RGPD e documentos: o que diz a lei sobre carregar PDF

Arrastas uma fatura para uma ferramenta online gratuita para a reduzir. Tem o nome de um cliente, uma morada, talvez um número de contribuinte. Cinco segundos depois tens um ficheiro mais pequeno e segues em frente. Aconteceu agora alguma coisa do ponto de vista legal?

Ao abrigo do RGPD, é bem possível que sim. E a maioria das pessoas nunca pensa nisso, porque o documento parecia inofensivo e a ferramenta parecia gratuita.

Isto não é aconselhamento jurídico. Não sou a tua advogada e cada situação tem os seus próprios detalhes. Mas vale a pena compreender a forma das regras, porque muda a maneira como deves lidar com documentos que contêm dados de outras pessoas.

O que o RGPD chama de “tratamento”

As pessoas assumem que o RGPD é sobre bases de dados e listas de marketing. A definição real é muito mais ampla. Tratamento é quase tudo o que fazes com dados pessoais: recolhê-los, armazená-los, lê-los, alterá-los, partilhá-los, apagá-los. O regulamento lista literalmente a “consulta” e a “utilização” como formas de tratamento.

Por isso, quando o teu PDF contém dados pessoais (um nome mais um número de telefone já é suficiente) e fazes algo com esse ficheiro, estás a tratar dados pessoais. Comprimir conta. Juntar conta. Converter conta.

Isso, por si só, não é um problema. As empresas tratam dados pessoais o dia inteiro. A pergunta que o RGPD faz é como o fazes e quem mais toca nos dados pelo caminho.

Por que carregar traz um “subcontratante”

É aqui que a parte da nuvem importa. Quando carregas essa fatura para um serviço externo, o ficheiro sai do teu controlo e aterra nos servidores de outra pessoa. Essa empresa passa agora a tratar os dados pessoais por tua conta. O RGPD tem um nome para ela: um subcontratante. Tu, que decidiste fazer isto, és o responsável pelo tratamento.

No momento em que um subcontratante está envolvido, o responsável pelo tratamento assume deveres concretos. O principal é o Artigo 28.º: precisas de um contrato escrito com esse subcontratante, muitas vezes chamado Contrato de Subcontratação de Tratamento de Dados. Tem de especificar o que podem fazer com os dados, como os protegem, quando os apagam e se os podem entregar a alguém.

Para e pensa na ferramenta de PDF gratuita que usaste no mês passado. Assinaste um contrato de subcontratação com eles? Leste onde ficam os servidores deles? Verificaste quem são os subcontratantes ulteriores? Quase de certeza que não. Carregaste um ficheiro com dados pessoais de outra pessoa para uma empresa com quem não tens qualquer contrato. É essa a falha.

A armadilha das transferências internacionais

Fica mais espinhoso quando os servidores estão fora da UE. Enviar dados pessoais para um fornecedor noutro país é uma transferência, e o RGPD restringe-as. Precisas de uma base legal válida para isso, como cláusulas contratuais-tipo ou uma decisão de adequação para esse país.

A maioria das ferramentas gratuitas não te diz onde correm. O ficheiro pode ser processado num centro de dados noutro continente, passado por uma fila, colocado em cache num bucket de armazenamento, e não terias forma de saber. Para uma foto pessoal de férias, tudo bem. Para um contrato cheio de dados de clientes, fizeste discretamente uma transferência internacional que não consegues documentar.

Minimização, o princípio que toda a gente esquece

O RGPD tem um princípio chamado minimização dos dados. Só deves tratar os dados pessoais de que realmente precisas, da forma que menos interfere. Há um princípio primo também: pensar na privacidade quando desenhas um processo, não depois.

Aplica isso a uma tarefa simples como comprimir um PDF. Precisas mesmo de enviar o contrato de um cliente para um servidor de terceiros só para o tornar mais pequeno? Não. A compressão pode acontecer na tua própria máquina. Enviá-lo para fora acrescenta um subcontratante, um contrato que não tens e talvez uma transferência que não consegues justificar, tudo por uma mudança no tamanho do ficheiro. Isso é o oposto de minimização.

Por que o processamento local contorna a maior parte disto

Aqui está a parte que torna todo o problema mais pequeno. Se o ficheiro nunca sai do teu dispositivo, nenhum terceiro o trata. Sem subcontratante não há contrato do Artigo 28.º para perseguir. Nada atravessa uma fronteira, por isso não há transferência a justificar. Continuas a ser o responsável pelo tratamento, continuas a dever ao titular dos dados o cuidado habitual, mas uma boa parte da papelada simplesmente não se aplica, porque mais ninguém tocou nos dados.

É esta a ideia por trás das ferramentas que correm inteiramente no teu navegador. O código faz o trabalho localmente, na memória do teu computador, e o teu PDF fica onde está. Foi assim que construímos o reader.me. Quando comprimes um PDF, o ficheiro é processado no teu navegador e nunca chega a um servidor nosso. Abre as DevTools do teu navegador, observa o separador Network, e podes confirmar que nada com o teu documento sai para fora.

Passos práticos para empresas e freelancers

Alguns hábitos que te mantêm do lado certo das coisas:

• Trata qualquer documento com nomes, identificações ou dados de contacto como dados pessoais. Faturas, contratos, currículos e formulários médicos qualificam-se todos.
• Antes de carregar seja o que for para uma ferramenta na nuvem, pergunta quem é o subcontratante. Sem contrato de subcontratação, sem resposta clara sobre a localização do servidor? Não envies dados de clientes por aí.
• Usa por defeito ferramentas locais para tarefas rotineiras como comprimir, juntar ou dividir. Se pode correr no teu navegador, não há subcontratante a avaliar.
• Mantém um registo curto de quais os serviços que tocam em dados pessoais. O RGPD espera que os responsáveis pelo tratamento saibam isto de qualquer forma.
• Quando precisares mesmo de um serviço na nuvem, escolhe um que ofereça um contrato de subcontratação real e te diga onde vivem os dados.

As regras parecem pesadas, mas a solução do dia a dia é leve. A maior parte do trabalho com PDF não precisa de servidor nenhum. Mantém o ficheiro na tua máquina, e a maior parte do peso legal nunca chega sequer a recair sobre ti.