Aviso editorial. Este artigo é uma introdução para pequenos negócios. Não substitui aconselhamento jurídico. Para casos sensíveis (dados de saúde, processamento em larga escala, transferências fora da UE, base legal de interesse legítimo em situações complexas), convém consultar um advogado especializado em proteção de dados. A informação é correta à data de publicação; regras e interpretações da CNPD podem evoluir.
A Eduarda é contabilista. Tem uma carteira de 14 clientes, todos pequenos negócios em Lisboa e arredores. Um dia recebeu um email da CNPD a pedir esclarecimentos sobre o tratamento de dados de um ex-cliente que tinha apresentado queixa.
A Eduarda não fez nada de errado. Tinha contrato com o cliente, faturava, guardava os recibos e mantinha a contabilidade em dia. Mas quando viu o email ficou paralisada: não sabia o que tinha de responder, em quanto tempo, nem com que documentos. Passou três dias a procurar artigos no Google, cada um a dizer coisa diferente, e acabou a pagar 350€ a um advogado para escrever três parágrafos.
Esta paralisia é o pior efeito do RGPD em pequenos negócios. O peso está na sensação de que não se percebem as regras. A maioria dos pequenos negócios trata o RGPD como inferno burocrático que vai um dia ter de enfrentar, ou como problema que só acontece a empresas grandes. Nenhuma das duas posições é correta.
Este artigo cobre o essencial em linguagem direta, com a ordem certa para um negócio de 1-5 pessoas em Portugal.
E convém manter a proporção. O essencial do RGPD resolve-se mais depressa do que a confusão faz parecer, e fica a funcionar. O foco que importa é a confiança construída com as pessoas cujos dados o negócio trata: tratá-los com cuidado é parte da relação com o cliente, muito para lá da obrigação legal. Com este guia, a base fica em ordem e o negócio volta ao que o faz crescer.
O que o RGPD é mesmo (sem jargão)
O Regulamento Geral de Proteção de Dados é um regulamento europeu que entrou em vigor em 2016 e se aplica desde 25 de maio de 2018. Em Portugal, é aplicada pela CNPD (Comissão Nacional de Proteção de Dados). A ideia central tem 5 frases:
- Quem recolhe dados pessoais de alguém (nome, email, NIF, telemóvel, morada, foto, dados de saúde, etc.) é responsável por eles.
- O negócio tem de saber porque os tem, quem lhes acede e quanto tempo os mantém.
- A pessoa cujos dados são guardados tem direitos: pode pedir cópia, correção, apagamento ou portabilidade.
- O negócio tem de proteger esses dados contra perda ou acesso indevido (passwords fortes, ficheiros encriptados quando faz sentido, partilha controlada).
- Se algo correr mal (uma fuga de dados, por exemplo), o negócio tem 72 horas para notificar a CNPD.
É isto. Tudo o resto são detalhes operacionais.
Aplica-se ao negócio? (decisão em 30 segundos)
Sim ou não a estas perguntas:
- Há emails, nomes ou contactos de clientes guardados?
- Há pagamentos recebidos com identificação (NIB, NIF, recibo verde)?
- Existe uma lista de contactos comerciais a quem se enviam propostas?
- Algum software (faturação, agenda, CRM) guarda dados de pessoas?
Com um sim a pelo menos uma destas perguntas, o RGPD aplica-se ao negócio. E é raro um negócio responder não a todas.
A boa notícia é que se o volume de dados é pequeno e o tipo de dados é comum (nome, email, NIF, registo de faturas), as obrigações práticas são modestas. O essencial cabe em duas tardes de trabalho e em hábitos do dia a dia. O que assusta a maioria das pessoas é a sensação de que falta um documento que não sabem qual é. Vamos a eles.
Os 4 documentos básicos necessários
1. Política de privacidade (no site, em emails de inscrição, em formulários)
A política explica em linguagem clara: que dados o negócio recolhe, porquê, com quem os partilha, durante quanto tempo os guarda e como a pessoa pode exercer os seus direitos. Tem de estar visível antes de a pessoa entregar os dados: link no rodapé do site, checkbox nos formulários, menção nos emails de inscrição em newsletter.
