RGPD
Registo das atividades de tratamento RGPD no Luxemburgo: obrigações e conteúdo
Resposta rápida
O registo das atividades de tratamento previsto no artigo 30.º do RGPD inventaria o conjunto das operações de tratamento de dados pessoais de um organismo. No Luxemburgo, é em princípio obrigatório para qualquer responsável pelo tratamento e qualquer subcontratante. A exceção abaixo de 250 trabalhadores é muito limitada e quase nunca dispensa a sua manutenção.
O registo das atividades de tratamento é o documento central da conformidade com o RGPD: mapeia cada tratamento de dados pessoais com as suas finalidades, bases legais, destinatários e prazos de conservação. Previsto no artigo 30.º do RGPD, impõe-se tanto ao responsável pelo tratamento como ao subcontratante. A exceção dos organismos com menos de 250 trabalhadores é, na realidade, estreita e deixa de se aplicar logo que exista um tratamento regular ou dados sensíveis. Este guia detalha o conteúdo obrigatório, o método de construção, a atualização, a articulação com a avaliação de impacto (AIPD) e o controlo da CNPD. Para um acompanhamento, consulte a nossa página advogado RGPD e a nossa consulta com advogado.
Em resumo
- Verifique se é responsável pelo tratamento ou subcontratante: em ambos os casos, é esperado um registo.
- Não sobrestime a exceção abaixo de 250 trabalhadores: deixa de se aplicar logo que haja um tratamento regular ou dados sensíveis.
- Indique para cada tratamento as finalidades, bases legais, categorias de dados e de titulares, destinatários e prazos de conservação.
- Documente as transferências para fora da União Europeia e as garantias associadas.
- Articule o registo com a avaliação de impacto (AIPD) para os tratamentos de risco elevado.
- Mantenha o registo atualizado e esteja em condições de o apresentar à CNPD em caso de controlo.
| Rubrica | Conteúdo esperado |
|---|---|
| Identidade | Nome e contactos do responsável, do representante e do DPO, se for caso disso |
| Finalidades | Objetivo de cada tratamento (salários, recrutamento, prospeção, etc.) |
| Titulares dos dados | Categorias de titulares: trabalhadores, clientes, potenciais clientes, fornecedores |
| Dados tratados | Categorias de dados: identidade, contactos, dados financeiros, dados sensíveis |
| Destinatários | Categorias de destinatários internos e externos |
| Transferências para fora da UE | Países terceiros em causa e garantias que enquadram a transferência |
| Prazos de conservação | Prazo previsto para cada categoria de dados |
| Segurança | Descrição geral das medidas técnicas e organizativas |
O que é o registo das atividades de tratamento (artigo 30.º do RGPD)
O registo das atividades de tratamento é o documento que inventaria, de forma estruturada, o conjunto das operações através das quais um organismo trata dados pessoais. Está previsto no artigo 30.º do RGPD e constitui a tradução concreta do princípio da responsabilidade: o organismo não só deve respeitar a regulamentação, como também deve estar em condições de o demonstrar.
Em termos concretos, o registo mapeia cada tratamento: o processamento salarial, o recrutamento, a prospeção comercial, a videovigilância, a gestão de clientes ou ainda a segurança informática. Para cada um, indica por que razão os dados são tratados, com que base legal, que pessoas e que categorias de dados estão em causa, a quem os dados são comunicados e durante quanto tempo são conservados.
O registo não é uma simples formalidade administrativa: é o instrumento de gestão da sua conformidade. Bem mantido, permite identificar os tratamentos de risco, preparar uma eventual avaliação de impacto e responder rapidamente a um controlo da CNPD (Commission nationale pour la protection des données) ou a um pedido de exercício de direitos. Um advogado RGPD ajuda a estruturá-lo para que reflita fielmente a sua atividade.
Quem deve manter um registo das atividades de tratamento
A obrigação de registo recai simultaneamente sobre o responsável pelo tratamento, ou seja, o organismo que determina as finalidades e os meios do tratamento, e sobre o subcontratante, que trata os dados por conta de outrem. No Luxemburgo, a quase totalidade das empresas, associações e entidades públicas enquadra-se numa destas categorias.
