Conformidade com o RGPD para empresas dos EUA e não europeias: um guia prático

Muitas empresas dos EUA partem do princípio de que o Regulamento Geral sobre a Proteção de Dados (RGPD) só é relevante para empresas sediadas na Europa. Essa suposição é arriscada. Se a sua empresa oferece bens ou serviços a pessoas na União Europeia, monitoriza o seu comportamento ou trata os seus dados pessoais no âmbito dessas atividades, o RGPD pode aplicar-se mesmo quando a sua empresa está constituída e opera nos Estados Unidos.

Para fundadores, startups e pequenas empresas em crescimento, a questão não é apenas teórica do ponto de vista jurídico. O RGPD pode afetar a forma como recolhe endereços de email, executa campanhas publicitárias, utiliza cookies, armazena registos de clientes, processa pagamentos, gere prestadores de serviços e lida com incidentes de segurança. Se a sua empresa está constituída nos EUA e serve um público internacional, a conformidade com a privacidade deve fazer parte do seu modelo operativo desde o início.

Este guia explica o que é o RGPD, porque empresas não europeias podem ter de o cumprir, que dados estão abrangidos e que passos práticos podem ajudar a reduzir o risco.

O que é o RGPD

O RGPD é a lei de proteção de dados da União Europeia. Foi criado para dar aos indivíduos mais controlo sobre a forma como os seus dados pessoais são recolhidos, utilizados, partilhados, armazenados e eliminados.

A lei tem um âmbito vasto. Aplica-se a muitos tipos diferentes de atividades de tratamento de dados, incluindo:

• Recolha de contactos através de formulários
• Execução de campanhas de marketing por email
• Monitorização de visitantes de websites com cookies ou ferramentas de análise
• Armazenamento de registos de clientes ou funcionários
• Partilha de dados com fornecedores, plataformas ou prestadores de serviços
• Tratamento de pagamentos e dados de subscrição
• Utilização de sistemas automatizados para criar perfis ou segmentar utilizadores

O RGPD também cria obrigações relacionadas com transparência, segurança, direitos dos titulares dos dados, resposta a incidentes e responsabilidade. Na prática, isso significa que as empresas precisam de mais do que uma política de privacidade. Precisam de processos reais.

Porque as empresas dos EUA podem estar abrangidas

O RGPD não se limita às empresas fisicamente localizadas na UE. A lei pode aplicar-se a organizações fora da Europa quando fazem uma das seguintes coisas:

• Oferecem bens ou serviços a pessoas na UE
• Monitorizam o comportamento de pessoas na UE, incluindo através de tecnologias de rastreamento ou análise comportamental

Isto significa que uma startup dos EUA, loja online, empresa de SaaS, consultor, programador de aplicações ou marca de comércio eletrónico pode ficar sujeita ao RGPD mesmo que todos os seus proprietários, funcionários e servidores estejam nos Estados Unidos.

Exemplos incluem:

• Uma sociedade constituída no Delaware a vender produtos digitais a clientes em França ou na Alemanha
• Uma LLC do Texas a executar anúncios pagos direcionados a residentes na UE
• Uma startup da Califórnia a utilizar análises e cookies para estudar visitantes da UE
• Uma empresa de consultoria de Nova Iorque a recolher pedidos de contacto de leads sediados na UE

Se a sua empresa tem uma relação intencional com pessoas na UE, deve avaliar se o RGPD se aplica.

O que conta como dados pessoais

O RGPD define dados pessoais de forma ampla. Não se limita a identificadores óbvios, como um nome ou um número de identificação governamental. A lei pode abranger qualquer informação relativa a uma pessoa identificável.

Exemplos comuns incluem:

• Nome
• Endereço de email
• Morada
• Número de telefone
• Endereço IP
• Identificadores de dispositivo
• Dados de localização
• Identificadores de cookies
• Informação de pagamento
• Credenciais de acesso à conta
• Registos laborais
• Informação de saúde
• Dados comportamentais baseados em IP

Uma informação não precisa de identificar alguém por si só para ser considerada dado pessoal. Se puder ser razoavelmente associada a uma pessoa, pode estar abrangida pelo RGPD.

Essa definição ampla é uma das razões pelas quais muitas empresas subestimam a lei. Um simples formulário de subscrição de newsletter, portal de cliente ou ferramenta de análise web pode criar obrigações se envolver residentes da UE.

Porque “estamos sediados nos EUA” não é um argumento seguro

Algumas empresas assumem que, por estarem constituídas ao abrigo da lei estadual dos EUA, o RGPD não as alcança. Não é assim que o regulamento funciona.

O RGPD centra-se na atividade, na pessoa cujos dados estão a ser tratados e na ligação à UE. Onde a sua empresa foi constituída tem muito menos importância do que o que a sua empresa está efetivamente a fazer.

