TL;DR
O art. 30.º, n.º 5 isenta as entidades com menos de 250 trabalhadores — salvo se o tratamento for suscetível de implicar um risco, OU não for ocasional, OU abranger categorias especiais ou dados relativos a condenações penais. As três condições são alternativas. O processamento salarial não é ocasional e contém dados de saúde: verificam-se duas ao mesmo tempo.
O erro está na palavra «ou»
O art. 30.º, n.º 5 dispensa do registo as entidades que empreguem menos de 250 pessoas «a menos que o tratamento efetuado seja suscetível de implicar um risco para os direitos e liberdades do titular dos dados, o tratamento não seja ocasional ou abranja as categorias especiais de dados referidas no artigo 9.º, n.º 1, ou dados pessoais relativos a condenações penais e infrações referidos no artigo 10.º». Três condições ligadas por «ou». O Grupo do art. 29.º esclareceu-o expressamente na sua posição de 19 de abril de 2018: são alternativas e basta uma para que a isenção caia.
«Não ocasional» encerra a discussão quase sempre
É ocasional o tratamento que não ocorre com regularidade, não faz parte da atividade corrente e não tem carácter estável. O processamento salarial faz-se todos os meses. A gestão de clientes não pára. As candidaturas chegam todo o ano. Nenhum é ocasional, e a isenção já caiu, independentemente do número de trabalhadores. Se houver baixas médicas, acresce ainda a ressalva das categorias especiais do art. 9.º, n.º 1.
- A isenção nunca é total: abrangeria, quando muito, os tratamentos que não preenchem nenhuma das três condições. Para os restantes o registo continua devido — uma entidade mantém, pois, ou um registo parcial ou um completo.
- O art. 30.º, n.º 1 enumera o conteúdo mínimo: nome e contactos, finalidades, categorias de titulares e de dados, categorias de destinatários, transferências para países terceiros com as respetivas garantias, prazos de apagamento e descrição geral das medidas do art. 32.º, n.º 1.
- O subcontratante mantém também o seu próprio registo (art. 30.º, n.º 2), com conteúdo diferente: nele figuram os responsáveis por conta de quem atua, não as finalidades.
- Art. 30.º, n.º 4: o registo é disponibilizado à autoridade a pedido. Na prática é o primeiro documento solicitado.
O que um modelo não faz
Um modelo dá as colunas, não o conteúdo. Os dois campos em que os registos falham sistematicamente não se copiam: o prazo de conservação, que muda consoante a categoria de dados e o ordenamento, e as medidas do art. 32.º, que têm de corresponder à técnica realmente usada. Um registo onde por toda a parte se lê «prazos legais» não responde à pergunta: desvia-se dela.
O conselho prático para quem aconselha: nem sequer abrir a discussão dos 250. Custa meia hora e acaba sempre da mesma maneira. Mais útil é perguntar que tratamentos existem e quanto tempo ficam os dados — porque é aí que falta a resposta, e é exatamente isso que a autoridade pergunta.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
