RGPD nas organizações sociais: como lidar com a proteção de dados?

O Regulamento Geral sobre a Proteção de Dados (RGPD) entrou em vigor há 3 anos, em Portugal. Se no início a mudança foi recebida com algum alarme e receio, numa adaptação que exigiu muito das organizações sociais, a chegada da pandemia de Covid-19 obrigou a uma mudança de foco para questões humanitárias e sociais de cariz urgente, que o remeteram para um plano secundário. 

Mas será que você sabe lidar com questões de proteção de dados e cumprem o que está estipulado no RGPD nas organizações sociais? 

Se este tema ainda lhe suscita algumas dúvidas, continue a ler! 

Neste artigo vamos explicar:

• Como este regulamento é relevante para o contexto atual;
• Porque as OSCs devem preocupar-se com a proteção de dados;
• Listar um conjunto de boas práticas para ter tudo em conformidade com a lei;
• Perceber como o RGPD e os critérios ESG nas ONGs se relacionam.

O RGPD e a proteção de dados pessoais

Nos últimos 30 anos, a revolução tecnológica mudou para sempre a forma como nos relacionamos e comunicamos. Os fluxos de dados e acesso a informações sofreu mudanças profundas, principalmente com o surgimento da Internet. Agora, utilizamos os nossos dados pessoais, cada vez mais específicos, para aceder a todo o tipo de sites, aplicações e serviços. 

No entanto, a forma como esses dados são tratados e armazenados, nem sempre é a mais ética ou legal, (como vimos em casos como o da Cambridge Analytica). Os dados são, muitas vezes, utilizados como um bem valioso que pode ser comprado ou vendido, o que os torna mais suscetíveis a serem alvo de hackers e de roubos e põem em causa a privacidade e os direitos das pessoas. 

Para dar resposta a esta situação, o Parlamento Europeu criou em 2016 o RGPD, que entrou em vigor em 2018. Este regulamento do direito europeu sobre privacidade e proteção de dados pessoais pode ser aplicado a todos os indivíduos na União Europeia e Espaço Económico Europeu e vem dar aos cidadãos e residentes europeus formas de controlar os seus dados e direitos, garantir a sua privacidade e utilização ética. 

No panorama das organizações sociais, o RGPD teve duas consequências:

1. Por um lado, as OSCs tiveram que se responsabilizar pela utilização dos dados individuais que possuem;
2. Por outro, esta lei deu ferramentas às pessoas para fiscalizarem a utilização dos seus dados e cobrarem às organizações sociais qualquer mau uso, podendo até recorrer à justiça para fazer cumprir os seus direitos.

De facto, o incumprimento do RGPD é desencorajado já que pode dar origem a coimas bastante elevadas, incluindo a obrigatoriedade de indemnizar os titulares dos dados pelo seu uso abusivo.  

Em Portugal, estas coimas já começaram a ser aplicadas e a tendência é para aumentar com uma maior fiscalização. O Enforcement Tracker, que monitoriza casos na UE, registou já alguns casos em Portugal. 

RGPD nas organizações sociais: porque se preocupar?

Como já percebemos, quem não cumprir a lei de proteção de dados pode sofrer coimas avultadas. É, então, crucial que todas as OSCs cumpram o RGPD, já que de uma maneira ou outra, lidam com dados pessoais. Ora vejamos…

A maioria das organizações sociais são financiadas por doações particulares e recolhem algum tipo de informação dos seus doadores. Mesmo que a sua OSC não recolha dados de doadores, com certeza que possui dados dos seus colaboradores e voluntários. 

Da mesma maneira, muitas OSCs possuem dados sensíveis das pessoas que ajudam para prestarem um serviço mais personalizado e cuidado. Isso inclui dados sobre crianças e adolescentes, religião, sexualidade, saúde, raça/etnia, preferência política, entre outros. 

