Boletim LOPD março 2013

Informação adequada na recolha dos dados pessoais

O momento mais importante no correto cumprimento da proteção de dados é o momento da recolha dos dados.

É nesse momento que devemos informar da finalidade para a qual esses dados são recolhidos, de quem será o responsável pelo ficheiro e de como se exercem os direitos dos titulares dos dados.

Caso venha a ocorrer uma cessão de dados (por exemplo, uma agência de viagens que depois ceda os dados do cliente ao operador turístico), deverá informar-se no momento da recolha dos dados (além de solicitar o consentimento para a mesma nos casos em que seja necessário).

A título de lista de verificação, deve verificar se a cláusula informativa indica, no mínimo, a seguinte informação:

• A existência de um ficheiro ou tratamento de dados pessoais.
• A identidade e morada do responsável pelo ficheiro.
• A finalidade a que se destinam os dados.

• A possibilidade de exercer os direitos de acesso, retificação e cancelamento.

• Caso se realize uma cessão de dados, a finalidade da mesma e o setor a que pertence o respetivo destinatário.

                                              A TER EM CONTA

Os dados recolhidos só podem ser utilizados para as finalidades declaradas no momento da recolha.

Sanção por não atender o direito de cancelamento

Na resolução R/03169/2012 da AEPD (Agencia Española de Protección de Datos) pode ver-se a sanção que uma organização pode sofrer por não atender adequadamente o exercício de um direito.

Em 23 de abril de 2011, à uma da madrugada, no programa “PROGRAMA.1”, no canal de televisão CUATRO, produzido pela PULSO CONTENIDOS INFORMATIVOS, S.L. (doravante PULSO), foram emitidas as imagens correspondentes à doença e ao processo cirúrgico do denunciante.

Essas imagens foram emitidas pela primeira vez no mesmo canal e no mesmo programa em janeiro de 2010 e, depois de as ver, o denunciante pediu à produtora e ao canal de televisão que as suas imagens não voltassem a ser emitidas nem na televisão nem no site do canal, e que fossem destruídas.

Apesar do seu pedido, as imagens voltaram a ser emitidas, pelo que o denunciante apresentou à AEPD uma reclamação de Tutela de Direitos. Em resposta a esta, a PULSO informou-o de que tinha eliminado todos os seus dados dos ficheiros e voltado a montar integralmente o programa de televisão para que as suas imagens não voltassem a ser emitidas.

No entanto, a CUATRO TV voltou a emitir as imagens em 23 de abril de 2011, e também no seu site aparecem imagens do denunciante no programa. É apresentada uma ata notarial da presença das imagens na internet.

Resultado: Sanção de 3.000€ à entidade PULSO CONTENIDOS INFORMATIVOS S.L., por não ter atendido adequadamente um pedido de cancelamento, o que constituiu uma infração do artigo 16.4 da LOPD, qualificada como grave.

IMPORTANTE

Devemos atender, no prazo e na forma devidos, os pedidos de acesso, retificação, cancelamento e oposição que a organização receba.

Implantação de microchips em pessoas

O parecer jurídico 0292/2010 da AEPD responde à consulta colocada relativa à comercialização e utilização de microchips intradérmicos através dos quais seria possível incorporar informação referente aos seus portadores, sendo feita referência na consulta a dados relacionados com a identificação do interessado, o seu número de cartão de crédito, localização ou informação médica.

Do referido parecer jurídico extrai-se o seguinte:

1. A leitura dos referidos microchips por parte dos utilizadores dos serviços que poderão implicar a sua implantação nas pessoas implicará a existência de um tratamento de dados de caráter pessoal.
2. Com caráter geral, é necessário para o tratamento dos dados decorrente da leitura do microchip o consentimento do interessado.
3. O consentimento não só deveria verificar-se no momento da implantação do microchip, como deveria ainda existir em cada tratamento relacionado com a leitura dos dados que o mesmo possa conter, dado que essa leitura poderia ser efetuada por diferentes sujeitos.
4. Que a implantação do microchip e o posterior tratamento dos dados deveriam apenas ser admissíveis caso a mesma se revelasse imprescindível para a finalidade pretendida, que, logicamente, deverá ser lícita. Deste modo, se fosse possível substituir a referida implantação por outros meios que permitissem o tratamento dos dados necessários para essa finalidade sem necessidade de utilizar métodos invasivos, como, por exemplo, através de cartões inteligentes, poderia entender-se que o tratamento realizado não estaria abrangido pela legislação
   

O que é revisto na Auditoria de proteção de dados?

O objetivo da auditoria de proteção de dados é determinar se as medidas de segurança são adequadas e se são cumpridas estabelecidas pela LOPD.

Na auditoria devem ser recolhidos os seguintes dados:

1. Relação de ficheiros, estrutura e conteúdo.

2. Políticas de segurança e procedimentos (registo de incidências, cópias de segurança, eliminação de suportes, etc.).

3. Documento de Segurança e auditorias anteriores (se existirem).

4. Conceção física e lógica dos sistemas de informação.

5. Relação de utilizadores, acessos autorizados e respetivas funções.

6. Inventário de suportes e registo de entrada e saída de suportes.

7. Registos de acesso e relatórios de revisão dos mesmos.

8. Entrevistas a utilizadores e responsáveis.

9. Inspeção visual.

10. Formulários de recolha de dados, contratos, etc.

O relatório de auditoria

Depois de revistos todos os pontos acima indicados, deve elaborar-se um relatório que se pronuncie sobre a adequação das medidas de segurança, identifique deficiências e proponha medidas corretivas ou complementares.

Esse relatório deverá ficar à disposição da AEPD.

A TER EM CONTA

O responsável pelo ficheiro deverá, com base no relatório de auditoria, adotar as medidas adequadas para corrigir as deficiências detetadas.