Duas áreas do dia a dia exigem cuidado especial: as mensagens de marketing e a partilha de dados com terceiros.
Marketing direto e PECR
Marketing direto é publicidade ou material promocional dirigido a pessoas concretas. As Privacy and Electronic Communications Regulations 2003 (PECR) acrescentam regras ao UK GDPR para o marketing eletrónico.
- O marketing por email e SMS a particulares exige consentimento, com uma exceção: o soft opt-in. Permite que uma empresa envie emails ou SMS aos seus próprios clientes atuais sobre produtos ou serviços semelhantes, se obteve os dados durante uma venda e se deu uma oportunidade clara de recusa ao recolher os dados e em cada mensagem posterior.
- As mensagens a uma empresa (assinante empresarial) têm regras diferentes, mas os empresários em nome individual e algumas sociedades de pessoas são tratados como particulares.
- As chamadas de marketing em direto não devem ser feitas para números inscritos no Telephone Preference Service (TPS) ou no Corporate TPS (listas de números que não querem chamadas comerciais), a não ser que a pessoa tenha dito claramente que não se importa.
- As chamadas de marketing automáticas e gravadas exigem consentimento prévio.
- Toda a mensagem de marketing tem de indicar quem a envia e dar uma forma simples de deixar de receber.
- O direito de oposição de uma pessoa ao marketing direto é absoluto. Quando diz para parar, pare e transmita o pedido para que o registo seja atualizado.
- Os cookies e tecnologias semelhantes nos sítios web exigem informação clara e, na maioria dos casos, consentimento. A lei de 2025 acrescentou exceções para alguns usos de baixo risco, como certas estatísticas e a segurança. A equipa web do empregador trata disso.
A Data (Use and Access) Act 2025 elevou a coima máxima da PECR até igualar a do UK GDPR: 17,5 milhões de £ ou 4 % do volume de negócios anual mundial, consoante o que for mais elevado. Consulte ico.org.uk para ver a orientação em vigor sobre as outras alterações à PECR.
Se trabalhar em marketing, nunca compre uma lista nem leve uma de um emprego anterior. Pergunte se as pessoas da lista concordaram em ouvir falar da sua organização.
Partilhar dados com outras organizações
A lei de proteção de dados não proíbe a partilha. Pede que se partilhe corretamente.
- Partilhe apenas o que for necessário e com quem tiver direito a isso.
- Verifique a identidade e o motivo do pedido.
- Use um método seguro.
- Siga as regras do empregador sobre partilha de dados. As partilhas grandes e regulares costumam ter um acordo escrito.
- Se uma empresa externa tratar dados para o empregador (um subcontratante), é exigido um contrato escrito.
- A polícia e outras autoridades podem pedir dados. Encaminhe esses pedidos para a pessoa indicada no seu procedimento. Ela verificará o fundamento de licitude. Não responda no momento.
- Numa emergência, quando há risco para a vida ou dano grave, a lei de proteção de dados não o impede de partilhar o que for necessário para proteger alguém. Avise de imediato o responsável de safeguarding ou o chefe. Muitas revisões concluíram que o receio da proteção de dados foi usado erradamente para evitar partilhar.
Fotografias, redes sociais e gravações
- Não publique nas redes sociais fotografias ou dados de clientes, doentes, alunos ou colegas sem uma autorização clara e um motivo profissional.
- A videovigilância e as câmaras corporais exigem avisos e regras do empregador. Não copie nem partilhe as gravações por iniciativa própria.
- Não grave chamadas ou reuniões no telemóvel, a não ser que a política do empregador o permita.
Enviar dados para o estrangeiro
Levar dados pessoais para fora do Reino Unido chama-se transferência restrita. Exige garantias. Quem trata disso é o responsável. Se pensa usar uma ferramenta ou fornecedor novos sediados no estrangeiro, pergunte primeiro.
Ferramentas novas e IA
Não cole dados de clientes ou trabalhadores em ferramentas gratuitas em linha nem em chatbots públicos de IA. É partilhar dados com um terceiro. Use apenas as ferramentas que o empregador autorizou. As decisões automatizadas sobre pessoas têm regras adicionais.
Quando perguntar
Se lhe pedirem para começar um novo uso de dados, uma nova aplicação ou uma nova lista, pergunte ao chefe ou ao responsável pela proteção de dados se é preciso uma avaliação de impacto sobre a proteção de dados (AIPD; em inglês, data protection impact assessment). Uma AIPD é uma análise de risco exigida antes de usos de risco elevado.