Boletim LOPD janeiro 2014

A LOPD NO DIA A DIA

Que autorizações devem estar documentadas?

O cumprimento do RD1720/2007 exige que tenhamos no Documento de Segurança uma relação de pessoas e perfis a quem foi concedida alguma autorização:

• Lista de utilizadores que podem levar dados pessoais para fora das instalações do responsável pelo ficheiro (nível básico).
• Listagem de utilizadores que podem tratar dados pessoais fora das instalações do responsável (nível básico).
• Lista de utilizadores que podem tratar dados pessoais em dispositivos portáteis (nível básico).
• Listagem de utilizadores que têm acesso aos dispositivos (armários, gaveteiros, etc.) onde se guardam os suportes que contêm dados pessoais (nível básico).
• Lista de utilizadores que têm acesso aos locais onde se encontram os sistemas de informação (equipamentos) que tratam os ficheiros (nível médio).
• Listagem de utilizadores autorizados a enviar e/ou receber suportes automatizados que contêm dados pessoais (nível médio).
• Lista de utilizadores autorizados a copiar documentos que contêm dados pessoais de nível alto (nível alto).

IMPORTANTE

Estas listas de utilizadores autorizados devem manter-se sempre atualizadas, refletindo a realidade da organização.

SANÇÕES DA AEPD

Denúncia oficiosa relacionada com a videovigilância

No processo sancionatório PS/00327/2010 da AEPD podemos ver o seguinte: como a própria POLÍCIA MUNICIPAL DE MADRID denuncia a instalação de um sistema de videovigilância. Um sistema que não cumpre os requisitos estabelecidos pela regulamentação sobre proteção de dados pessoais.

Segundo os factos, a polícia municipal de Madrid denuncia junto da AEPD a instalação de câmaras de videovigilância num estabelecimento sem cumprir os requisitos da LOPD.

Os inspetores constatam que no estabelecimento não existem avisos informativos de videovigilância. Os afetados não são informados da existência desse tratamento, nem da identidade do respetivo responsável. Também não são informados de onde podem exercer os seus direitos de acesso e cancelamento.

Neste caso, a entidade denunciada recolheu dados pessoais (as imagens gravadas) sem facultar aos seus titulares a informação prevista no artigo 5 da LOPD. Por isso, deve considerar-se que incorreu numa infração leve ao não facultar essa informação de forma visível.

Resultado: a AEPD decide sancionar o estabelecimento com uma coima de 2.000€, tendo em conta os critérios de graduação das sanções previstos no artigo 45.4 e, em especial, a ausência de benefícios obtidos e o grau de intencionalidade.

IMPORTANTE

A denunciante é a própria polícia municipal, que colocou o caso nas mãos da AEPD. E atuou “oficiosamente” ao detetar que esta instalação de videovigilância não estava de acordo com a LOPD.

A AEPD ESCLARECE

O relatório de auditoria e a sua conservação

O parecer 0191/2010 da AEPD esclarece o prazo de conservação dos relatórios de auditoria que a LOPD exige para os ficheiros de nível médio e alto.

Desse parecer jurídico retira-se o seguinte:

• A partir do nível médio: os sistemas de informação e as instalações de tratamento e armazenamento de dados serão submetidos a uma auditoria. Pode ser interna ou externa e deve ser feita
• pelo menos de dois em dois anos.
• Em caráter extraordinário, deverá realizar-se uma auditoria sempre que se efetuem modificações substanciais no sistema de informação. Modificações que possam afetar o cumprimento das medidas de segurança implementadas, com o objetivo de verificar a adaptação, adequação e eficácia das mesmas. Esta auditoria inicia a contagem de dois anos indicada no parágrafo anterior.
• O prazo durante o qual o relatório deveria estar à disposição da Agencia Española de Protección de Datos ou da autoridade de controlo autonómica competente deveria ser de dois anos. Isto tendo em conta os prazos de prescrição e da obrigação de submissão à auditoria,
• Só existe a obrigação de guardar o último relatório de auditoria.

IMPORTANTE

Não realizar a auditoria obrigatória nos prazos estabelecidos pela Lei é uma infração grave, punível com sanção entre 40.001 e 300.000€.

O PROFISSIONAL RESPONDE

Como posso limitar o acesso aos equipamentos?

Uma pergunta feita por muitos clientes é de que forma podem limitar o acesso aos equipamentos. Pretendem que os utilizadores acedam apenas aos recursos necessários para o seu trabalho. Existem diversas formas de identificação e autenticação do utilizador, em função do mecanismo ou tecnologia aplicada.

Podemos classificar os sistemas nos seguintes tipos:

• Baseados em algo que o utilizador conhece (palavra-passe).
• Baseados em algo que o utilizador possui (cartão de cidadão eletrónico, token, etc.).
• Sistemas baseados numa característica física do utilizador, biométricos (reconhecimento de impressão digital, voz, rosto, padrão ocular…).
• Sistemas mistos, que combinam dois ou mais dos descritos anteriormente.

Se utilizarmos o sistema mais difundido, as palavras-passe, para garantir a segurança é necessário geri-las corretamente:

• Evitar todas as palavras-passe dedutíveis por terceiros e associadas a parâmetros comuns do utilizador. Parâmetros como datas de nascimento, nomes de familiares, matrículas de automóveis, passatempos, etc.

• Utilizar pelo menos 6 caracteres, combinando maiúsculas, minúsculas, números e outros caracteres especiais.

• Estabelecer uma periodicidade de alteração das palavras-passe inferior a 1 ano.
• Limitar o número de tentativas falhadas de acesso ao sistema.

A TER EM CONTA

Não ter implementadas as medidas de segurança é uma infração grave, punível com sanção entre 40.001 e 300.000€.