Para um negócio simples, a política cabe em 600-1.000 palavras. Há templates disponíveis (a própria CNPD publica orientações). Não é preciso pagar 500€ a um advogado para um documento básico. Se o negócio trata dados sensíveis (saúde, financeiros, biométricos), aí a consulta paga-se.
2. Registo de atividades de tratamento
É um documento interno (não tem de estar no site) onde se listam os tipos de dados tratados, para que fins, durante quanto tempo, com que base legal e com quem se partilham. Para um negócio de 1-5 pessoas, este registo é normalmente uma folha de cálculo simples com 5-10 linhas.
Exemplo de uma linha:
| Categoria | Finalidade | Base legal | Período de retenção | Partilha com |
|---|---|---|---|---|
| Dados de cliente (nome, email, NIF, morada) | Prestação de serviço + faturação | Execução de contrato + obrigação legal (faturação) | 10 anos (faturação; confirmar o prazo aplicável a cada caso) | Contabilista, Autoridade Tributária |
Este registo tem de existir e a CNPD pode pedi-lo. É o tipo de documento que se faz uma vez e se atualiza raramente.
3. Contratos com quem processa dados em nome do negócio
Quando um software guarda dados dos clientes (Stripe, MailerLite, software de faturação, CRM, etc.), essas empresas são subcontratantes. Tecnicamente, tem de haver um contrato de processamento de dados com cada uma delas. Na prática, todas as empresas sérias têm um Data Processing Agreement (DPA) standard, que é aceite na criação da conta (está nos termos).
O que há a fazer: manter uma lista dos subcontratantes principais e confirmar (uma vez, na inscrição) que estão dentro da UE ou que usam transferências legais (Cláusulas Contratuais Tipo). Na maioria dos casos, não é preciso assinar contratos individuais.
4. Consentimento informado quando necessário
Nem tudo precisa de consentimento explícito. Para executar um contrato (servir um cliente, faturar) ou cumprir uma obrigação legal (declarar IRS), há base legal sem pedir consentimento.
O consentimento explícito é necessário para coisas como:
- Newsletter / email marketing (a pessoa marca a checkbox; a regra vem da Lei 41/2004, art. 13.º-A, a lei portuguesa das comunicações eletrónicas)
- Cookies não-essenciais (banner de cookies)
- Partilhar fotos da pessoa em redes sociais
- Uso de testemunhos com nome próprio
A regra prática: se a pessoa pode dizer "tira-me daí" e o negócio tem de aceitar, foi consentimento. Se é uma obrigação operacional do serviço, é execução de contrato.
Os 4 hábitos do dia a dia
Os documentos fazem-se em duas tardes, e a maior parte da proteção joga-se depois, no que se faz todos os dias.
Email: nunca expor os endereços de um grupo
Num email enviado a 30 clientes, nunca devem ficar os endereços todos visíveis no campo Para ou em CC. Cada um vê o email de todos os outros, o que é uma fuga de dados clássica. O correto é BCC ou, melhor, um software de email marketing.
Formulários: pedir apenas o necessário
Para mandar apenas uma resposta por email, basta pedir o email. Nada de NIF, morada ou idade "porque é prático": cada dado pedido é um dado a proteger. Recolher o mínimo necessário para o que se vai fazer.
Cookies: configurar o banner corretamente
Um site que usa Google Analytics, Facebook Pixel ou qualquer ferramenta semelhante precisa de um banner de cookies que deixe a pessoa escolher antes de carregar os scripts. Esta obrigação vem da Lei 41/2004 (art. 5.º), e não só do RGPD. Banners que dizem "ao continuares aceitas" são juridicamente fracos. Há plugins decentes (CookieYes, Cookiebot) que custam pouco e fazem isto bem.
Partilha com terceiros: perguntar sempre, autorizar com cuidado
Se um cliente pergunta "podes recomendar-me um designer?", a recomendação é possível, mas o contacto dele não passa ao designer sem perguntar. Se o contabilista pede para falar com outro cliente sobre uma fatura, pergunta-se primeiro a esse cliente. Partilhar dados de uma pessoa com outra exige uma base legal, e quase sempre essa base é o consentimento.
Tiago, fisioterapeuta: o caso dos dados de saúde
O Tiago tem uma clínica de fisioterapia há 4 anos, onde trabalha sozinho com 38 pacientes ativos. Os dados que trata são considerados dados sensíveis pelo RGPD: informação de saúde recebe proteção extra.
