RGPD aplicado à operação de segurança privada

O RGPD na segurança privada costuma ser tratado como um assunto de escritório — uma política no sítio da empresa, um aviso na receção, uma declaração assinada na contratação — quando na verdade é um assunto de posto. Quem trata dados pessoais todos os dias não é o departamento administrativo: é o vigilante que anota o nome e a matrícula de quem entra, que tira uma fotografia de uma ocorrência, que fica com a localização registada durante o turno e que consulta imagens de uma câmara que nem sequer pertence à empresa.

A confusão de origem é quase sempre a mesma e vale a pena resolvê-la já: uma empresa de segurança privada não trata apenas os dados dos seus trabalhadores. Trata também dados de pessoas que nunca contratou nada consigo — visitantes, condutores, colaboradores do cliente, quem passa em frente a uma câmara — e fá-lo, em muitos casos, por conta de outra entidade. Perceber em que posição está em cada situação é o que organiza tudo o resto.

Que dados a operação trata de facto

Uma lista honesta é sempre mais longa do que a esperada, e é útil escrevê-la antes de pensar em documentos:

• Registo de visitas. Nome, documento de identificação, matrícula, empresa, hora de entrada e de saída, pessoa visitada. Muitas vezes o caderno mais exposto da instalação está em cima de um balcão, à vista de quem chega a seguir.
• Ocorrências. Descrições que mencionam pessoas, fotografias, por vezes dados de saúde quando há um acidente ou uma indisposição.
• Imagens de videovigilância. Do cliente, na larga maioria dos casos, mas manipuladas pela empresa de segurança.
• Localização dos vigilantes. Posição no início e no fim do turno, pontos de ronda, trajeto em patrulha.
• Assiduidade. Horas de entrada e de saída, por vezes com fotografia de confirmação.
• Dados de pessoal. Habilitações, formação, documentação, avaliações, ausências.
• Comunicações. Mensagens de serviço, gravações de voz quando existem, chamadas para a central.

Nenhum destes conjuntos é acessório. Todos identificam pessoas, e alguns — imagens e localização — são especialmente sensíveis porque permitem reconstituir comportamentos ao longo do tempo.

Responsável ou subcontratante: a pergunta que muda tudo

É a distinção mais importante do RGPD na segurança privada e a mais mal resolvida no setor. Em termos simples: quando a empresa decide para que serve o tratamento e como se faz, atua como responsável; quando trata dados seguindo instruções de outra entidade, que é quem decide, atua como subcontratante dessa entidade.

Na prática, uma mesma empresa vive nas duas posições ao mesmo tempo. Os dados dos seus vigilantes — assiduidade, formação, habilitações — são tratados por decisão própria. As imagens do sistema de videovigilância do cliente, o registo de visitas da instalação do cliente ou a lista de acessos autorizados são, em regra, tratados por conta do cliente e segundo as instruções dele.

A consequência prática é direta: o contrato de prestação de serviços tem de dizer o que cada parte trata, em que posição, com que finalidade e o que acontece no fim do contrato — quem fica com os registos, quem os apaga, em que prazo. É exatamente o ponto que fica por escrever na maioria dos contratos e que se torna urgente quando um contrato termina ou quando alguém pede acesso aos seus dados.

Quando cada ocorrência fica associada ao contrato a que pertence, é possível responder a um pedido do cliente sem revolver a operação inteira.

Localização dos vigilantes: o ponto mais sensível

A localização é o tema que mais atrito gera dentro das equipas, e com razão: é o dado que uma pessoa sente como vigilância sobre si própria. A abordagem defensável assenta em três ideias.

Primeira, finalidade estreita e declarada. Localizar durante o serviço para verificar cobertura de posto, validar rondas e permitir resposta a um pedido de socorro é uma finalidade concreta; «saber onde andam os funcionários» não é.

Segunda, limite temporal. A recolha existe durante o turno e termina com ele. Uma geolocalização GPS na segurança que continua fora do serviço não é um pormenor técnico, é outro tratamento.

Terceira, transparência real. As pessoas têm de saber o que é recolhido, para que serve, quem consulta e durante quanto tempo fica guardado — em linguagem simples, não numa cláusula que ninguém lê. Uma equipa informada aceita o mecanismo; uma equipa surpreendida desconfia dele e procura contorná-lo.

