As tags NFC estão sujeitas às regras de proteção de dados?

O objeto raramente é o problema

Uma tag com um endereço, uma credencial de rede ou um texto sobre um produto não é um dado pessoal e não passa a ser só por estar numa tag.

Uma tag pode guardar dados pessoais, é claro, e então eles são dados pessoais num objeto que qualquer pessoa que o manuseie consegue ler, o que é um assunto à parte.

Se uma instalação está sujeita a um determinado conjunto de regras, qual deles se aplica e quais são os limiares, tudo isso depende inteiramente da jurisdição e da natureza do tratamento de dados. São a lei nacional e a sua própria assessoria jurídica, e não esta página, que têm autoridade sobre isso.

O que dá para dizer em geral é onde fica o risco, e ele não fica na tag.

Os dados guardados costumam ser o problema

Um identificador que pode ser associado a uma pessoa em geral é tratado como dado pessoal, mesmo quando o próprio identificador parece um número sem sentido.

Então o identificador de um crachá ao lado de um nome, um endereço por tag ao lado de uma sessão no site, ou um histórico de toques ao lado de uma conta são todos dados sobre pessoas.

O identificador de uma tag é exatamente esse tipo de valor. Sozinho, ele nomeia um objeto; associado a qualquer coisa sobre uma pessoa, ele nomeia a pessoa.

As instalações erram nisso por raciocinar sobre a tag, e não sobre a associação, e é na associação que a obrigação aparece.

Os casos que pegam as pessoas de surpresa

A presença e o acesso, em que um registro de quem esteve onde e quando é criado como efeito colateral do simples funcionamento do sistema.

Os endereços por tag numa instalação pública, que produzem dados de localização sobre os visitantes sem que ninguém tenha decidido coletar a localização.

Os sistemas voltados para funcionários, em que a relação de poder muda o que conta como consentimento e em que as obrigações costumam ser mais pesadas.

E a conservação dos dados, que é a falha que ninguém percebe: um sistema que guarda tudo porque a exclusão nunca foi definida.

O que fazer a respeito

Decida o que a instalação precisa registrar antes de construí-la, e registre isso, e não tudo o que a tecnologia deixa à disposição.

Anote por quanto tempo cada registro é guardado e o que o exclui, já que uma regra de conservação que só existe como intenção não existe.

Trate internamente os dados por tag como dados de localização, que é o enquadramento que produz decisões sensatas sem precisar de um parecer jurídico para cada uma.

E busque assessoria para qualquer coisa que envolva funcionários, controle de acesso ou uma instalação pública em grande escala, porque esses são os casos em que a resposta depende da jurisdição e o custo de errar é real.