Receção externalizada: quem responde pelos dados dos seus visitantes?

Muitas empresas externalizam a receção, a segurança ou todo o facility management (FM). Os rececionistas externos trabalham então, muitas vezes, no seu sistema de gestão de visitantes (VMS). Mas externalizar a receção não significa externalizar a responsabilidade pelo registo de visitantes.

O RGPD distingue claramente entre responsável pelo tratamento e subcontratante. Quando externaliza a receção, a sua organização continua a ser responsável pelo tratamento e o prestador de FM passa a ser subcontratante. Por isso, precisa de um acordo de tratamento de dados, que define quem tem acesso, que medidas de segurança se aplicam e o que acontece aos dados quando o contrato termina.

O que deve então prever esse acordo? O que acontece ao registo de visitantes quando deixa de trabalhar com o prestador de FM? E como mantém as listas de evacuação corretas quando está um temporário diferente na receção todas as semanas? Neste artigo, explicamos como repartir as responsabilidades e manter o controlo sobre os dados dos seus visitantes.

Quem é Responsável pelos Dados dos Visitantes numa Receção Externalizada?

Numa receção externalizada, um prestador externo assegura o dia a dia do seu balcão de atendimento. Muitas vezes, isto faz parte de um contrato mais amplo de facility management, que inclui também a segurança ou outros serviços. A receção passa a ser assegurada por pessoal externo e o prestador de FM trata das escalas, das substituições em caso de doença ou férias e do acompanhamento dos rececionistas.

Nada disto transfere para o prestador a responsabilidade pelo seu registo de visitantes. Se é a sua organização que decide por que razão os visitantes são registados, que dados recolhe e durante quanto tempo os conserva, a responsabilidade legal continua a ser sua. O facto de serem rececionistas externos a registar os visitantes não muda nada.

O RGPD distingue aqui entre responsável pelo tratamento e subcontratante, e cada uma destas funções tem obrigações próprias. Na secção seguinte, vemos o que isso significa para a sua organização e para o prestador de FM.

Responsável pelo Tratamento ou Subcontratante: Qual a Diferença?

A diferença resume-se a uma pergunta: quem decide por que razão e de que forma os dados pessoais são tratados? As duas funções estão definidas no artigo 4.º, pontos 7 e 8, do RGPD. Em resumo:

• O responsável pelo tratamento (data controller) decide as finalidades e os meios do tratamento, ou seja, por que razão e de que forma os dados pessoais são recolhidos.
• O subcontratante (data processor) trata dados pessoais por conta do responsável pelo tratamento e segue as instruções deste.

Quando externaliza a receção, a sua organização é, regra geral, a responsável pelo tratamento e o prestador de FM que assegura a receção é o subcontratante. É a sua organização que decide, por exemplo, que dados dos visitantes são necessários, para que servem e quando são eliminados. Os rececionistas externos aplicam essas decisões no dia a dia.

Esta repartição determina o que cada parte tem de fazer e por que responde. Eis uma visão geral:

Quando Passa o Prestador de FM a Ser Responsável pelo Tratamento?

Na maioria dos casos, a empresa que externaliza a receção é a responsável pelo tratamento e o prestador de FM que assegura a receção é o subcontratante. Mas as funções dependem daquilo que cada parte faz e decide realmente, e não do nome que o contrato lhes dá. Em certos tratamentos, um prestador de FM pode ser ele próprio responsável pelo tratamento.

Alguns exemplos:

• Se o prestador de FM usar também os dados dos visitantes para promover os seus próprios serviços, acrescenta uma finalidade própria e torna-se responsável por esse tratamento. Nesse caso, tem de cumprir o RGPD de forma autónoma para essa utilização.
• Se a sua organização e o prestador de FM decidirem em conjunto as finalidades e os meios essenciais do registo de visitantes, por exemplo porque desenham juntos um processo de acesso e segurança, podem ser responsáveis conjuntos pelo tratamento. Têm então de acordar quem cumpre que obrigações do RGPD.

O que Deve Prever o Acordo de Tratamento de Dados?

Quando uma empresa de receção externa trata os dados dos seus visitantes, as regras têm de ficar escritas num contrato de subcontratação (artigo 28.º do RGPD), também chamado acordo de tratamento de dados (Data Processing Agreement ou DPA). Este acordo define como o prestador deve tratar os dados e quais as obrigações de cada parte.

