RGPD numa igreja: dados religiosos (art. 9.º) sem medo
- RGPD
- Privacidade
Resumo em 30 segundos
- Saber que alguém é membro de uma igreja revela as suas convicções religiosas. O RGPD trata isso como categoria especial de dados (artigo 9.º).
- O RGPD prevê o seu caso: uma organização religiosa sem fins lucrativos pode tratar dados dos seus membros, ex-membros e de quem tem contato regular, desde que não os compartilhe fora sem consentimento (artigo 9.º, n.º 2, alínea d).
- Para visitantes e para dados mais delicados, como pedidos de oração com saúde, peça consentimento explícito.
- Se houver uma violação de dados, a notificação à CNPD é feita em 72 horas (artigo 33.º).
O RGPD é a lei europeia de proteção de dados. Este guia é para igrejas na União Europeia, com referências a Portugal (a CNPD é a autoridade portuguesa). Se a sua igreja fica no Brasil, a lei que se aplica é a LGPD, a lei brasileira; o Brado não afirma cumprir a LGPD. Fale com a gente se tiver dúvidas.
Sim, a sua igreja precisa cumprir o RGPD, e a lista de membros é um dado sensível. Mas isso não é motivo para ter medo: o RGPD prevê expressamente as organizações religiosas. Se você tratar só dados de membros, ex-membros e pessoas com contato regular, não os divulgar a terceiros sem consentimento e tiver umas regras simples, está no bom caminho.
Por que os dados de uma igreja são especiais
O artigo 9.º, n.º 1, do RGPD proíbe, em regra, tratar dados que revelem convicções religiosas ou filosóficas. Uma lista de membros diz, por si só, em que cada pessoa acredita. Um pedido de oração pode também revelar saúde, que é outra categoria especial. Por isso, o que numa empresa seria uma simples base de contatos, numa igreja pede mais cuidado.
As exceções que interessam a você
O artigo 9.º, n.º 2, prevê exceções. Duas são centrais:
- Consentimento explícito (alínea a). A pessoa diz de forma clara que aceita, para uma finalidade concreta.
- Organismos sem fins lucrativos com fins religiosos (alínea d). Você pode tratar dados no âmbito das suas atividades legítimas e com garantias adequadas, se o tratamento se referir exclusivamente a membros, ex-membros ou pessoas que mantêm contatos regulares com a igreja, e se os dados não forem divulgados a terceiros sem o consentimento dos titulares.
Além da exceção do artigo 9.º, você precisa de uma base do artigo 6.º, como o consentimento ou o interesse legítimo da igreja.
Que dados você guarda, afinal?
Faça uma lista, mesmo que seja numa planilha. O RGPD chama isso de registro das atividades de tratamento (artigo 30.º). A dispensa para organizações com menos de 250 trabalhadores não vale para quem trata categorias especiais de dados, então uma igreja deve ter esse registro. Pense em:
- cadastro do membro (contatos, família, datas);
- presenças, escalas e participação em grupos;
- doações e NIF dos doadores;
- pedidos de oração e notas pastorais;
- fotografias e vídeos dos cultos;
- crianças e autorizações dos pais (alergias, saúde).
Em que base você se apoia, caso a caso
| Quem ou o quê | Base mais adequada |
|---|---|
| Membros, ex-membros, contatos regulares | Artigo 9.º, n.º 2, alínea d), com garantias |
| Visitantes que preenchem um cartão uma vez | Consentimento explícito, simples e separado |
| Doadores (NIF, valores) | Obrigação legal de registro (artigo 66.º do EBF) |
| Pedidos de oração com dados de saúde | Consentimento explícito de quem escreve; visibilidade limitada |
| Crianças | Autorização de quem tem as responsabilidades parentais |
Sobre crianças, a idade a partir da qual um menor pode consentir sozinho em serviços online varia de país para país: o artigo 8.º do RGPD fixa 16 anos e permite que cada Estado-Membro a baixe até 13. Confirme na CNPD ou com um jurista a idade em vigor em Portugal.
Quem vê o quê
Dê a cada pessoa o mínimo necessário. A tesouraria não precisa ver pedidos de oração. O líder de uma célula não precisa ver as doações. Evite exportar a lista completa para um grupo de mensagens. Revisar os acessos duas vezes por ano é suficiente.
O que dizer às pessoas
Escreva um aviso de privacidade em linguagem simples: quem você é, que dados guarda, para quê, por quanto tempo, com quem os compartilha (por exemplo, com o fornecedor do software) e a quem as pessoas se dirigem para exercer direitos, como o de acesso (artigo 15.º) e o de apagamento (artigo 17.º).
Se alguma coisa der errado
Perdeu um celular com a lista? Enviou uma lista para a pessoa errada? Isso é uma violação de dados. A notificação à CNPD é feita até 72 horas depois de você tomar conhecimento, pelo formulário disponível no site da CNPD. Se o risco for elevado, avise também as pessoas. E registre todas as violações internamente, mesmo as que você não notificar.
Se a sua comunidade já tem regras próprias
O artigo 91.º permite que igrejas e comunidades religiosas que já aplicavam um conjunto completo de regras de proteção de dados na data de entrada em vigor do RGPD continuem a aplicá-las, desde que cumpram o regulamento e fiquem sujeitas à supervisão de uma autoridade independente.
Plano em oito passos
- Faça a lista dos dados que você guarda.
- Defina quem pode ver o quê.
- Escolha a base de cada tratamento.
- Escreva o aviso de privacidade.
- Peça consentimento explícito para visitantes e dados delicados.
- Assine um contrato de subcontratação com o fornecedor do software (artigo 28.º).
- Combine como responder a pedidos de acesso e apagamento.
- Prepare o que fazer numa violação de dados e quem avisa a CNPD.
E o Brado?
O Brado foi pensado para o RGPD, a lei europeia de proteção de dados, com acesso por função (a tesouraria não precisa ver pedidos de oração), registro de consentimentos e exportação dos dados de cada pessoa. O RGPD continua sendo responsabilidade da igreja, mas ajuda ter ferramentas que não levem você para o caminho contrário. Os dados ficam na União Europeia. Veja os planos em Preços e o resto em Plataforma. Se você está comparando fornecedores, use a checklist para escolher software.
Esta é uma informação geral e não substitui orientação jurídica.