Guia de governança de dados do concessionário e RGPD

1. Inventarie as finalidades antes dos sistemas

A mesma pessoa pode ser um lead, um comprador, um mutuário, um utilizador do veículo, um cliente de assistência, um reclamante ou um colaborador. O mesmo VIN pode surgir na avaliação, no registo, no financiamento, no seguro, na garantia, na reparação, na assistência em viagem e nos serviços conectados. Um inventário de sistemas por si só não mostra se a reutilização é lícita ou esperada.

Crie um mapa de tratamentos por finalidade. Para cada atividade, registe os titulares dos dados, as categorias, a origem, a base jurídica, os destinatários, as transferências, a conservação, a segurança, as decisões automatizadas e o responsável. Associe-o ao registo de atividades do artigo 30.º quando aplicável. Distinga os dados necessários para executar um contrato dos dados opcionais de marketing e análise. Não agrupe finalidades distintas num único consentimento.

O RGPD exige licitude, lealdade e transparência; limitação da finalidade; minimização; exatidão; limitação da conservação; segurança; e responsabilização. [1] Estes princípios não são requisitos meramente documentais. Devem determinar quais os campos do CRM obrigatórios, que papéis podem exportar uma lista de clientes e quando os dados de leads obsoletos são eliminados.

2. Classifique os dados de clientes e veículos consoante o contexto

Os nomes, os endereços de e-mail pessoais, os números de telefone, as assinaturas e os dados financeiros são claramente dados pessoais. Os dados do veículo exigem uma análise contextual. Um VIN, uma matrícula, um rasto de localização, um padrão de condução, um histórico de assistência ou um identificador do veículo podem relacionar-se com um proprietário, detentor, condutor ou passageiro identificável. A pseudonimização reduz o risco, mas não retira necessariamente os dados do âmbito do RGPD se a reidentificação permanecer possível.

As orientações do Comité Europeu para a Proteção de Dados (CEPD) sobre veículos conectados sublinham que grande parte dos dados gerados pelo veículo são dados pessoais e destacam a localização, os dados biométricos e os dados relacionados com infrações como categorias particularmente sensíveis consoante o contexto. Favorecem o tratamento local sempre que possível e o controlo do utilizador sobre a recolha. [2]

Classifique os campos por sensibilidade e finalidade, não por aplicação. Um dado de registo pode ser comum num fluxo de trabalho e revelador quando combinado com outros. As notas de texto livre são especialmente arriscadas porque a equipa pode introduzir dados de saúde, família, finanças ou reclamações sem qualquer estrutura. Utilize avisos, formação e campos restritos para reduzir a recolha desnecessária.

3. Delimite os papéis entre concessionário, grupo, OEM e fornecedores

Um concessionário é frequentemente responsável pelo tratamento na atividade de venda e assistência, mas as relações variam. Um OEM pode ser responsável independente pela garantia ou pelos serviços conectados, corresponsável de uma campanha definida em conjunto, ou receber dados ao abrigo de outro acordo definido. Um fornecedor de DMS atua normalmente como subcontratante dos dados alojados do concessionário, mas pode ser responsável pela administração da sua própria conta ou pelos seus registos de segurança.

Não copie uma designação de papel de um contrato sem a confrontar com a realidade. Pergunte quem decide a finalidade e os meios essenciais, quem responde aos pedidos de direitos, quem notifica quem em caso de violação, que subcontratantes estão envolvidos e se os dados são utilizados para treinar modelos ou comparar clientes. Documente o fundamento de cada partilha e a minimização de dados em cada interface.

O acesso a dados de veículos conectados cruza-se agora também com a Data Act da UE. As orientações não vinculativas de 2025 da Comissão Europeia para o setor automóvel explicam como os conceitos da Data Act se aplicam aos dados do veículo, sublinhando ao mesmo tempo que o RGPD continua a aplicar-se aos dados pessoais. [3] Um direito de acesso ou de partilha de dados do produto não é uma autorização geral para ignorar o direito da privacidade.