O conteúdo do registo difere consoante o seu papel. O responsável pelo tratamento documenta os seus próprios tratamentos e as respetivas finalidades. O subcontratante, por sua vez, mantém um registo das categorias de atividades de tratamento efetuadas por conta dos seus clientes responsáveis. Uma mesma empresa pode, aliás, acumular as duas qualidades consoante os tratamentos em causa.
Determinar corretamente a sua qualificação é uma etapa jurídica autónoma, porque condiciona as suas obrigações e a sua responsabilidade. Esta análise coincide muitas vezes com a realizada aquando da redação de um contrato de subcontratação, que também deve estar em conformidade com o RGPD.
A exceção abaixo de 250 trabalhadores e os seus limites
O artigo 30.º do RGPD prevê uma dispensa aparente para os organismos com menos de 250 trabalhadores. Muitos dirigentes concluem daí, erradamente, que não têm nenhum registo a manter. A realidade é muito diferente, porque esta exceção está sujeita a condições cumulativas que a esvaziam do essencial do seu alcance.
A dispensa só se aplica se o tratamento não for suscetível de implicar um risco para os direitos e liberdades das pessoas, se for ocasional e se não abranger categorias especiais de dados (saúde, opiniões, dados biométricos, etc.) nem dados relativos a condenações. Ora, logo que uma empresa gere os salários, contratos de trabalho ou um ficheiro de clientes, realiza tratamentos regulares: a exceção deixa de se aplicar.
Na prática, quase todos os organismos devem, portanto, manter um registo, pelo menos para os seus tratamentos recorrentes. Em vez de procurar invocar uma dispensa frágil, é preferível elaborar um registo proporcionado à sua atividade. Um advogado RGPD dá segurança a esta análise e evita uma falsa impressão de conformidade.
O conteúdo obrigatório do registo do responsável pelo tratamento
Para o responsável pelo tratamento, o artigo 30.º fixa uma lista precisa de menções. O registo deve indicar o nome e os contactos do responsável e, se for caso disso, do representante e do encarregado da proteção de dados (DPO). Para cada tratamento, especifica as finalidades prosseguidas, por exemplo a gestão dos recursos humanos ou a faturação.
O registo descreve em seguida as categorias de titulares dos dados (trabalhadores, clientes, potenciais clientes, fornecedores) e as categorias de dados tratados (identidade, contactos, dados financeiros, dados de saúde se for caso disso). Enumera as categorias de destinatários, internos e externos, bem como as eventuais transferências para países terceiros e as garantias que as enquadram.
Duas menções completam o conjunto: os prazos de conservação previstos para cada categoria de dados e uma descrição geral das medidas de segurança técnicas e organizativas. O quadro mais abaixo retoma a totalidade destas rubricas para facilitar a construção do seu registo.
O conteúdo do registo do subcontratante
O subcontratante não tem de documentar as finalidades determinadas pelos seus clientes, mas deve manter o seu próprio registo das categorias de atividades de tratamento realizadas por conta de cada responsável. Este registo menciona a sua identidade, a de cada responsável por conta do qual atua e, se for caso disso, a do seu DPO e do seu representante.
Para cada cliente, o subcontratante indica as categorias de tratamentos efetuados, as eventuais transferências para fora da União Europeia e as garantias associadas, bem como uma descrição geral das medidas de segurança aplicadas. Estas informações devem ser coerentes com o contrato de subcontratação celebrado com o responsável.
Esta articulação entre o registo e o contrato é essencial: o contrato de subcontratação enquadra juridicamente a relação, o registo documenta a sua realidade operacional. Um advogado de direito dos contratos zela pela coerência entre os dois documentos.
Como construir o seu registo das atividades de tratamento
A construção de um registo começa por um inventário dos tratamentos. Trata-se de questionar cada serviço (recursos humanos, comercial, contabilidade, informática) para inventariar as operações realizadas com dados pessoais. Este mapeamento inicial é a etapa mais exigente, porque revela muitas vezes tratamentos esquecidos.
Para cada tratamento identificado, preenchem-se em seguida as rubricas do artigo 30.º: finalidade, base legal, categorias de titulares e de dados, destinatários, transferências, prazos de conservação e medidas de segurança. A escolha da base legal (consentimento, contrato, obrigação jurídica, interesse legítimo) é um ponto jurídico delicado que merece uma verificação atenta.
