Boletim LOPD outubro 2013

Trabalhadores: dever de sigilo e confidencialidade

A LOPD estabelece no seu artigo 10.º:

“O responsável pelo ficheiro e quem intervenha em qualquer fase do tratamento dos dados de caráter pessoal estão obrigados ao sigilo profissional relativamente aos mesmos e ao dever de os guardar, obrigações que subsistirão mesmo após o fim das suas relações com o titular do ficheiro ou, se for o caso, com o respetivo responsável”.

Ou seja, todas as pessoas que intervêm no tratamento dos dados de caráter pessoal (na recolha, no armazenamento, na utilização, etc.) estão obrigadas por lei ao sigilo profissional relativamente aos mesmos.

Estão também obrigadas a guardá-los e custodiá-los adequadamente, de forma que ninguém não autorizado tenha acesso a esses dados.

Para dar a conhecer isto a todos os trabalhadores envolvidos, para além de lhes dar formação e de os sensibilizar, é conveniente pedir-lhes que assinem um compromisso de confidencialidade e dever de sigilo, através do qual se comprometem a não revelar nenhum dado, mesmo após o fim da relação laboral, de forma que possamos comprovar que os informámos adequadamente.

A TER EM CONTA

Ainda que um trabalhador viole o dever de sigilo e revele dados, a sancionada, à partida, será a entidade responsável pelo ficheiro e não o trabalhador em questão.

Fax com dados pessoais enviado para o local de trabalho

O procedimento sancionatório da AEPD (Agencia Española de Protección de Datos) PS/00575/2009, iniciado na sequência de uma denúncia apresentada por um particular contra a entidade GENERAL ELECTRIC MONEY BANK SA, evidencia a necessidade de as organizações adequarem os seus procedimentos de contacto com os clientes, de forma a cumprir em todo o momento a regulamentação e a proteger os dados dessas pessoas.

Neste caso, a denunciante tinha contratado um crédito com a referida entidade.

Por terem ficado por pagar algumas das prestações desse crédito, a entidade enviou um fax para o local de trabalho da denunciante expondo o facto de existirem prestações em dívida e instando à sua regularização (fax que, evidentemente, esteve à disposição do restante pessoal que trabalhava nas instalações, o que constitui uma violação do dever de sigilo profissional).

A entidade não conseguiu comprovar que existia consentimento da denunciante para enviar essa informação para o fax do seu local de trabalho.

O resultado: uma sanção de 3.000 € por infringir o artigo 10.º da LOPD (grave), relativo ao sigilo profissional e ao dever de guardar esses dados, por ter possibilitado e facilitado que outras pessoas tivessem acesso a dados pessoais da denunciante sem o seu consentimento.

Nota: devemos ter em conta que foi aplicado o artigo 45.4, reduzindo o montante da sanção.

IMPORTANTE

Cabe à entidade comprovar o consentimento concedido, por qualquer meio de prova admitido em direito.

Delegados de Prevenção e LOPD

O parecer 0355/2010 da AEPD responde à questão colocada sobre se os delegados de prevenção podem aceder aos dados de saúde dos funcionários públicos contidos nas participações de acidentes de trabalho e na relação de acidentes de trabalho sem baixa médica, de acordo com o disposto na Ley Orgánica 15/1999, de 13 de dezembro, de Protección de Datos de Carácter Personal (LOPD), e no seu Regulamento de desenvolvimento.

De acordo com o referido parecer jurídico, deve ter-se em conta o seguinte:

• Tanto a relação de acidentes de trabalho como a informação sobre os danos na saúde que constem das participações de acidentes de trabalho dos trabalhadores que impliquem uma ausência ao trabalho superior a um dia poderão ser facultadas aos delegados de prevenção de forma dissociada. Ou seja, sem fazer referência ao trabalhador a que esses dados correspondem.
• Que os dados fornecidos sejam adequados, pertinentes e não excessivos para essa finalidade.
• Que não sejam utilizados para nenhuma outra finalidade.
• Em todo o caso, os delegados de prevenção deverão guardar sigilo relativamente à informação assim obtida (artigo 10.º da LOPD).

A TER EM CONTA

Sempre que sejam tratados dados especialmente protegidos, as medidas de segurança devem ser reforçadas ao máximo.

A Agencia Española de Protección de Datos apresenta o portal ‘Tú decides’, dedicado à proteção dos menores na Internet

Pode aceder a partir desta ligação: http://www.agpd.es/portalwebAGPD/revista_prensa/revista_prensa/2013/notas_prensa/common/octubre/131024_NP_TudecidesenInternet.pdf

Que prazos existem para o exercício dos direitos e o que deve ser apresentado?

Depende do direito que seja exercido.

Para o direito de acesso, a empresa dispõe de 30 dias para deferir o pedido e depois de 10 dias para dar a resposta efetiva.

Deve ser dada resposta ao direito de acesso mesmo que não se possua nenhum dado do interessado.

Os direitos de retificação e cancelamento devem ser efetivados e respondidos num prazo máximo de 10 dias a contar da sua receção.

Se tiver ocorrido uma cessão de dados, o pedido efetuado deve ser estendido a todas as entidades cessionárias desses dados para que também seja efetivado nas mesmas.

O direito de oposição deve ser efetivado e respondido também num máximo de 10 dias.

Para poder exercer qualquer direito, o titular ou representante deve apresentar:

1. Fotocópia do DNI/NIE (documento de identificação espanhol) ou documento equivalente do titular dos dados.

2. Pedido em que se concretiza a solicitação.

3. Morada para efeitos de notificações.

4. Documentos comprovativos do pedido formulado, se for o caso.

5. Data e assinatura.

A TER EM CONTA

O cidadão pode pedir a tutela da Agencia Española de Protección de Datos caso o seu pedido de exercício de direito não seja atendido.