Assinatura de e-mail e GDPR: o que o regulamento realmente diz

Uma assinatura de e-mail exibe o nome, o cargo e os dados de contato profissionais de uma pessoa identificável. São dados pessoais, e o tratamento deles entra no escopo do GDPR. Isso não torna o assunto complicado, mas exige algumas verificações que muitas organizações nunca fizeram.

Este artigo apresenta o quadro geral do regulamento europeu. Ele não substitui a análise do seu DPO ou do seu assessor jurídico, os únicos capazes de avaliar a sua situação.

O que está sujeito ao GDPR em uma assinatura

O regulamento se aplica aos dados que permitem identificar uma pessoa física, direta ou indiretamente. O caráter profissional do dado não o exclui do escopo.

Em uma assinatura, isso abrange: o nome e o sobrenome, o cargo, o endereço de e-mail profissional, o telefone profissional, o departamento e a unidade de lotação e, eventualmente, a foto.

O fato de essas informações serem destinadas à divulgação não muda a sua natureza: elas continuam sendo dados pessoais, tratados pela sua organização.

A base legal do tratamento

É a pergunta mais frequente: é preciso pedir a autorização dos funcionários?

Em uma relação entre empregador e funcionário, o consentimento é uma base jurídica frágil. A relação de subordinação dificulta demonstrar que ele foi dado livremente, e um consentimento que pode ser retirado a qualquer momento combina mal com um sistema corporativo.

As bases geralmente adotadas são a execução do contrato de trabalho — o funcionário precisa poder ser identificado nas suas comunicações profissionais — ou o legítimo interesse do empregador em manter uma comunicação consistente. A definição exata cabe ao seu DPO.

O caso da foto é diferente: exibi-la raramente é necessário para a execução do contrato, e o consentimento costuma ser mais pertinente. É mais um argumento para deixar a foto opcional em vez de impô-la pelo modelo.

O princípio da minimização, aplicado na prática

O artigo 5 exige limitar os dados tratados ao necessário para a finalidade. Para uma assinatura, isso se traduz de forma muito simples: sincronize apenas os campos que realmente aparecem na assinatura.

Se o seu modelo exibe nome, cargo, departamento e celular, não há nenhum motivo para coletar a data de admissão, a matrícula ou o gestor direto — mesmo que o diretório os contenha e mesmo que a API os ofereça.

É um ponto verificável e verificado nas auditorias de conformidade. O escopo exato que sincronizamos está na nossa página segurança e GDPR.

A relação com o fornecedor: operador de dados

Uma ferramenta de gestão de assinaturas trata dados pessoais em nome da sua empresa. Ela é, portanto, operadora (subcontratante) no sentido do artigo 28, e a sua empresa continua sendo a controladora.

Essa qualificação traz obrigações concretas. É preciso firmar um acordo de tratamento de dados (DPA) que especifique as finalidades, as categorias de dados, os prazos de conservação, as medidas de segurança e o destino dos dados no fim do contrato. A lista de eventuais suboperadores — em especial o provedor de hospedagem — deve ser informada. E o fornecedor deve dar assistência a você em caso de exercício de direitos ou de incidente.

Peça esses elementos por escrito antes de contratar, seja qual for o fornecedor.

Os direitos dos titulares

Um colaborador pode exercer os seus direitos sobre os dados que dizem respeito a ele. Na prática, para uma assinatura, dois direitos aparecem de fato.

O direito de retificação. Um cargo errado, um número desatualizado. A resposta operacional é corrigir o diretório: a assinatura acompanha. É uma vantagem direta da sincronização — veja sincronizar as assinaturas com o diretório.

O direito de oposição. Ele pode se referir a um elemento específico, normalmente a foto ou um número de celular pessoal. Daí o interesse em prever campos opcionais em vez de um modelo totalmente rígido.

A eliminação completa é mais teórica: um funcionário não pode se opor a que o seu nome apareça nas suas comunicações profissionais, já que essa identificação faz parte da execução do contrato.

As perguntas a fazer a um fornecedor

Cinco perguntas, que cobrem o essencial de uma auditoria de conformidade:

1. Quais dados são sincronizados, exatamente, e é possível restringir o escopo?
2. O conteúdo dos e-mails é acessado em algum momento? — veja uma ferramenta de assinatura pode ler seus e-mails.
3. Onde os dados são hospedados, e sob qual jurisdição? — veja soberania de dados.
4. É fornecido um acordo de tratamento de dados, e quais suboperadores ele menciona?
5. O que acontece com os dados no fim do contrato, e em qual prazo?

As respostas devem ser por escrito. Um fornecedor que responde a essas perguntas só verbalmente não protege você.

O que não é uma questão de GDPR

Para terminar com um esclarecimento útil: o banner de campanha inserido em uma assinatura não constitui um tratamento de dados do destinatário. Você não o adiciona a uma lista, não traça o perfil dele; você exibe uma imagem em uma mensagem que o seu colaborador enviaria para ele de qualquer forma.

A nuance merece, ainda assim, um parecer do seu DPO se os seus banners se tornarem puramente promocionais e se você implementar um rastreamento de cliques nominal — veja a página campanhas.