O que o RGPD significa para o teu email — e o que fica de fora

O que o RGPD exige

Na sua essência, o RGPD estabelece que os dados pessoais devem ser recolhidos para uma finalidade específica, utilizados apenas para essa finalidade, protegidos com cuidado razoável e eliminados quando deixam de ser necessários.

No caso concreto do email, isto traduz-se em algumas exigências práticas. Os dados devem residir em locais definidos e protegidos. O acesso deve ser controlado e registado. Quando um utilizador ou uma organização pede a eliminação, essa eliminação deve ser real — não uma simples marcação na base de dados enquanto o conteúdo verdadeiro persiste durante anos.

Este último ponto pesa mais do que parece. Eliminação verdadeira significa que a base de dados processa o delete e que as cópias de segurança expiram segundo um calendário definido. Não é complicado, mas exige intenção.

Onde a palavra «conforme» se complica

O RGPD trata da proteção de dados. Não proíbe que um fornecedor utilize os teus dados dentro dos seus próprios sistemas, desde que isso esteja divulgado nos termos do serviço. Um fornecedor pode estar inteiramente conforme com o RGPD e, mesmo assim, usar o conteúdo dos emails para treinar modelos internos, melhorar sistemas de filtragem ou orientar decisões de produto.

A maioria das pessoas não lê os termos ao detalhe. A maioria parte do princípio que «conforme» significa que a correspondência é tratada como privada. Nem sempre é a mesma coisa.

O RGPD na comunicação por email é diferente

Grande parte da discussão sobre o RGPD foca o consentimento — se a pessoa concordou em receber aquele email, se concordou com o tratamento dos seus dados. Mas a correspondência empresarial corrente funciona de outra forma. Quando um fornecedor envia um orçamento, quando um cliente envia um briefing, quando um colega reencaminha um documento — ninguém assinou nada. Ninguém deu consentimento prévio.

O conteúdo de um email constitui dado pessoal ao abrigo do RGPD. Nomes, endereços de email, anexos, conversas sobre pessoas — tudo cai dentro da definição do regulamento. O nome do remetente está no cabeçalho. As suas palavras estão no corpo. As pessoas enviam palavras-passe, credenciais de acesso, contratos, informação financeira — sem pensar duas vezes em onde aquele conteúdo vai efetivamente parar. Ao abrigo do RGPD, qualquer dado que possa, isoladamente ou em combinação, identificar uma pessoa é abrangido. Uma troca de emails entra nessa categoria sem dificuldade.

Então, que base legal cobre o armazenamento e o tratamento dessa mensagem pelo destinatário? O RGPD exige um fundamento lícito para qualquer tratamento. O mais frequentemente invocado para correspondência empresarial recebida é o «interesse legítimo» — a ideia de que existe uma relação pertinente e proporcionada entre as partes. Por outras palavras: recebeste um email no decurso da atividade profissional, é razoável guardá-lo. É esta a base em que a maioria das organizações se apoia, saiba-o ou não.

Algumas organizações tentam compensar a ausência de qualquer acordo com um aviso no rodapé — uma linha a declarar que a mensagem se destina apenas ao destinatário indicado e que qualquer utilização não autorizada é proibida. Esses avisos não criam obrigação legal. São acrescentados pelo remetente depois de a mensagem já ter saído do seu controlo, chegando a uma infraestrutura com a qual não tem qualquer acordo. Podem sinalizar intenção, mas não vinculam ninguém. E, para além da questão jurídica, há outra prática: a expectativa implícita de privacidade na correspondência é real, independentemente do que os termos permitam. Quando essa expectativa é quebrada — por um fornecedor, intencionalmente ou não — o dano à confiança costuma ser permanente.

Como pensamos nisto no Grace Mail

Desenhámos o Grace Mail em torno de um princípio que vai além do mínimo regulamentar. Os teus dados não devem ser legíveis, utilizáveis ou acessíveis a ninguém fora da tua organização, incluindo nós.

Na prática, isso significa uma instância dedicada por cliente — o teu servidor, os teus dados, sem infraestrutura partilhada. Significa cifragem aplicada de forma agressiva, minimizando o tempo em que qualquer conteúdo existe fora do armazenamento cifrado. Significa eliminação real quando é pedida e cópias de segurança que expiram segundo um calendário definido. E significa um cliente de email próprio, em desenvolvimento, que coloca as chaves de cifragem diretamente nas mãos dos utilizadores para reforçar ainda mais a segurança.

Nada disto é exigido pelo RGPD. Achamos que devia ser a fasquia mínima, de qualquer forma.

No improvável caso de algo correr mal, o modelo de instância dedicada faz com que a exposição fique contida a uma só organização. Não milhões de caixas de correio. Uma.

A nossa recomendação

O email raramente é reavaliado até que algo o obrigue. Funciona, então fica. Mas a aplicação do RGPD está a amadurecer, o treino de IA sobre dados de comunicação deixou de ser uma preocupação de nicho, e as empresas que tratam a privacidade como detalhe secundário estão cada vez mais visíveis — e cada vez mais responsabilizáveis. Vale a pena perguntares às tuas equipas jurídica e técnica como é que o teu email é, de facto, tratado, onde reside e o que é que os termos do teu fornecedor lhe permitem fazer com ele.