Boletim LOPD fevereiro 2013

Muito cuidado com os programas de partilha de ficheiros (eMule, Ares, etc.)

Muitas pessoas têm programas P2P instalados no computador, como eMule, Ares, Torrent, etc., sem se aperceberem de que estão expostas a um grande risco, já que estes programas se baseiam na partilha de ficheiros de uma pasta. Uma pasta na qual, acidentalmente, podemos colocar coisas que não devem ser partilhadas…

Para amostra, um exemplo: «Em setembro de 2010 recebi uma mensagem de uma pessoa a avisar-me de que o meu DNI estava no Emule. O meu companheiro da altura lembrou-se de que foi ele quem o carregou sem má intenção, ao digitalizar o meu DNI por um assunto de trabalho e que, ao que parece, ficou gravado na zona de transferências do Emule». É assim que S. A. T. Y., de 30 anos, natural de Palência, começa o seu angustiante relato de uma situação que, longe de se resolver, se complica cada dia mais, a julgar pelas denúncias e requisições judiciais que lhe vão chegando a reclamar-lhe quantias importantes de dinheiro.

Acontece que, utilizando a imagem digitalizada do seu DNI (documento de identificação espanhol), abriram contas em seu nome em diferentes entidades financeiras, bem como vários créditos que agora lhe reclamam.

Fonte: Diario Palentino.es (15/02/2013).
Para ver a notícia completa clique aqui.

A TER EM CONTA

Se, por exemplo, partilharmos acidentalmente a base de dados de clientes, enfrentamos uma coima de até 600.000€.

Coima por ceder dados de um membro de uma ordem profissional

Na resolução R/03127/2012 da AEPD (Agencia Española de Protección de Datos) pode ver-se a coima que uma ordem profissional pode sofrer por ceder dados pessoais de um membro sem obter o seu consentimento.

Em 14/07/2011, deu entrada na AEPD uma participação de D. A.A.A. (doravante, a denunciante), na qual denuncia que os seus dados bancários foram facultados pela entidade COLEGIO OFICIAL DE MÉDICOS DE ALICANTE (doravante, COLEGIO DE MÉDICOS) à companhia de seguros AmTrust Europe Limites e à entidade SEGUROS MÉDICOS COLEGIALES ALICANTE, CORREDURÍA DE SEGUROS, S.L. (doravante, SEMECO), responsável pela gestão dos seguros médicos.

Na sua participação acrescenta que, no início de 2011, procedeu à devolução de um recibo debitado na sua conta bancária da entidade CAM pela companhia AmTrust Europe Limites, emitido e processado através da SEMECO e correspondente a um seguro complementar de responsabilidade civil que não desejava manter. No entanto, a 17/05/2011 recebe outro débito na sua conta do Barckays, conta que não tinha fornecido à SEMECO.

Durante o procedimento de inspeção, a entidade COLEGIO DE MEDICOS reconheceu que facultou à entidade SEMECO a conta bancária indicada pela denunciante para o débito direto da quota de membro, aberta por ela no Barclays Bank, S.A., e que tinha sido fornecida pela própria ao COLEGIO DE MEDICOS para o débito direto da quota.

Resultado: coima de 6.000€ à entidade COLEGIO DE MEDICOS e coima de 10.000€ à entidade SEMECO, por violação dos artigos 11 e 6.1 da LOPD, respetivamente.

IMPORTANTE

A cedência não consentida de dados pessoais é uma das práticas que a LOPD pretende erradicar e, por isso, a que tem consequências mais graves.

Cartões de identificação dos trabalhadores

O parecer jurídico 0028/2011 da AEPD responde à consulta sobre se é conforme à Lei Orgânica 15/1999 (LOPD) a inclusão do n.º de D.N.I. e da fotografia, além do nome e dos dois apelidos, nos cartões de identificação que os trabalhadores devem usar em local visível enquanto prestam serviço na empresa.

Desse parecer jurídico extrai-se o seguinte:

1. A inclusão do número de D.N.I. nos cartões de identificação do pessoal não viola o princípio da proporcionalidade, uma vez que esse tratamento não é excessivo para a finalidade de identificação do pessoal.
2. Quanto ao tratamento da imagem dos trabalhadores e à legitimidade para o realizar, a Agência indica que “A mesma argumentação pode aplicar-se à inclusão da fotografia do trabalhador nos cartões de identificação, não podendo a mesma ser considerada excessiva para os efeitos previstos no artigo 4.1 da LOPD”.
3. Por outro lado, a finalidade que justifica a inclusão dos dados do DNI e da fotografia dos trabalhadores nos seus cartões é garantir a sua identificação no desempenho das suas funções, pelo que o tratamento dos dados não exige obter o consentimento dos interessados, sem prejuízo do dever de os informar nos termos do art. 5 da LOPD.

Portanto, sim, a inclusão destes dados nos cartões de identificação seria conforme à LOPD, não sendo considerado um tratamento de dados excessivo face à finalidade de identificação do pessoal que cumpre.

Também não será necessário o consentimento do trabalhador para tratar esses dados, com base na relação laboral que os une.

No entanto, deverão ser informados nos termos do art. 5 da LOPD.

A TER EM CONTA

Qualquer exposição de dados pessoais constitui uma cedência que deve ser consentida pelo titular ou estar abrangida por alguma das exceções previstas na LOPD.

“Tenho uma clínica e trabalhamos com relatórios médicos em Word. Como posso registar os acessos aos relatórios?”

Os relatórios médicos incluem dados pessoais de nível alto. Para cumprir a LOPD, é necessário implementar um registo de acessos com as seguintes características:

1. De cada tentativa de acesso serão guardados, no mínimo, a identificação do utilizador, a data e hora em que foi realizada, o ficheiro acedido, o tipo de acesso e se foi autorizado ou recusado.
2. Caso seja autorizado, deverá ser guardada informação que permita identificar o registo acedido.
3. Os mecanismos que permitem o registo de acessos estarão sob o controlo direto do responsável de segurança competente, não devendo permitir a sua desativação nem manipulação.
4. O período mínimo de conservação dos dados registados será de dois anos.
5. O responsável de segurança encarregar-se-á de rever, pelo menos uma vez por mês, a informação de controlo registada e elaborará um relatório das revisões realizadas e dos problemas detetados.

E como se pode fazer tudo isto?

A melhor opção para o conseguir é implementar um software de gestão documental que valide o acesso de cada utilizador aos relatórios e registe cada um dos acessos, tal como a regulamentação exige.

A TER EM CONTA

As medidas de segurança têm de ser implementadas de forma efetiva. Não basta tê-las descritas no Documento de Segurança.