Onde são armazenados os dados dos seus visitantes? Uma checklist de residência de dados para organizações europeias

Quando os visitantes se registam na sua organização através de um sistema de registo de visitantes, são tratados dados pessoais. Muitas vezes, trata-se de mais do que apenas o nome e a hora de chegada: os visitantes partilham também, por exemplo, dados de contacto, uma assinatura, uma matrícula ou uma fotografia.

Mas onde são armazenados esses dados? Onde se encontra exatamente a informação quando está “na nuvem”? Quem tem acesso? E podem fornecedores, subcontratantes ulteriores ou colaboradores de suporte fora do Espaço Económico Europeu (EEE) consultar os dados? Desde que o RGPD se tornou aplicável em 2018, estas perguntas tornaram-se ainda mais prementes.

A residência de dados, ou seja, a localização geográfica onde os dados são fisicamente armazenados, é um ponto de atenção importante no tratamento de dados de visitantes ao abrigo da legislação europeia de proteção de dados. Para gestores, responsáveis de TI e encarregados de proteção de dados, é por isso um critério de seleção relevante na escolha de um Sistema de Gestão de Visitantes (VMS).

A localização do centro de dados primário é apenas uma parte da história. O armazenamento na UE, por exemplo, não significa automaticamente que um sistema cumpre integralmente o RGPD. A localização das cópias de segurança, as transferências internacionais, os direitos de acesso e os prazos de conservação também contam.

A nossa checklist prática ajuda-o a verificar onde um sistema de gestão de visitantes armazena e trata os dados, quem tem acesso e se existem transferências internacionais. Assim, pode avaliar criticamente as alegações de marketing e comparar fornecedores com base em informação concreta.

Neste artigo:

• Por que razão a localização dos dados dos visitantes é importante
• O RGPD exige que os dados dos visitantes permaneçam na UE?
• Checklist: como avaliar a residência de dados de um sistema de gestão de visitantes
• Sinais de alerta ao comparar fornecedores
• Como o Vizito armazena, trata e elimina os dados dos visitantes
• Conclusão

Por que razão a localização dos dados dos visitantes é importante

Durante as demonstrações, na Vizito perguntam-nos com regularidade onde são armazenados os dados dos visitantes. Não é de admirar. Para muitas organizações, a residência de dados é, com razão, um critério de seleção importante.

Afinal, no registo de visitantes são tratados dados pessoais, como nomes, dados de contacto, fotografias, assinaturas e horas de chegada e de saída. O local onde esses dados são armazenados e tratados é relevante para o cumprimento da legislação de proteção de dados e para a gestão de riscos da sua organização. Além disso, a transparência sobre a localização do armazenamento pode reforçar a confiança dos visitantes.

Legislação de proteção de dados

Se a sua organização trata dados pessoais de visitantes na UE, esse tratamento tem de cumprir o RGPD. O local onde os dados são armazenados e tratados ajuda a determinar que regras e garantias jurídicas se aplicam. Quando os dados são tratados fora do EEE, ou são acessíveis a partir daí, aplicam-se requisitos adicionais para as transferências internacionais.

A legislação estrangeira também pode desempenhar um papel. Um exemplo conhecido é o CLOUD Act norte-americano, ao abrigo do qual os prestadores de serviços norte-americanos podem, em determinadas condições, ser obrigados a fornecer dados.

Gestão de riscos

Uma organização é responsável pelos dados dos visitantes que recolhe. Por isso, tem de saber onde são armazenados os dados originais, as cópias de segurança e eventuais outras cópias, e quem tem acesso a eles. Quanto menos incerteza existir sobre este ponto, melhor consegue limitar os riscos. É por isso que muitas organizações definem nas suas políticas de privacidade e de segurança onde os dados pessoais podem ser armazenados e tratados.

Leia também: Como criar uma política de visitantes (modelo gratuito)

Confiança dos visitantes

Muitas pessoas estão cada vez mais conscientes da privacidade e da proteção de dados. O armazenamento no EEE pode reforçar a confiança dos visitantes atentos à privacidade, sobretudo quando comunica de forma transparente onde, porquê e durante quanto tempo conserva os seus dados pessoais e como os protege.

O RGPD exige que os dados dos visitantes permaneçam na UE?

A resposta curta surpreende muita gente: não.

O RGPD não determina que os dados pessoais, incluindo os dados dos visitantes, tenham de permanecer fisicamente na UE. O regulamento impõe, isso sim, condições adicionais quando os dados pessoais são transferidos para fora do Espaço Económico Europeu (EEE).

