Organizar um evento implica quase sempre tratar dados pessoais.
Nome, email, telefone, empresa, função, preferências alimentares, presença no evento ou inscrição numa determinada sessão são apenas alguns exemplos da informação que pode fazer parte da operação.
Mas a proteção destes dados não deve ser considerada apenas no momento em que criamos o formulário de inscrição.
O RGPD deve acompanhar todo o ciclo de vida do evento: desde o planeamento e recolha da informação até ao momento em que os dados deixam de ser necessários e são eliminados.
Mais do que acrescentar uma checkbox a um formulário, trata-se de pensar antecipadamente sobre que dados precisamos, para quê, quem precisa de lhes aceder e durante quanto tempo devem ser conservados.
1. Antes de recolher: precisamos realmente destes dados?
Uma boa prática começa antes de existir qualquer participante inscrito.
Ao preparar um formulário ou uma base de dados, vale a pena fazer algumas perguntas simples:
- Que informação é realmente necessária para organizar este evento?
- Para que finalidade será utilizada?
- Quem necessita de lhe aceder?
- Durante quanto tempo será necessária?
- Será partilhada com outros intervenientes?
- Existem campos que estamos a pedir apenas porque habitualmente o fazemos?
O princípio da minimização dos dados determina que os dados tratados devem ser adequados, pertinentes e limitados ao necessário para a finalidade definida.
Um exemplo muito simples:
Se não vamos utilizar a morada do participante, precisamos realmente de a pedir?
Quanto menos informação desnecessária recolhermos, menos informação teremos também de proteger, gerir e posteriormente eliminar.
2. Na inscrição: transparência desde o primeiro contacto
O formulário de inscrição é frequentemente o primeiro momento em que o participante fornece os seus dados.
Deve ser claro para que são recolhidos e como serão utilizados.
Os campos obrigatórios devem corresponder à informação efetivamente necessária para a participação ou organização do evento, distinguindo-se de informação opcional ou destinada a outras finalidades.
É também importante não confundir diferentes utilizações dos dados.
Os dados necessários para gerir a inscrição num evento não devem ser automaticamente considerados disponíveis para qualquer utilização futura.
A finalidade para a qual a informação é recolhida deve estar definida e ser comunicada de forma transparente.
3. Durante a preparação: limitar quem vê o quê
À medida que o evento se aproxima, é frequente aumentar o número de pessoas envolvidas na operação.
Organização, agência, equipa de acolhimento, técnicos e diferentes fornecedores podem necessitar de informação sobre os participantes.
Mas nem todos necessitam de aceder à mesma informação.
Uma equipa responsável pelo check-in pode precisar de conhecer o nome do participante e o respetivo estado de inscrição, mas não necessariamente o seu telefone, email ou outros dados existentes na base.
Sempre que possível, devem ser definidos acessos em função daquilo que cada interveniente necessita para desempenhar a sua função.
Esta abordagem permite reduzir a circulação desnecessária de informação e o número de cópias das bases de dados.
A melhor cópia de uma base de dados é, muitas vezes, aquela que nunca foi necessário criar.
4. Email, SMS e outras comunicações também fazem parte do tratamento
A comunicação com os participantes implica igualmente tratamento de dados pessoais.
Uma base utilizada para enviar confirmações, um número de telefone utilizado para comunicar um QR Code ou uma lista preparada para enviar informação sobre o evento são exemplos de dados que continuam a necessitar de proteção.
É importante saber:
- de onde vieram os dados;
- para que finalidade estão a ser utilizados;
- quem tem acesso;
- onde ficam armazenados;
- que cópias foram criadas;
- e quando deixarão de ser necessários.
Também aqui, simplificar ajuda.
Quanto menos bases paralelas, exportações e ficheiros intermédios forem necessários, menor será o risco de perdermos o controlo sobre onde se encontra a informação.
5. Durante o evento: mostrar apenas a informação necessária
A minimização também deve estar presente nas ferramentas utilizadas durante o evento.
Imagine-se uma acreditação em que um hospedeiro lê o QR Code de um participante e necessita apenas de confirmar a entrada e entregar uma determinada cor de pulseira.
O ecrã pode necessitar apenas de apresentar:
Nome
Check-in confirmado
Pulseira: Verde
Não existe necessariamente qualquer razão operacional para apresentar simultaneamente email, telefone, empresa e todos os restantes campos existentes na inscrição.
O facto de a informação estar disponível numa base de dados não significa que tenha de estar visível para todas as pessoas que participam na operação.
Uma interface mais simples pode, neste caso, melhorar simultaneamente a proteção dos dados e a eficiência da acreditação.
6. Diferentes sessões e áreas exigem a mesma reflexão
O mesmo princípio aplica-se ao controlo de acessos.