O artigo 28.º, n.º 3, do RGPD enumera o que o acordo tem de incluir:

1. Descrição do Tratamento

O acordo descreve:

• o objeto e a duração do tratamento;
• a natureza e a finalidade do tratamento;
• os tipos de dados pessoais, como nomes, contactos e horas de entrada e saída;
• as categorias de titulares dos dados, como visitantes, fornecedores e prestadores de serviços externos;
• os direitos e obrigações do responsável pelo tratamento.

2. Instruções para o Tratamento

O subcontratante só pode tratar os dados dos visitantes segundo instruções documentadas do responsável pelo tratamento. Não pode decidir usar os dados para fins próprios.

As instruções explicam como o subcontratante deve tratar os dados dos visitantes. Podem abranger, por exemplo, o sistema de gestão de visitantes a utilizar, os dados que podem ser registados, os prazos de conservação, quem tem acesso e se os dados podem ser transferidos para fora do Espaço Económico Europeu (EEE).

Se o subcontratante considerar que uma instrução viola o RGPD ou outra legislação de proteção de dados, tem de informar de imediato o responsável pelo tratamento.

3. Confidencialidade

O subcontratante tem de garantir que todas as pessoas autorizadas a tratar os dados dos visitantes estão obrigadas à confidencialidade, seja por um compromisso de confidencialidade, seja por uma obrigação legal.

Isto inclui os rececionistas temporários e os substitutos com acesso ao registo de visitantes.

4. Segurança

O acordo tem de exigir que o subcontratante adote medidas técnicas e organizativas de segurança adequadas. No registo de visitantes, isso pode passar por contas de utilizador pessoais, direitos de acesso restritos e encriptação.

Estas medidas incluem também a reposição do acesso aos dados após um incidente e testes regulares à segurança.

5. Subcontratantes Ulteriores

O acordo indica se o subcontratante pode recorrer a subcontratantes ulteriores. Só o pode fazer com autorização prévia e por escrito do responsável pelo tratamento.

Essa autorização pode ser específica, para um subcontratante ulterior concreto, ou geral. Com uma autorização geral, o subcontratante tem de informar previamente a sua organização de cada novo subcontratante ulterior, para que esta se possa opor.

Os subcontratantes ulteriores têm de ficar vinculados por contrato às mesmas obrigações. Se um subcontratante ulterior não as cumprir, o subcontratante inicial continua a responder perante a sua organização.

6. Apoio nos Pedidos de Direitos de Privacidade

Os visitantes podem pedir para exercer os seus direitos de privacidade, como o direito de acesso, de retificação ou de apagamento dos seus dados.

O acordo tem de definir como o subcontratante ajuda a sua organização a responder a esses pedidos. Por exemplo, reencaminhando os pedidos e pesquisando, corrigindo ou eliminando dados a pedido da sua organização.

7. Apoio no Cumprimento de Outras Obrigações

O subcontratante tem também de ajudar a sua organização na segurança do tratamento, na gestão de violações de dados e, se necessário, numa avaliação de impacto sobre a proteção de dados (AIPD) e na consulta prévia à autoridade de controlo.

Defina também como são comunicados os incidentes. O subcontratante tem de notificar o responsável pelo tratamento de uma violação de dados sem demora injustificada após ter conhecimento dela.

8. O que Acontece no Fim do Contrato

Quando o serviço termina, o subcontratante tem de eliminar ou devolver os dados dos visitantes, conforme o responsável pelo tratamento escolher. As cópias existentes também têm de ser eliminadas, salvo se a lei exigir a sua conservação. Seja concreto: em que formato são entregues os dados, até quando e como confirma o prestador que tudo o resto foi eliminado?

9. Informação e Auditorias

O subcontratante tem de disponibilizar toda a informação necessária para demonstrar que cumpre as suas obrigações. Tem também de permitir e contribuir para auditorias e inspeções feitas pela sua organização ou por um auditor por ela designado.

Combine como se pede e realiza uma auditoria, sem limitar o seu direito de controlo mais do que o necessário.

Em que Sistema Deve Ficar o Registo de Visitantes?

O RGPD não diz em que sistema deve ficar o registo de visitantes. Na prática, o ideal é mantê-lo num sistema de gestão de visitantes (VMS), numa conta gerida pela sua própria organização. Os rececionistas externos recebem aí perfis de utilizador pessoais, apenas com os acessos de que precisam para fazer o seu trabalho.

Assim, enquanto responsável pelo tratamento, mantém o controlo sobre as configurações, os direitos de acesso e os dados dos visitantes. Se mudar de prestador de FM, basta retirar o acesso à equipa que sai e dá-lo à nova equipa, sem ter de passar o registo de visitantes para outro sistema.

