Receber uma lista de contactos de um parceiro cria uma questão de transparência para a organização que a vai utilizar. A afirmação «o fornecedor cumpre o RGPD» não demonstra que as pessoas sabem quem recebeu os seus dados, para quê e com que consequências. O artigo 14.º exige olhar para a recolha indireta e organizar a informação correspondente.
Este guia permite preparar uma ficha de origem, decidir o momento de informar e escrever um aviso adaptado à operação. O exemplo utiliza uma transmissão fictícia de contactos entre empresas. Não presume que uma lista comprada, uma fonte pública ou um endereço profissional autorize qualquer campanha.
Reconhecer a recolha indireta no processo real
O artigo 14.º do RGPD trata a informação quando os dados não foram recolhidos junto do titular. Podem vir de um parceiro, diretório, organismo público, fornecedor de enriquecimento ou de outra pessoa que os fornece num processo. Uma mesma atividade pode combinar recolha direta e indireta, exigindo distinguir os fluxos.
Imagine que uma empresa cliente inscreve trabalhadores numa formação. O prestador recebe os nomes por intermédio da empresa e depois recolhe diretamente preferências de acessibilidade. Não basta decidir que «o formulário já tem aviso»: a informação sobre a primeira transmissão e a recolha posterior deve corresponder ao que aconteceu em cada momento.
A classificação de dados pessoais e identificadores ajuda a encontrar recolhas indiretas que aparecem como informação meramente empresarial. Nomes de representantes, contactos profissionais e avaliações sobre pessoas podem continuar abrangidos. Identificar a origem faz parte do inventário, mesmo quando a equipa não adquiriu formalmente uma «base de dados».
Criar uma ficha de origem antes da utilização
Registe a entidade ou fonte concreta, a data em que recebeu os dados, as categorias, o modo de obtenção e as utilizações previstas. Guarde a informação disponível sobre a recolha anterior sem a tratar como prova suficiente de todas as suas próprias obrigações. Um contrato pode conter declarações úteis, mas a organização deve avaliar o tratamento que pretende realizar.
Peça ao fornecedor explicações para campos que não correspondem à finalidade. Uma lista entregue para organizar uma reunião pode incluir números privados ou notas comerciais sem necessidade. A minimização dos campos recebidos pode levar a rejeitar essas colunas antes de importar o ficheiro, evitando que a correção dependa de apagar cópias dispersas posteriormente.
A ficha também identifica o primeiro contacto com a pessoa e a primeira comunicação dos dados a outro destinatário. Estas datas determinam o calendário de informação. Se o fluxo técnico envia automaticamente o ficheiro a um prestador logo após a importação, essa operação precisa de entrar na análise antes do lançamento.
Determinar o momento de informar
O artigo 14.º prevê informação num prazo razoável após a obtenção, com limite máximo de um mês. Se houver comunicação com o titular, a informação deve chegar, o mais tardar, nesse primeiro contacto. Se estiver prevista divulgação a outro destinatário, deve ser prestada, o mais tardar, nessa primeira divulgação. O evento mais cedo relevante condiciona o calendário; o mês não é um período de espera automático.
As orientações WP260 rev.01 sobre transparência desenvolvem o conteúdo, o momento e as exceções. Use estas questões na validação do processo: quando obtemos os dados, quando os usamos para contactar e quando os transmitimos? Uma informação prevista apenas para a conversão do contacto em cliente pode chegar demasiado tarde.
Exemplo de calendário preenchido
Uma organização fictícia recebe contactos em 3 de setembro. Pretende enviar uma mensagem em 10 de setembro, mas planeia transmiti-los a um prestador em 6 de setembro. Admitindo a aplicação do artigo 14.º e a inexistência de exceção, a informação deve acompanhar o calendário determinado pela primeira divulgação, não ficar para o dia 10 ou para o fim do mês.
| Evento | Data fictícia | Consequência operacional |
|---|---|---|
| Obtenção | 3 de setembro | Registar origem, categorias e finalidade |
| Primeira divulgação prevista | 6 de setembro | Preparar informação para ser prestada até esse momento |
| Primeiro contacto previsto | 10 de setembro | Já não é o primeiro evento relevante |
| Falha na preparação do aviso | Detetada em 5 de setembro | Reorganizar o fluxo antes da divulgação, sem ocultar o problema |
Se a divulgação for adiada, reavalie o prazo razoável e os outros eventos. Se o aviso não puder ser entregue pelo canal inicialmente escolhido, procure uma alternativa adequada ou analise as condições reais de uma exceção. O simples facto de uma mensagem ter devolvido erro não conclui automaticamente essa análise.
Reunir o conteúdo que falta nos avisos genéricos
Uma ficha de redação deve ligar cada elemento à realidade da operação. Além da identidade e contactos do responsável e, quando aplicável, do representante e EPD, explique finalidades, fundamento, categorias de dados, destinatários, conservação e direitos. Trate as transferências e as decisões automatizadas quando sejam pertinentes, com o detalhe legal aplicável.
