RGPD em salas de fitness: dados de sócios, biometria, controlo de acessos e videovigilância

Um ginásio recolhe muitos mais dados pessoais do que o seu gestor costuma imaginar, e o incumprimento mais frequente está no controlo de acessos biométrico. Nomes, endereços, dados bancários, declarações de saúde, registos de passagem de cartão, imagens de videovigilância e dados de desempenho provenientes de máquinas conectadas ficam todos sujeitos ao Regulamento Geral sobre a Proteção de Dados (RGPD), Regulamento (UE) 2016/679. As sanções chegam a 4% do volume de negócios anual mundial ou 20 milhões de euros, o valor que for maior. Este guia percorre as obrigações práticas de um gestor de clube, com especial atenção às armadilhas da biometria e do equipamento conectado.

O RGPD aplica-se de forma direta em toda a União Europeia. Cada Estado-Membro conta ainda com a sua própria autoridade de controlo e com legislação nacional complementar que precisa aspetos como a videovigilância ou os prazos de conservação contabilística, pelo que convém confirmar esses pontos concretos junto da autoridade de controlo e da legislação aplicáveis no seu país — em Portugal, a Comissão Nacional de Proteção de Dados (CNPD).

As obrigações essenciais

Para um ginásio, os deveres principais são: um registo de atividades de tratamento conforme ao artigo 30º; uma base jurídica identificada para cada tratamento (contrato, consentimento, interesse legítimo ou obrigação legal); informação clara no momento da recolha; respeito pelos direitos do sócio de acesso, retificação, apagamento, portabilidade, oposição e limitação; medidas de segurança proporcionadas ao risco; notificação das violações de segurança à autoridade de controlo num prazo de 72 horas; e contratos escritos com todos os subcontratantes do tratamento.

As cinco categorias de dados que um ginásio trata

Os dados de categoria especial exigem o consentimento explícito ou uma das condições taxativas do artigo 9º, número 2, além das medidas de segurança mais exigentes disponíveis.

Controlo de acessos biométrico: onde a maioria dos clubes incumpre

Muitos clubes usam a impressão digital ou o reconhecimento facial ou da palma para o acesso dos sócios, com um argumento de comodidade: não há cartão para perder. Na grande maioria dos casos, essa prática não é conforme.

O raciocínio é o da proporcionalidade do artigo 5º. A biometria não se justifica para o simples controlo de acesso a um ginásio, porque um cartão, um cartão de sócio ou um utilizador com palavra-passe cumprem a mesma função sem tratar dados biométricos. O consentimento, por si só, não resolve a situação se a biometria for o único método de acesso oferecido: deve existir sempre uma alternativa não biométrica disponível a pedido, sem custo adicional e sem redução do serviço. Quando a biometria estiver realmente justificada, o armazenamento deveria ser local, num suporte que o próprio sócio conserva, e não centralizado num servidor, já que uma base central de modelos biométricos multiplica o dano de uma violação de segurança. Uma avaliação de impacto sobre a proteção de dados (AIPD) conforme ao artigo 35º é obrigatória antes de qualquer tratamento biométrico sistemático.

Na prática: um clube que use a impressão digital como único método de acesso, sem alternativa, sem avaliação de impacto documentada e sem consentimento explícito formalizado, não é conforme. As consequências vão do aviso formal, que pode tornar-se público, até à coima administrativa. Passar para um cartão RFID ou um identificador resolve o problema na raiz.

Software de gestão de sócios e contratos de subcontratação

A maioria dos clubes usa uma plataforma de gestão para reservas, faturação e acessos. Esses fornecedores são subcontratantes no sentido do artigo 28º, e o gestor continua a ser o responsável pelo tratamento. A ausência ou a insuficiência do contrato de subcontratação é um dos incumprimentos mais frequentemente detetados nas inspeções do setor desportivo.

O contrato deve ser escrito e fixar a duração, a finalidade, as medidas de segurança e o destino dos dados no final da relação. Verifique onde estão os servidores: se os dados saírem do Espaço Económico Europeu exigem-se garantias adicionais, habitualmente cláusulas contratuais-tipo. Mantenha um registo de acessos que indique qual o pessoal do subcontratante que pode acessar os dados, limitado ao estritamente necessário. Por fim, o contrato deve obrigar o subcontratante a notificá-lo de qualquer violação com rapidez suficiente para que possa cumprir o seu próprio prazo de 72 horas.

