O que o RGPD significa para o teu email — e o que não cobre

O que o RGPD exige

Na sua essência, o RGPD estabelece que os dados pessoais devem ser recolhidos para uma finalidade específica, utilizados apenas para essa finalidade, protegidos com cuidado razoável e eliminados quando deixarem de ser necessários.

No caso concreto do email, isto traduz-se em algumas exigências práticas. Os dados devem residir em locais definidos e protegidos. O acesso deve ser controlado e registado. Quando um utilizador ou uma organização pede a eliminação, essa eliminação deve ser efetiva — e não uma simples marca numa base de dados, enquanto o conteúdo real persiste durante anos.

Este último ponto importa mais do que parece. A eliminação verdadeira significa que a base de dados processa o apagamento e que as cópias de segurança expiram segundo um calendário definido. Não é complicado, mas exige intenção.

Onde «conforme» se torna complicado

O RGPD trata de proteção de dados. Não proíbe um fornecedor de utilizar os teus dados dentro dos seus próprios sistemas, desde que isso esteja divulgado nos termos de serviço. Um fornecedor pode estar plenamente conforme com o RGPD e ainda assim utilizar o conteúdo dos emails para treinar modelos internos, melhorar sistemas de filtragem ou orientar decisões de produto.

A maioria das pessoas não lê os termos em detalhe. A maioria assume que «conforme» significa que a sua correspondência é tratada como privada. Essas duas coisas nem sempre coincidem.

O RGPD na comunicação por email é diferente

A maior parte da discussão sobre o RGPD foca-se no consentimento — a pessoa concordou em receber este email, concordou que os seus dados fossem tratados. Mas a correspondência empresarial habitual funciona de outra forma. Quando um fornecedor te envia um orçamento por email, quando um cliente envia um briefing, quando um colega encaminha um documento — ninguém assinou nada. Ninguém deu o seu consentimento.

O conteúdo do email é dado pessoal ao abrigo do RGPD. Nomes, endereços de email, anexos, conversas sobre pessoas — tudo isto se enquadra na definição do regulamento. O nome do remetente está no cabeçalho. As palavras estão no corpo. As pessoas enviam palavras-passe, credenciais de acesso, contratos, dados financeiros — sem pensar duas vezes onde esse conteúdo acaba por ficar. Ao abrigo do RGPD, qualquer dado que possa, isoladamente ou em conjugação, ser usado para identificar uma pessoa qualifica-se como tal. Um tópico de email qualifica-se facilmente.

Então, que fundamento legal cobre o destinatário ao armazenar e tratar essa mensagem? O RGPD exige um fundamento lícito para qualquer tratamento. O mais frequentemente invocado para correspondência empresarial recebida é o «interesse legítimo» — a ideia de que existe uma relação relevante e proporcional entre as partes. Por outras palavras: recebeste um email no decurso da atividade, armazená-lo é razoável. É este o fundamento em que a maioria das organizações se apoia, saibam-no ou não.

Algumas organizações tentam contornar a falta de qualquer acordo com um aviso no rodapé — uma linha a indicar que a mensagem se destina apenas ao destinatário identificado e que qualquer utilização não autorizada é proibida. Esses avisos não criam uma obrigação legal. São acrescentados pelo remetente depois de a mensagem já ter saído do seu controlo, chegando a uma infraestrutura com a qual não tem qualquer acordo. Podem sinalizar uma intenção, mas não vinculam ninguém. E, para além da questão legal, há uma questão prática: a expectativa implícita de privacidade na correspondência é real, independentemente do que quaisquer termos permitam. Quando essa expectativa é quebrada — por um fornecedor, intencionalmente ou não — o dano à confiança tende a ser permanente.

Como pensamos nisto no Grace Mail

Desenhámos o Grace Mail em torno de um princípio que vai além dos mínimos regulamentares. Os teus dados não devem ser legíveis, utilizáveis ou acessíveis a ninguém fora da tua organização, incluindo nós.

Na prática, isso significa uma instância dedicada por cliente — o teu servidor, os teus dados, sem infraestrutura partilhada. Significa cifragem aplicada de forma agressiva, minimizando o tempo em que qualquer conteúdo existe fora do armazenamento cifrado. Significa eliminação efetiva quando solicitada e cópias de segurança que expiram segundo um calendário definido. E significa um cliente de email personalizado, em desenvolvimento, que coloca as chaves de cifragem diretamente nas mãos dos utilizadores para reforçar ainda mais a segurança.

Nada disto é exigido pelo RGPD. Achamos que deveria ser o mínimo, independentemente disso.

Na improvável hipótese de algo correr mal, o modelo de instância dedicada garante que a exposição fica contida a uma única organização. Não milhões de caixas de correio. Uma.

A nossa recomendação

O email raramente é revisto até que algo o obrigue. Funciona, por isso fica. Mas a aplicação do RGPD está a amadurecer, o treino de IA com dados de comunicação já não é uma preocupação de nicho, e as empresas que tratam a privacidade como algo secundário estão cada vez mais visíveis — e cada vez mais responsabilizadas. Vale a pena perguntar às tuas equipas jurídicas e técnicas como é que o teu email é efetivamente tratado, onde reside, e o que os termos do teu fornecedor lhe permitem fazer com ele.