O RGPD também se aplica à minha empresa?
Sim, em quase todos os casos. O Regulamento Geral sobre a Proteção de Dados não estabelece qualquer limite de volume de negócios, pessoal ou setor. Assim que a sua empresa processa dados pessoais, como nomes, endereços de e-mail ou dados salariais, o regulamento aplica-se a esse tratamento. Isso aplica-se tanto a um negócio individual com um cliente como a uma empresa de instalação com cinquenta funcionários.
A diferença em relação a regulamentações como a NIS2, a CSRD ou a norma VSME é que estas funcionam com limites de tamanho da empresa ou setor. A RGPD funciona de forma diferente: não é o tamanho da sua empresa que é determinante, mas sim a questão de saber se são tratados dados pessoais e de que forma. Assim, na prática, a RGPD afeta praticamente todas as empresas, mesmo que nem sempre se sinta assim.
O que o regulamento entende por dados pessoais
A RGPD define dados pessoais como toda a informação sobre uma pessoa singular identificada ou identificável. Isto é mais abrangente do que muitos empresários pensam. Uma lista de endereços de clientes, um dossiê de pessoal, uma carta de candidatura ainda na caixa de entrada, ou imagens de câmaras na entrada: tudo isso se enquadra aqui. Até mesmo um trabalhador independente que apenas envia faturas com nome e endereço já está a tratar dados pessoais.
O regulamento faz distinção entre o responsável pelo tratamento, que determina por que motivo e de que forma os dados são tratados, e o subcontratante, que o faz em nome de outro. Uma empresa de administração de ordenados é, por exemplo, subcontratante dos dados salariais do seu pessoal, enquanto você próprio é o responsável pelo tratamento. Qual é o papel aplicável à sua empresa e quais são as obrigações associadas é algo que varia de situação para situação e sobre o qual a autoridade de supervisão e um jurista podem esclarecer.
Por que este assunto aparece no questionário do seu cliente
Os clientes perguntam cada vez mais aos seus fornecedores não apenas sobre sustentabilidade ou cibersegurança, mas também sobre o tratamento de dados pessoais. Isso acontece, por exemplo, quando processa dados de colaboradores ou clientes finais do seu cliente em seu nome, ou quando tem acesso a sistemas que contêm esse tipo de dados. Neste caso, o cliente quer saber se existe um acordo de subcontratação, se é mantido um registo de tratamentos e como é comunicada uma violação de dados.
Estas questões sobrepõem-se frequentemente com o questionário de cibersegurança, porque a segurança da informação e a proteção de dados estão na prática intimamente ligadas. Uma empresa que fornece software ou serviços administrativos a clientes encontra estas questões mais frequentemente do que uma empresa de instalação que realiza principalmente trabalho físico. Quem encontra repetidamente este tipo de questões em diferentes formatos de diferentes clientes pode consultar na base de conhecimento por tema qual é o contexto dessa pergunta e onde encontrar o texto oficial.
O que isto significa na prática
Se a RGPD impõe especificamente obrigações como um encarregado de proteção de dados, um acordo de subcontratação ou um registo de tratamento depende da natureza e do alcance do tratamento dentro da sua empresa. Esta não é uma questão que possa ser respondida de forma geral; o próprio regulamento e as orientações da autoridade de supervisão nacional estabelecem os critérios para isso. Para a maioria das PME, o ponto de partida é simples: mapear quais dados pessoais são tratados, de quem, e com que fim.
Esse mapeamento também é útil quando um cliente pergunta sobre isso. Guarde documentos como um acordo de subcontratação ou uma declaração de privacidade num local fixo, para não ter de procurá-los todas as vezes. Como isso funciona dentro de um único dossiê da cadeia e como os dados nele contidos são protegidos pode ler-se na página sobre como dados e privacidade são protegidos.
Gostaria de ver primeiro quais questionários e tópicos são relevantes para sua empresa, incluindo se a proteção de dados desempenha um papel? Faça a verificação gratuita em algumas perguntas para uma primeira indicaçãoou leia como respostas às perguntas frequentes outros empresários abordam isso. Para sua própria situação, é sensato consultar a autoridade supervisora competente ou um jurista em caso de dúvida.