Se a sua empresa trata dados pessoais da UE de uma forma abrangida pelo RGPD, pode ter de cumprir a lei independentemente de ser:

• Uma sociedade constituída no Delaware, Wyoming, Florida ou qualquer outro estado
• Uma LLC com um único sócio
• Uma startup com financiamento próprio
• Uma empresa remota sem escritório físico fora dos EUA

Esta é uma das razões pelas quais os fundadores devem pensar na conformidade desde cedo ao constituir uma nova empresa. A constituição é apenas o início. As operações da empresa, os fornecedores, os contratos e os fluxos de clientes também contam.

Os principais princípios do RGPD que as empresas devem conhecer

O RGPD assenta em princípios fundamentais que moldam a conformidade diária. Os mais importantes para pequenas empresas são:

Licitude, lealdade e transparência

É necessário ter uma base jurídica válida para tratar dados pessoais e explicar claramente o que está a ser feito.

Limitação das finalidades

Utilize os dados pessoais apenas para a finalidade específica que divulgou. Não recolha dados para uma razão e depois reutilize-os para uma finalidade não relacionada sem aviso adequado e sem base jurídica.

Minimização dos dados

Recolha apenas os dados de que realmente precisa. Mais dados significam mais risco.

Exatidão

Mantenha os dados pessoais corretos e atualize os registos quando necessário.

Limitação da conservação

Não mantenha dados pessoais para sempre só porque pode fazê-lo. Conserve os dados apenas durante o tempo necessário para a finalidade divulgada.

Integridade e confidencialidade

Proteja os dados pessoais com medidas técnicas e organizativas de segurança razoáveis.

Responsabilidade

Tenha capacidade para demonstrar que está em conformidade. As políticas são importantes, mas os registos, contratos e procedimentos internos também o são.

Bases legais para o tratamento de dados

Ao abrigo do RGPD, as empresas geralmente precisam de uma base jurídica para tratar dados pessoais. As bases mais comuns incluem:

• Consentimento
• Execução de contrato
• Cumprimento de obrigação jurídica
• Interesses vitais
• Missão de interesse público
• Interesses legítimos

Para muitas empresas dos EUA, as bases mais comuns são consentimento, execução de contrato e interesses legítimos.

O ponto importante é que o consentimento nem sempre é exigido, mas quando é utilizado tem de ser informado, específico, livremente dado e fácil de retirar. Caixas pré-assinaladas ou autorizações vagas e genéricas normalmente não são suficientes.

Gatilhos comuns para pequenas empresas

Pode ser necessário rever as obrigações ao abrigo do RGPD se a sua empresa fizer alguma das seguintes coisas:

• Vender a clientes na UE
• Ter um website que faça marketing ativo a residentes da UE
• Utilizar retargeting ou publicidade comportamental
• Usar cookies, pixels ou ferramentas analíticas que rastreiem visitantes
• Enviar emails promocionais para contactos da UE
• Armazenar perfis de contas de clientes
• Utilizar processadores de pagamento, CRMs ou software de help desk de terceiros que tratem dados da UE
• Recolher candidaturas a emprego de candidatos da UE

Mesmo que a sua empresa seja pequena, a presença de clientes ou utilizadores da UE pode criar obrigações.

Porque bloquear por IP não é uma estratégia fiável

Algumas empresas tentam evitar a exposição ao RGPD bloqueando visitantes da UE ou exigindo que cliquem numa declaração a dizer que não estão na UE. Estes atalhos não são fiáveis.

A geolocalização por IP não é perfeita. VPNs, operadoras móveis, redes partilhadas e viagens podem ocultar a localização real de um utilizador. Um campo de formulário ou uma caixa de verificação também não resolve a questão de fundo de saber se a sua empresa está realmente a oferecer serviços a pessoas na UE ou a monitorizar o seu comportamento.

Se a sua empresa quiser evitar a exposição ao RGPD, a única solução duradoura é conceber o modelo de negócio e as práticas do website em conformidade com isso. Em muitos casos, a melhor resposta é cumprir.

Passos práticos para melhorar a preparação para o RGPD

Uma pequena empresa não precisa de um grande departamento jurídico para estar mais preparada para o RGPD. Precisa de uma abordagem estruturada.

1. Mapeie os seus dados

Identifique que dados pessoais recolhe, de onde vêm, para onde vão, quem lhes pode aceder e durante quanto tempo os conserva.

2. Reduza a recolha desnecessária

Se não precisa de um campo num formulário, remova-o. Se uma ferramenta de um fornecedor recolhe dados que nunca utiliza, reavalie-a.

3. Atualize o seu aviso de privacidade

O seu aviso de privacidade deve explicar claramente:

• Que dados recolhe
• Porque os recolhe
• Qual é a base jurídica do tratamento
• Se partilha dados com terceiros
• Durante quanto tempo conserva os dados
• Que direitos têm os utilizadores
• Como os utilizadores podem contactá-lo

4. Reveja cookies e ferramentas de rastreamento

Se utiliza análise, pixels de publicidade, ferramentas de retargeting ou software de gravação de sessões, determine se é necessário consentimento ou outras divulgações.