4. Conceba a base jurídica e a transparência ao longo do percurso

Esta tabela é um ponto de partida, não uma determinação jurídica. As regras de privacidade eletrónica e de marketing direto variam consoante o canal e a transposição nacional. O consentimento tem de ser livre, específico, informado, inequívoco e revogável. Os interesses legítimos exigem avaliações de finalidade, necessidade e ponderação.

Disponibilize avisos em camadas nos momentos relevantes, e não apenas uma página de privacidade remota. Explique o tratamento essencial na consulta, no test-drive, na compra, na assistência e na ligação à aplicação. Facilite a alteração das preferências e propague a revogação a todos os sistemas de campanhas relevantes.

5. Controle a identidade, a exatidão, o acesso e a conservação

A conciliação de clientes ajuda à continuidade, mas também pode combinar incorretamente duas pessoas. Utilize identificadores verificados, níveis de confiança, revisão para fusões de maior impacto e um registo de auditoria reversível. Preserve a informação sobre que fonte forneceu cada valor. Um concessionário deve conseguir explicar por que motivo uma pessoa recebeu uma mensagem e corrigir rapidamente uma alteração de titularidade.

Implemente o acesso baseado em papéis e a segregação de funções. Um vendedor pode precisar do contacto atual e do contexto do negócio, não de exportações sem restrições nem de dados de processamento salarial. Os relatórios de grupo podem precisar de dados agregados por sucursal em vez de detalhe ao nível do cliente. Reveja os papéis privilegiados e as contas inativas. Registe o acesso a conjuntos de dados de alto risco e investigue exportações em massa.

Defina a conservação por registo e finalidade. Os documentos fiscais, os contratos, a evidência de garantia, os leads sem sucesso, as gravações de chamadas, os dados de localização e as amostras de treino de modelos precisam de prazos diferentes. Tenha em conta os prazos de prescrição e as retenções legais, e só depois elimine ou anonimize. Teste as cópias de segurança e as integrações a jusante para que uma eliminação na interface não seja meramente cosmética.

6. Operacionalize os direitos, as AIPD e os incidentes

Construa um processo de receção verificado para os pedidos de acesso, retificação, apagamento, limitação, oposição e portabilidade. Procure por identificadores de cliente e de veículo nos sistemas de CRM, DMS, chamadas, documentos e marketing. Reveja os dados de terceiros e os direitos de outras pessoas antes da divulgação. Registe a decisão e a data de resposta.

Utilize uma avaliação de impacto sobre a proteção de dados quando o tratamento seja suscetível de criar um risco elevado, em especial a monitorização sistemática, novos dados conectados ou decisões automatizadas significativas. Uma AIPD deve influenciar o desenho antes do lançamento. Não é um formulário de aprovação retrospetiva.

Prepare o triagem de violações de segurança. A equipa deve reconhecer faturas mal direcionadas, exportações expostas, comprometimento de contas e ransomware como possíveis incidentes de dados pessoais. Recolha os factos rapidamente, contenha o acesso, preserve as evidências e apoie a avaliação do responsável sobre as obrigações de notificação. O RGPD estabelece um prazo de notificação à autoridade de controlo de 72 horas quando o limiar de risco aplicável é atingido. [1]

Onde a Omnetic se encaixa

Os módulos documentados da Omnetic trazem o contexto de cliente, veículo, negócio, comunicação, inspeção, stock e preço para os fluxos de trabalho operacionais. Essa continuidade pode favorecer a exatidão, a visibilidade da origem e menos passagens sem controlo. Por si só, não estabelece a conformidade com o RGPD.

Os concessionários devem perguntar à Omnetic sobre os papéis de responsável e subcontratante, a localização dos dados, os subcontratantes, o comportamento de conservação e eliminação, os controlos de acesso, os registos de auditoria, o apoio à exportação, as condições em caso de incidente e os detalhes do tratamento com IA. O país, o pacote e as opções de implementação podem alterar a resposta.