RGPD na igreja: o que precisas mesmo de fazer
- RGPD
- Privacidade
Em resumo
- O RGPD aplica-se à tua igreja, por pequena que seja: uma lista de membros revela convicções religiosas, uma categoria especial de dados (artigo 9.º).
- O essencial cabe em sete ações: inventário, acessos, base legal, aviso de privacidade, fornecedores, crianças e plano para violações de dados.
- Não precisas de consentimento de todos os membros nem, em regra, de um encarregado de proteção de dados numa igreja pequena. Precisas de regras escritas e cumpridas.
- Em caso de dúvida séria, fala com um jurista, com o encarregado de proteção de dados (DPO) da tua denominação ou com a CNPD.
A tua igreja tem de cumprir o RGPD, mesmo sendo pequena, porque uma lista de membros revela convicções religiosas, e o artigo 9.º do regulamento trata isso como uma categoria especial de dados. A boa notícia é que o essencial se resume a sete ações concretas, que explicamos abaixo. Este texto é informação geral e não substitui aconselhamento jurídico.
O que o RGPD pede a uma igreja, em duas ideias
Primeira ideia: tratar dados que revelam convicções religiosas é, em regra, proibido (artigo 9.º, n.º 1), a não ser que se aplique uma exceção. Segunda ideia: o regulamento prevê uma exceção pensada para ti. Um organismo sem fins lucrativos com fins religiosos pode tratar dados dos seus membros, antigos membros e pessoas que mantêm contactos regulares consigo, com garantias adequadas, desde que não os divulgue a terceiros sem o consentimento das pessoas (artigo 9.º, n.º 2, alínea d).
O artigo 91.º acrescenta que as igrejas que já tinham um conjunto completo de regras de proteção de dados quando o RGPD entrou em vigor as podem manter, se as puserem em conformidade com o regulamento.
Tudo o resto é método. Segue-se uma ordem de trabalho.
As sete ações essenciais
1. Faz o inventário dos dados
Escreve o que guardas, para quê, quem vê, onde está e até quando. Chega uma tabela simples. O RGPD chama-lhe registo das atividades de tratamento (artigo 30.º), e a dispensa para organizações com menos de 250 trabalhadores não se aplica a quem trata categorias especiais de dados.
| Dado | Para quê | Quem vê | Onde está | Até quando |
|---|---|---|---|---|
| Ficha do membro | Contactar e acompanhar | Secretaria, pastores | Sistema da igreja | Enquanto for membro |
| Doações e NIF | Recibos e declaração ao fisco | Tesouraria | Sistema da igreja | Prazo legal |
| Pedidos de oração | Orar e acompanhar | Equipa de cuidado | Sistema da igreja | Até ser respondido |
| Fotografias do culto | Divulgação | Comunicação | Pasta partilhada | A definir |
Se a lista de “onde está” tiver cinco sítios diferentes, já descobriste o primeiro problema.
2. Limita quem vê o quê
A tesouraria não precisa de ver pedidos de oração. O líder de uma célula não precisa de ver as doações. Dá a cada pessoa o mínimo para fazer o seu trabalho e evita enviar a lista completa para um grupo de mensagens. Revê os acessos duas vezes por ano, ou sempre que alguém entra ou sai de uma equipa.
3. Escolhe a base certa para cada grupo de pessoas
Não há uma base única para toda a gente. Em linhas gerais:
- Membros, antigos membros e contactos regulares: a exceção do artigo 9.º, n.º 2, alínea d), com garantias.
- Visitantes: consentimento explícito, simples e separado, para uma finalidade clara (por exemplo, contactá-los depois da visita).
- Doadores: a obrigação legal de manter o registo de quem doa, para o recibo e para a declaração ao fisco. Vê o guia do Modelo 25.
- Dados de saúde em pedidos de oração: consentimento explícito de quem escreve, com visibilidade limitada.
O guia sobre RGPD numa igreja detalha cada caso e as condições de cada exceção.
4. Informa as pessoas
Escreve um aviso de privacidade em linguagem simples. Diz quem és, que dados guardas, para quê, durante quanto tempo, com quem os partilhas (por exemplo, com o fornecedor do programa de gestão) e a quem se dirigem para exercer os seus direitos. Uma página chega. Coloca-a no cartão de visitante, no site e na app.
