Neste Inverno a Direcção Geral do Consumidor e a UGC alertam

A Direcção Geral do Consumidor Aconselha

RGPD - REGULAMENTO GERAL DE PROTEÇÃO DE DADOS

OS SEUS DADOS SÃO IMPORTANTES. PROTEJA-OS

A proteção de dados pessoais é um assunto que já faz parte do nosso dia-a-dia e todos nós recebemos e-mails de várias entidades sobre este assunto.
O RGPD (Regulamento Geral de Proteção de Dados - REGULAMENTO (UE) 2016/679 DO PARLAMENTO EUROPEU E DO CONSELHO de 27 de abril de 2016)  é uma legislação com alguma complexidade e  não podemos esquecer a importância que assumem os dados pessoais de cada pessoa sobretudo quando podem ser divulgados a outras entidades.

SAIBA MAIS SOBRE O RGPD, OS SEUS DADOS PESSOAIS E COMO PROTEJE-LOS ATRAVÉS DE UM  CONJUNTO DE QUESTÕES E RESPETIVA RESPOSTA

• O que é o novo regulamento RGPD?

O Regulamento Geral de Proteção de Dados ( RGPD ) entrou em vigor em 25 de Maio de 2018 e substituiu a diretiva e  lei de proteção de dados em vigor.

• De uma forma simples, é o regulamento que vai uniformizar as práticas de privacidade entre os vários Estados membros da União Europeia. Vai substituir a diretiva e lei de proteção de dados, que regia o tema da privacidade até aqui e que permitia que cada Estado adaptasse um conjunto de práticas à sua legislação. O Regulamento Geral de Proteção de Dados (RGPD) está há dois anos a ser testado e é aplicado (com sanções) a partir de 25 de Maio de 2018.

•  A quem se aplica?

A todos aqueles que tratem dados de cidadãos europeus, seja no âmbito da comercialização de bens ou serviços ou de outras atividades, mesmo que o façam de forma gratuita. Ou seja, abrange todas as organizações que tratem estes dados, quer tenham sede na União Europeia ou sede no exterior.
O RGPD tem de ser cumprido por empresas ou organizações quer do setor privado, quer do setor público e cooperativo, sejam estas grandes instituições ou, por exemplo, pequenas plataformas de e-commerce, ou seja,
Aplica-se a:

• Empresas estabelecidas na UE, independentemente de o tratamento de dados pessoais ocorrer dentro ou fora da União
• Empresas estabelecidas fora da UE, quando os titulares dos dados pessoais são residentes na UE e quando as atividades de tratamento estão relacionadas com oferta de bens ou serviços a esses titulares de dados na União, independentemente da exigência de os titulares dos dados procederem a um pagamento
• Empresas estabelecidas fora da UE, quando os titulares dos dados pessoais são residentes na UE e quando as atividades de tratamento estão relacionadas com o controlo do seu comportamento, desde que esse comportamento tenha lugar na União.

 

• O que se entende por “dados pessoais”?

O RGPD considera que são quaisquer dados que, sozinhos ou em conjunto com outros dados, possam ser utilizados para identificar um indivíduo. O novo Regulamento de Proteção de Dados define também o conceito de dados sensíveis, que estão sujeitos a condições específicas para o seu tratamento, nomeadamente direitos e decisões automatizadas. Um exemplo de dados sensíveis serão os dados biométricos.
Em síntese, dados pessoais é a informação relativa a uma pessoa singular identificada ou identificável (“titular dos dados”):

• Identificação básica como nome, morada e número de identificação
• Dados eletrónicos como localização, morada IP, cookies
• Dados relativos à saúde e dados genéticos
• Dados biométricos
• Dados relativos à identidade física e fisiológica
• Opiniões políticas
• Orientação sexual
• Dados culturais e sociais…
• Os dados pessoais são todos iguais ou há categorias de dados pessoais?

Há dados pessoais que são considerados sensíveis e que, por isso, têm uma protecção acrescida pelo que o seu tratamento é proibido.
É o caso de:

• origem racial ou étnica,
• as opiniões políticas,
• as convicções religiosas ou filosóficas,
• a filiação sindical,
• dados genéticos,
• dados biométricos para identificar uma pessoa de forma inequívoca,
• dados relativos à saúde
• dados relativos à vida sexual
• orientação sexual de uma pessoa.

