Registo das atividades de tratamento: os campos do artigo 30.º explicados de forma simples

O registo das atividades de tratamento é um inventário dos processos de dados da organização. Responde a uma única pergunta: o que fazemos com os dados das pessoas. Não que documentos temos, nem que políticas aprovámos, mas sim o que acontece realmente todos os dias — o que é recolhido, para quê, onde é guardado e a quem é transmitido.

Por isso, o registo não é um texto jurídico. É uma tabela em que cada linha é um processo e as colunas são as mesmas perguntas repetidas para cada processo.

Toda a restante documentação — políticas internas, avisos de privacidade, lista de contratos — é redigida a partir dele. Quem tentar começar pelas políticas acaba a escrever sobre algo que ainda não contabilizou.

Os primeiros campos são simples: quem é o responsável pelo tratamento, os seus contactos, os do representante, quando exista, e os do encarregado de proteção de dados, se a organização o tiver. Estes campos são iguais em todo o registo, pelo que só se preenchem uma vez.

Convém indicar um contacto funcional, não o endereço pessoal de um trabalhador específico. As pessoas mudam de função, mas o registo tem de continuar correto daqui a um ano.

A cada finalidade é atribuído um fundamento. No nosso exemplo, o cálculo do salário e os relatórios às autoridades assentam numa obrigação legal, a execução do contrato de trabalho assenta no contrato, e, por exemplo, a fotografia de um trabalhador num diretório interno assenta, em regra, no consentimento ou no interesse legítimo, consoante o caso.

O fundamento não é um campo decorativo. Dele depende que direitos a pessoa tem: pode opor-se quando o fundamento é o interesse legítimo, pode retirar o consentimento, e no caso de obrigação legal nenhum dos dois caminhos está disponível.

Se o fundamento escolhido estiver errado, o aviso de privacidade também estará. Consulte a lista de fundamentos em [VERIFICAR: referência legal].

Os destinatários são todos os que veem os dados fora da organização. No nosso exemplo, trata-se do prestador de serviços de contabilidade ou do fornecedor do software de salários, do banco, das entidades públicas, da seguradora, do serviço médico que realiza os exames dos trabalhadores e, por vezes, da empresa de auditoria.

Cada destinatário obriga a colocar uma segunda pergunta: é um responsável autónomo ou um subcontratante? Com os subcontratantes é necessário um contrato, pelo que a lista de destinatários é, na prática, também uma lista de verificação de contratos. É aqui que normalmente se descobre que, para um ou dois sistemas, o contrato não existe.

O prazo não é fixado uma única vez para todo o processo, mas sim por grupos de dados. No nosso exemplo, o contrato de trabalho e os documentos de pessoal são conservados durante muito tempo por exigências de arquivo, o registo de horário durante menos tempo, e a correspondência diária sobre escalas durante ainda menos tempo.

Junto do prazo regista-se sempre o motivo: uma norma legal, o risco de litígio ou uma decisão da organização. Um prazo sem motivo é apenas um número que não se pode defender nem rever.

O registo está concluído quando pode imprimi-lo e explicar cada linha a um colega sem perguntas adicionais. Cada processo tem finalidade, fundamento, categorias, destinatários, prazo e medidas, e as questões em aberto estão assinaladas como tal, e não disfarçadas com frases genéricas.

A partir daí começa o trabalho habitual: a revisão sempre que muda um sistema, um fornecedor ou um processo. As organizações que usam o registo como ferramenta de trabalho dedicam-lhe alguns minutos por trimestre. As que se esquecem dele acabam a refazê-lo quase do zero passados dois anos.

O caminho mais rápido são três conversas: com a contabilidade, com a administração de pessoal e com quem gere os sistemas. Numa hora, cada um deles diz mais do que consta dos documentos, porque sabem onde os dados estão realmente guardados.

A segunda fonte é a lista de contratos e as faturas. Nelas aparecem todos os prestadores de serviços, incluindo aqueles de que ninguém se lembrava: o serviço de arquivo, a destruição de documentos, a plataforma de marketing, a ferramenta de inquéritos.

A terceira são os próprios sistemas. A lista de acessos mostra quem tem permissões e, muitas vezes, também que ainda têm acesso pessoas que já mudaram de função ou saíram da organização há muito tempo.

O registo é a fonte de respostas quando algo acontece. Uma pessoa pede uma cópia dos seus dados — o registo indica em que sistemas procurá-los.

Ocorre um incidente — o registo mostra a dimensão e os destinatários afetados. Chega um pedido de uma autoridade — o registo é o primeiro anexo a apresentar.

É também uma ferramenta de compras. Antes de implementar um novo sistema, basta transmitir ao fornecedor as perguntas do registo: que dados vai ver, onde vão estar, quem terá acesso, o que acontece quando o contrato terminar. É o melhor momento para obter respostas.

Por fim, o registo serve como material de formação para novos colaboradores. Em vez de vinte páginas de políticas, a pessoa vê uma única tabela que lhe permite compreender o que a organização faz com os dados e porquê.