Boletim LOPD fevereiro 2014

Quando devo pedir consentimento e quando não?

Regra geral:

• Devemos pedi-lo sempre.

Exceções:

• Quando exista uma relação negocial, laboral ou administrativa e os dados sejam necessários para a mesma
  (por ex. prestar um serviço direto ao interessado).
• O tratamento dos dados tenha por finalidade proteger um interesse vital do interessado (ex. prestar-lhe assistência médica).

• Os dados constem de fontes acessíveis ao público e o responsável pelo ficheiro, ou o terceiro a quem os dados sejam comunicados, tenha um interesse legítimo no seu tratamento ou conhecimento, desde que não sejam violados os direitos e liberdades do interessado.

• Sejam recolhidos para o exercício das funções próprias das Administrações públicas no âmbito das competências que lhes sejam atribuídas por uma norma com valor de lei ou por uma norma de direito comunitário.

IMPORTANTE

O pedido de consentimento deverá referir-se a um tratamento ou série de tratamentos concretos, com delimitação da finalidade para a qual é recolhido, bem como das restantes condições aplicáveis. Importante: mesmo que não seja necessário obter o consentimento, devemos sempre informar o interessado da identidade do responsável, da finalidade da recolha e do exercício dos direitos ARCO.

SANÇÕES DA AEPD

Sanção a um fotógrafo por apresentar a concurso uma fotografia sem consentimento

Na resolução R/02426/2010 da AEPD podemos ver como é necessário obter o consentimento para a publicação de uma fotografia que capte a imagem de uma ou várias pessoas.

Segundo os factos, deu entrada na AEPD uma exposição de uma pessoa na qual declara que o seu filho de sete anos, A.A.A., aparece num cartaz publicitário nas estações do Metro de Madrid.

O cartaz consiste num anúncio, realizado pela Agência de Publicidade da Comunidade de Madrid, do Certame “II Exposición FotoCam 2009”.

O denunciante indica que a fotografia, intitulada “O pequeno Jedi”, foi realizada por um fotógrafo profissional e tirada de forma furtiva (a criança não olha para a objetiva) e sem o seu consentimento nem o da sua esposa.

Investigados os factos, o denunciado não apresentou prova documental que comprove o consentimento dos pais e representantes legais do menor afetado para que o referido fotógrafo pudesse realizar o tratamento de dados pessoais efetuado.

Resultado: infração do artigo 6.1 da LOPD, classificada como grave, punível com sanção de 40.001 a 300.000 euros. Tendo em conta os critérios de graduação das sanções previstos no referido artigo 45.4 da LOPD e, em especial, o volume de tratamentos, a AEPD decide sancionar o referido fotógrafo com uma coima de 1.000€.

IMPORTANTE

Como vimos neste caso, cabe ao responsável pelo ficheiro a prova do consentimento para o tratamento dos dados pessoais, devendo sempre poder comprovar que esse consentimento foi prestado pelo titular dos dados.

A AEPD ESCLARECE

Cedência de dados a uma Federação

O parecer 0191/2010 da AEPD determina se é conforme à LOPD que a entidade consulente, uma associação de fotógrafos, comunique os dados dos seus associados à Federação de que faz parte.

Desse parecer jurídico retira-se o seguinte:

• A integração da Associação consulente na referida Federação, aprovada nos termos dos seus estatutos, implica a aceitação, pelos seus associados, das condições decorrentes dessa integração, estabelecendo-se assim uma relação jurídica entre a Federação e os afetados pela cedência de dados que exige o acesso aos dados relativos à sua identidade, pelo que a referida cedência de dados estaria amparada no previsto no artigo 11.2.c) da Lei Orgânica 15/1999.
• Em todo o caso, deve recordar-se que o artigo 4.1 da LOPD, ao consagrar o princípio da proporcionalidade no tratamento dos dados pessoais, dispõe que estes serão “adequados, pertinentes e não excessivos”, pelo que a cedência deverá limitar-se aos dados relativos à identificação dos associados.

Recordemos que o artigo 10.4 do RD1720/2007 diz: “Será possível a cedência dos dados de caráter pessoal sem o consentimento do interessado quando: a) A cedência responda à livre e legítima aceitação de uma relação jurídica cujo desenvolvimento, cumprimento e controlo implique a comunicação dos dados. Neste caso, a comunicação só será legítima na medida em que se limite à finalidade que a justifique.”

A TER EM CONTA

Uma cedência não consentida de dados pessoais que não esteja abrangida por nenhuma das exceções previstas na Lei é uma infração muito grave, punível com sanção até 600.000€.

O PROFISSIONAL RESPONDE

Com quem tenho de fazer um contrato de acesso a dados por conta de terceiros?

Deve fazer-se um contrato de acesso a dados por conta de terceiros com os subcontratantes, ou seja, com todas as empresas externas que acedam, possam aceder ou a quem forneçamos dados pessoais com a finalidade de nos prestarem um serviço. (p. ex., numa fábrica de móveis, a sua assessoria fiscal, o responsável pela vigilância da saúde, o seu consultor de proteção de dados….)

Estes são alguns dos subcontratantes que podem existir:

• Consultora da LOPD.

• Manutenção informática de hardware e/ou videovigilância.

• Fornecedor/suporte de software.

• Serviço de prevenção de riscos laborais e de vigilância da saúde.

• Assessoria laboral, fiscal e/ou contabilística.

• Consultora de qualidade, ambiente, SGSI, etc.

• Entidade certificadora da norma de qualidade, ambiente, SGSI, etc.

• Fornecedor de alojamento e/ou correio eletrónico.

• Design web, comércio eletrónico, etc.

• Entidade organizadora e/ou formadora de ações de formação para os trabalhadores.

• Envio de mailings.

  “Como Responsáveis pelo Ficheiro, devemos formalizar o contrato de subcontratante antes do início da prestação do serviço”

A TER EM CONTA

Com a empresa de limpeza, segurança ou qualquer outra que, no exercício da sua atividade, possa ter acesso a dados pessoais, ainda que essa não seja a sua função, deve também fazer-se um contrato de prestação de serviços sem acesso a dados.