Boletim LOPD julho 2013

A prestação de serviços sem acesso a dados pessoais

Sempre que uma empresa externa, no desempenho do seu serviço, possa ter acesso a dados pessoais (por exemplo, serviços de limpeza ou de segurança), é necessário assinar um contrato de prestação de serviços sem acesso a dados pessoais.

Neste contrato constará expressamente a proibição de aceder aos dados pessoais e a obrigação de sigilo relativamente aos dados de que o pessoal possa ter tido conhecimento no âmbito da prestação do serviço.

Além disso, o responsável pelo ficheiro adotará as medidas adequadas para limitar o acesso do pessoal a dados pessoais, aos suportes que os contenham ou aos recursos do sistema de informação, na realização de trabalhos que não impliquem o tratamento de dados pessoais.

Ou seja, o responsável pelo ficheiro, ao contratar uma empresa de limpeza, tem de fazer o seguinte:

• Tem de assinar um contrato como o descrito anteriormente.

• Deve adotar as medidas necessárias (armários fechados à chave, etc.) para que o pessoal de limpeza não possa ter acesso a dados, a suportes ou aos equipamentos informáticos.

A TER EM CONTA

O elo mais fraco na cadeia da segurança da informação são as pessoas.

Sanção por não atender uma notificação da AEPD

Na resolução R/01235/2013 da AEPD (Agencia Española de Protección de Datos) pode ver-se a sanção que uma empresa pode sofrer por não atender uma notificação da AEPD relativa à correção das deficiências detetadas numa inspeção.

Em 07/03/12 a AEPD, no procedimento de advertência A/00050/2012, decide NOTIFICAR a entidade P. G. S.L. para que, relativamente ao sistema de videovigilância instalado, cumpra o art. 26 da LOPD, procedendo à inscrição do ficheiro com a finalidade Videovigilância na AEPD.

Com o objetivo de verificar o cumprimento do que foi exigido, a AEPD abriu um Processo de Diligências Prévias de Investigação.

Em 29 de maio e 11 de setembro de 2012 é reiterado à entidade arguida o que fora exigido anteriormente, sem que conste a inscrição de ficheiro com finalidade de videovigilância no Registo Geral da AEPD.

Em 4 de fevereiro de 2013, o Diretor da AEPD decidiu iniciar um procedimento sancionatório por alegada infração do art. 37.1.f) da LOPD, qualificada como grave.

A entidade alega que não tem de registar o ficheiro porque as câmaras não gravam.

Na inspeção realizada pela Polícia Municipal e pela Inspeção da AEPD verificou-se que as câmaras estão ligadas a um modem e a um aparelho de gravação em funcionamento que dispõe de uma palavra-passe que afirmaram desconhecer.

Resultado: Sanção de 6.500€ por infração do artigo 37.1.f) da LOPD, qualificada como grave no artigo 44.3.i) da mesma norma.

IMPORTANTE

Se dispomos de um sistema de videovigilância, temos de cumprir o disposto na regulamentação de proteção de dados de caráter pessoal.

Contrapartida pelo direito de acesso

O parecer jurídico 0074/2013 da AEPD responde à consulta colocada sobre se é conforme à LOPD e à sua regulamentação de desenvolvimento o estabelecimento de uma contrapartida, como taxa ou preço público, pela emissão de cópias do processo clínico.

Do referido parecer jurídico extrai-se o seguinte:

• O art. 18 da Ley 41/2002 (lei espanhola) indica: “O paciente tem o direito de acesso, (…), à documentação do processo clínico e a obter cópia dos dados que nele constam”.

• O art. 15 da LOPD estabelece: “O interessado terá direito a solicitar e obter gratuitamente informação sobre os seus dados de caráter pessoal sujeitos a tratamento, a origem desses dados, bem como as comunicações realizadas ou que se preveja fazer dos mesmos”.

• O art. 17 da LOPD dispõe: “Não será exigida qualquer contrapartida pelo exercício dos direitos de oposição, acesso, retificação ou cancelamento”.

• O art. 24.2 do RD1720/2007 (Real Decreto espanhol) estabelece: “Deverá ser concedido ao interessado um meio simples e gratuito para o exercício dos direitos de acesso, retificação, cancelamento e oposição”

• O art. 24.3 do RD1720/2007 indica: “O exercício pelo titular dos seus direitos de acesso, retificação, cancelamento e oposição será gratuito e em caso algum poderá constituir uma receita adicional para o responsável pelo tratamento perante o qual são exercidos (…)”.

Por tudo o exposto, a regulamentação aplicável consagra em todos os casos a gratuitidade do exercício do direito de acesso, não permitindo qualquer tipo de contrapartida decorrente do seu exercício.

A TER EM CONTA

Devemos atender os direitos dos titulares dos dados no prazo e na forma adequados, conforme estabelece a regulamentação em vigor.

Quero contratar um serviço de manutenção informática. O que devo fazer?

Um serviço de manutenção informática é um tratamento de dados por conta de terceiros sempre que os computadores objeto da manutenção contenham dados pessoais.

Ou seja, a empresa que nos presta o serviço é um subcontratante e, como tal, temos de ter em conta os seguintes pontos:

1. Garantir que cumpre a LOPD. O regulamento de desenvolvimento da LOPD, no seu artigo 20.2, estabelece: “Quando o responsável pelo tratamento contratar a prestação de um serviço que implique um tratamento de dados pessoais sujeito ao disposto neste capítulo, deverá zelar para que o subcontratante reúna as garantias para o cumprimento…”.
   Ou seja, é da nossa responsabilidade escolher subcontratantes que cumpram a LOPD.

2. Assinar um contrato de acesso a dados por conta de terceiros que especifique o serviço prestado, os ficheiros a que possam ter acesso, onde vai ser prestado o serviço, se podem ou não incorporar dados em equipamentos que não sejam do responsável e as medidas de segurança que deve cumprir.

3. Indicar no Documento de Segurança esta circunstância (subcontratante, serviço, implicações, etc.).

A TER EM CONTA

Não dispor de contrato de acesso a dados por conta de terceiros com um subcontratante é uma infração qualificada como leve, punida com uma sanção entre 900 e 40.000€