Se o prestador de FM trabalhar num sistema ou numa conta própria, fixe por escrito como a sua organização mantém o acesso aos dados, como os pode exportar e como são devolvidos ou eliminados no fim do contrato.

Um último ponto: se usar um VMS na nuvem, normalmente precisa também de um acordo de tratamento de dados com o fornecedor do VMS. O fornecedor guarda dados de visitantes por conta da sua organização, pelo que também é subcontratante.

Fim do Contrato: o que Acontece ao Seu Registo de Visitantes?

O acordo de tratamento de dados deve dizer claramente o que acontece ao registo de visitantes quando o contrato termina. Enquanto responsável pelo tratamento, é a sua organização que decide se o subcontratante o devolve ou elimina. As cópias existentes também têm de ser eliminadas, salvo se a lei exigir a sua conservação.

Os passos práticos dependem da forma como regista hoje os visitantes. A infografia abaixo mostra o que a sua organização e o prestador têm de fazer em cada cenário.

Seja qual for a sua situação, tenha estes passos em conta quando o contrato terminar:

• Reveja o que foi acordado. Consulte o contrato e o acordo de tratamento de dados. Que prazos, formatos de exportação e procedimentos se aplicam à entrega e à eliminação dos dados?
• Garanta que a receção continua a funcionar. Prepare atempadamente o acesso dos novos rececionistas. Se o novo prestador for atuar como subcontratante, certifique-se de que o acordo de tratamento de dados está assinado antes de começar a tratar dados de visitantes.
• Retire os acessos a tempo. Desative os acessos assim que as pessoas deixarem de precisar deles. Isto inclui o VMS, outros sistemas internos, o Wi-Fi e os cartões de acesso ao edifício.
• Reveja os prazos de conservação. Mudar de prestador não faz recomeçar a contagem. Elimine os dados cujo prazo de conservação já terminou, incluindo os que constam dos ficheiros entregues.

Listas de Evacuação Quando a Equipa da Receção Muda Constantemente

Quando externaliza a receção, pode ver de vez em quando uma cara nova ao balcão. Ou a equipa pode mudar todos os dias, ou a cada turno. Nesse caso, precisa de uma forma infalível de produzir listas de evacuação. Em caso de incêndio, a lista tem de estar certa, seja quem for que estiver na receção nessa semana.

A forma mais fiável de saber, a cada momento, quem está no edifício é passar para o digital. Um sistema digital de registo de visitantes regista quem fez check-in e check-out. Assim, tem sempre uma lista de presenças atualizada, independentemente de quem estiver ao balcão.

Com uma equipa de receção que muda, quem estiver ao balcão no momento de uma emergência tem de saber exportar a lista atual e ter permissões para o fazer. Inclua isto no seu plano de emergência e garanta que todos recebem a formação e as instruções certas.

Algumas dicas práticas:

• Prepare um kit de evacuação, como uma pasta vermelha bem visível, sempre no mesmo sítio da receção. Inclua instruções para exportar a lista de presenças atualizada, uma planta do edifício com as vias de evacuação e os pontos de encontro, e uma lista de números de emergência e de contactos internos dos chefes de evacuação e dos socorristas. Peça à equipa da receção que confirme todos os dias, ou no início de cada turno, que a pasta está no lugar.
• Inclua a mudança de pessoal na receção como cenário nos seus simulacros de evacuação. Verifique se todos conhecem o seu papel, se quem está de serviço consegue exportar rapidamente uma lista de evacuação e trabalhar com ela, e se a lista está correta.

Conclusão

Um prestador externo pode assumir o trabalho diário da sua receção, mas não a responsabilidade pelos dados dos seus visitantes. A sua organização continua a ser a responsável pelo tratamento. É ela que decide que dados são registados, quem os pode ver e durante quanto tempo são conservados. Um bom acordo de tratamento de dados com o prestador de FM fixa estas regras por escrito, incluindo o que acontece quando o contrato termina.

Um sistema digital de gestão de visitantes põe essas regras em prática no dia a dia. Se for a sua organização a gerir a conta, controla as configurações e os prazos de conservação, dá a cada rececionista externo um perfil próprio só com as permissões de que precisa e retira esse acesso no momento em que muda de prestador. O registo de visitantes fica no seu próprio sistema e tem sempre uma lista de presenças atualizada, seja quem for que estiver ao balcão.

Quer ver como o Vizito o ajuda a manter o controlo sobre o registo de visitantes, mesmo com uma empresa de receção externa? Experimente o Vizito gratuitamente durante 14 dias ou marque uma demonstração.