Autoria: Miguel Monteiro
Legal
No dia a dia da nossa atividade, é normal tratarmos e partilharmos dados pessoais. Faz parte do trabalho. Quando uma equipa se desloca a um cliente, quando é necessário identificar técnicos para acesso a instalações, quando se agenda uma intervenção, quando se emite uma ordem de trabalho ou quando se responde a um pedido operacional, há informação que tem de circular para que o serviço seja prestado corretamente.
Por isso, é importante começar por uma ideia simples: a proteção de dados não existe para bloquear a operação. O RGPD não impede que a empresa trabalhe, não impede que se partilhem dados com clientes, parceiros ou equipas internas, nem transforma cada pedido de informação num problema jurídico. O que exige é que essa partilha seja feita com critério, segurança e proporcionalidade.
Em muitos casos, os dados partilhados são simples: nome, contacto profissional, função, equipa, local de intervenção, horário previsto ou informação necessária à execução do serviço. Noutras situações, pode ser necessário partilhar dados mais completos, incluindo elementos constantes do Cartão de Cidadão, quando tal seja efetivamente exigido para cumprir requisitos de acesso, credenciação, segurança, identificação perante cliente ou execução contratual. Nesses casos, a questão não é proibir a partilha, mas garantir que existe uma razão concreta para a fazer e que apenas é enviada a informação necessária para aquela finalidade.
A regra prática deve ser esta: informação certa, para a pessoa certa, pelo canal certo e apenas na medida necessária. Se o cliente precisa de confirmar a identidade de um técnico para permitir o acesso a uma instalação, poderá fazer sentido enviar os dados estritamente necessários para essa validação. Mas se basta indicar nome, função e número interno ou profissional, não deve ser enviada uma cópia integral de documento de identificação. Se for mesmo necessário remeter documento ou dados do Cartão de Cidadão, deve confirmar-se previamente que esse pedido é justificado, que o destinatário é adequado e que o envio é feito por meio seguro.
O mesmo cuidado deve existir com ficheiros Excel, emails reencaminhados, fotografias, ordens de trabalho ou documentos anexos. Muitas vezes, o risco não está na partilha em si, mas no excesso de informação enviada. Por exemplo, enviar uma lista completa de colaboradores quando apenas era necessário identificar uma equipa; reencaminhar um email com histórico interno desnecessário; anexar um documento errado; ou colocar em cópia pessoas que não precisam de aceder àquela informação. São gestos simples, mas que podem expor dados pessoais sem necessidade.
Antes de enviar dados pessoais, vale a pena parar alguns segundos e fazer três perguntas: esta informação é necessária para o objetivo em causa? Estou a enviar apenas o que é essencial? O destinatário e o canal de envio são os corretos? Na maioria das situações, estas perguntas bastam para evitar problemas sem atrasar a atividade.
Naturalmente, há situações que exigem maior atenção. Pedidos de documentos de identificação, dados de saúde, fichas de aptidão, informação laboral sensível, dados de muitos colaboradores ou clientes, ou pedidos pouco claros de entidades externas devem ser analisados com cuidado adicional. Nestes casos, pedir apoio ao Legal, ao DPO ou à equipa responsável pela segurança da informação não deve ser visto como um entrave, mas como uma forma de assegurar que a resposta é dada corretamente e sem criar riscos desnecessários para a empresa ou para as pessoas envolvidas.
Proteger dados pessoais não significa deixar de partilhar informação. Significa partilhar melhor. Significa garantir que a informação necessária à operação circula de forma segura, adequada e responsável. No fundo, trata-se de encontrar o equilíbrio certo entre eficiência operacional e proteção da informação que nos é confiada.
Com pequenos cuidados no dia a dia, conseguimos fazer as duas coisas: continuar a trabalhar com agilidade e, ao mesmo tempo, proteger os dados pessoais de clientes, colaboradores e parceiros.