Boletim LOPD novembro 2013

Que incidências devem ser registadas para efeitos da LOPD?

No registo de incidências de que a organização deve dispor, será registado qualquer incidente que afete, ou possa afetar, a segurança dos ficheiros com dados pessoais.

Devem ser tidas em conta, entre outras, as seguintes incidências:

• Perda de informação de algum ficheiro com dados pessoais.
• Modificação de dados pessoais por pessoal não autorizado ou desconhecido.
• Existência de sistemas sem as devidas medidas de segurança.
• As tentativas de acesso não autorizado a ficheiros.
• O conhecimento por terceiros da palavra-passe de acesso ao sistema.
• A tentativa não autorizada de saída de um suporte com dados pessoais.
• A existência de suportes com dados pessoais por inventariar.
• A destruição total ou parcial de um suporte que contenha dados de caráter pessoal.
• A falha do sistema de segurança informática que possibilite o acesso a dados por pessoas não autorizadas.

A TER EM CONTA

O registo de incidências pode estar em suporte de papel ou, em alternativa, ser efetuado de forma automatizada.

SANÇÕES DA AEPD

Denúncia em que a empresa se autoincrimina

O procedimento sancionatório da AEPD (Agencia Española de Protección de Datos) PS/00495/2013 foi iniciado na sequência de uma denúncia apresentada pela própria empresa, na qual se autoincrimina pelo envio de uma newsletter a 268 clientes sem utilizar o campo de envio com cópia oculta (BCC), mas sim com cópia normal (CC), ficando expostos e acessíveis os e-mails dos clientes.

A empresa reconheceu o erro, enviou um e-mail de desculpas a todos os clientes, lamentando o sucedido, e remeteu a todos os departamentos um e-mail a sublinhar a importância de evitar erros como este, ficando absolutamente proibido o envio de e-mails em massa a partir de endereços pessoais ou sem utilizar o campo BCC.

Reconhecem também perante a Agencia Española de Protección de Datos que, devido a este erro, foi violada a privacidade dos clientes ao expor o seu e-mail, infringindo o artigo 10.º da LOPD, e solicitam que a sanção seja graduada no mínimo, em virtude do reconhecimento do erro, da pouca gravidade da informação afetada, bem como do benefício obtido, que foi nulo, e da não reincidência.

A violação do dever de sigilo é uma infração grave, punível com uma sanção entre 40.001 e 300.000 €.

Tendo em conta os critérios de graduação das sanções previstos na Lei, e considerando que a empresa reconheceu a sua culpa ao remeter a sua autodenúncia e a ausência de intencionalidade, a AEPD procedeu a uma redução do montante da sanção.

O resultado: uma sanção de 900 € por infringir o artigo 10.º da LOPD, relativo ao dever de guardar sigilo sobre os dados pessoais tratados.

IMPORTANTE

Neste procedimento vemos que a empresa considerou mais acertado denunciar-se a si própria do que esperar por uma possível denúncia de algum cliente afetado.

A AEPD ESCLARECE

Utilização alternativa de dados de débitos diretos

O parecer 0070/2013 da AEPD responde à questão colocada sobre se é conforme à LOPD que uma entidade financeira utilize a informação constante dos recibos de débito direto para o pagamento do prémio de um determinado seguro, que lhe são remetidos por um mediador, com a finalidade de oferecer os seguros que comercializa através dos seus acordos, tendo para isso sido recolhido o consentimento dos clientes, ou se a utilização desses dados fica exclusivamente limitada à finalidade de proceder ao pagamento dos referidos recibos, não podendo essa informação ser utilizada para nenhuma outra finalidade, nem sequer com o consentimento do cliente.

De acordo com o referido parecer jurídico, deve ter-se em conta o seguinte:

• O tratamento em causa é um tratamento com uma finalidade distinta da relacionada com a manutenção da própria relação com a entidade, decorrente da abertura da conta em que é efetuado o pagamento.
• A transmissão à seguradora do banco constitui uma cessão de dados.
• O titular dos dados deverá ser informado e consentir este novo tratamento que vai ser dado aos seus dados, de forma a autorizar que os dados relacionados com os movimentos da sua conta sejam utilizados pela entidade financeira para lhe serem remetidas comunicações comerciais referentes a esses serviços e, caso sejam cedidos, será necessário contar com o consentimento do titular para efetuar essa cessão.

A TER EM CONTA

A cessão de dados entre entidades distintas requer o consentimento do titular ou estar abrangida por alguma das exceções.

O PROFISSIONAL RESPONDE

Em que beneficia a minha organização cumprir a Ley Orgánica de Protección de Datos de Carácter Personal?

Os benefícios de cumprir corretamente a LOPD para a empresa (para além de evitar avultadas sanções) são diversos:

• Ajuda a estabelecer regras e procedimentos que, de forma direta, ajudam a empresa a proteger o seu ativo mais valioso: os seus clientes (cópias de segurança, custódia de documentação…).
• Inicia a organização na gestão da segurança da informação que possui (imprescindível para a implementação efetiva da fatura eletrónica, uma vez que as faturas deixarão de estar em papel para passarem a estar nos equipamentos informáticos).
• Clarifica o organigrama da empresa, as funções de cada pessoa e aquilo a que pode e não pode aceder.
• Ajuda a conhecer o inventário tecnológico da empresa, as suas possibilidades e vulnerabilidades (muitos clientes nunca se tinham perguntado se os seus funcionários podiam aceder a partir de casa ao servidor da empresa até lhes ser feita a pergunta, por vezes sem saberem o que responder).
• Transmite uma melhor imagem perante os clientes, já que lhes demonstramos que nos preocupamos com os seus dados.

A TER EM CONTA

Os cidadãos estão cada vez mais sensibilizados para os seus dados pessoais e para a utilização que as empresas e entidades fazem deles.