Desde 2018, o RGPD assusta as PME. Histórias de multas de 20 milhões de euros circulam e paralisam os pequenos empresários que se dizem "estou ferrado, não estou em conformidade".
A realidade é mais simples. A CNIL nunca sancionou uma PME que faz um esforço razoável de conformidade. Ela ataca os gigantes da web, as empresas que vendem dados pessoais, os reincidentes. Não o encanador que tem um ficheiro Excel de clientes.
Isso não o dispensa de fazer sua parte. Mas o nível de esforço é amplamente gerenciável.
As 5 ações que cobrem 80% de suas obrigações
Ação 1: o registro de tratamentos (a base)
É o documento central do RGPD. Lista os dados pessoais que você coleta, por quê, e por quanto tempo você os mantém.
Para uma PME típica, cabe em uma página:
| Tratamento | Dados coletados | Finalidade | Duração de conservação |
|---|---|---|---|
| Ficheiro de clientes | Nome, email, telefone, endereço | Gestão comercial | 3 anos após último contato |
| Contabilidade | Nome, endereço, nº fatura | Obrigação legal | 10 anos |
| Folha de pagamento (se funcionários) | Estado civil, nº SS, IBAN | Gestão de salários | 5 anos após saída |
| Site web | Cookies, IP, formulário de contato | Marketing, analytics | 13 meses (cookies), 3 anos (formulário) |
| Newsletter | Comunicação | Até o cancelamento |
A CNIL propõe um modelo gratuito em seu site. Preencha-o em 30 minutos e atualize-o uma vez por ano.
Ação 2: a informação das pessoas
Você deve informar as pessoas cujos dados você coleta. Na prática:
-
Em seu site web: uma página "Política de privacidade" (ou "Proteção de dados") acessível no rodapé. Descreva em linguagem simples quais dados você coleta, por quê, por quanto tempo os mantém, e como exercer seus direitos.
-
Em seus formulários: uma frase sob cada formulário de contato: "Os dados coletados são usados para responder sua solicitação. Você pode exercer seus direitos entrando em contato conosco em [email]. Veja nossa política de privacidade."
-
Para seus funcionários: um documento entregue na contratação listando os dados coletados no contexto da relação de trabalho.
Ação 3: a gestão de cookies
Se seu site usa cookies de medição de audiência (Google Analytics, Matomo) ou publicidade, você deve obter o consentimento explícito do visitante ANTES de colocar esses cookies.
A ação: instale uma faixa de cookies em conformidade. Soluções gratuitas como Tarteaucitron.js ou Cookiebot (gratuito até 100 páginas) fazem o trabalho.
Exceção: cookies estritamente necessários para o funcionamento do site (autenticação, carrinho de compras) não requerem consentimento.
Alternativa: use Matomo em configuração "isento de consentimento" (declaração CNIL). Você mantém seus analytics sem faixa de cookies.
Ação 4: a segurança dos dados
O RGPD obriga a proteger dados pessoais com "medidas técnicas e organizacionais apropriadas". Para uma PME, isso significa:
- Senhas robustas e únicas (veja o artigo de cibersegurança)
- Atualizações de segurança aplicadas
- Backups regulares
- Acesso restrito aos dados (nem todos acessam tudo)
- Criptografia de computadores portáteis
Isso não é mais nem menos do que as boas práticas de cibersegurança que você deveria aplicar de qualquer forma.
Ação 5: a gestão dos direitos das pessoas
O RGPD dá às pessoas direitos sobre seus dados: acesso, retificação, exclusão, portabilidade. Na prática, as PME recebem muito poucas solicitações desse tipo.
A ação: designe um interlocutor (você mesmo ou um colaborador) e um endereço de email de contato (tipo dados@suaempresa.fr). Quando uma solicitação chegar, responda dentro de um mês. É só isso.
O que pode esperar
O DPO (encarregado de proteção de dados) — obrigatório apenas para empresas que processam dados em larga escala ou dados sensíveis. Uma PME de 5 pessoas não precisa de DPO.
A análise de impacto (AIPD) — obrigatória apenas para tratamentos de risco elevado (videovigilância em larga escala, criação de perfis sistemática, dados de saúde). O ficheiro de clientes de seu carpinteiro não é um tratamento de risco elevado.
A certificação RGPD — nenhuma certificação é obrigatória. Empresas que vendem "certificações RGPD" exploram o medo. A conformidade é um processo contínuo, não um rótulo.
Em caso de violação de dados
Se dados pessoais vazar (hacking, perda de pen drive, email enviado para o destinatário errado), você tem 72 horas para notificar a CNIL se a violação apresentar um risco para as pessoas.
O formulário de notificação está online no site da CNIL. Preencha-o com honestidade: o que aconteceu, quantas pessoas estão envolvidas, que medidas você tomou.
A CNIL é mais indulgente com uma empresa que notifica rapidamente do que com uma empresa que esconde o incidente.
O RGPD não é um monstro burocrático para as PME. É um framework com bom senso: proteja os dados de seus clientes como gostaria que protegessem os seus.