5. Celebre acordos com fornecedores

Se prestadores de serviços tratam dados pessoais em seu nome, precisa de contratos que distribuam corretamente as responsabilidades. Isto é especialmente importante para alojamento, processamento salarial, CRM, marketing por email e plataformas de apoio ao cliente.

6. Estabeleça um processo para pedidos dos titulares dos dados

Os indivíduos da UE podem ter direitos de acesso, retificação, eliminação ou limitação do tratamento dos seus dados pessoais. Deve saber como os pedidos serão recebidos, verificados, acompanhados e respondidos.

7. Prepare-se para incidentes de segurança

Tenha um plano de resposta a incidentes de segurança. O RGPD pode exigir notificação rápida em certos cenários de violação, por isso deve saber quem é responsável, o que deve ser documentado e quando é necessária revisão jurídica.

8. Forme a sua equipa

Qualquer pessoa que trate dados de clientes deve compreender expectativas básicas de privacidade e segurança. Uma política só é útil se as pessoas a seguirem.

A segurança dos dados é importante

A segurança não é apenas um tema de TI. Ao abrigo do RGPD, os dados pessoais devem ser protegidos contra acesso, divulgação, alteração e perda não autorizados.

Os controlos de base adequados incluem frequentemente:

• Palavras-passe fortes e autenticação multifator
• Controlos de acesso baseados em funções
• Encriptação em trânsito e em repouso quando apropriado
• Due diligence sobre fornecedores
• Atualizações regulares de software e aplicação de correções
• Procedimentos de cópia de segurança e recuperação
• Registo de acessos a sistemas sensíveis
• Eliminação segura de registos desatualizados

As pequenas empresas não precisam de complicar excessivamente tudo, mas devem conseguir explicar as suas escolhas e demonstrar que tomaram medidas razoáveis.

Atenção especial para startups e novas empresas

Se está a constituir um negócio agora, a conformidade com a privacidade deve fazer parte da sua lista de lançamento. Isso é especialmente verdadeiro se espera servir clientes fora dos Estados Unidos.

Quando os fundadores estão a criar uma empresa, já estão a tomar decisões sobre o tipo de entidade, propriedade, serviços de agente residente, acordos operacionais, banca e registo fiscal. É um momento inteligente para também pensar em:

• Que dados a empresa vai recolher
• Que fornecedores vão tratar desses dados
• Que mercados de clientes a empresa vai visar
• Se a empresa terá visitantes ou clientes da UE
• Que políticas internas devem existir antes do lançamento

A Zenind apoia empreendedores ao longo do processo de constituição da empresa, e a preparação para a privacidade encaixa na mesma abordagem disciplinada: construir o negócio corretamente desde o início para que o crescimento futuro não crie riscos evitáveis.

Quando procurar apoio jurídico

O RGPD é detalhado e muitas empresas precisam de apoio jurídico para avaliar as suas obrigações específicas. Deve considerar orientação profissional se:

• A sua empresa tem clientes ou utilizadores na UE
• Recolhe dados pessoais sensíveis
• Depende fortemente de publicidade, rastreamento ou criação de perfis
• Trata dados em grande escala
• Não tem a certeza de qual base jurídica se aplica
• Precisa de redigir ou rever contratos com fornecedores
• Recebeu um pedido de um residente da UE ou de uma autoridade reguladora

Este artigo é uma visão prática geral, não aconselhamento jurídico. Para uma avaliação real de conformidade, trabalhe com advogado qualificado ou um profissional de privacidade.

Principais conclusões

• O RGPD pode aplicar-se a empresas dos EUA e a outras empresas não europeias.
• A lei centra-se na forma como trata os dados pessoais, e não apenas no local onde a sua empresa foi constituída.
• Os dados pessoais são definidos de forma ampla e podem incluir endereços IP, cookies e identificadores comportamentais.
• As pequenas empresas devem mapear os fluxos de dados, atualizar avisos, controlar fornecedores e preparar-se para pedidos de exercício de direitos.
• Se a sua empresa serve clientes da UE ou rastreia visitantes da UE, o RGPD deve fazer parte do seu plano operativo.

Conclusão

Para as empresas dos EUA, o RGPD não é uma questão europeia distante. É uma questão prática de conformidade que pode afetar a forma como o seu website funciona, como os seus contratos são redigidos, como o seu marketing opera e como os seus dados são protegidos.

As empresas que lidam melhor com o RGPD não são as que o ignoram. São as que o identificam cedo, recolhem menos dados, definem regras claras e incorporam a conformidade no seu fluxo de trabalho desde o início. Se a sua empresa está agora a ser constituída ou se prepara para expandir internacionalmente, esse é o momento certo para se organizar.