O que o RGPD muda na prática para quem usa CRM
Para uma PME que usa CRM e email marketing, o RGPD impõe três obrigações centrais: ter uma base legal documentada para cada tipo de tratamento, registar e manter prova do consentimento quando este é a base escolhida, e permitir que qualquer titular dos dados exerça os seus direitos sem fricção desnecessária.
Antes do RGPD, era comum importar listas de contactos sem rastrear a origem, enviar newsletters para toda a base de clientes sem distinção, ou guardar dados indefinidamente em fichas de CRM. Hoje, cada uma dessas práticas pode gerar coimas da CNPD — que em Portugal chegam a 20 milhões de euros ou 4 % do volume de negócios global anual para as infrações mais graves.
Os pontos de atenção mais frequentes numa PME:
- Importação de base de dados legada — contactos exportados de sistemas antigos sem registo da fonte ou do consentimento original.
- Formulários de captura de leads — campos de opt-in mal configurados ou pré-selecionados.
- Integrações site → CRM — dados passam automaticamente para o CRM sem que o utilizador saiba exatamente o que aceita.
- Retenção ilimitada — registos de clientes inativos mantidos no CRM sem política de expiração.
- Acesso excessivo — toda a equipa vê todos os dados de clientes, incluindo campos sensíveis.
As seis bases legais e qual usar em cada caso
O RGPD prevê seis bases legais; para PME em contexto de CRM e email marketing, as mais relevantes são consentimento, interesse legítimo e execução de contrato — cada uma com requisitos e limitações distintos.
| Base legal | Quando usar | Limitações |
|---|---|---|
| Consentimento | Newsletter, promoções, remarketing, partilha com terceiros | Revogável a qualquer momento; precisa de prova |
| Execução de contrato | Processar pedido, emitir fatura, entregar serviço | Só cobre dados estritamente necessários ao contrato |
| Interesse legítimo | Email marketing B2B a clientes existentes, prevenção de fraude | Requer teste de equilíbrio documentado (balancing test) |
| Obrigação legal | Retenção fiscal de faturas, comunicações à Autoridade Tributária | Não pode ser usado para marketing |
| Interesse vital | Emergências médicas | Não aplicável em CRM comercial |
| Tarefa de interesse público | Entidades públicas | Não aplicável à maioria das PME |
Regra prática: não misture bases legais para a mesma finalidade. Se escolheu consentimento para enviar newsletters, não invoque depois o interesse legítimo quando o utilizador revoga. O sistema de CRM deve registar qual base legal se aplica a cada contacto e finalidade.
Consentimento válido segundo a CNPD: requisitos concretos
O consentimento válido para a CNPD tem de ser livre, específico, informado e inequívoco — o que na prática proíbe checkboxes pré-selecionadas, consentimentos em bloco e a ausência de mecanismo de revogação tão simples quanto a subscrição.
A CNPD alinha-se com as orientações do Comité Europeu de Proteção de Dados (CEPD). Para email marketing, os requisitos concretos são:
- Ação afirmativa clara — o utilizador marca a caixa por vontade própria. Nunca pré-selecionada.
- Separação por finalidade — um checkbox para newsletter, outro para partilha com parceiros comerciais, outro para perfilagem.
- Linguagem simples — "Aceito receber emails sobre promoções da [Empresa]" é suficiente; parágrafos jurídicos em rodapé não substituem a clareza.
- Timestamp e prova — o sistema deve guardar data, hora, versão da política de privacidade e IP (ou identificador de sessão) no momento do opt-in.
- Revogação fácil — link de unsubscribe em todos os emails; prazo de processamento máximo recomendado: 10 dias úteis.
- Sem penalização — recusar o consentimento não pode bloquear o acesso ao serviço principal.
O que o CRM precisa de registar
Em projetos típicos de configuração de CRM, cria-se um campo personalizado na ficha do contacto para cada finalidade de marketing:
Email marketing — consentimento: sim/não + dataPerfil comportamental: sim/não + dataPartilha com parceiros: sim/não + data
Este registo transforma-se na prova auditável exigida em caso de fiscalização.