5. Escolhe fornecedores com cuidado
O programa de gestão, o serviço de e-mail e o armazenamento de ficheiros tratam dados em teu nome. O artigo 28.º exige um contrato que defina o que podem fazer com eles. Antes de assinar, pergunta onde ficam os dados, quem mais lhes tem acesso e se consegues exportar tudo quando quiseres sair. O guia para escolher software de gestão de igreja tem estas perguntas e outras.
6. Trata as crianças com mais cuidado
Fichas de crianças, autorizações, alergias e fotografias pedem a autorização de quem tem a responsabilidade parental. Recolhe só o que o ministério infantil precisa, e dá acesso apenas a quem trabalha com as crianças.
7. Prepara a resposta a uma violação de dados
Um telemóvel perdido com a lista, uma folha enviada à pessoa errada, uma conta partilhada que foi acedida por quem não devia: tudo isto pode ser uma violação de dados. Se houver risco para as pessoas, a notificação à CNPD faz-se sem demora injustificada e, sempre que possível, até 72 horas depois de teres conhecimento (artigo 33.º). Se o risco for elevado, avisa também as pessoas afetadas. Regista todas as violações por escrito, mesmo as que não notificares.
Decide hoje quem faz o quê. Numa emergência, não é boa altura para descobrir a regra.
Preciso de um encarregado de proteção de dados?
O encarregado de proteção de dados (em inglês, DPO) é obrigatório quando as atividades principais consistem em tratar categorias especiais de dados em grande escala (artigo 37.º, n.º 1, alínea c). O regulamento não diz quantas pessoas são “grande escala”. Numa igreja local pequena, em regra, não será o caso. Numa denominação com muitos milhares de pessoas, a conversa é outra.
Mesmo quando não é obrigatório, vale a pena nomear uma pessoa responsável internamente. Alguém que saiba onde está o inventário, receba os pedidos das pessoas e saiba a quem ligar numa violação. Se estás em dúvida sobre se precisas de um encarregado, a CNPD tem uma página de orientação sobre o tema.
O que não precisas de fazer
Há receios que levam igrejas a fazer demasiado, ou a não fazer nada.
- Pedir consentimento a todos os membros para a lista interna. Para membros, antigos membros e contactos regulares, o regulamento admite a exceção do artigo 9.º, n.º 2, alínea d), com garantias.
- Apagar tudo por precaução. Há dados que a lei manda conservar, como o registo de doadores. Apagar o que devias guardar também é um problema.
- Comprar uma solução cara. O que protege os teus membros são regras claras, acessos limitados e cumprimento. Uma ferramenta ajuda, mas não substitui isso.
Quando pedir ajuda
Chama um jurista, o encarregado de proteção de dados da tua denominação, se existir, ou a CNPD quando:
- tens dúvidas sobre a base legal de um tratamento novo;
- vais partilhar dados com a denominação, com outra igreja ou com uma entidade externa;
- tratas dados de saúde, de crianças ou imagens de vídeo em grande escala;
- houve uma violação com risco para as pessoas.
O RGPD prevê coimas que podem chegar aos 20 milhões de euros nas infrações mais graves (artigo 83.º, n.º 5). O artigo 83.º, n.º 2, manda ponderar, entre outros fatores, a gravidade da infração e as medidas tomadas para atenuar o dano. Mostrar cuidado vale mais do que esperar que ninguém repare.
Como o Brado ajuda
O RGPD continua a ser responsabilidade da igreja, mas uma boa ferramenta ajuda a cumprir. O Brado dá acesso por função, guarda os consentimentos, permite exportar os dados de uma pessoa quando ela os pede e tem um mural de oração com pedidos anónimos. Os dados ficam na União Europeia. Na página de confiança dizemos o que fazemos e o que ainda falta.
Se estás a organizar a lista de membros, o artigo como organizar os membros sem folhas de cálculo mostra o caminho. Vê o resto na página do plataforma.
Isto é informação geral e não substitui aconselhamento jurídico.