Estes dados precisam de ser armazenados e lidados com grande cuidado, tendo em conta a sua segurança. As OSCs são responsáveis diretas por todos os dados que possuem nas suas bases, incluindo dados comprados para utilizarem nas suas comunicações. Isto significa que se forem roubados ou difundidos por engano (mesmo resultantes de um erro informático), vão ser elas a responder a processos na justiça e a pagar as indemnizações necessárias. 

Muitas vezes as implicações do uso indevido dos dados pode interferir, até, com questões financeiras da organização quando têm presença internacional fora da União Europeia, já que a partilha de dados e fundos vindos de cidadãos da UE podem ser problemáticos se não estiverem a cumprir o RGPD. De notar que 30% dos doadores europeus afirmam fazer doações a OSCs fora do seu país de residência.

Como as OSCs se devem adaptar a esta lei – Boas Práticas

Já percebeu porque é tão importante cumprir o RGPD nas organizações sociais, mas ainda tem dúvidas sobre como pode aplicá-lo aos processos da sua organização social? Siga estas orientações de boas práticas, que organizamos para o ajudar:

• A primeira coisa a fazer é mesmo ler a lei de proteção de dados e perceber o que consta no documento e quais as suas obrigações;
• Depois analise os dados que possui na sua OSC e faça um mapeamento discriminando a sua origem, forma como é recolhido, natureza, categoria, quem tem acesso a essa informação, como é armazenada, por quanto tempo é guardada, etc. 
• É uma boa ideia criar uma política interna de tratamento desses dados para que todos os colaboradores saibam como proceder em cada etapa (da recolha ao armazenamento) e evitar qualquer problema judicial por incumprimento da lei. Assim, todos os stakeholders vão estar cientes da forma como lidam com dados sensíveis. 
• Deve, também, informar os seus doadores e voluntários sobre os seus esforços para assegurar a segurança dos seus dados, de acordo com o RGPD, e acrescentar essa informação em formulários, subscrições e outros tipos de meios que recolham dados sensíveis para poder ter autorização para o tratamento dessas informações. 
• As pessoas devem ser, também, informadas sobre como podem solicitar o acesso aos seus dados, requisitar a sua edição ou pedir para que sejam eliminados.
• É importante ser proativo e eliminar vulnerabilidades que possam por em causa a segurança dos dados. Avalie a necessidade de investir em meios digitais mais robustos e com maiores garantias de proteção, mesmo que não pedido na lei.
• Caso seja necessário e, dependendo da quantidade de dados que tratam, a sua OSC deve ter um Encarregado de Proteção de Dados (DPO) que fique responsável por garantir o cumprimento das políticas de RGPD.

Tenha em atenção que estas recomendações são conselhos genéricos e não dispensam a consulta do Regulamento Geral de Proteção de Dados ou da necessidade de desenvolverem uma política interna, criada por profissionais da área.

RGPD e o G de ESG

Cumprir o RGPD é promover o critério de Governança de ESG na sua organização social. 

Estas duas temáticas complementam-se e estão unidas pelos mesmos princípios: maior transparência, equidade e prestação de contas. 

A transparência necessária à aplicação desta lei e do tratamento de dados vai ajudar a sua OSC a conseguir mais credibilidade, aumentar o seu valor no mercado, melhorar o seu funcionamento interno e conseguir atrair mais investidores e doadores para as suas iniciativas.

Pode, até, ser bastante proveitoso criar parcerias com empresas para a implementação dos critérios ESG na sua organização social, aproveitando o conhecimento já adquirido pela implementação do RGPD para o guiar (por exemplo: uma empresa de informática para avaliar as vulnerabilidades de segurança do armazenamento dos seus dados e sugerir melhorias, enquanto a sua OSC pode ajudar os RH desta empresa a melhorar os seus esforços com a responsabilidade social).

Quer conhecer mais vantagens em aplicar o G de ESG na sua OSC? Leia mais sobre o assunto no nosso artigo A importância da Governança nas organizações sociais.