Vale a pena acrescentar um princípio que resolve muitos problemas antes de existirem: guardar durante menos tempo. Definir períodos de conservação por tipo de registo — e cumpri-los — reduz risco, reduz volume e simplifica qualquer pedido futuro.

Imagens, assiduidade e o hábito de recolher a mais

Nas imagens, o erro típico não é a existência da câmara, é a gestão do acesso: quem pode ver, a partir de onde, com que identificação e com que rasto de quem viu o quê. Um sistema em que várias pessoas usam a mesma entrada partilhada torna impossível responder à única pergunta que interessa depois de um problema: quem consultou aquelas imagens.

Na assiduidade, o excesso aparece de outra forma. Registar a entrada é necessário; acrescentar biometria porque «é mais moderno» introduz uma categoria de dados muito mais exigente para resolver um problema que se resolve de forma mais leve. O controlo de assiduidade com fotografia de confirmação e posição no momento do registo já responde à necessidade real — provar que a pessoa estava naquele posto àquela hora — sem criar um arquivo de características físicas.

O mesmo raciocínio aplica-se ao livro de ocorrências digital: descrever o que aconteceu não obriga a recolher mais do que o necessário sobre quem esteve envolvido. Uma ocorrência bem escrita é factual e proporcional; não precisa de opiniões sobre pessoas nem de dados que ninguém vai usar.

Acessos identificados por pessoa, e não partilhados, são o que permite saber mais tarde quem consultou o quê.

Uma rotina mínima de RGPD na segurança privada

Quatro hábitos, todos ao alcance de uma empresa pequena. Um: manter uma lista escrita do que se trata, onde fica e durante quanto tempo — sem essa lista, nada mais é possível. Dois: dar a cada pessoa a sua própria entrada no sistema, com o acesso limitado ao que precisa para a função. Três: rever as autorizações quando alguém muda de posto ou sai, no próprio dia. Quatro: ter um procedimento escrito para quando algo corre mal, para que a primeira reação não seja apagar registos.

Este último merece ênfase. Perante um incidente de segurança da informação, a pior decisão é limpar rasto. A resposta correta passa por conservar o que aconteceu, avaliar o impacto e cumprir os deveres aplicáveis — que devem ser confirmados com quem tem competência jurídica na matéria.

Reserva importante

Este artigo explica conceitos gerais e boas práticas de organização. De propósito, não cita artigos, prazos, coimas, valores nem obrigações concretas: o quadro de proteção de dados é interpretado e aplicado ao longo do tempo, e as respostas dependem muito da situação de cada empresa e de cada contrato.

Antes de tomar decisões — sobre localização de trabalhadores, videovigilância, biometria, conservação de registos ou repartição de responsabilidades com clientes — confirme o enquadramento com a autoridade de controlo em matéria de proteção de dados, em Portugal a Comissão Nacional de Proteção de Dados, e obtenha apoio jurídico especializado. Nos aspetos específicos da atividade, confirme também junto da autoridade competente na área da segurança privada. Este conteúdo é informativo e não constitui aconselhamento jurídico.

Perguntas frequentes

As imagens da videovigilância do cliente são dados da nossa empresa? Em regra não. Quem instalou o sistema e decide para que serve tende a ser o responsável, e a empresa de segurança trata as imagens por conta dele. Por isso o contrato tem de dizer o que a empresa pode fazer com elas — e o que não pode.

Podemos localizar os vigilantes fora do horário de serviço? Trate isso como um tratamento diferente, não como uma extensão do mesmo. A regra prudente é a recolha começar e terminar com o turno, e qualquer exceção ser analisada juridicamente antes de ser ativada.

Durante quanto tempo se guardam os registos do serviço? Não há um número universal para citar aqui. O que se pode dizer é que o prazo deve ser definido por escrito, justificado pela finalidade e aplicado de forma automática — e confirmado com apoio jurídico, porque cruza com obrigações contratuais e do setor.

O que fazer se alguém pedir acesso aos seus dados? Ter previamente identificado onde vivem esses dados e quem responde. Um pedido só é difícil de responder quando ninguém sabe em quantos sítios a informação está espalhada.

Se quiser um primeiro passo concreto, faça o inventário: uma folha com cada tipo de registo, o sítio onde fica, quem lhe acede e durante quanto tempo se conserva. É o documento que sustenta todos os outros.