Se o objetivo é apenas confirmar que determinado participante pode entrar numa sessão, poderá ser suficiente validar a sua autorização e registar a entrada.
Não é necessário recolher ou apresentar informação adicional apenas porque tecnicamente seria possível fazê-lo.
Antes de implementar mecanismos mais detalhados de acompanhamento, deve existir uma pergunta clara:
Para que precisamos desta informação?
A tecnologia deve responder às necessidades do evento e não criar novos tratamentos de dados sem uma finalidade definida.
7. Fotografias, networking e interação podem introduzir novas utilizações
Um evento pode incluir muitas outras experiências além da inscrição e da acreditação.
Partilha de fotografias, aplicações móveis, networking, interação, votações, geração de contactos ou outras funcionalidades podem implicar novos tratamentos ou utilizações dos dados dos participantes.
Essas utilizações devem ser analisadas no seu próprio contexto.
O facto de uma pessoa se ter inscrito num evento não significa, por si só, que qualquer utilização posterior dos seus dados esteja automaticamente abrangida pela inscrição inicial.
É importante perceber qual é a finalidade, que informação é necessária e qual o enquadramento aplicável a cada utilização.
8. Segurança não significa apenas ter uma password
A proteção dos dados combina medidas tecnológicas com procedimentos organizacionais.
Controlo de acessos, autenticação, proteção de ficheiros, equipamentos atualizados e transmissão segura da informação podem ser importantes.
Mas também são importantes comportamentos muito simples:
evitar bases de dados esquecidas em computadores, limitar ficheiros partilhados, controlar quem mantém acesso aos sistemas e reduzir a utilização de informação pessoal quando ela já não é necessária.
A segurança deve ser proporcional aos riscos associados ao tratamento e deve ser pensada como parte do processo, e não apenas como uma característica da ferramenta utilizada.
9. O evento terminou. E agora?
Esta é uma das fases mais fáceis de esquecer.
Terminou o evento, enviámos o relatório e concluímos a operação.
Mas os dados podem continuar distribuídos por diferentes locais:
- sistema de inscrições;
- plataforma de comunicação;
- sistema de acreditação;
- ficheiros exportados;
- folhas de cálculo;
- equipamentos utilizados durante o evento;
- sistemas de interação;
- cópias temporárias ou relatórios.
Eliminar apenas a principal base de participantes pode não ser suficiente.
O princípio da limitação da conservação determina que os dados pessoais não devem ser mantidos indefinidamente: o período de conservação deve estar relacionado com a finalidade para a qual são necessários.
Por isso, o encerramento de um evento deve incluir também um procedimento de encerramento dos dados.
10. Criar um procedimento de fecho
Uma checklist simples pode ajudar a tornar esta prática consistente:
Identificar onde existem dados pessoais relacionados com o evento.
Verificar quais têm de ser conservados e porquê.
Eliminar ou anonimizar aqueles que deixaram de ser necessários.
Revogar acessos que tenham sido criados especificamente para o projeto.
Eliminar exportações e cópias temporárias que já cumpriram a sua função.
Confirmar o encerramento do tratamento associado ao evento, quando aplicável.
Os períodos de conservação não têm necessariamente de ser iguais para toda a informação. Devem ser definidos de acordo com a finalidade, o contexto e as obrigações aplicáveis.
11. E os fornecedores?
A organização de eventos recorre frequentemente a diferentes fornecedores tecnológicos e operacionais.
Quando esses fornecedores tratam dados pessoais por conta da entidade responsável pelo tratamento, as responsabilidades, instruções e condições desse tratamento devem estar devidamente enquadradas.
Escolher uma ferramenta ou fornecedor não transfere automaticamente todas as responsabilidades relacionadas com a proteção dos dados.
É importante compreender quem intervém no tratamento, em que qualidade e com que responsabilidades.
RGPD como processo, não como checkbox
A proteção de dados num evento não se resume a colocar uma caixa de aceitação num formulário.
Começa quando decidimos que informação vamos recolher.
Continua quando definimos quem lhe pode aceder.
Está presente quando escolhemos o que aparece no ecrã de um hospedeiro.
Aplica-se às comunicações, acreditação, interação e restantes ferramentas utilizadas.
E termina quando definimos o que deve ser conservado e o que deve ser eliminado.
Uma abordagem responsável ao RGPD não tem necessariamente de tornar a organização do evento mais complexa.
Muitas vezes acontece precisamente o contrário.
Recolher menos, partilhar menos, criar menos cópias e eliminar aquilo que deixou de ser necessário torna a operação simultaneamente mais simples e mais segura.
Proteção de dados desde a conceção do evento
Na Asserbiz procuramos integrar princípios de minimização, segurança e proteção dos dados nas diferentes fases das soluções tecnológicas para eventos, desde a inscrição e comunicação até à acreditação e tratamento da informação após o evento.