Interesse legítimo no email marketing B2B: quando se aplica
O interesse legítimo é uma base válida para contactar clientes B2B existentes com comunicações relacionadas com produtos ou serviços semelhantes aos que adquiriram — mas exige um teste de equilíbrio documentado e opt-out imediato disponível.
A chamada "regra do cliente existente" (soft opt-in) é reconhecida no artigo 13.º da Lei n.º 41/2004 (transposta para Portugal) e alinhada com o artigo 6.º(1)(f) do RGPD. Para se aplicar:
- O destinatário é uma pessoa coletiva ou um profissional contactado no âmbito da sua atividade profissional.
- A comunicação refere-se a produtos/serviços da mesma categoria da compra anterior.
- Existe opt-out claro em cada mensagem.
- Foi realizado e documentado o balancing test — análise de que o interesse da empresa não prevalece indevidamente sobre os direitos do titular.
Quando o interesse legítimo NÃO funciona:
- Contactos B2C comprados em listas de terceiros.
- Comunicações sobre produtos de categorias completamente diferentes.
- Destinatários que já manifestaram oposição.
- Dados de categorias especiais (saúde, origem racial, convicções políticas, etc.).
Como configurar o CRM para cumprir o RGPD
Um CRM em conformidade com o RGPD precisa de controlo de acesso baseado em funções, campos de registo de consentimento por finalidade, política de retenção automática e integração com formulários que transmitam a base legal junto com o lead.
Com base em projetos típicos de implementação de CRM, as configurações mínimas recomendadas são:
Controlo de acesso (matriz de permissões)
- Segmentar permissões por departamento: comercial, marketing, suporte, contabilidade.
- Restringir exportação de dados a funções específicas — não toda a equipa deve poder fazer download da base de contactos.
- Registar logs de acesso e alterações em campos sensíveis.
Formulários e captura de leads
Nas integrações site → CRM, cada formulário de captura deve:
- Transmitir o campo de consentimento (sim/não por finalidade) para a ficha do lead.
- Passar a fonte (URL, campanha UTM) para rastrear a origem do dado.
- Incluir link para a política de privacidade na versão vigente.
Em projetos de integração, é comum configurar até 5 formulários de captura com mapeamento de campos de consentimento para o CRM — incluindo UTM source, medium e campaign para análise de origem.
Política de retenção
| Tipo de dado | Retenção recomendada | Ação após expiração |
|---|---|---|
| Lead sem conversão | 12 meses | Anonimizar ou apagar |
| Cliente ativo | Duração do contrato + obrigação legal | Arquivar dados mínimos |
| Ex-cliente (B2C) | 3 anos após última transação | Apagar dados de marketing; manter dados fiscais |
| Dados de saúde / sensíveis | Conforme legislação setorial | Revisão caso a caso |
Cláusula de subcontratante (DPA)
Se o CRM é gerido por um fornecedor externo (cloud), é obrigatório celebrar um Data Processing Agreement (DPA) com esse fornecedor. Verifique se o servidor de dados está localizado na UE ou se existem garantias adequadas (Cláusulas Contratuais Padrão) para transferências internacionais.
Para PME que precisam de máxima soberania sobre os dados, a opção self-hosted elimina a dependência de servidores de terceiros — veja o artigo CRM em Conformidade com LGPD/GDPR: Por Que Bitrix24 Self-Hosted Vence para uma análise detalhada.
Direito ao apagamento e gestão de pedidos no CRM
O direito ao apagamento (artigo 17.º do RGPD) obriga a eliminar os dados do titular quando este o solicita e não existe base legal alternativa — o CRM deve ter um fluxo documentado que garanta resposta em até 30 dias corridos.
Os direitos dos titulares que o CRM deve suportar operacionalmente:
- Acesso — fornecer cópia dos dados em formato legível (CSV, PDF).
- Retificação — corrigir dados incorretos imediatamente.