O que isto significa na prática:
- Base legal mais exigente. Para tratar dados de saúde, normalmente precisa de consentimento explícito da pessoa (no formulário inicial de admissão) OU enquadramento legal específico (ato médico).
- Ficheiros não em acesso livre. As fichas dos pacientes têm de estar em sistema com password forte. Se usa Excel, a pasta tem de estar com acesso restrito. Se usa software clínico (existem várias opções PT), é preciso confirmar que tem encriptação em repouso.
- Período de retenção definido. Para fisioterapia, a regra prática é cerca de 10 anos depois do último contacto (alinhado com prazos clínicos), mas convém confirmar com a ordem profissional ou com um advogado.
- Notificação rápida em caso de fuga. Se o portátil dele for roubado e tinha as fichas dentro, tem 72h para notificar a CNPD e, se houver risco para os pacientes, informá-los também.
Nada disto é proibido, só exige mais cuidado. Com dados de saúde, financeiros pessoais detalhados ou biométricos, justificam-se 1-2 horas de um advogado especializado para confirmar que está tudo enquadrado. Custos típicos: 100-200€ pela consulta inicial.
Quando é preciso um EPD (Encarregado de Proteção de Dados)
A regra: quase nunca, num pequeno negócio.
A obrigação de ter um EPD aplica-se essencialmente a entidades públicas, organizações que fazem monitorização sistemática em larga escala (ex: agências de marketing com tracking massivo), ou que tratam dados sensíveis também em larga escala.
Para um freelancer, um pequeno negócio com 1-10 clientes ativos, ou uma clínica de 1 profissional, normalmente não é preciso. Em caso de dúvida, o caminho é perguntar a um advogado, não comprar um pacote "EPD para todos" só porque um vendedor disse que era preciso.
Quando contratar advogado vs fazer sozinho
Fazer sozinho quando:
- Negócio com dados normais (nome, email, NIF, telemóvel)
- Sem subcontratantes fora da UE
- Sem dados sensíveis
- Volume de clientes pequeno (≤50 ativos)
Os documentos básicos podem ser construídos a partir de orientações e templates da CNPD. Custo zero, esforço de duas tardes.
Contratar advogado quando:
- Tratamento de dados sensíveis (saúde, financeiros detalhados, biométricos, orientação política/sexual)
- Subcontratantes fora da UE (servidores ou ferramentas sediados fora do espaço europeu)
- Crescimento para volume considerável (centenas ou milhares de contactos com contacto comercial ativo)
- Setor regulado (saúde, advocacia, contabilidade, educação) com obrigações adicionais
- Contacto da CNPD a pedir esclarecimentos
Custos típicos em Portugal: 80-200€ por uma consulta inicial (1-2h), 300-600€ por revisão completa dos documentos e processos. Para a maioria dos pequenos negócios, este investimento é uma vez na vida, ou de 3 em 3 anos para revisão.
Resumo acionável
Para quem hoje não tem nada, esta é a sequência:
- Esta semana (3-4h): escrever a política de privacidade do site a partir de um template da CNPD, pô-la no rodapé e acrescentar o link nos emails de inscrição.
- Esta semana (1-2h): fazer o registo de atividades de tratamento numa folha de cálculo, listando todos os tipos de dados tratados, com base legal e período de retenção.
- Este mês (1h): inventariar os subcontratantes (software usado), confirmar que estão dentro da UE ou têm cláusulas tipo e documentar a lista.
- Hábitos (sempre): emails de grupo sempre em BCC, formulários mínimos, banner de cookies correto, perguntar antes de partilhar contactos.
- Reavaliar anualmente: mudou o software? Mudou o tipo de negócio? Houve muito crescimento? Rever o registo.
Em caso de dúvidas concretas sobre um caso específico, setor ou volume, é aí que uma consulta a advogado se justifica. Para a maior parte dos pequenos negócios em Portugal, o trabalho acima cobre o essencial.
No Elevate Club, a área de Legal & Fiscal PT cobre RGPD, contratos, IRS categoria B e obrigações operacionais, com a lista do que se aplica mesmo a um negócio deste tamanho.
O diagnóstico gratuito cobre 5 áreas-chave do negócio em cerca de 4 minutos e mostra onde o apoio faz mais falta.