiduidade. E os dos candidatos a emprego, que chegam em volume, ficam em caixas de correio e raramente são apagados.
Algumas regras práticas cobrem a maior parte dos riscos:
Dados de saúde, como atestados e baixas, ficam num acesso restrito, e não na pasta geral de recursos humanos que meia empresa consegue abrir.
Os currículos de candidatos não selecionados devem ser apagados no fim do processo, a menos que o candidato tenha aceitado expressamente ficar numa bolsa para futuras oportunidades, e mesmo nesse caso com um prazo definido.
Os currículos recebidos por email devem sair da caixa de correio de quem os recebeu e passar para um sítio com acesso controlado.
O processamento salarial, feito internamente ou pelo contabilista, tem de ter contrato de tratamento de dados com quem o faz.
Há uma linha que o Código do Trabalho traça com clareza e que as ferramentas modernas tornam fácil de atravessar. O artigo 20.º proíbe o empregador de usar meios de vigilância à distância para controlar o desempenho profissional do trabalhador. Ferramentas que capturam ecrãs, registam teclas ou medem a atividade do rato para avaliar produtividade entram nesse terreno, estejam os trabalhadores no escritório ou em casa. Uma ferramenta pode ter essas funções disponíveis; a empresa não as pode ativar com essa finalidade.
Acessos, palavras-passe e a saída de um colaborador
O artigo 32.º do RGPD exige medidas de segurança adequadas ao risco. Numa PME, adequado quer dizer quase sempre um conjunto pequeno de hábitos bem cumpridos, e não um investimento grande em tecnologia.
O relatório da Verizon de 2025 aponta o uso abusivo de credenciais como a forma de entrada mais comum nas violações analisadas, ainda à frente da exploração de vulnerabilidades. É exatamente o risco que se reduz com medidas simples:
Autenticação de 2 fatores em todas as ferramentas que a permitem, a começar pelo email e pelo CRM.
Contas individuais, e nunca palavras-passe partilhadas entre várias pessoas.
Acessos dados por função, e não por conveniência: nem todos precisam de ver a base de clientes inteira.
Um gestor de palavras-passe da empresa, para que as credenciais não fiquem num caderno ou numa nota do telemóvel.
Cópias de segurança feitas automaticamente e testadas de vez em quando.
O momento mais frágil é a saída de um colaborador. A lista de acessos a retirar deve existir antes de alguém sair, e não ser reconstruída de memória no último dia. Email, CRM, pastas partilhadas, redes sociais da empresa, ferramentas de IA, grupos de mensagens. Cada acesso que fica ativo depois de a pessoa sair é uma porta aberta que a empresa não vê.
Quando algo corre mal: as primeiras 72 horas
Uma violação de dados pessoais não é só um ataque informático. É qualquer incidente que leve à destruição, perda, alteração, divulgação ou acesso não autorizado a dados pessoais. Um portátil esquecido num comboio, um email com a lista de clientes enviado ao destinatário errado, uma conta comprometida por phishing: tudo isto conta.
O artigo 33.º do RGPD exige que a empresa notifique a CNPD no prazo de 72 horas depois de ter conhecimento da violação, exceto quando for improvável que dela resulte risco para as pessoas. Quando o risco for elevado, o artigo 34.º obriga também a informar diretamente os titulares afetados. E há uma obrigação que muitas empresas desconhecem: todas as violações têm de ser documentadas internamente, mesmo as que não são notificadas, com os factos, os efeitos e as medidas tomadas.
O pacote de simplificação digital propõe alargar o prazo para 96 horas e restringir a notificação aos casos de risco elevado. É uma proposta, não a lei em vigor. Um procedimento de resposta sensato para uma PME:
Saber quem decide, internamente, se houve violação e se é preciso notificar.
Conter o problema de imediato: mudar palavras-passe, desligar acessos, pedir ao destinatário errado que apague o email.
Registar o que aconteceu, que dados estavam em causa e quantas pessoas foram afetadas.
Avaliar o risco e, se necessário, notificar a CNPD pelo formulário disponível no seu site.
Informar os fornecedores envolvidos e exigir-lhes a colaboração prevista no contrato.
A gestão de risco empresarial aplicada a este cenário é simples de fazer antes e muito difícil de improvisar durante. Uma folha com estes passos, nomes e contactos, impressa e guardada, vale mais do que um manual de 30 páginas que ninguém encontra no dia.
O que a CNPD pode fazer, e o que muitos julgam que não pode
Há uma ideia que circula entre empresários e que convém desfazer. A Lei 58/2019, que executa o RGPD em Portugal, previa no n.º 3 do artigo 39.º que, exceto em caso de dolo, a CNPD só podia abrir um processo de contraordenação depois de advertir a empresa e lhe dar um prazo para corrigir a falha. Muitos leram nesta regra uma espécie de primeira falta gratuita.
A CNPD decidiu não a aplicar. Na Deliberação 494/2019, de setembro de 2019, declarou que deixaria de aplicar várias normas da lei nacional que considerou contrárias ao RGPD, invocando o primado do direito da União. Entre elas está a advertência prévia, e também a norma que tornava a negligência não punível na violação dos princípios do artigo 5.º. Na prática, não há garantia de aviso antes da coima.
