RGPD nas Redes Sociais: O Que a Tua PME Pode e Não Pode Fazer com Contactos

Uma PME pode guardar e usar contactos de clientes nas redes sociais, mas só se tiver uma base legal clara, como o consentimento, e disser para que serve cada dado. Não pode comprar listas, enviar mensagens sem autorização nem guardar contactos para sempre sem motivo. Multas da CNPD existem e podem ser pesadas.

Se tens uma página no Instagram ou no Facebook, já guardas dados sem dares por isso. Nomes nos comentários. Números de telemóvel nas DMs. Emails em formulários de leads. Tudo isso é dado pessoal e o RGPD aplica-se, mesmo que a tua empresa tenha três pessoas.

A boa notícia é que cumprir o RGPD não exige um advogado a tempo inteiro. Exige hábitos simples, feitos desde o início. Vamos ver o que podes fazer, o que não podes, e como organizar os contactos sem medo de uma coima.

O que o RGPD exige a uma PME nas redes sociais

O Regulamento Geral de Proteção de Dados aplica-se a qualquer empresa que recolha dados de pessoas na União Europeia, independentemente do tamanho. Uma loja com uma página no Facebook está tão sujeita às regras como uma grande cadeia.

O princípio central é simples: só podes usar um dado para o fim que a pessoa autorizou. Se alguém te deu o número para marcar uma consulta, não podes usar esse número para enviar promoções sem perguntar primeiro.

A CNPD é a entidade responsável por fiscalizar o cumprimento em Portugal. Recebe queixas, investiga empresas e pode aplicar coimas. Não precisas de ser multinacional para receber uma visita.

As quatro bases legais mais comuns para uma PME

Há várias bases legais no RGPD, mas uma PME nas redes sociais trabalha normalmente com três ou quatro:

1. Consentimento: a pessoa autoriza de forma clara e específica.
2. Execução de contrato: precisas do dado para prestar o serviço contratado.
3. Interesse legítimo: usas o dado de forma razoável e esperada pelo cliente.
4. Obrigação legal: a lei obriga-te a guardar certos dados, como faturas.

Na maior parte das ações de marketing, como enviar uma newsletter ou mensagens promocionais, a base legal é o consentimento. Sem ele, não tens cobertura.

O que podes fazer com contactos de redes sociais

Há muito espaço para trabalhar contactos de forma legal e eficaz. O segredo está em pedir, explicar e documentar.

Podes guardar o email de alguém que preencheu um formulário a pedir um orçamento. Podes guardar o número de telemóvel de quem iniciou conversa no WhatsApp Business para marcar um serviço. Podes usar esses dados para responder à pessoa e dar seguimento ao pedido dela.

Também podes pedir consentimento explícito para enviar comunicações futuras, como novidades ou promoções. Uma caixa de checkbox separada, nunca pré-marcada, resolve isto numa landing page ou num formulário do Instagram.

Se queres organizar este processo de forma mais estruturada, o artigo sobre email marketing em 60 minutos explica como criar uma lista de contactos limpa desde o primeiro dia.

Usar o WhatsApp e o Instagram para pedidos de clientes

O WhatsApp Business e as DMs do Instagram são ótimos canais para conversas comerciais, desde que a iniciativa de contacto seja clara. Se um cliente escreve primeiro, podes responder e dar seguimento ao pedido sem pedir consentimento extra para essa conversa pontual.

O problema surge quando guardas esse número para campanhas futuras sem avisar. Aí precisas de consentimento separado. Se usas automações, como descrito no artigo sobre DMs automáticas com ManyChat, vale a pena rever o fluxo e confirmar onde pedes essa autorização.

O que uma PME não pode fazer com contactos

Guardar um contacto não te dá o direito de o usar para tudo. Dá-te o direito de o usar para aquilo que a pessoa autorizou.

Há práticas comuns que parecem inofensivas mas violam o RGPD diretamente. Vale a pena conhecê-las para evitar problemas.

• Comprar ou trocar listas de contactos com outras empresas sem consentimento de cada pessoa.
• Adicionar números de telemóvel a grupos de WhatsApp promocionais sem autorização prévia.
• Enviar mensagens de marketing a quem só contactou para uma questão pontual, sem pedir consentimento separado.
• Guardar dados de clientes antigos indefinidamente, sem motivo nem prazo definido.
• Partilhar listas de contactos com fornecedores externos sem contrato de tratamento de dados.

Um erro frequente em PMEs portuguesas é exportar seguidores do Instagram para uma lista de WhatsApp sem perguntar. Isto é tratamento de dados sem base legal e pode gerar queixa junto da CNPD.

O direito ao esquecimento também existe nas redes sociais

Qualquer pessoa pode pedir que apagues os dados dela da tua base de contactos. Tens de responder a esse pedido e remover o contacto, salvo obrigação legal de guardar (como faturas).

Isto significa ter um processo simples: alguém pede para sair da lista, tu confirmas e apagas. Não precisa de ser complicado, mas precisa de existir.

Como organizar os contactos sem complicar a vida

Não precisas de um sistema caro para cumprir o RGPD. Precisas de disciplina e de três passos simples.

1. Define para que serve cada lista de contactos antes de a criares.
2. Pede consentimento explícito sempre que uses dados para marketing.
3. Revê a lista de tempos a tempos e remove quem já não interage ou pediu para sair.

Se vendes através de funis de redes sociais, o artigo sobre funil de vendas nas redes sociais mostra como recolher contactos de forma estruturada, já com o consentimento integrado no processo.

Na Social Cabin Agency ajudamos PMEs portuguesas a organizar os canais de contacto com clientes de forma clara e dentro da lei. Como agência de marketing digital em Portugal, vemos este tema surgir sempre que uma empresa quer crescer com WhatsApp, email ou DMs, e a base legal certa evita problemas mais tarde.

Perguntas frequentes

Preciso de consentimento para responder a uma mensagem no Instagram?

Não. Se alguém te escreve primeiro para fazer uma pergunta ou pedido, podes responder sem pedir consentimento extra. O consentimento só é necessário se quiseres usar esse contacto depois para enviar marketing.

Posso adicionar clientes antigos a um grupo de WhatsApp da loja?

Só se tiveres o consentimento explícito de cada pessoa para esse fim específico. Adicionar alguém sem perguntar é tratamento de dados sem base legal e pode gerar queixa junto da CNPD.

Quanto tempo posso guardar os contactos de clientes?

Deves definir um prazo claro, ligado à finalidade do tratamento. Se não há interação nem base legal para manter o contacto, deves apagá-lo ou pedir novo consentimento.

O RGPD aplica-se a uma empresa com dois ou três trabalhadores?

Sim. O tamanho da empresa não isenta do cumprimento do RGPD. Qualquer negócio que trate dados pessoais de clientes em Portugal está sujeito às mesmas regras e à fiscalização da CNPD.