Uma galeria de convidados conforme o RGPD para eventos de fotobox: o que os operadores realmente precisam

As fotos de convidados de casamentos e eventos empresariais são dados pessoais — muitas vezes até com uma ligação clara ao rosto de alguém. Quem, como operador de fotobox, trata, guarda e partilha estas imagens, é automaticamente parte de um processo relevante em termos de proteção de dados. Isto não diz respeito apenas a grandes empresas, mas a qualquer trabalhador independente que alugue uma box.

Os três erros mais comuns nas galerias de fotos

• Ligações de galeria indexadas publicamente. Se uma ligação for acessível sem proteção de acesso, ou tiver um URL adivinhável, também terceiros não envolvidos podem aceder às fotos dos convidados.
• Armazenamento na nuvem sem contrato de subcontratação. Se for utilizado um fornecedor com quem não existe um DPA, falta a base jurídica para o tratamento subcontratado das fotos do evento.
• Sem prazos de eliminação claros. Fotos guardadas indefinidamente, sem que os clientes ou convidados saibam durante quanto tempo e porquê, são uma queixa recorrente em pedidos de clientes empresariais.

O que acontece quando corre mal

Um cenário hipotético, mas realista: depois do evento, um convidado digitaliza o código QR no seu cartão do evento — mas, em vez de chegar à sua própria galeria, porque a ligação era adivinhável ou até indexada por um motor de busca, chega à galeria de um evento completamente diferente da mesma semana. Para as pessoas afetadas, isto não é um caso trivial: trata-se de uma violação de dados pessoais na aceção do RGPD, com um potencial dever de notificação à autoridade de supervisão (artigo 33.º do RGPD) e, consoante a gravidade, aos próprios titulares dos dados (artigo 34.º do RGPD). Para o operador, no pior dos casos, isto significa esforço de documentação, necessidade de explicações ao cliente e danos de reputação mais difíceis de reparar do que qualquer falha técnica. O ponto decisivo: o risco não surge de má intenção, mas de uma única vulnerabilidade estrutural — uma ligação adivinhável ou indexada.

O que uma solução de galeria limpa precisa

Quatro elementos fazem a diferença entre "resolvido de alguma forma" e um processo que resiste a uma pergunta crítica:

• Ligações QR privadas em vez de pastas abertas — acesso apenas para pessoas com a ligação certa, não localizáveis através de motores de busca.
• Um DPA com o fornecedor de software — uma base contratual clara sobre quem trata que dados e durante quanto tempo.
• Conceitos de eliminação definidos — uma data de expiração por evento, após a qual as fotos são eliminadas automaticamente ou a pedido.
• Alojamento na UE — o tratamento de dados dentro da UE facilita consideravelmente a argumentação perante os clientes.

Um conceito de eliminação na prática

Um conceito de eliminação não precisa de ser complicado, mas precisa de ser concreto. "Eliminamos em algum momento" não resiste a uma pergunta crítica. Faz sentido uma data de expiração claramente comunicada por evento ou pacote — por exemplo, um número fixo de dias no modo de teste gratuito, seguido de eliminação automática, enquanto a conservação em utilização paga segue o período acordado com o cliente. Mais importante do que o prazo exato é o facto de existir um — e que esteja registado por escrito na proposta ou no DPA, em vez de ser improvisado apenas quando questionado. Clientes que recebem antecipadamente uma resposta clara a "o que acontece às fotos depois?" fazem menos perguntas críticas do que clientes que têm de descobrir por si próprios.

Quem é realmente o responsável?

Como operador, mantém-se, regra geral, o responsável pelo tratamento de dados relativamente às fotos dos seus eventos — mesmo quando utiliza um software de terceiros. O fornecedor de software atua como subcontratante. Para que isto funcione de forma juridicamente limpa, é necessário um DPA entre si e o fornecedor. Sem esse contrato, falta a base para que o fornecedor possa sequer tratar as fotos dos convidados.

Lista de verificação: o que um DPA com o fornecedor de software deve regular

Nem todos os DPA são igualmente completos. Estes pontos devem estar concretamente respondidos antes de o assinar, ou de o apresentar aos seus clientes:

• Que dados exatamente são tratados (fotos, eventualmente nomes em fluxos de aprovação)
• Onde os dados são armazenados — explicitamente dentro ou fora da UE
• Durante quanto tempo os dados são conservados antes de serem eliminados automaticamente
• Quem é informado em caso de violação de dados e dentro de que prazo
• Se são utilizados subcontratantes adicionais, e quais
• Como é feita a eliminação após o fim ou a rescisão do contrato

Dica prática para pedidos de clientes empresariais

Em eventos empresariais, um DPA é frequentemente pedido de forma ativa antes mesmo de uma proposta ser aceite. Quem consegue oferecer imediatamente um documento preparado transmite uma imagem notavelmente mais profissional do que concorrentes que só improvisam depois de serem questionados. O mesmo se aplica ao prazo de eliminação: quem o indica sem ser questionado na proposta responde à pergunta antes de ela ser colocada.

Este artigo não substitui aconselhamento jurídico. Para uma avaliação vinculativa do seu modelo de negócio concreto, recomenda-se uma análise individual em matéria de proteção de dados.