RGPD para igrejas: o guia prático da secretaria

O RGPD é a lei europeia de proteção de dados, e vale também para igrejas. O simples fato de uma pessoa constar no cadastro de uma igreja já indica uma convicção religiosa, um tipo de dado que a lei protege de forma especial. Este guia resume o essencial e não substitui a orientação de um jurista.

Por que o cadastro da igreja é um dado sensível

O artigo 9.º do RGPD proíbe, como regra, tratar dados que revelem convicções religiosas, e lista as exceções. Duas interessam à igreja: o consentimento explícito da pessoa e o tratamento feito por uma organização sem fins lucrativos de fim religioso, em relação aos seus membros, sem passar os dados a terceiros sem consentimento. Visitantes e contatos eventuais pedem atenção redobrada.

O que a igreja deve fazer

Definir quem é o responsável pelos dados na igreja.
Pedir só os dados que vai usar de verdade.
Registrar quando e como cada pessoa deu o consentimento.
Limitar quem acessa o quê: quem cuida da tesouraria não precisa ver todo o cadastro.
Guardar os dados num lugar seguro, e não em planilhas soltas ou grupos de mensagens.
Definir por quanto tempo guarda cada tipo de dado.
Ter contrato com quem trata os dados em nome da igreja, como o fornecedor do sistema.

Os direitos de cada pessoa

Qualquer pessoa pode pedir à igreja:

Uma cópia dos dados que a igreja guarda sobre ela.
A correção do que estiver errado.
O apagamento dos dados, respeitadas as obrigações legais de guarda.
A retirada do consentimento, com a mesma facilidade com que o deu.

Crianças e adolescentes

Quando o tratamento se baseia em consentimento, os dados de crianças dependem da autorização de quem tem a responsabilidade parental. A idade mínima para consentir em serviços online varia entre os países, de 13 a 16 anos. Na dúvida, registre a autorização do responsável.

E-mails e mensagens da igreja

Peça uma autorização própria, separada do cadastro, para enviar mensagens, e ofereça em cada envio um jeito simples de sair.

Se os dados vazarem

Um incidente que ponha pessoas em risco precisa ser comunicado à autoridade de proteção de dados em até 72 horas depois de a igreja tomar conhecimento. Quando o risco é alto, as próprias pessoas também devem ser avisadas.

Como o Atrium ajuda

No Atrium, os dados ficam na União Europeia. O cadastro registra o consentimento com data e forma, cada papel vê só o que lhe cabe, e a cópia e o apagamento dos dados de uma pessoa são feitos em poucos cliques.

Perguntas frequentes

O RGPD vale para igreja pequena?

Sim. O regulamento não isenta organizações pelo tamanho quando elas guardam dados de pessoas de forma organizada.

A igreja pode publicar a lista de aniversariantes?

Só com autorização das pessoas. Nome e data de nascimento são dados pessoais, e aparecer numa lista da igreja revela a ligação com ela.

Posso guardar os dados de membros numa planilha?

A lei não proíbe a ferramenta, mas exige segurança e controle de acesso, o que é difícil de garantir num arquivo solto.