RGPD e controle de presença digital: o que você precisa saber
Um controle de presença digital em conformidade com o RGPD deve limitar o prazo de guarda dos dados pessoais ao estritamente necessário, em particular para os convidados, e se apoiar em um provedor de hospedagem claramente identificado, cujas garantias sejam conhecidas. Este guia explica as obrigações concretas que se aplicam à gestão das presenças de um grupo, BNI ou não.
Por que o controle de presença é afetado pelo RGPD
Assim que uma folha de presença, em papel ou digital, contém um nome, uma assinatura ou um endereço de e-mail, ela constitui um tratamento de dados pessoais no sentido do RGPD. Isso vale para os membros de um grupo, mas também para os convidados, muitas vezes mais numerosos e menos enquadrados em termos de consentimento.
O RGPD não proíbe esse tratamento, ele regula a forma como os dados são coletados, guardados e apagados.
Os princípios do RGPD que se aplicam diretamente
A minimização dos dados
Somente os dados necessários à gestão da presença devem ser coletados: nome, assinatura e, eventualmente, e-mail para o envio da ata. Não é preciso coletar endereço postal ou número de telefone se isso não serve para nada no processo.
A limitação da guarda
Os dados dos membros, que fazem parte da organização duradoura do grupo, podem ser guardados enquanto durar a adesão. Os dados dos convidados, por outro lado, não devem permanecer indefinidamente no sistema depois que a reunião passou.
A segurança do tratamento
O acesso às folhas de presença, sejam elas em papel em um fichário ou digitais em um software, deve ser limitado às pessoas que realmente precisam, tipicamente o secretário e os administradores do grupo.
A exclusão automática dos dados dos convidados
Uma boa prática, além do mínimo legal, consiste em apagar automaticamente os dados pessoais dos convidados pouco tempo depois da reunião; em geral 24 horas bastam para cobrir as necessidades da ata e do acompanhamento imediato.
Esse prazo curto reduz fortemente o risco em caso de falha de segurança, já que nunca há acúmulo de dados de convidados ao longo de meses ou anos. Apenas um histórico anonimizado, sem dado pessoal identificável, é guardado para fins estatísticos.
A hospedagem dos dados
O RGPD não exige formalmente que os dados permaneçam na Europa, mas uma hospedagem fora da União Europeia complica bastante a demonstração de conformidade, em particular desde a invalidação do Privacy Shield entre a Europa e os Estados Unidos.
Para um grupo BNI ou uma associação, o mais importante é saber qual provedor armazena de fato os dados, onde ficam seus servidores e em quais garantias se apoia uma eventual transferência para fora da União Europeia (cláusulas contratuais padrão, por exemplo). Na Liwa, os dados são hospedados pela Supabase.
O que verificar antes de escolher uma ferramenta de controle de presença
- Qual provedor armazena os dados, em qual país, e em quais garantias se apoia uma eventual transferência para fora da União Europeia.
- Por quanto tempo os dados dos convidados são guardados após a reunião.
- Quem tem acesso aos dados dentro da organização que edita o software.
- Como funciona a autenticação das contas de administrador, sendo o ideal uma autenticação em dois fatores para os acessos sensíveis.
- O que acontece em caso de cancelamento: os dados devem poder ser exportados e depois apagados, e não guardados indefinidamente pela empresa.
O caso particular das assinaturas eletrônicas
Uma assinatura por toque capturada em um tablet é um dado pessoal por inteiro, às vezes considerado um dado biométrico conforme a forma como é tratado. A boa prática consiste em armazená-la como uma imagem ligada à presença, sem extrair dela características biométricas únicas, o que evita cair em uma categoria de dados sensíveis que exige garantias reforçadas.
Quem é responsável em caso de descumprimento
No âmbito do RGPD, o grupo ou a associação que organiza as reuniões é considerado o responsável pelo tratamento, aquele que decide por que e como os dados são coletados. A empresa que edita o software de controle de presença atua como operadora, encarregada de garantir a segurança técnica do tratamento segundo as instruções do responsável.
Na prática, isso significa que um grupo continua responsável pela finalidade da coleta, saber por que pede uma assinatura e eventualmente um e-mail, mesmo que delegue o aspecto técnico a uma ferramenta de terceiros. Verificar os compromissos de proteção de dados da ferramenta escolhida faz parte, portanto, das responsabilidades do grupo, e não apenas da empresa que a edita.
As perguntas a se fazer em caso de fiscalização
Um grupo que queira verificar sua própria conformidade pode se fazer algumas perguntas simples: consegue explicar por que cada dado coletado é necessário, sabe por quanto tempo os dados dos convidados ficam armazenados e consegue demonstrar que o acesso às folhas de presença é limitado às pessoas que precisam. Essas três respostas cobrem o essencial do que uma fiscalização de proteção de dados buscaria verificar em um processo de controle de presença.
Em resumo
Um controle de presença digital em conformidade com o RGPD se apoia em três pilares concretos: coletar somente os dados necessários, apagar rapidamente os dos convidados e escolher uma hospedagem transparente. Esses princípios se aplicam a qualquer tipo de organização que gerencia presenças em reuniões, e não apenas aos grupos BNI.
Equipe Liwa