Boletim LOPD abril 2013

Para que o meu contabilista me faça a contabilidade tenho de lhe dar dados. Como devo regular isso?

O acesso a dados de caráter pessoal por parte de uma entidade alheia ao titular do ficheiro é o que se denomina acesso a dados por conta de terceiros e a entidade que acede a esses dados para prestar um serviço (neste caso, o contabilista) é o que se denomina subcontratante.

Com o objetivo de garantir que o subcontratante apenas utiliza os dados para a prestação do seu serviço, a LOPD obriga a celebrar um contrato entre ambos, no qual se estabelece expressamente:

• Que o subcontratante:

  • Só tratará os dados de acordo com as instruções do responsável pelo ficheiro.

  • Não os aplicará nem utilizará para fim distinto do que conste do referido contrato.

  • Não os comunicará, nem sequer para a sua conservação, a outras pessoas.

• As medidas de segurança que o subcontratante é obrigado a implementar.

Este contrato tem de ser formalizado com todas e cada uma das entidades que tenham ou possam ter acesso a dados.

A TER EM CONTA

 Não dispor do contrato de subcontratante é uma infração leve, punida com sanção entre 900 e 40.000€.

Sanção por videovigilância em balneário e sem legalização

 Na resolução R/03155/2012 da AEPD (Agencia Española de Protección de Datos) pode ver-se a sanção que uma organização pode sofrer por colocar câmaras de vigilância em locais proibidos e, além disso, não ter a instalação legalizada.

 Em 16 de julho de 2012 deu entrada na AEPD um relatório do Departamento de Interior da Generalitat da Catalunha, que dava conta de que, na sequência da inspeção policial realizada em 29 de maio de 2012 no estabelecimento PARADISE, propriedade de LA VIMETERA, S.L. (Girona), os agentes dos Mossos d’Esquadra verificaram que no interior desse local se estava a realizar um tratamento de dados de caráter pessoal com câmaras de videovigilância que podia constituir infração da LOPD.

 Na inspeção da AEPD constatou-se que existia um sistema de videovigilância composto por 16 câmaras, um monitor no gabinete do diretor a partir do qual se visualizavam as imagens captadas em tempo real e um gravador da marca Samsung.

 Duas das câmaras de videovigilância estavam situadas no balneário das mulheres que prestavam serviço no clube e as suas imagens eram captadas enquanto se despiam. As imagens eram gravadas e armazenadas durante dez dias.

 Verificou-se também que o referido ficheiro não se encontrava inscrito na AEPD.

 Existiam avisos informativos de videovigilância no estabelecimento.

 Resultado: Sanção de 50.000€ por infração do artigo 4.1 da LOPD, relativo à qualidade dos dados (colocar câmaras num balneário).

 E, além disso, sanção de 1.100€ por infração do artigo 26.1 da LOPD, relativo à inscrição de ficheiros (não ter notificado o ficheiro à AEPD).

IMPORTANTE

 Antes de colocar câmaras de videovigilância, deve ponderar-se a proporcionalidade da sua utilização face à finalidade pretendida.

Aviso informativo no estabelecimento

 O parecer jurídico 0029/2011 da AEPD responde à consulta colocada sobre se é conforme à Ley Orgánica 15/1999 (LOPD) o cumprimento do dever de informar os interessados sobre o tratamento dos seus dados pessoais através da colocação de um aviso no estabelecimento.

 Do referido parecer jurídico extrai-se o seguinte:

 O art. 5 da LOPD dispõe que “Os interessados a quem sejam solicitados dados pessoais deverão ser previamente informados de modo expresso, preciso e inequívoco” dos aspetos indicados no art. 5.1 da LOPD.

• A LOPD não exige uma forma determinada de cumprir esse dever de informação.

• A Agencia de Protección de Datos pronunciou-se sobre a liberdade de forma para cumprir esse dever em diversos pareceres e admite a informação prestada através de um aviso afixado sempre que reúna os requisitos de localização e formato que garantam o seu conhecimento por parte dos interessados, ou a inclusão da cláusula informativa num impresso entregue ao titular dos dados quando se comprove que o mesmo foi devidamente informado sobre o tratamento e a cessão dos seus dados, por exemplo, através da sua assinatura.

Conclusão: sim, cumpre-se o dever de informar, desde que o aviso reúna os requisitos exigidos no art. 5.1 da LOPD, bem como os de visibilidade e legibilidade indicados, de forma a assegurar que os interessados tenham conhecimento dessa informação e possam exercer os seus direitos.

Importa também recordar que, em todo o caso, cabe ao responsável pelo ficheiro a prova do cumprimento do dever de informação, embora esse cumprimento possa ser comprovado por qualquer meio de prova admissível em direito.

A TER EM CONTA

Sempre que se recolhem dados pessoais, é necessário informar os titulares, através de uma cláusula informativa, dos aspetos indicados no art. 5.1 da LOPD.

Em caso de inspeção por parte da AEPD,
o que podem fazer os inspetores?

 A AEPD pode realizar inspeções oficiosamente ou a pedido dos titulares dos dados, recolhendo toda a informação de que necessite para o cumprimento das suas funções.

Os inspetores da AEPD poderão:

1. Solicitar a exibição ou o envio de documentos e dados, bem como examiná-los no local onde se encontrem.

2. Aceder às instalações onde se encontram os suportes com dados, bem como inspecionar os suportes e equipamentos.

3. Exigir a execução de programas e examinar a documentação pertinente a fim de determinar, se necessário, os algoritmos dos processos que tratam os dados.

4. Examinar os sistemas de transmissão e acesso aos dados.

5. Realizar auditorias aos sistemas informáticos com vista a determinar a sua conformidade com as disposições da LOPD.

O responsável pelo ficheiro estará obrigado a permitir o acesso às instalações em que se encontrem os ficheiros e os equipamentos informáticos, mediante exibição prévia da autorização emitida pelo Diretor da AEPD.

A obstrução ao exercício da função inspetiva da AEPD é uma infração qualificada como grave, punida com sanção entre 40.001 e 300.000 €.

A TER EM CONTA

 Os funcionários que exercem a inspeção têm o estatuto de autoridade pública no desempenho das suas funções.