O Que o RGPD Significa Para o Teu Email — e o Que Não Abrange

O Que o RGPD Exige

Na sua essência, o RGPD estabelece que os dados pessoais devem ser recolhidos para uma finalidade específica, utilizados apenas para essa finalidade, protegidos com cuidado razoável e eliminados quando deixarem de ser necessários.

No caso do email, isto traduz-se em algumas exigências práticas. Os dados devem residir em locais definidos e protegidos. O acesso deve ser controlado e registado. Quando um utilizador ou organização pede a eliminação, essa eliminação tem de ser real — não uma simples marcação numa base de dados enquanto o conteúdo permanece intacto durante anos.

Este último ponto é mais relevante do que parece. Eliminação verdadeira significa que a base de dados processa a eliminação e que as cópias de segurança expiram dentro de um prazo definido. Não é complicado, mas exige intenção.

Onde «Conforme» Se Torna Ambíguo

O RGPD trata da proteção de dados. Não proíbe que um fornecedor utilize os teus dados nos seus próprios sistemas, desde que isso esteja divulgado nos termos do serviço. Um fornecedor pode estar plenamente em conformidade com o RGPD e, ainda assim, usar o conteúdo do email para treinar modelos internos, melhorar sistemas de filtragem ou fundamentar decisões de produto.

A maioria das pessoas não lê os termos em detalhe. A maioria assume que «conforme» significa que a sua correspondência é tratada como privada. Essas duas coisas nem sempre coincidem.

O RGPD na Comunicação por Email é Diferente

Grande parte do debate sobre o RGPD foca-se no consentimento — se a pessoa concordou em receber aquele email, se aceitou o tratamento dos seus dados. Mas a correspondência empresarial habitual funciona de outra maneira. Quando um fornecedor te envia um orçamento, quando um cliente envia um briefing, quando um colega reencaminha um documento — ninguém assinou nada. Ninguém deu opt-in.

O conteúdo do email é dado pessoal ao abrigo do RGPD. Nomes, endereços de email, anexos, conversas sobre pessoas — tudo isto se enquadra na definição do regulamento. O nome do remetente está no cabeçalho. As suas palavras estão no corpo. As pessoas enviam palavras-passe, credenciais de acesso, contratos, detalhes financeiros — sem pensar duas vezes onde esse conteúdo realmente vai parar. Ao abrigo do RGPD, qualquer dado que possa ser usado isoladamente ou em combinação para identificar uma pessoa é abrangido. Uma cadeia de emails enquadra-se facilmente.

Então, que base legal cobre o destinatário ao armazenar e processar essa mensagem? O RGPD exige uma base lícita para qualquer tratamento. A mais frequentemente invocada para correspondência empresarial recebida é o «interesse legítimo» — a ideia de que existe uma relação relevante e proporcional entre as partes. Em termos simples: recebeste um email no decurso da atividade profissional, é razoável guardá-lo. É nesta base que a maior parte das organizações se apoia, saibam-no ou não.

Algumas organizações tentam compensar a ausência de qualquer acordo com um aviso no rodapé — uma linha a indicar que a mensagem se destina apenas ao destinatário identificado e que o uso não autorizado é proibido. Estes avisos não criam qualquer obrigação legal. São acrescentados pelo remetente depois de a mensagem já ter saído do seu controlo, chegando a uma infraestrutura com a qual não tem qualquer acordo. Podem sinalizar intenção, mas não vinculam ninguém. E para além da questão legal, há uma questão prática: a expectativa implícita de privacidade na correspondência é real, independentemente do que qualquer conjunto de termos permita. Quando essa expectativa é quebrada — por um fornecedor, intencionalmente ou não — o dano à confiança tende a ser permanente.

Como Pensamos Sobre Isto no Grace Mail

Desenhámos o Grace Mail em torno de um princípio que vai além dos mínimos regulamentares. Os teus dados não devem ser legíveis, utilizáveis nem acessíveis a ninguém fora da tua organização — incluindo nós.

Na prática, isto significa uma instância dedicada por cliente — o teu servidor, os teus dados, sem infraestrutura partilhada. Significa cifragem aplicada de forma agressiva, minimizando o tempo em que qualquer conteúdo existe fora de armazenamento cifrado. Significa eliminação real quando solicitada e cópias de segurança que expiram dentro de um prazo definido. E significa um cliente de email próprio em desenvolvimento, que coloca as chaves de cifragem diretamente nas mãos dos utilizadores para reforçar ainda mais a segurança.

Nada disto é exigido pelo RGPD. Achamos que devia ser o ponto de partida, mesmo assim.

No caso improvável de algo correr mal, o modelo de instância dedicada garante que a exposição fica contida a uma única organização. Não a milhões de caixas de correio. A uma.

A Nossa Recomendação

O email raramente é revisto até que algo o force. Funciona, por isso fica. Mas a fiscalização do RGPD está a amadurecer, o treino de IA com dados de comunicação deixou de ser uma preocupação de nicho, e as empresas que tratam a privacidade como uma reflexão tardia estão cada vez mais expostas — e cada vez mais responsabilizadas. Vale a pena perguntar às tuas equipas jurídica e técnica como é que o teu email é efetivamente processado, onde está alojado e o que os termos do teu fornecedor lhe permitem fazer com ele.