GDPR – Registros das Atividades de Tratamento

O Regulamento Geral sobre a Proteção de Dados obriga, conforme o Art. 30 do RGPD, a documentação escrita e o panorama dos procedimentos pelos quais os dados pessoais são processados. Os registros das atividades de processamento devem incluir informações significativas sobre o processamento de dados, incluindo categorias de dados, o grupo de titulares dos dados, a finalidade do processamento e os destinatários dos dados. Isso deve ser completamente disponibilizado às autoridades mediante solicitação.

A obrigação de criar registros das atividades de tratamento não é imposta apenas ao controlador e seu representante, mas também diretamente ao processador e seus representantes, conforme estabelecido no Art. 30(2) do GDPR. Por outro lado, as empresas ou instituições com menos de 250 funcionários estão isentas de manter um registro, se o tratamento não for suscetível de representar um risco para os direitos e liberdades do titular dos dados, se não forem processadas categorias especiais de dados ou se o tratamento for realizado apenas ocasionalmente, como indicado no Art. 30(5) GDPR. Na prática, essa isenção é raramente aplicável. Além de quaisquer dificuldades que ocorram durante a interpretação do que é considerado “apenas ocasional”, na maioria das empresas – mesmo com uma interpretação ampla do termo – os dados serão indubitavelmente processados regularmente, incluindo o processamento de dados para o site, sua loja virtual, cálculo de salário ou sistemas de CRM. Deve-se notar que a obrigação de documentação e, portanto, os registros das atividades de tratamento serão um foco das inspeções das autoridades sobre a implementação do Regulamento de Proteção de Dados.

Se uma empresa não mantiver registros das atividades de processamento e/ou não fornecer um índice completo às autoridades, está sujeita a multas de acordo com o Art. 83(4)(a) do RGPD. As multas possíveis podem chegar a 10 milhões de euros ou 2% do seu faturamento anual. Este total é, como regra, apenas avaliado pelas autoridades em casos excepcionais. Para isso, as autoridades são encorajadas, conforme estabelecido no considerando 13, “a considerar as necessidades específicas das micro, pequenas e médias empresas na aplicação deste Regulamento.”