Que dados pode pedir num formulário de marcação online (RGPD)?

Nome, contacto e serviço chegam para marcar; o resto tem de ter uma razão e uma informação ao cliente.

Legislação e obrigações

Resposta curta

  1. Para aceitar uma marcação, peça apenas o necessário: um nome, um meio de contacto e o serviço e horário pretendidos.
  2. O RGPD exige dados «adequados, pertinentes e limitados ao que é necessário» para a finalidade (art. 5.º, n.º 1, al. c)).
  3. Para esses dados mínimos, o fundamento habitual é a execução do que o cliente pediu (art. 6.º, n.º 1, al. b)); o consentimento é outro fundamento, não o único.
  4. Ao recolher os dados, tem de informar o cliente sobre quem é o responsável, para que os usa, durante quanto tempo e que direitos tem (art. 13.º).
  5. A página pública da 4appointments não tem caixa de consentimento nem campo para a sua política de privacidade: essa informação tem de ser dada por si, por outro meio.

Um formulário de marcação cresce depressa: começa com o nome e o telefone e acaba com a data de nascimento, a morada e «como nos conheceu». Cada campo a mais é um dado que tem de justificar, informar e, mais tarde, conservar ou apagar. Esta página explica a regra e dá um critério simples para decidir.

Dados necessários e dados a mais

O princípio da minimização pede que cada dado recolhido sirva a finalidade declarada. Numa marcação, a finalidade é reservar um horário e contactar o cliente se for preciso.

  • Normalmente necessários: nome, um meio de contacto (e-mail ou telefone), serviço, data e hora.
  • A pensar duas vezes: data de nascimento, morada, profissão, NIF e «como nos conheceu». Só os peça se precisar deles para um fim concreto, e no momento em que forem precisos.
  • A evitar num formulário aberto: tudo o que revele saúde, convicções ou outras categorias especiais de dados (ver a página sobre dados de saúde).

Contrato ou consentimento: qual é o fundamento?

O art. 6.º do RGPD enumera os fundamentos de licitude. A alínea a) é o consentimento; a alínea b) é o tratamento necessário para a execução de um contrato, ou para diligências pré-contratuais a pedido do titular.

Quem pede uma marcação pede, na prática, que o negócio trate os dados necessários para a realizar. É por isso que o consentimento não é, em regra, o ponto de partida para os dados mínimos. Já para finalidades adicionais, como enviar promoções, a base é outra: veja a página sobre lembretes e marketing.

O que informar quando recolhe os dados (art. 13.º)

Quando os dados são recolhidos junto do cliente, o responsável tem de dar, no momento da recolha, entre outras, estas informações:

  1. a identidade e os contactos do responsável pelo tratamento;
  2. as finalidades do tratamento e o fundamento jurídico;
  3. os destinatários dos dados, se os houver;
  4. o prazo de conservação, ou os critérios para o definir;
  5. a existência dos direitos de acesso, retificação, apagamento, limitação e oposição;
  6. o direito de apresentar reclamação a uma autoridade de controlo (em Portugal, a CNPD);
  7. se fornecer os dados é obrigatório ou necessário para celebrar o contrato, e o que acontece se o cliente não os fornecer.

Exemplo de aviso curto

Exemplo ilustrativo, a adaptar ao seu caso: «Os seus dados (nome e contacto) são tratados por [nome do negócio, morada e e-mail] para gerir a sua marcação e contactá-lo/a sobre ela. Guardamo-los durante [prazo definido por si]. Pode pedir acesso, retificação ou apagamento através de [e-mail]. Pode também reclamar junto da CNPD.»

Um aviso assim, visível antes de o cliente confirmar, cobre o essencial. O texto completo pode ficar na política de privacidade do seu site.

O que a 4appointments faz — e o que não faz

  • Faz: página pública de marcações com ligação própria, com nome, cor e logótipo do negócio (o logótipo indica-se por endereço).
  • Faz: formulário público que pede nome, e-mail, telefone e uma nota livre; o telefone não fica guardado (só o nome e o e-mail ficam na marcação) e a nota não aparece no calendário nem na lista de marcações do painel.
  • Faz: lista de clientes introduzida manualmente por si.
  • Não faz: permitir acrescentar perguntas ao formulário, nem retirar a nota, que existe sempre.
  • Não faz: caixa de consentimento no formulário, nem campo para ligação à política de privacidade.
  • Não faz: exportação ou apagamento de dados a pedido do titular. Pode eliminar um cliente da lista, mas as marcações já feitas mantêm o nome e o e-mail.
  • Na prática, o que está ao seu alcance é pedir pouco e informar fora da ferramenta: ponha o aviso de privacidade no seu site, junto da ligação para marcar, e diga aos clientes que não escrevam na nota dados sensíveis. Isto não garante, por si, que cumpre o RGPD.

Perguntas frequentes

Preciso de uma caixa de consentimento para aceitar uma marcação?+

Para os dados necessários à marcação, o RGPD admite o fundamento da execução do que o cliente pediu (art. 6.º, n.º 1, al. b)). O consentimento aplica-se a finalidades adicionais, como promoções. Informação geral, não substitui aconselhamento jurídico.

Posso pedir o NIF logo na marcação?+

Só se tiver uma razão concreta para o ter nesse momento. Pedir dados «por precaução» contraria o princípio da minimização do art. 5.º, n.º 1, al. c).

Um pequeno negócio tem de ter encarregado de proteção de dados?+

A Lei n.º 58/2019 (art. 13.º) liga essa obrigação a atividades que impliquem controlo regular e sistemático de titulares em grande escala, ou tratamento em grande escala de categorias especiais de dados. Avalie o seu caso à luz desse critério.

Fontes consultadas

Ver também

Uma página de marcações com poucos campos

Configure a página pública do seu negócio com poucos campos e mantenha o aviso de privacidade no seu site.

Ver planos