Contudo, o tratamento destes dados pode ser admitido em determinadas situações, nomeadamente:

• se existir consentimento explícito nesse sentido
•  Se o tratamento for necessário para cumprimento de obrigações e do exercício de direitos específicos do responsável pelo tratamento ou do titular dos dados em matéria de legislação laboral, de segurança social e de proteção social,
• Se o tratamento se referir a dados pessoais que tenham sido manifestamente tornados públicos pelo seu titular;
• Se o tratamento for necessário por motivos de interesse público importante
• Se o tratamento for necessário para efeitos de medicina preventiva ou do trabalho, para a avaliação da capacidade de trabalho do empregado, o diagnóstico médico, a prestação de cuidados ou tratamentos de saúde ou de ação social ou a gestão de sistemas e serviços de saúde ou de ação social
• Se o tratamento for necessário por motivos de interesse público no domínio da saúde pública,
• Se o tratamento for necessário para fins de arquivo de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos
• Em que consiste o tratamento de dados?

Trata-se de uma operação ou um conjunto de operações efetuadas sobre dados pessoais que consista em utilizar esses dados pessoais para avaliar certos aspetos pessoais de uma pessoa singular, nomeadamente para analisar ou prever aspetos relacionados com o seu desempenho profissional, a sua situação económica, saúde, preferências pessoais, interesses, fiabilidade, comportamento, localização ou deslocações.

• Quem controla o modo como os dados pessoais são tratados por uma empresa?

O encarregado da proteção, que pode ter sido designado pela empresa, é responsável por controlar o modo como os dados pessoais são tratados e por informar e aconselhar os trabalhadores que tratam dados pessoais sobre as suas obrigações. O encarregado da proteção coopera igualmente com a autoridade de proteção de dados, funcionando como ponto de contacto entre esta e as pessoas singulares.

• Quando é necessário designar um encarregado da proteção?

A empresa tem a obrigação de designar um encarregado da proteção quando:

• fizer um acompanhamento regular ou sistemático de pessoas singulares ou tratar categorias especiais de dados
• o tratamento dos dados for uma atividade comercial principal
• tratar dados a grande escala

• Direitos do titular de dados

 

A ideia principal destas mudanças é a de que haja um aumento da transparência entre os cidadãos e as empresas a quem cedem os dados. O RGPD vai, assim, exigir às empresas e aos prestadores de serviços que expliquem aos utilizadores de que forma vão utilizar a informação que é recolhida e para que fins, de que forma será processada e qual será o período de tempo durante o qual será guardada. Além disso, também passa a existir o direito a ser informado sobre a localização dos dados e pode pedir às empresas que apaguem definitivamente a informação dos utilizadores – o chamado direito a ser esquecido.
 
Direitos do titular dos dados:

• Direito a informação
• Direito de acesso
• Direito de retificação
• Direito de oposição
• Direito à limitação do tratamento de dados
• Direito ao esquecimento
• Direito à portabilidade dos dados

Desde o dia 25 de maio de 2018, sempre que alguma entidade solicitar dados pessoais, deve, por exemplo, garantir ao titular dos dados o direito de informação da identidade do responsável pelo tratamento dos dados, da finalidade do tratamento, da base jurídica do tratamento, dos destinatários dos dados, da duração do tratamento, etc.

NOTA: Leia atentamente a política de privacidade da empresa que lhe solicitar o seu consentimento para o tratamento dos seus dados pessoais, principalmente se não concorda com a transmissão dos seus dados a terceiros (por vezes, as empresas aproveitam para alargar o âmbito do tratamento dos dados).

 

• Muito se fala em consentimento do titular dos dados. Como se dá o consentimento?

O consentimento apenas é considerado válido se corresponder a uma “manifestação de vontade

• livre,
• específica,
• informada e
• explícita (não pode ser deduzido do silêncio, inércia ou através de caixas pré-selecionadas em sítios eletrónicos), pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento” e no âmbito das finalidades específicas autorizadas.
• O consentimento deverá abranger todas as atividades de tratamento realizadas com a mesma finalidade. Nos casos em que o tratamento sirva fins múltiplos, deverá ser dado um consentimento para cada um desses fins.
• Deve ser dada particular atenção ao consentimento dos menores ou seus representantes legais e quando se trata de dados sensíveis.

• E os menores?

