GDPR: 5 verificações antes de enviar dados pessoais

A digitalização de um documento de identidade, um dossiê de RH, uma lista de clientes: assim que um arquivo contém dados que permitem identificar uma pessoa, enviá-lo é um tratamento de dados pessoais nos termos do GDPR — e a ferramenta usada se torna um elo dessa cadeia. Veja as cinco verificações a fazer antes de clicar em “enviar”.

Isso diz respeito a você? (spoiler: sim)

O GDPR não se aplica só às grandes plataformas: o escritório de contabilidade que recebe holerites, o fotógrafo que entrega retratos, a PME que envia um dossiê de RH — todos tratam dados pessoais. A responsabilidade não pode ser delegada à ferramenta, mas a escolha da ferramenta compromete você.

1. Onde os dados são hospedados

A primeira pergunta a fazer ao seu serviço de transferência: onde os arquivos são armazenados? Uma hospedagem dentro do Espaço Econômico Europeu simplifica radicalmente a conformidade; uma transferência para fora do EEE exige garantias adicionais (decisão de adequação, cláusulas contratuais padrão). O TransferNow hospeda na Europa, com escolha da região conforme o plano.

2. O enquadramento contratual (DPA)

Se você age em nome de uma pessoa jurídica, o serviço de transferência é seu operador de dados nos termos do artigo 28: um acordo de tratamento de dados (DPA) deve reger a relação. Verifique se ele existe e está acessível — é um documento que seu DPO vai pedir. O nosso é público, com link na nossa política de privacidade.

3. O período de retenção

O GDPR exige que os dados não sejam mantidos por mais tempo do que o necessário. Traduzindo para a transferência de arquivos: um link que expira é um trunfo de conformidade. Prefira um prazo compatível com a necessidade real — 7 dias costumam bastar — e um serviço que permita desativar o link assim que a entrega for feita.

4. A rastreabilidade

Se surgir uma pergunta — de um cliente, de uma autoridade — você precisa poder dizer quem teve acesso aos dados. A notificação nominal a cada download fornece esse rastro sem nenhum procedimento extra: quem baixou o arquivo e quando.

5. A minimização

O princípio mais simples e mais esquecido: envie apenas o necessário. A pasta completa “por via das dúvidas” multiplica a exposição. Antes de cada envio sensível, uma pergunta: esse destinatário precisa de todos esses arquivos?

Estes cinco pontos não substituem uma consultoria jurídica — mas cobrem o que um DPO verifica primeiro. Para o lado técnico, nosso checklist de segurança complementa este.