Os limites máximos das coimas são os do artigo 83.º do RGPD: até 10 milhões de euros ou 2% do volume de negócios anual mundial nas infrações menos graves, e até 20 milhões ou 4% nas mais graves, consoante o valor mais elevado. Uma PME nunca vai perto destes tetos, porque a coima tem de ser proporcional. Mas a proporcionalidade funciona nos 2 sentidos: numa empresa pequena, uma coima de algumas dezenas de milhares de euros pesa tanto como milhões pesam numa grande.
E há uma exposição que não depende da CNPD. Qualquer pessoa pode pedir à empresa acesso aos seus dados, retificação, apagamento ou oposição, e a empresa tem 1 mês para responder, prorrogável por mais 2 nos casos complexos, nos termos do artigo 12.º. Uma empresa que não sabe onde estão os dados de um cliente não consegue responder dentro do prazo. É por isso que o mapa de ferramentas é, antes de mais, uma ferramenta de resposta.
Quando um pedido chega, a resposta segue quase sempre os mesmos passos. Confirmar a identidade de quem pede, sem exigir mais dados do que os necessários para isso. Procurar a pessoa em cada linha do mapa de ferramentas, incluindo as caixas de correio e os telemóveis de quem trata com clientes. Responder com os dados encontrados, a finalidade e o prazo de conservação, ou executar o apagamento pedido, salvo quando a lei obriga a conservar, como acontece com a faturação. E registar o pedido e a resposta, porque a empresa pode ter de provar mais tarde que cumpriu.
Antes de adotar uma ferramenta nova
A forma mais barata de cumprir o RGPD é não criar problemas novos. Quase todas as falhas descritas até aqui começaram no mesmo momento: alguém experimentou uma ferramenta, gostou, e ela ficou. Um filtro de 5 minutos no momento da adoção evita meses de arrumação mais tarde.
Antes de pôr dados pessoais numa ferramenta nova, vale a pena responder a 5 perguntas:
Que dados pessoais vão entrar, e são mesmo necessários para o que a ferramenta faz?
Onde ficam os dados, e é possível escolher servidores na União Europeia?
Existe contrato de tratamento de dados, e o fornecedor compromete-se a não usar os dados para os seus próprios fins, incluindo treino de modelos?
Quem vai ter acesso, com contas individuais e autenticação de 2 fatores?
Como se exportam e apagam os dados se a empresa deixar de usar a ferramenta?
Se alguma resposta for “não sei”, a ferramenta pode continuar em teste, mas com dados fictícios ou anonimizados. Esta regra simples resolve a tensão habitual entre quem quer experimentar depressa e quem tem de garantir que a empresa não se expõe. Ninguém fica impedido de testar, e os dados reais só entram quando as respostas existem. As mesmas perguntas servem para renovar contratos com ferramentas antigas: muitas mudaram de termos, de localização de servidores ou de subcontratantes desde que foram contratadas, e poucas empresas voltaram a olhar para elas.
Uma hora por mês: a rotina que mantém tudo em ordem
A proteção de dados numa PME degrada-se por acumulação. Cada ferramenta nova, cada colaborador que entra ou sai, cada campanha nova acrescenta um pouco de desordem. Uma rotina curta e regular impede que essa desordem se torne um problema:
Rever o mapa de ferramentas e acrescentar o que entrou no último mês.
Confirmar que as ferramentas novas têm contrato de tratamento de dados aceite e servidores numa localização conhecida.
Retirar os acessos de quem saiu e rever os de quem mudou de função.
Verificar se houve pedidos de titulares e se foram respondidos dentro do prazo.
Registar qualquer incidente, mesmo pequeno.
Apagar o que já passou o prazo de conservação, a começar pelos anexos em emails e pelas pastas partilhadas.
Numa base de dados de clientes bem organizada, esta rotina demora pouco, porque os dados estão num sítio só, com a origem de cada contacto registada. Quando estão espalhados por folhas de cálculo, telemóveis e caixas de correio, demora muito, e é esse o melhor argumento para arrumar a casa primeiro.
Para quem quiser ir mais fundo, o Comité Europeu para a Proteção de Dados mantém um guia de proteção de dados para pequenas empresas, em português, com materiais práticos das autoridades de vários países. E para quem está a pôr a inteligência artificial a trabalhar na empresa e quer fazê-lo sem criar riscos que só aparecem meses depois, é esse o trabalho que se faz na CHECKMATE: Inteligência Artificial, onde as ferramentas são escolhidas e configuradas com a governação dos dados desde o primeiro dia.
A fotografia do cartão de cidadão no telemóvel do comercial não é um problema de política de privacidade. É um problema de ferramentas e de hábitos, e resolve-se no mesmo sítio onde nasceu: decidindo que canais a equipa usa, que dados cada ferramenta recebe, com que contrato, por quanto tempo e quem tem acesso. Nenhuma destas decisões exige um jurista a tempo inteiro. Exige que alguém na empresa olhe para o conjunto das ferramentas com os mesmos olhos com que olha para as contas. O regulamento vai mudar nos próximos anos, e algumas obrigações podem ficar mais leves para as pequenas empresas. O essencial não vai mudar: saber que dados se tem, onde estão, quem lhes toca e o que fazer quando alguma coisa corre mal. Uma PME que responde a estas 4 perguntas em minutos está protegida de quase tudo o que costuma correr mal, e fica com uma vantagem que poucos concorrentes têm quando um cliente maior pergunta como trata os dados que lhe vai confiar.
