RGPD na igreja: o que você realmente precisa fazer
- RGPD
- Privacidade
Em resumo
- O RGPD se aplica à sua igreja, por menor que seja: uma lista de membros revela convicções religiosas, uma categoria especial de dados (artigo 9.º).
- O essencial cabe em sete ações: inventário, acessos, base legal, aviso de privacidade, fornecedores, crianças e plano para violações de dados.
- Você não precisa do consentimento de todos os membros nem, em regra, de um encarregado de proteção de dados em uma igreja pequena. Precisa de regras escritas e cumpridas.
- Em caso de dúvida séria, fale com um advogado, com o encarregado de proteção de dados (DPO) da sua denominação ou com a CNPD.
Para igrejas em Portugal. Sua igreja precisa cumprir o RGPD, mesmo sendo pequena, porque uma lista de membros revela convicções religiosas, e o artigo 9.º do regulamento trata isso como uma categoria especial de dados. A boa notícia é que o essencial se resume a sete ações concretas, que explicamos abaixo. Este texto é informação geral e não substitui orientação jurídica.
O que o RGPD pede a uma igreja, em duas ideias
Primeira ideia: tratar dados que revelam convicções religiosas é, em regra, proibido (artigo 9.º, n.º 1), a não ser que se aplique uma exceção. Segunda ideia: o regulamento prevê uma exceção pensada para você. Um organismo sem fins lucrativos com fins religiosos pode tratar dados dos seus membros, ex-membros e pessoas que mantêm contato regular com ele, com garantias adequadas, desde que não os divulgue a terceiros sem o consentimento das pessoas (artigo 9.º, n.º 2, alínea d).
O artigo 91.º acrescenta que as igrejas que já tinham um conjunto completo de regras de proteção de dados quando o RGPD entrou em vigor podem mantê-las, se as colocarem em conformidade com o regulamento.
Todo o resto é método. A seguir, uma ordem de trabalho.
As sete ações essenciais
1. Faça o inventário dos dados
Escreva o que você guarda, para quê, quem vê, onde está e até quando. Uma tabela simples basta. O RGPD chama isso de registro das atividades de tratamento (artigo 30.º), e a dispensa para organizações com menos de 250 trabalhadores não vale para quem trata categorias especiais de dados.
| Dado | Para quê | Quem vê | Onde está | Até quando |
|---|---|---|---|---|
| Ficha do membro | Entrar em contato e acompanhar | Secretaria, pastores | Sistema da igreja | Enquanto for membro |
| Doações e NIF | Recibos e declaração à autoridade fiscal | Tesouraria | Sistema da igreja | Prazo legal |
| Pedidos de oração | Orar e acompanhar | Equipe de cuidado | Sistema da igreja | Até ser respondido |
| Fotos do culto | Divulgação | Comunicação | Pasta compartilhada | A definir |
Se a lista de “onde está” tiver cinco lugares diferentes, você já descobriu o primeiro problema.
2. Limite quem vê o quê
A tesouraria não precisa ver pedidos de oração. O líder de uma célula não precisa ver as doações. Dê a cada pessoa o mínimo para fazer o seu trabalho e evite enviar a lista completa para um grupo de mensagens. Revise os acessos duas vezes por ano, ou sempre que alguém entrar ou sair de uma equipe.
3. Escolha a base certa para cada grupo de pessoas
Não existe uma base única para todo mundo. Em linhas gerais:
- Membros, ex-membros e contatos regulares: a exceção do artigo 9.º, n.º 2, alínea d), com garantias.
- Visitantes: consentimento explícito, simples e separado, para uma finalidade clara (por exemplo, entrar em contato depois da visita).
- Doadores: a obrigação legal de manter o registro de quem doa, para o recibo e para a declaração à autoridade fiscal. O Modelo 25 é a declaração anual que as entidades portuguesas entregam à autoridade fiscal com as doações recebidas. Veja o guia do Modelo 25.
- Dados de saúde em pedidos de oração: consentimento explícito de quem escreve, com visibilidade limitada.
O guia sobre RGPD em uma igreja detalha cada caso e as condições de cada exceção.
