RGPD e vídeos para clientes: quem é responsável pelos dados?

O RGPD aplica-se a uma gravação de ecrã assim que ela contém dados pessoais: um rosto, uma voz, um nome, uma lista de clientes num painel de administração. Nos vídeos que a sua agência envia sobre o próprio trabalho, é normalmente o responsável pelo tratamento; quando grava dados do seu cliente enquanto trabalha para ele, é normalmente o seu subcontratante. Em qualquer dos casos, a ferramenta que aloja os seus vídeos também é subcontratante, por isso precisa de um acordo de tratamento de dados (DPA) com ela, de um registo do que faz e de um limite para o tempo que as cópias partilhadas ficam online.

Abaixo, cada um destes pontos em linguagem simples, com referências ao texto do RGPD, e depois o que fazer na prática.

Quando um vídeo para um cliente contém dados pessoais

O RGPD define dados pessoais como «informação relativa a uma pessoa singular identificada ou identificável» (artigo 4.º, ponto 1). Num vídeo típico para um cliente, isso inclui:

• Si e a sua equipa. O seu rosto na bolha da câmara e a sua voz chegam para o identificar.
• Pessoas no ecrã. Nomes num CRM, emails de clientes na administração de uma loja, o nome de um colega na barra lateral do Slack.
• Pessoas de quem fala. «O João da contabilidade pediu esta alteração» é um dado pessoal no áudio e nas legendas.

Um vídeo de um protótipo do Figma com texto fictício e sem câmara pode não conter nenhum. A maioria dos vídeos reais para clientes contém alguns. É por isso que a nossa checklist de privacidade para gravação de ecrã começa por manter os dados de outras pessoas fora do enquadramento: os dados que não estão no vídeo não precisam de ser protegidos.

Responsável pelo tratamento ou subcontratante: quem responde

O RGPD divide a responsabilidade entre dois papéis:

• O responsável pelo tratamento é quem «determina as finalidades e os meios de tratamento de dados pessoais» (artigo 4.º, ponto 7). Decide porque é que os dados são tratados e como.
• O subcontratante é quem «trate os dados pessoais por conta do responsável pelo tratamento destes» (artigo 4.º, ponto 8). Segue as instruções do responsável pelo tratamento.

As orientações do Comité Europeu para a Proteção de Dados (CEPD) sobre estes conceitos sublinham que os papéis dependem do que cada parte faz de facto numa situação concreta, não do nome que o contrato lhes dá. No trabalho com clientes, há três situações que se repetem:

Situação	Responsável pelo tratamento	Subcontratante
Envia um vídeo sobre o seu próprio trabalho: um orçamento, uma revisão de design, um ponto de situação	A sua agência	A ferramenta de vídeo que o aloja
Grava a administração, o CRM ou as estatísticas reais do seu cliente para lhe corrigir ou explicar algo	O seu cliente	A sua agência, e a ferramenta de vídeo como subcontratante ulterior
O seu cliente grava um bug e envia-lho	O seu cliente (pela gravação)	Depende do que fizer com ela

Os papéis dependem dos factos de cada caso. Não é aconselhamento jurídico.

A segunda linha é a que mais conta. Se trata os dados dos clientes do seu cliente como subcontratante dele, o RGPD diz que não pode contratar outro subcontratante, como um serviço de alojamento de vídeo, «sem que o responsável pelo tratamento tenha dado, previamente e por escrito, autorização específica ou geral» (artigo 28.º, n.º 2). O seu contrato com o cliente deve prever isto, normalmente com uma lista das ferramentas que usa.

O que cada papel tem de fazer

Os dois papéis trazem deveres diferentes. Estes são os que mais contam para os vídeos para clientes:

Dever	Responsável pelo tratamento	Subcontratante	RGPD
Decidir porquê e como os dados são tratados	✓	✗ segue instruções documentadas	Art. 4.º, ponto 7; 28.º, n.º 3, al. a)
Escolher o fundamento de licitude	✓	✗	Art. 6.º
Responder a quem exerce os seus direitos	✓	~ presta assistência ao responsável	Art. 28.º, n.º 3, al. e)
Ter um contrato de tratamento	✓ com cada subcontratante	✓ e com os seus próprios subcontratantes	Art. 28.º, n.os 3 e 4
Recorrer a outro subcontratante	✓ autoriza-o	~ só com autorização por escrito	Art. 28.º, n.º 2
Manter um registo das atividades de tratamento	✓	✓	Art. 30.º, n.os 1 e 2
Adotar medidas de segurança	✓	✓	Art. 32.º
Notificar uma violação de dados	✓ à autoridade, até 72 horas sempre que possível	~ ao responsável, sem demora injustificada	Art. 33.º
Apagar ou devolver os dados no fim do trabalho	Escolhe qual	✓	Art. 28.º, n.º 3, al. g)

Simplificado a partir do texto do RGPD no EUR-Lex. Não é aconselhamento jurídico.

