A maioria dos pequenos negócios em Portugal trata o RGPD como inferno burocrático ou como problema que só acontece a empresas grandes. Nenhuma das duas posições é verdade. Este é o essencial.
Tudo o que precisas de saber sobre IRS categoria B em Portugal: regime simplificado vs organizada, coeficiente, deduções, entrega do Modelo 3. Em linguagem acessível.
Prazos de pagamento que aliviam o caixa, comparações pelo preço total e não pelo unitário, o risco do fornecedor único e o preço da fiabilidade: as compras também são gestão.
Contratar a primeira pessoa é uma decisão de números e de sinais, e decide-se com contas feitas. E o primeiro erro costuma ser querer delegar a parte errada.
Próximo passo
8 minutos, e sais com a ordem das tuas decisões.
Aviso editorial. Este artigo é uma introdução para pequenos negócios. Não substitui aconselhamento jurídico. Para casos sensíveis (dados de saúde, processamento em larga escala, transferências fora da UE, base legal de interesse legítimo em situações complexas), consulta um advogado especializado em proteção de dados. A informação é correta à data de publicação; regras e interpretações da CNPD podem evoluir.
A Eduarda é contabilista. Tem uma carteira de 14 clientes, todos pequenos negócios em Lisboa e arredores. Um dia recebeu um email da CNPD a pedir esclarecimentos sobre o tratamento de dados de um ex-cliente que tinha apresentado queixa.
A Eduarda não fez nada de errado. Tinha contrato com o cliente, faturava, guardava os recibos, mantinha contabilidade. Tudo normal. Mas quando viu o email, ficou paralisada. Não sabia o que tinha de responder, em quanto tempo, com que documentos. Passou três dias a procurar artigos no Google. Cada um dizia coisa diferente. Acabou a pagar 350€ a um advogado para escrever três parágrafos.
Esta paralisia é o pior efeito do RGPD em pequenos negócios. O peso está na sensação de que não percebes as regras. A maioria dos pequenos negócios trata o RGPD como inferno burocrático que vai um dia ter de enfrentar, ou como problema que só acontece a empresas grandes. Nenhuma das duas posições é correta.
Este artigo cobre o essencial em linguagem direta, com a ordem certa para um negócio de 1-5 pessoas em Portugal.
E convém manter a proporção. O essencial do RGPD resolve-se mais depressa do que a confusão faz parecer, e fica a funcionar. O foco que importa é a confiança que constróis com as pessoas cujos dados tratas: tratá-los com cuidado é parte da relação com o cliente, muito para lá da obrigação legal. Põe a base em ordem com este guia e volta ao que faz o negócio crescer.
O Regulamento Geral de Proteção de Dados é uma lei europeia em vigor desde 2018. Em Portugal, é aplicada pela CNPD (Comissão Nacional de Proteção de Dados). A ideia central tem 5 frases:
É isto. Tudo o resto são detalhes operacionais.
Responde sim ou não a estas perguntas:
Se respondeste sim a pelo menos uma destas perguntas, o RGPD aplica-se a ti. E é raro um negócio responder não a todas.
A boa notícia é que se o teu volume de dados é pequeno e o tipo de dados é comum (nome, email, NIF, registo de faturas), as obrigações práticas são modestas. O essencial cabe em duas tardes de trabalho e hábitos do dia-a-dia. O que assusta a maioria das pessoas é a sensação de que falta um documento que não sabem qual é. Vamos a eles.
A política explica em linguagem clara: que dados recolhes, porquê, com quem partilhas, durante quanto tempo guardas, e como a pessoa pode exercer os seus direitos. Tem de estar visível antes da pessoa entregar os dados, link no rodapé do site, checkbox nos formulários, mencionada nos emails de inscrição em newsletter.
Para um negócio simples, a política cabe em 600-1.000 palavras. Há templates disponíveis (a própria CNPD publica orientações). Não precisas de pagar 500€ a um advogado para um documento básico. Se o teu negócio trata dados sensíveis (saúde, financeiros, biométricos), aí a consulta paga-se.
É um documento interno (não tem de estar no site) onde listas que tipos de dados tratas, para que fins, durante quanto tempo, com que base legal, e com quem partilhas. Para um negócio de 1-5 pessoas, este registo é normalmente uma folha de cálculo simples com 5-10 linhas.