4. Informe as pessoas
Escreva um aviso de privacidade em linguagem simples. Diga quem você é, que dados guarda, para quê, por quanto tempo, com quem os compartilha (por exemplo, com o fornecedor do sistema de gestão) e a quem as pessoas devem recorrer para exercer seus direitos. Uma página basta. Coloque-a no cartão de visitante, no site e no app.
5. Escolha fornecedores com cuidado
O sistema de gestão, o serviço de e-mail e o armazenamento de arquivos tratam dados em seu nome. O artigo 28.º exige um contrato que defina o que eles podem fazer com esses dados. Antes de assinar, pergunte onde ficam os dados, quem mais tem acesso a eles e se você consegue exportar tudo quando quiser sair. O guia para escolher um sistema de gestão de igreja traz essas perguntas e outras.
6. Trate as crianças com mais cuidado
Fichas de crianças, autorizações, alergias e fotos exigem a autorização de quem tem a responsabilidade parental. Colete só o que o ministério infantil precisa e dê acesso apenas a quem trabalha com as crianças.
7. Prepare a resposta a uma violação de dados
Um celular perdido com a lista, uma planilha enviada para a pessoa errada, uma conta compartilhada acessada por quem não devia: tudo isso pode ser uma violação de dados. Se houver risco para as pessoas, a notificação à CNPD é feita sem demora injustificada e, sempre que possível, até 72 horas depois de você tomar conhecimento (artigo 33.º). Se o risco for elevado, avise também as pessoas afetadas. Registre todas as violações por escrito, mesmo as que você não notificar.
Decida hoje quem faz o quê. Numa emergência, não é hora de descobrir a regra.
Preciso de um encarregado de proteção de dados?
O encarregado de proteção de dados (em inglês, DPO) é obrigatório quando as atividades principais consistem em tratar categorias especiais de dados em grande escala (artigo 37.º, n.º 1, alínea c). O regulamento não diz quantas pessoas são “grande escala”. Em uma igreja local pequena, em regra, não será o caso. Em uma denominação com muitos milhares de pessoas, a conversa é outra.
Mesmo quando não é obrigatório, vale a pena nomear uma pessoa responsável internamente. Alguém que saiba onde está o inventário, receba os pedidos das pessoas e saiba para quem ligar numa violação. Se você tem dúvida sobre precisar de um encarregado, a CNPD tem uma página de orientação sobre o tema.
O que você não precisa fazer
Há receios que levam igrejas a fazer demais, ou a não fazer nada.
- Pedir consentimento a todos os membros para a lista interna. Para membros, ex-membros e contatos regulares, o regulamento admite a exceção do artigo 9.º, n.º 2, alínea d), com garantias.
- Apagar tudo por precaução. Há dados que a lei manda conservar, como o registro de doadores. Apagar o que deveria ser guardado também é um problema.
- Comprar uma solução cara. O que protege seus membros são regras claras, acessos limitados e cumprimento. Uma ferramenta ajuda, mas não substitui isso.
Quando pedir ajuda
Chame um advogado, o encarregado de proteção de dados da sua denominação, se existir, ou a CNPD quando:
- você tiver dúvidas sobre a base legal de um novo tratamento;
- for compartilhar dados com a denominação, com outra igreja ou com uma entidade externa;
- tratar dados de saúde, de crianças ou imagens de vídeo em grande escala;
- tiver ocorrido uma violação com risco para as pessoas.
O RGPD prevê multas que podem chegar a 20 milhões de euros nas infrações mais graves (artigo 83.º, n.º 5). O artigo 83.º, n.º 2, manda ponderar, entre outros fatores, a gravidade da infração e as medidas tomadas para atenuar o dano. Mostrar cuidado vale mais do que esperar que ninguém perceba.
Como o Brado ajuda
O RGPD continua sendo responsabilidade da igreja, mas uma boa ferramenta ajuda a cumprir. O Brado dá acesso por função, guarda os consentimentos, permite exportar os dados de uma pessoa quando ela pede e tem um mural de oração com pedidos anônimos. Os dados ficam na União Europeia. Na página de confiança explicamos o que fazemos e o que ainda falta. Se a LGPD, a lei brasileira, for sua preocupação, o Brado não afirma estar em conformidade com ela: fale com a gente.
Se você está organizando a lista de membros, o artigo como organizar os membros sem planilhas mostra o caminho. Veja o restante na página da plataforma.
Isto é informação geral e não substitui orientação jurídica.