RGPD numa igreja: dados religiosos (art. 9.º) sem medo
- RGPD
- Privacidade
Resumo em 30 segundos
- Saber que alguém é membro de uma igreja revela as suas convicções religiosas. O RGPD trata isto como categoria especial de dados (artigo 9.º).
- O RGPD prevê o teu caso: uma organização religiosa sem fins lucrativos pode tratar dados dos seus membros, antigos membros e de quem tem contacto regular, desde que não os partilhe fora sem consentimento (artigo 9.º, n.º 2, alínea d).
- Para visitantes e para dados mais delicados, como pedidos de oração com saúde, pede consentimento explícito.
- Se houver uma violação de dados, a notificação à CNPD faz-se em 72 horas (artigo 33.º).
Sim, a tua igreja tem de cumprir o RGPD, e a lista de membros é um dado sensível. Mas não é razão para ter medo: o RGPD prevê expressamente as organizações religiosas. Se tratares só dados de membros, antigos membros e pessoas com contacto regular, não os divulgares a terceiros sem consentimento e tiveres umas regras simples, estás no bom caminho.
Porque são especiais os dados de uma igreja
O artigo 9.º, n.º 1, do RGPD proíbe, em regra, tratar dados que revelem convicções religiosas ou filosóficas. Uma lista de membros diz, por si só, em que cada pessoa acredita. Um pedido de oração pode também revelar saúde, que é outra categoria especial. Por isso, o que numa empresa seria uma simples base de contactos, numa igreja pede mais cuidado.
As exceções que te interessam
O artigo 9.º, n.º 2, prevê exceções. Duas são centrais:
- Consentimento explícito (alínea a). A pessoa diz de forma clara que aceita, para uma finalidade concreta.
- Organismos sem fins lucrativos com fins religiosos (alínea d). Podes tratar dados no âmbito das tuas atividades legítimas e com garantias adequadas, se o tratamento se referir exclusivamente a membros, antigos membros ou pessoas que mantêm contactos regulares contigo, e se os dados não forem divulgados a terceiros sem o consentimento dos titulares.
Além da exceção do artigo 9.º, precisas de uma base do artigo 6.º, como o consentimento ou o interesse legítimo da igreja.
Que dados guardas, afinal?
Faz uma lista, mesmo que seja numa folha. O RGPD chama-lhe registo das atividades de tratamento (artigo 30.º). A dispensa para organizações com menos de 250 trabalhadores não se aplica a quem trata categorias especiais de dados, por isso uma igreja deve ter este registo. Pensa em:
- ficha do membro (contactos, família, datas);
- presenças, escalas e participação em grupos;
- doações e NIF dos doadores;
- pedidos de oração e notas pastorais;
- fotografias e vídeos dos cultos;
- crianças e autorizações dos pais (alergias, saúde).
Em que base assentas, caso a caso
| Quem ou o quê | Base mais adequada |
|---|---|
| Membros, antigos membros, contactos regulares | Artigo 9.º, n.º 2, alínea d), com garantias |
| Visitantes que preenchem um cartão uma vez | Consentimento explícito, simples e separado |
| Doadores (NIF, valores) | Obrigação legal de registo (artigo 66.º do EBF) |
| Pedidos de oração com dados de saúde | Consentimento explícito de quem escreve; visibilidade limitada |
| Crianças | Autorização de quem tem as responsabilidades parentais |
Sobre crianças, a idade a partir da qual um menor pode consentir sozinho em serviços online varia de país para país: o artigo 8.º do RGPD fixa 16 anos e permite que cada Estado-Membro a baixe até 13. Confirma na CNPD ou com um jurista a idade em vigor em Portugal.
Quem vê o quê
Dá a cada pessoa o mínimo necessário. A tesouraria não precisa de ver pedidos de oração. O líder de uma célula não precisa de ver as doações. Evita exportar a lista completa para um grupo de mensagens. Rever os acessos duas vezes por ano chega.
O que dizer às pessoas
Escreve um aviso de privacidade em linguagem simples: quem és, que dados guardas, para quê, durante quanto tempo, com quem os partilhas (por exemplo, com o fornecedor do software) e a quem se dirigem para exercer direitos, como o de acesso (artigo 15.º) e o de apagamento (artigo 17.º).
Se alguma coisa correr mal
Perdeste um telemóvel com a lista? Enviaste uma lista à pessoa errada? Isso é uma violação de dados. A notificação à CNPD faz-se até 72 horas depois de teres conhecimento, através do formulário disponível no site da CNPD. Se o risco for elevado, avisa também as pessoas. E regista todas as violações internamente, mesmo as que não notificares.
Se a tua comunidade já tem regras próprias
O artigo 91.º permite que igrejas e comunidades religiosas que já aplicavam um conjunto completo de regras de proteção de dados à data de entrada em vigor do RGPD as continuem a aplicar, desde que cumpram o regulamento e fiquem sujeitas à supervisão de uma autoridade independente.
Plano em oito passos
- Faz a lista de dados que guardas.
- Define quem pode ver o quê.
- Escolhe a base de cada tratamento.
- Escreve o aviso de privacidade.
- Pede consentimento explícito para visitantes e dados delicados.
- Assina um contrato de subcontratação com o fornecedor do software (artigo 28.º).
- Combina como responder a pedidos de acesso e apagamento.
- Prepara o que fazer numa violação de dados e quem avisa a CNPD.
E o Brado?
O Brado foi desenhado com acesso por função (a tesouraria não tem de ver pedidos de oração), registo de consentimentos e exportação dos dados de cada pessoa. O RGPD continua a ser responsabilidade da igreja, mas ajuda ter ferramentas que não te levem para o contrário. Os dados ficam na União Europeia. Vê os planos em Preços e o resto em Plataforma. Se estás a comparar fornecedores, usa a checklist para escolher software.
Isto é informação geral e não substitui aconselhamento jurídico.