Exemplo de uma linha:
| Categoria | Finalidade | Base legal | Período de retenção | Partilha com |
|---|---|---|---|---|
| Dados de cliente (nome, email, NIF, morada) | Prestação de serviço + faturação | Execução de contrato + obrigação legal (faturação) | 10 anos (faturação, confirma o prazo aplicável ao teu caso) | Contabilista, Autoridade Tributária |
Tens de ter este registo. A CNPD pode pedi-lo. É o tipo de documento que fazes uma vez e atualizas raramente.
Se usas um software que guarda dados dos teus clientes (Stripe, MailerLite, software de faturação, CRM, etc.), essas empresas são subcontratantes. Tecnicamente, devias ter um contrato de processamento de dados com cada uma delas. Na prática, todas as empresas sérias têm um Data Processing Agreement (DPA) standard, que aceitas quando crias conta, está nos termos.
O que tens de fazer: mantém uma lista dos teus subcontratantes principais e confirma (uma vez, na inscrição) que estão dentro da UE ou que usam transferências legais (Cláusulas Contratuais Tipo). Na maioria dos casos, não precisas de assinar contratos individuais.
Nem tudo precisa de consentimento explícito. Para executares um contrato (servir um cliente, faturar) ou para cumprires uma obrigação legal (declarar IRS), tens base legal sem precisares de pedir consentimento.
Precisas de consentimento explícito para coisas como:
A regra prática: se a pessoa pode dizer-te "tira-me daí" e tu tens de aceitar, foi consentimento. Se é uma obrigação operacional do serviço, é execução de contrato.
Documentos são uma coisa. O que faz a diferença real é o que fazes todos os dias.
Quando mandas o mesmo email a 30 clientes, nunca ponhas os endereços todos visíveis no campo Para ou em CC. Cada um vê o email de todos os outros, fuga de dados clássica. Usa BCC, ou (melhor) usa um software de email marketing.
Se queres apenas mandar uma resposta por email, pede só o email. Não peças NIF, morada, idade "porque é prático". Cada dado que pedes é um dado que tens de proteger. Recolhe o mínimo necessário para o que vais fazer.
Se o teu site usa Google Analytics, Facebook Pixel, ou qualquer ferramenta semelhante, precisas de um banner de cookies que deixe a pessoa escolher antes de carregar os scripts. Banners que dizem "ao continuares aceitas" são juridicamente fracos. Há plugins decentes (CookieYes, Cookiebot) que custam pouco e fazem isto bem.
Se um cliente teu pergunta "podes recomendar-me um designer?", podes recomendar, mas não passes o contacto dele ao designer sem perguntar. Se o teu contabilista pede para falar com outro cliente teu sobre uma fatura, pergunta ao cliente antes. Quando partilhas dados de uma pessoa com outra, precisas de uma base legal, e quase sempre essa base é o consentimento.
O Tiago tem uma clínica de fisioterapia há 4 anos. Sozinho. 38 pacientes ativos. Os dados que trata são considerados dados sensíveis pelo RGPD: informação de saúde recebe proteção extra.
O que isto significa na prática:
Nada disto é proibido, só exige mais cuidado. Se trabalhas com dados de saúde, financeiros pessoais detalhados ou biométricos, paga 1-2 horas a um advogado especializado para confirmar que tens tudo enquadrado. Custos típicos: 100-200€ pela consulta inicial.
A regra: quase nunca, se és um pequeno negócio.
A obrigação de ter um EPD aplica-se essencialmente a entidades públicas, organizações que fazem monitorização sistemática em larga escala (ex: agências de marketing com tracking massivo), ou que tratam dados sensíveis também em larga escala.
Para um freelancer, um pequeno negócio com 1-10 clientes ativos, ou uma clínica de 1 profissional, normalmente não precisas. Se tens dúvidas, pergunta a um advogado. Mas não compres um pacote "EPD para todos" só porque um vendedor te disse que precisavas.
Faz sozinho quando:
Os documentos básicos podem ser construídos a partir de orientações e templates da CNPD. Custo zero, esforço de duas tardes.
Contrata advogado quando:
Custos típicos em Portugal: 80-200€ por uma consulta inicial (1-2h), 300-600€ por revisão completa dos teus documentos e processos. Para a maioria dos pequenos negócios, este investimento é uma vez na vida, ou de 3 em 3 anos para revisão.
Se hoje não tens nada, esta é a tua sequência:
Se ficaste com dúvidas concretas sobre o teu caso específico, setor ou volume, é aí que uma consulta a advogado se justifica. Para a maior parte dos pequenos negócios em Portugal, o trabalho acima cobre o essencial.
No Elevate, a área de Legal & Fiscal PT cobre RGPD, contratos, IRS categoria B e obrigações operacionais, com a lista do que se aplica mesmo a um negócio do teu tamanho.