No EEE

Na União Europeia, o RGPD é diretamente aplicável. As regras aplicam-se também nos outros países do EEE: Noruega, Islândia e Liechtenstein. Se a sua organização armazena ou trata dados de visitantes noutro país do EEE, não se aplicam condições adicionais para transferências internacionais.

Fora do EEE

Todos os países fora do EEE são designados países terceiros. Quando os dados pessoais vão parar fora do EEE, estamos perante uma transferência internacional de dados (em inglês, international data transfer). Isso acontece, por exemplo, quando são armazenados num servidor num país terceiro, mas também quando um fornecedor ou subcontratante ulterior obtém acesso, a partir de um desses países, a dados que se encontram no EEE.

A transferência internacional é permitida, mas apenas se forem cumpridas as condições do capítulo V, artigos 44.º a 50.º, do RGPD. Para isso existem vários mecanismos:

1. Decisão de adequação

A Comissão Europeia pode determinar que um país, um território ou um setor específico oferece um nível adequado de proteção de dados. Alguns exemplos são o Reino Unido, a Suíça, o Japão, a Coreia do Sul e a Nova Zelândia. No caso do Canadá, a decisão aplica-se apenas às organizações comerciais abrangidas pela lei de privacidade PIPEDA.

Numa transferência com base numa decisão de adequação, não são necessárias garantias adequadas separadas. Como as decisões de adequação são avaliadas regularmente, o melhor é consultar sempre a lista atualizada da Comissão Europeia.

2. Garantias adequadas

Se não existir uma decisão de adequação, é necessária uma ação adicional para proteger os dados. Isso pode fazer-se com base em garantias adequadas. Alguns exemplos são as cláusulas contratuais-tipo da Comissão Europeia, também conhecidas como Standard Contractual Clauses (SCC), e as regras vinculativas aplicáveis às empresas ou Binding Corporate Rules (BCR).

Um contrato, por si só, nem sempre é suficiente. As organizações envolvidas têm também de avaliar se a legislação do país de destino permite que os acordos sejam efetivamente cumpridos. Consoante o risco, podem ser necessárias medidas suplementares.

3. Exceções

O RGPD prevê ainda algumas exceções. Uma transferência pode ser possível, por exemplo, após o consentimento explícito do titular dos dados ou quando é necessária para a execução de um contrato ou por motivos de interesse público. Estas exceções destinam-se a situações específicas, não a tratar dados de visitantes fora do EEE por norma.

E quanto aos Estados Unidos?

É uma história complicada. A Comissão Europeia já aprovou três regimes para a transferência de dados pessoais para organizações norte-americanas. O primeiro, o Safe Harbor, foi declarado inválido em 2015 pelo Tribunal de Justiça da União Europeia. O seu sucessor, o EU-US Privacy Shield, teve o mesmo destino em 2020.

Desde julho de 2023, vigora o EU-US Data Privacy Framework. Graças a ele, os dados pessoais podem voltar a ser armazenados nos EUA sem garantias adicionais para a transferência internacional, mas apenas por organizações norte-americanas certificadas que constem da lista oficial de participantes. Nos restantes casos, são necessárias garantias adequadas.

Como os dois regimes anteriores foram declarados inválidos, a transferência para os EUA continua a ser um ponto de atenção. Por isso, verifique sempre se a decisão ainda é válida e se a organização em causa está certificada.

Em resumo: o RGPD não obriga, de forma geral, as organizações a manter os dados dos visitantes na Europa. Ainda assim, o armazenamento e o tratamento no EEE tornam geralmente a avaliação jurídica mais simples, porque as regras adicionais para transferências para países terceiros não se aplicam. Verifique não só a localização do armazenamento primário, mas também onde se encontram as cópias de segurança e outras cópias e a partir de que países os fornecedores e subcontratantes ulteriores têm acesso.

Leia também: RGPD e gestão de visitantes: um guia prático

Checklist: como avaliar a residência de dados de um sistema de gestão de visitantes

Utilize esta checklist para verificar onde os dados dos visitantes são efetivamente armazenados e tratados.

1. Verifique todas as localizações de armazenamento

• Em que país ou região da nuvem se encontra a base de dados primária?
• Onde são armazenadas as cópias de segurança e as cópias para recuperação do sistema?
• Onde são guardadas as fotografias e os documentos assinados?
• Para onde vão os ficheiros de registo (logs) e as cópias temporárias?
• São armazenados dados pessoais fora do EEE? Em caso afirmativo, quais e onde?