Ferramentas informáticas podem apoiar a manutenção do registo e agilizar a sua atualização, mas não substituem a análise jurídica. A qualificação dos tratamentos, a escolha das bases legais e a apreciação dos riscos cabem ao aconselhamento de um advogado, limitando-se as ferramentas digitais a apoiar a documentação. Para enquadrar o procedimento, pode pedir um orçamento.
Atualização do registo e ligação com a avaliação de impacto (AIPD)
O registo é um documento vivo: deve ser mantido atualizado a cada evolução da organização. Qualquer novo tratamento, qualquer alteração de finalidade, qualquer novo prestador ou ferramenta informática deve nele ficar refletido. Um registo estático torna-se rapidamente inexato e perde o seu valor probatório perante a CNPD.
O registo é também o ponto de partida da avaliação de impacto sobre a proteção de dados (AIPD). Quando um tratamento for suscetível de implicar um risco elevado para os direitos e liberdades das pessoas (controlo sistemático, tratamento em grande escala de dados sensíveis, definição de perfis), o RGPD impõe a realização de uma AIPD antes da execução do tratamento.
O registo permite identificar os tratamentos em causa e desencadear a AIPD no momento certo. A avaliação de impacto avalia os riscos e define as medidas para os reduzir. Estes dois documentos complementam-se: o registo mapeia, a AIPD aprofunda os tratamentos sensíveis. Um advogado RGPD dá segurança à sua articulação.
Controlo da CNPD e papel do advogado
No Luxemburgo, a autoridade de controlo é a Comissão Nacional para a Proteção de Dados (CNPD). Em caso de controlo, um dos primeiros pedidos incide sobre o registo das atividades de tratamento: deve poder ser apresentado sem demora e refletir fielmente os tratamentos efetivamente realizados. Um registo inexistente, incompleto ou desatualizado constitui um incumprimento do artigo 30.º.
O registo é, portanto, simultaneamente um instrumento de conformidade e um elemento de defesa. Um registo mantido com rigor demonstra a boa-fé do organismo e o seu esforço de conformidade, o que é tido em conta na apreciação de um eventual incumprimento. Inversamente, a sua inexistência fragiliza toda a posição da empresa perante a CNPD.
O papel do advogado consiste em tornar fiável a qualificação dos tratamentos, a escolha das bases legais e a avaliação dos riscos, e depois preparar o organismo para um eventual controlo. O escritório Cerno Law Firm, inscrito na Ordem dos Advogados do Luxemburgo, acompanha este procedimento no âmbito de uma consulta com advogado ou de uma missão específica de conformidade.
| Critério | Responsável pelo tratamento | Subcontratante |
|---|---|---|
| Objeto | Os seus próprios tratamentos | Categorias de atividades para cada cliente |
| Finalidades | A documentar | Determinadas pelo responsável |
| Transferências para fora da UE | A documentar | A documentar |
| Medidas de segurança | A documentar | A documentar |
| Vínculo contratual | Política interna | Contrato de subcontratação RGPD |
Consoante o seu perfil
PME luxemburguesa
Mesmo com menos de 250 trabalhadores, uma PME que gere os salários, contratos de trabalho e um ficheiro de clientes realiza tratamentos regulares: a exceção não se aplica e é esperado um registo para esses tratamentos recorrentes.
Prestador subcontratante
Se tratar dados por conta de clientes (fornecedor de alojamento, agência, empresa de software), deve manter um registo das categorias de atividades de tratamento por cliente, coerente com os seus contratos de subcontratação.
Associação ou ASBL
Uma associação trata dados de membros, de doadores ou de beneficiários. Deve inventariar esses tratamentos, especificar as respetivas bases legais e prazos de conservação e manter um registo proporcionado à sua atividade.
Entidade do setor da saúde
O tratamento de dados de saúde integra as categorias especiais de dados: a exceção abaixo de 250 trabalhadores não se aplica e é muitas vezes exigida uma avaliação de impacto em complemento do registo.
Fontes oficiais
Histórico de atualizações
- : Condições da dispensa de registo do artigo 30.º, n.º 5, do RGPD precisadas: tratamento ocasional, ausência de risco, nem dados sensíveis nem dados relativos a condenações penais.