LOPD: exemplos de tratamento de dados pessoais

A LOPD NO DIA A DIA

As funções do responsável de segurança

Estas são as funções que o Responsável de Segurança deve desempenhar:

• Coordenar a implementação das medidas de segurança, colaborar com o responsável pelo ficheiro na divulgação do documento de segurança e cooperar com o responsável pelo ficheiro, controlando o seu cumprimento.
• Analisar os incidentes registados, tomando as medidas adequadas em colaboração com o responsável pelo ficheiro.
• Verificar, pelo menos semestralmente, a existência de cópias de segurança que permitam a recuperação do ficheiro, realizando um teste de restauro que comprove a correta definição do procedimento e do processo de recuperação.
• Verificar, pelo menos com periodicidade trimestral, a veracidade do inventário de suportes, bem como o registo de entradas e saídas de suportes e documentos.
• Manter atualizado o Documento de Segurança.
• Realizar, pelo menos de dois em dois anos, uma auditoria aos ficheiros de nível médio e alto

IMPORTANTE

O ideal é que o Responsável de Segurança seja uma pessoa (ou várias) com conhecimentos jurídicos em proteção de dados, assessorada, se necessário, pelo pessoal técnico para a correta implementação das medidas de segurança exigidas pela LOPD.

SANÇÕES DA AEPD

Condomínio não tem os ficheiros inscritos

No procedimento sancionatório PS/00657/2009 da AEPD podemos ver como qualquer pessoa pode denunciar uma entidade por não ter os ficheiros notificados e inscritos na Agencia Española de Protección de Datos (autoridade espanhola de proteção de dados).

Segundo os factos, deu entrada na AEPD uma exposição de uma pessoa que denuncia o condomínio PISCINA URBANIZACION LOS ALMENDROS por alegada violação da LOPD. Perante a denúncia, a Subdirección General de Inspección consultou o Registro General de Protección de Datos para verificar se o condomínio tinha os ficheiros inscritos, tendo-se constatado que, nessa data, a referida entidade não tinha os ficheiros inscritos.

Perante a verificação efetuada no Registro General de Protección de Datos, o Diretor da AEPD decidiu instaurar um Procedimento Sancionatório por alegada infração do art. 26 da LOPD, notificando o condomínio desse Acordo de Procedimento Sancionatório.

O referido condomínio reconheceu a sua responsabilidade relativamente a esses factos, dando lugar à resolução do procedimento, com a aplicação da sanção correspondente.

Resultado: sanção de 601,01€ por infração do artigo 26 da LOPD, classificada como leve.

IMPORTANTE

Como vimos neste caso, qualquer pessoa pode denunciar uma entidade por alegada violação da legislação de proteção de dados, dando origem à abertura de um procedimento de inspeção por parte da Agencia Española de Protección de Datos.

A AEPD ESCLARECE

Publicar dados de trabalhadores na Internet

O parecer 0039/2010 da AEPD responde à consulta apresentada sobre se é possível a publicação, no site da entidade consulente, dos dados pessoais dos seus funcionários, da opinião dos seus clientes sobre o serviço prestado, bem como a sua divulgação por esses clientes nas redes sociais, à luz do disposto na LOPD e no RD1720/2007. Questiona também se o consentimento dos seus funcionários poderia ser prestado sem cumprir todos os requisitos exigidos por essas normas.

Desse parecer jurídico conclui-se o seguinte:

• O consentimento para a comunicação massiva na Internet dos dados dos seus funcionários, incluindo as avaliações sobre os mesmos, não poderia considerar-se validamente prestado no contexto da relação laboral se a recusa em prestá-lo implicasse algum tipo de consequência adversa ou discriminatória, não se podendo falar de consentimento livre. Por isso, o gabinete jurídico entende que a comunicação dos dados de funcionários na Internet não pode basear-se no consentimento do trabalhador, no âmbito da relação laboral.
• O cliente da entidade consulente que utilize redes sociais e outros serviços da Internet teria de ter em conta que a publicação de conteúdos com informações e dados relativos a terceiros não pode ser realizada se estes não tiverem autorizado expressamente a sua publicação.A TER EM CONTA
• Uma cedência não consentida de dados pessoais que não esteja abrangida por nenhuma das exceções previstas na Lei é uma infração muito grave, com sanção de até 600.000€

O PROFISSIONAL RESPONDE

Depois de dar a assinar o contrato ao subcontratante, já não tenho de me preocupar com o que ele faz?

Há um artigo no RD1720/2007 que passa quase despercebido, mas que tem uma enorme importância no momento de escolher o subcontratante por parte do responsável pelo ficheiro:

Art. 20.2. Quando o responsável pelo tratamento contratar a prestação de um serviço que implique um tratamento de dados pessoais sujeito ao disposto neste capítulo, deverá assegurar que o subcontratante reúne as garantias para o cumprimento do disposto neste Regulamento.

Ou seja, antes de selecionar um subcontratante, como o consultor fiscal, a empresa de manutenção informática, o alojamento web, etc., devemos verificar (na medida do possível) que está a cumprir a LOPD.

Mas o que pode fazer o responsável para verificar que o subcontratante cumpre a legislação em vigor em matéria de proteção de dados pessoais?

Fundamentalmente, duas coisas:

• Verificar se tem os ficheiros notificados à AEPD através do respetivo site (www.agpd.es).
• Pedir-lhe um documento assinado e carimbado pelo subcontratante no qual declare expressamente que dispõe de Documento de Segurança e cumpre a legislação em vigor em matéria de proteção de dados pessoais.

  Constitui infração leve a transmissão de dados a um subcontratante sem cumprir os deveres estabelecidos no art. 12 da LOPD, com sanção entre 900 e 40.000€.