O fundamento de licitude, em linguagem simples

Cada tratamento precisa de um dos seis fundamentos de licitude do artigo 6.º, n.º 1. Para os vídeos para clientes, três são relevantes:

• Contrato (artigo 6.º, n.º 1, alínea b)): tratamento necessário para a execução de um contrato com a pessoa em causa. Encaixa num freelancer que se grava a si próprio para um cliente com quem tem contrato.
• Interesses legítimos (artigo 6.º, n.º 1, alínea f)): tratamento necessário para os seus interesses legítimos, exceto se os direitos da pessoa prevalecerem. Explicar o seu trabalho a um cliente por vídeo é um interesse razoável; mostrar dados de terceiros de que quem vê não precisa é mais difícil de justificar.
• Consentimento (artigo 6.º, n.º 1, alínea a)): muitas vezes a primeira coisa em que se pensa, e muitas vezes a mais fraca. As diretrizes do CEPD relativas ao consentimento explicam que o consentimento dos trabalhadores raramente é dado de livre vontade, por causa do desequilíbrio de poder face ao empregador.

Quando atua como subcontratante do seu cliente, é ao cliente que cabe determinar o fundamento de licitude: o seu papel é seguir as instruções dele.

O acordo de tratamento de dados

O artigo 28.º, n.º 3, diz que o tratamento em subcontratação «é regulado por contrato ou outro ato normativo» que vincule o subcontratante ao responsável pelo tratamento. Esse contrato tem de prever, entre outras coisas, que o subcontratante:

• só atua mediante instruções documentadas do responsável pelo tratamento, incluindo nas transferências para fora da UE;
• garante que as pessoas que tratam os dados estão sujeitas a confidencialidade;
• adota as medidas de segurança exigidas pelo artigo 32.º;
• só recorre a outros subcontratantes nas condições do artigo 28.º;
• ajuda o responsável pelo tratamento a responder a quem exerce os seus direitos;
• apaga ou devolve os dados no fim da prestação de serviços;
• disponibiliza as informações necessárias para demonstrar o cumprimento e permite auditorias.

Na prática vai encontrar DPAs em dois sítios. Com a sua ferramenta de vídeo, o DPA do fornecedor cobre os vídeos que ele aloja por si. Os grandes fornecedores costumam ter um modelo padrão: o da Atlassian, que cobre o Loom, aplica-se automaticamente, como descrevemos em Loom e RGPD. Com o seu cliente, se atuar como subcontratante dele, muitas vezes vai pedir-lhe que assine o DPA dele, ou pode propor o seu.

Registo das atividades de tratamento

O artigo 30.º pede a cada responsável pelo tratamento que conserve «um registo de todas as atividades de tratamento sob a sua responsabilidade», e a cada subcontratante que conserve um registo das atividades que realiza por conta de responsáveis pelo tratamento. O registo inclui, por exemplo, as finalidades, as categorias de titulares e de dados, os destinatários, as transferências para fora da UE, os prazos de conservação e as medidas de segurança.

Há uma exceção para empresas ou organizações com menos de 250 trabalhadores (artigo 30.º, n.º 5), mas não se aplica quando o tratamento não é ocasional, é suscetível de implicar um risco ou abrange categorias especiais de dados. Enviar vídeos a clientes todas as semanas dificilmente é ocasional, por isso, para a maioria das agências, uma entrada curta no registo é a opção segura. A UE propôs simplificar esta regra para empresas mais pequenas, e o CEPD e a AEPD (Autoridade Europeia para a Proteção de Dados) deram parecer sobre essa proposta em 2025, por isso confirme o texto em vigor antes de contar com a exceção.

Uma entrada para vídeos de clientes pode ter cinco linhas: o que grava, porquê, que ferramenta guarda as cópias partilhadas e onde, quem recebe os links e quanto tempo as cópias ficam online.

Quanto tempo pode guardar as cópias partilhadas

O princípio da limitação da conservação do RGPD diz que os dados pessoais devem ser «conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados» (artigo 5.º, n.º 1, alínea e)).

Num vídeo de feedback, a finalidade está cumprida quando o cliente o viu e respondeu. Mantê-lo online durante anos não serve essa finalidade. Os links que expiram, ou uma regra de conservação que apaga os vídeos antigos, põem este princípio em prática sem que ninguém tenha de se lembrar. Explicamos o lado do dia a dia em porque os links de vídeo que expiram são mais seguros.

Dados na UE vs transferências

Guardar os dados dentro da UE (ou do Espaço Económico Europeu, mais alargado) mantém-no dentro das regras normais do RGPD. Enviá-los para um país fora da UE é uma transferência, e o capítulo V do RGPD só a permite em condições específicas (artigo 44.º):

• uma decisão de adequação da Comissão Europeia para esse país (artigo 45.º). Para os Estados Unidos, a Comissão adotou uma para o Quadro de Privacidade de Dados UE-EUA a 10 de julho de 2023, que abrange as empresas que nele participam;
• garantias adequadas (artigo 46.º), na maioria das vezes as cláusulas contratuais-tipo adotadas pela Comissão.

Por isso, uma ferramenta sediada nos EUA não fica automaticamente excluída, mas precisa de saber em que mecanismo se baseia e de o incluir no seu registo. Uma ferramenta que guarda as cópias partilhadas na UE elimina esse passo para o próprio alojamento. Verifique também os seus subcontratantes: a transcrição e as funcionalidades de IA são muitas vezes o ponto por onde os dados saem da região.

O que uma agência deve fazer na prática

Se está a montar um fluxo de vídeo de raiz, o nosso guia sobre comunicação assíncrona com clientes por vídeo cobre o lado prático, e a nossa página sobre gravação de ecrã para agências mostra como o JustRec se encaixa numa equipa.

Onde entra o JustRec

Construímos o JustRec para que a parte do RGPD dê menos trabalho, não para que a possa saltar. O seu papel e o seu registo continuam a ser trabalho seu; alguns dos passos acima ficam mais curtos.