 

• Em relação aos menores de idade, o Estado Português, em sede de transposição da Diretiva, decidiu que o consentimento dos pais ou representantes legais de menores apenas é necessário até estes perfazerem 13 anos.
• O RGPD tinha deixado ao critério de cada Estado-Membro determinar o limite de idade (entre 13 e 16 anos) para o qual existe a necessidade de consentimento dos pais ou representantes legais de jovens menores de idade.

• E no trabalho que tipo de dados pessoais é que uma entidade patronal pode usar?

 

• No RGPD, a relação entre trabalhador e empregador é definida como “desequilibrada” e, por isso, há dificuldade em se considerar realmente livre o consentimento prestado para o tratamento dos dados. Mas há casos em que o processamento dos dados do trabalhador é considerado legal, especialmente se for para seu proveito. É autorizado, por exemplo, o tratamento dos dados dos trabalhadores para efeitos de processamento de salários.

• É possível pedir a uma empresa que pare de tratar os dados pessoais de alguém?

 

• Sim. O direito de se opor ao tratamento já estava previsto legalmente e mantém-se no regulamento. Possibilita, por exemplo, que obrigue uma empresa de que é cliente a não lhe enviar publicidade sobre todos os produtos que comercializa. Deve ser a empresa ou entidade que trata os dados a primeira a informar o detentor dos mesmos que esse direito existe.

• O que devo fazer se considerar que os meus direitos à proteção de dados pessoais não foram respeitados?

Se considerar que os seus direitos à proteção de dados foram violados, tem três opções:

• Apresentar uma reclamação à autoridade de proteção de dados nacional (APD)
  A autoridade investiga e informa-o sobre o andamento ou o resultado da sua reclamação no prazo de três meses.
• Intentar uma ação judicial contra a empresa ou organização
• Intentar uma ação diretamente em tribunal contra a empresa/organização, caso considere que esta violou os seus direitos à proteção de dados. Tal não o impede de apresentar uma reclamação à APD nacional, se assim o entender.
• Intentar uma ação judicial contra a APD

Se considerar que a APD não tratou a sua reclamação de forma correta ou caso não esteja satisfeito com a sua resposta, ou caso esta não o tenha informado sobre o andamento ou o resultado da reclamação no prazo de três meses a contar do dia de apresentação da mesma, pode intentar uma ação diretamente num tribunal contra a APD.

• O que são as autoridades de proteção de dados (APD) e como as posso contactar?

As APD são autoridades públicas independentes que acompanham e controlam, através de poderes de investigação e de correção, a aplicação da legislação relativa à proteção de dados. Prestam aconselhamento especializado sobre questões de proteção de dados e tratam reclamações de possíveis violações da lei.
Contacte a sua autoridade nacional de proteção de dados
EM PORTUGAL:
Comissão Nacional de Proteção de Dados – CNPD
                  R. de São. Bento, 148-3°, 1200-821 Lisboa
Tel. +351 21 392 84 00/ Fax +351 21 397 68 32
e-mail: geral@cnpd.pt
Website: http://www.cnpd.pt/

• Sanções para as entidades que não cumpram?

Afiguram-se multas pesadas neste novo regime. As empresas podem ser multadas até 4% da sua faturação global ou até 20 milhões de euros, dependendo de qual o valor mais elevado. Este é o valor máximo para aplicação de multa, para casos em que não haja consentimento suficiente dos titulares de dados ou exista um claro desrespeito das normas.

• Posso pedir uma indemnização?

Poderá pedir uma indemnização se uma empresa ou organização não tiver respeitado a lei relativa à proteção de dados e se tiver sofrido danos patrimoniais (por exemplo, um prejuízo financeiro) ou não patrimoniais (por exemplo, sofrimento ou danos à reputação). Pode apresentar um pedido de indemnização à empresa ou organização em causa ou aos tribunais nacionais. Pode apresentar o pedido nos tribunais do Estado-Membro da UE onde o responsável pelo tratamento ou o subcontratante têm o seu estabelecimento. Em alternativa, pode intentar o processo junto dos tribunais do Estado-Membro da UE onde tem a sua residência habitual.

LEGISLAÇÃO

• Lei n.º 58/2019 de 8 de agosto -  assegura a execução, na ordem jurídica interna, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, doravante designado abreviadamente por Regulamento Geral de Proteção de Dados (RGPD).

• Lei n.º 59/2019 de 8 de agosto - A presente lei estabelece as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, deteção, investigação ou repressão de infrações penais ou de execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública, transpondo para a ordem jurídica interna a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016.