- Apagamento — eliminar ou anonimizar; atenção a registos fiscais que têm obrigação de retenção legal.
- Oposição — bloquear imediatamente o uso para marketing direto.
- Portabilidade — exportar dados em formato estruturado.
- Limitação do tratamento — "congelar" o perfil sem apagar, durante uma disputa.
Fluxo mínimo recomendado
- Pedido recebido por email ou formulário específico → criado automaticamente um ticket/tarefa no CRM.
- Verificação de identidade do titular (máx. 3 dias úteis).
- Análise: existe base legal alternativa (contrato, obrigação legal) que justifique manter algum dado?
- Execução: apagar campos de marketing, anonimizar ou exportar conforme solicitado.
- Resposta ao titular com confirmação (máx. 30 dias a partir do pedido).
- Registo do pedido e da ação tomada — guardado por 5 anos para efeitos de auditoria.
Com um CRM bem configurado, as automações (robôs e fluxos de trabalho) podem criar e atribuir estas tarefas automaticamente quando o pedido entra por um canal definido, reduzindo o risco de incumprimento por esquecimento.
Fluxo de consentimento do lead ao cliente: diagrama
O diagrama abaixo ilustra como o consentimento e a base legal circulam desde o primeiro contacto até ao relacionamento pós-venda, passando pelo CRM. Em cada etapa existe uma decisão sobre qual base legal se aplica; se nenhuma for válida, os dados não devem ser tratados para aquela finalidade.
flowchart TD
A[Visitante preenche formulário no site] --> B{Checkbox de\nconsentimento marcado?}
B -- Sim --> C[Lead criado no CRM\ncom campo: consentimento=sim\ndata + fonte UTM]
B -- Não --> D[Lead criado sem\npermissão de marketing\nbase: interesse legítimo\nse B2B, ou nenhuma]
C --> E[Email marketing\ncom unsubscribe em cada envio]
D --> F{É cliente B2B\nexistente?}
F -- Sim --> G[Soft opt-in válido\ncom opt-out imediato]
F -- Não --> H[Sem envio\nde marketing]
E --> I{Pedido de\napagamento?}
G --> I
I -- Sim --> J[Tarefa automática\nno CRM: apagar dados\nde marketing em 30 dias]
I -- Não --> K[Dados retidos\nconforme política\nde retenção]
J --> L[Registo da ação\nguardado 5 anos]
Nota: equivalências com a LGPD no Brasil
A LGPD brasileira (Lei 13.709/2018) segue estrutura semelhante ao RGPD — base legal, consentimento, direitos dos titulares e autoridade de controlo (ANPD) — pelo que as boas práticas descritas neste artigo são diretamente aplicáveis a empresas que operam nos dois mercados.
Principais equivalências:
| RGPD (UE/Portugal) | LGPD (Brasil) | Observação |
|---|---|---|
| CNPD (Portugal) | ANPD | Autoridades nacionais |
| Consentimento (art. 6.º) | Consentimento (art. 7.º, I) | Requisitos praticamente idênticos |
| Interesse legítimo (art. 6.º/f) | Legítimo interesse (art. 7.º, IX) | LGPD exige proporcionalidade |
| DPO obrigatório (>250 trab.) | Encarregado (qualquer empresa) | LGPD é mais ampla na obrigação |
| Direito ao apagamento | Eliminação (art. 18.º, VI) | Idêntico na prática |
| Prazo de resposta: 30 dias | Prazo: 15 dias | LGPD é mais curto |
Para empresas que operam em Portugal e no Brasil em simultâneo, a configuração do CRM com campos de consentimento por finalidade e política de retenção documentada serve ambas as legislações com ajuste mínimo de prazos e terminologia.
Para uma análise mais aprofundada sobre arquitetura de CRM segura e soberania de dados, consulte também CRM Self-Hosted: Por Que Escolher Bitrix24 On-Premise para Soberania de Dados e Bitrix24 Self-Hosted vs Nuvem: Análise TCO Completa de 3 Anos.