2. Verifique quem tem acesso

• Quem é o fornecedor do sistema de gestão de visitantes e em que país está sediado?
• Que prestador de serviços na nuvem utiliza o fornecedor e onde estão sediados esse prestador e a respetiva empresa-mãe?
• Que subcontratantes ulteriores tratam dados de visitantes e a partir de que países o fazem?
• Os colaboradores de suporte ou de engenharia podem consultar dados de visitantes? Em caso afirmativo, quando e a partir de que países?
• Esse acesso está limitado a colaboradores autorizados, devidamente protegido e registado?
• Alguém fora do EEE pode obter acesso aos dados?

3. Verifique as transferências internacionais

• Os dados dos visitantes são armazenados, tratados ou tornados acessíveis fora do EEE?
• Para que países e organizações são transferidos?
• O país de destino beneficia de uma decisão de adequação?
• Trata-se de uma organização norte-americana? Está certificada ao abrigo do EU-US Data Privacy Framework?
• Se não existir uma decisão de adequação: foram utilizadas garantias adequadas, como cláusulas contratuais-tipo?
• Os riscos da transferência foram avaliados e, se necessário, foram tomadas medidas técnicas ou organizativas suplementares?
• O fornecedor consegue comprovar estes acordos por escrito?

Atenção: a residência de dados é apenas uma componente da proteção de dados e, por si só, não garante que cumpre o RGPD. Verifique também se recolhe apenas os dados pessoais necessários para a finalidade do registo de visitantes (minimização dos dados) e avalie os prazos de conservação, os procedimentos de eliminação, a encriptação e a segurança de acesso do sistema.

Sinais de alerta ao comparar fornecedores

A checklist acima ajuda-o a avaliar os fornecedores de forma orientada. Preste atenção a quão concretas e completas são as respostas. Tenha cuidado quando um fornecedor:

• apenas refere que os dados estão “na nuvem” ou “na Europa”;
• indica exclusivamente a localização da base de dados primária;
• não esclarece a situação das cópias de segurança, das outras cópias e dos ficheiros de registo;
• não consegue disponibilizar uma lista atualizada dos subcontratantes ulteriores;
• não indica a partir de que países os colaboradores têm acesso;
• não menciona uma base jurídica clara para as transferências para fora do EEE;
• não consegue confirmar por escrito as alegações sobre residência de dados.

Como o Vizito armazena, trata e elimina os dados dos visitantes

Se utiliza o Vizito, os dados dos seus visitantes permanecem na União Europeia. O Vizito aloja-os em servidores em Amesterdão e em Frankfurt. Para o alojamento, o Vizito trabalha com a Leaseweb Global B.V. Os outros subcontratantes ulteriores e as respetivas localizações constam do acordo de tratamento de dados (DPA).

Enquanto cliente, decide por si mesmo que dados de visitantes recolhe e durante quanto tempo os conserva. Assim que o prazo de conservação definido termina, o registo é eliminado automaticamente. O Vizito trata os dados dos visitantes exclusivamente para prestar o serviço e não os utiliza para publicidade, definição de perfis ou outros fins comerciais próprios.

Os dados dos visitantes são encriptados tanto durante a transmissão como no armazenamento. Além disso, o Vizito tem a certificação ISO 27001, o que significa que o seu sistema de gestão de segurança da informação foi auditado de forma independente.

Para mais informações, consulte a nossa página sobre o Vizito e o RGPD.

Conclusão

O local onde os dados dos visitantes são armazenados não é uma simples questão técnica. A localização ajuda a determinar que regras de privacidade e que condições para transferências internacionais se aplicam, e quanta visibilidade a sua organização tem sobre o tratamento desses dados.

Não está em causa apenas a base de dados primária, mas também as cópias de segurança e outras cópias, os subcontratantes ulteriores envolvidos e os países a partir dos quais os colaboradores podem obter acesso.

O RGPD não obriga a que os dados dos visitantes permaneçam no EEE. Ainda assim, o armazenamento e o tratamento no EEE tornam geralmente mais fácil cumprir a lei. Mas a residência de dados é apenas uma componente da proteção de dados: a minimização dos dados, a segurança, os prazos de conservação e a eliminação atempada continuam a ser essenciais.

Quer ver por si mesmo como o Vizito ajuda a gerir os dados dos visitantes de forma segura e organizada? Experimente o Vizito gratuitamente durante 14 dias ou marque uma demonstração.