Videovigilância num ginásio

A videovigilância situa-se sob um duplo enquadramento: o RGPD para os dados pessoais captados e a legislação nacional de videovigilância de espaços abertos ao público. Em vários Estados-Membros, cobrir com câmaras zonas abertas ao público, como uma receção acessível sem ser sócio, exige ainda uma autorização ou uma declaração administrativa prévia: verifique o regime aplicável antes de instalar.

As restantes regras são estritas e fáceis de incumprir. A sinalética no acesso deve indicar que existe videovigilância, a sua finalidade, o prazo de conservação, o responsável e como exercer os direitos. A conservação deve limitar-se a um prazo curto, fixado em 30 dias em vários regimes nacionais, salvo se um incidente concreto justificar conservar as imagens para um procedimento em curso. Os vestiários, as instalações sanitárias e os duches nunca devem ser gravados, sem exceção. A gravação permanente dos postos de trabalho do pessoal, incluindo a receção e os postos dos técnicos, está proibida tanto pela legislação laboral como pela de proteção de dados. Mantenha um registo de visualizações que registe quem viu o quê, quando e porquê.

Dados de saúde e equipamento conectado

Os dados de saúde são de categoria especial tanto se provierem de um atestado médico como de um questionário de autoavaliação ou de uma banda de frequência cardíaca. A base jurídica deve ser sólida, o acesso deve restringir-se ao pessoal autorizado através de uma área separada do software, a conservação deve ser proporcionada (habitualmente a duração da relação mais o prazo legal de conservação de contratos aplicável no seu país) e a base de dados deve estar cifrada em repouso e em trânsito.

O equipamento conectado é a fronteira mais recente. Passadeiras, bicicletas e máquinas de força com ecrã tátil e resistência inteligente recolhem hoje volumes consideráveis de dados individuais de desempenho. Antes de assinar por um parque conectado, três perguntas determinam a sua exposição.

A decisão de conformidade mais simples é, muitas vezes, uma decisão de especificação. Um parque mecânico robusto com consolas locais não recolhe nada e, em muitos clubes, as funções conectadas são usadas por uma minoria de sócios. A conectividade ganha o seu lugar onde o perfil de utilizadores realmente a procura, não por defeito em todo o parque.

Perguntas frequentes

Precisamos de um encarregado de proteção de dados?

Um clube isolado raramente cumpre os critérios de designação obrigatória, que giram em torno da observação em grande escala ou do tratamento em grande escala de dados de categoria especial. Uma cadeia multicentro que use biometria, questionários de saúde e acompanhamento de desempenho conectado pode já cruzar esse limiar. Designar um de forma voluntária é permitido e costuma ser a via mais barata de manter atualizado o registo de tratamentos.

Quanto tempo podemos conservar o processo de um antigo sócio?

Durante a vigência da relação mais o prazo legal de conservação aplicável aos contratos e aos registos contabilísticos no seu país. Ultrapassado esse prazo, elimine os dados ou transfira-os para um arquivo seguro com acesso restrito. Conservar indefinidamente um processo completo e ativo com fins comerciais não é defensável.

Podemos publicar fotografias de sócios nas redes sociais?

Só com um consentimento específico, informado e livremente prestado para essa finalidade, obtido separadamente do contrato de inscrição e revogável. Uma cláusula escondida nas condições gerais não é um consentimento válido. Conserve os registos de consentimento: são precisamente o que lhe vão pedir.

Substituir a biometria por cartões resolve tudo?

Elimina o problema mais difícil. Os registos de cartão continuam a ser dados pessoais e continuam a precisar de uma base jurídica, de informação ao titular, de um prazo de conservação e de restrições de acesso, mas são dados comuns e não de categoria especial, e não exigem uma avaliação de impacto prévia para um simples controlo de acessos.

Especifique um parque alinhado com a sua posição de conformidade