Na recolha indireta, duas perguntas merecem especial atenção: que categorias de dados temos e de onde vieram? «Parceiros de confiança» raramente ajuda uma pessoa a reconhecer a origem. Indique a fonte concreta quando possível e esclareça se era publicamente acessível. Se os dados resultarem de fontes combinadas que não consegue individualizar, explique essa situação e forneça informação significativa disponível.
A equipa deve ainda explicitar os interesses prosseguidos quando invoca interesses legítimos e a retirada do consentimento quando esse é o fundamento utilizado. Não coloque todos os fundamentos numa lista indiferenciada. A pessoa precisa de compreender qual corresponde a cada finalidade, e não de escolher por si a justificação que a organização pretende invocar.
Escrever uma primeira camada com conteúdo real
Uma primeira camada pode ajudar a apresentar a operação sem obrigar a ler imediatamente um documento longo. Deve conduzir a informação completa acessível e destacar o que é relevante ou inesperado. O seguinte excerto é fictício e incompleto por natureza: serve para mostrar especificidade, não para substituir o aviso integral.
A entidade Formação Exemplo recebeu da sua empresa o seu nome, endereço profissional e indicação da sessão em que foi inscrito. Usamos estes dados para organizar a participação e enviar as informações necessárias à sessão. A informação completa identifica o fundamento aplicável, os prestadores envolvidos, a conservação e os meios para exercer os seus direitos.
Antes de utilizar uma redação deste tipo, preencha o fundamento e os restantes elementos na informação completa e confirme o canal de disponibilização. Se o verdadeiro objetivo também incluir prospeção comercial, o exemplo não o cobre. Não esconda essa utilização sob a expressão «informações necessárias à sessão».
A página sobre transparência e comunicações do artigo 12.º ajuda a testar linguagem, acesso e apresentação por camadas. A forma de entrega deve permitir à pessoa perceber que existe informação relevante; publicar silenciosamente um aviso num local improvável não demonstra, por si só, que a obrigação foi executada.
Analisar as quatro exceções sem as generalizar
O n.º 5 do artigo 14.º prevê quatro hipóteses: informação já conhecida pelo titular; impossibilidade ou esforço desproporcionado e outras condições da alínea b); obtenção ou divulgação expressamente previstas em lei com medidas de proteção; e confidencialidade decorrente de segredo profissional regulado por lei. Cada uma exige verificar as suas condições concretas.
Para a informação já conhecida, compare o conteúdo que a pessoa efetivamente tem com o que precisa de saber sobre este responsável e este tratamento. Um aviso anterior sobre outra entidade não demonstra automaticamente conhecimento das novas finalidades, destinatários ou categorias.
Para a alínea b), documente o obstáculo, a dimensão, as alternativas e as consequências para os titulares. Quando a exceção se aplica, existem medidas apropriadas a adotar, incluindo disponibilizar publicamente a informação. A dimensão da lista ou o custo de um envio não devem tornar-se uma fórmula automática de dispensa. Um canal de contacto que passa a estar disponível pode alterar a avaliação.
Nas alíneas c) e d), identifique a disposição legal e a forma como as suas condições se verificam. Uma cláusula de confidencialidade comercial não equivale, por si só, a um segredo profissional regulado por lei. Guarde a análise e indique quem a reavê quando muda o fluxo.
Separar transparência e autorização para marketing
Um aviso do artigo 14.º não torna lícita uma campanha que não cumpre as regras do canal ou que carece de fundamento. Avalie a recolha, a reutilização e a comunicação comercial como questões relacionadas, mas distintas. A análise portuguesa do marketing eletrónico permite verificar as condições nacionais antes do envio.
Se a pessoa se opuser ao marketing direto, a organização não pode continuar a utilizá-la como contacto comercial invocando o contrato com o fornecedor da lista. O procedimento de oposição do artigo 21.º mostra como fazer chegar a restrição às campanhas, audiências e importações futuras. Um aviso compreensível precisa de um mecanismo de direitos que funcione depois da leitura.
Conservar a prova e rever mudanças
Associe ao conjunto recebido a versão do aviso, a data, o canal utilizado e o resultado disponível da entrega. Uma prova proporcional pode documentar o envio e o tratamento das falhas sem acrescentar rastreio intrusivo de leitura. Não recolha mais informação sobre a pessoa apenas para melhorar uma métrica de transparência.
Reveja o aviso quando mudar a origem, a finalidade ou o conjunto de dados. Uma segunda aquisição da mesma pessoa pode trazer informação nova que o aviso anterior não cobria. Antes de uma nova finalidade, aplique a análise pertinente e a informação exigida, sem pressupor que a primeira mensagem autorizou toda a evolução futura.
O processo fica controlável quando a equipa consegue responder a quatro perguntas para qualquer contacto: de onde veio, para que é utilizado, quando foi informado e como se respeitam as suas escolhas. A ficha de origem e o calendário tornam essas respostas verificáveis antes de os dados circularem por novas ferramentas.