Boletim LOPD agosto 2013

Instalação de câmaras de videovigilância e LOPD

Se instalarmos uma ou várias câmaras de videovigilância, nas quais podemos recolher imagens de pessoas, temos de cumprir a LOPD e realizar as seguintes ações:

1. Inscrição de ficheiros

Se existir gravação das imagens, deverá ser notificado o ficheiro relativo a essas imagens.

A simples reprodução em circuito fechado ou emissão de imagens em tempo real não gera um ficheiro.

2. Dever de informar

Para informar adequadamente deve existir:

• Um aviso de ZONA VIDEOVIGIADA.

• Um impresso a informar da existência de um tratamento, da finalidade e dos destinatários da informação, do exercício dos direitos ARCO, e da identidade e morada do responsável pelo ficheiro.

A informação do impresso poderá ser incorporada no aviso se a mesma for legível.

3. Contrato com o subcontratante

Se uma empresa externa aceder ou puder aceder às imagens, é um subcontratante e deverá ser celebrado o correspondente contrato de acesso a dados por conta de terceiros.

4. Medidas de segurança

Deverá ser elaborado um Documento de Segurança e implementadas as medidas de segurança exigidas pela LOPD.

A TER EM CONTA

A polícia de muitas cidades denuncia oficiosamente a existência de câmaras de videovigilância que não cumprem a LOPD.

Sanção por envio de SMS sem autorização

Na resolução R/01488/2013 da AEPD (Agencia Española de Protección de Datos) pode ver-se a sanção que uma empresa pode sofrer por não atender um pedido de oposição ao envio de publicidade.

Em 06/11/12 deu entrada na AEPD uma exposição a denunciar que a sociedade ULD lhe tinha enviado três SMS de natureza comercial não autorizados, e, além disso, que tinha pedido o cancelamento destes serviços em duas ocasiões anteriores.

A relação com a referida empresa surgiu ao adquirir um pequeno eletrodoméstico, momento em que facultou o seu número de telemóvel por questões relacionadas com a garantia, mas indicando que não desejava receber publicidade no mesmo. No entanto, recebeu a primeira mensagem e pediu o cancelamento, sem qualquer resultado, pois recebeu mais duas mensagens.

A AEPD, perante as declarações contraditórias entre as partes, em que o denunciante indica que não deu consentimento para a receção de SMS publicitários e a entidade denunciada alega que o denunciante lhe forneceu esse dado sabendo do uso publicitário que lhe ia ser dado, tem de atender à prova documental apresentada, em especial ao talão de venda apresentado pelo denunciante e à cópia da fatura apresentada pela ULD.

Da análise desses documentos verifica-se que nenhum deles oferecia ao cliente, neste caso o denunciante, a possibilidade de se opor ao tratamento dos seus dados para fins promocionais através de um procedimento simples e gratuito no momento da recolha dos dados. Concretamente, não aparece nenhuma caixa de seleção ou outro mecanismo gratuito para recusar, nesse momento, a receção de publicidade por meios eletrónicos.

Resultado: Sanção de 600 € por infração do artigo 21 da LSSI (lei espanhola de serviços da sociedade da informação).

IMPORTANTE

É conveniente acrescentar a cláusula informativa nos documentos que entregamos ao cliente, já que, em caso de denúncia, é a prova documental que vai ser avaliada.

Captação e registo de matrículas em postos de combustível

O parecer jurídico da AEPD responde à consulta colocada relativa à possível implementação de um sistema de captação e tratamento do dado relativo à matrícula dos veículos que entram nos postos de abastecimento, a fim de identificar os veículos que abandonam os postos de abastecimento sem pagar o combustível que lhes foi fornecido. Em particular, pergunta-se se esse sistema poderia ficar enquadrado no ficheiro já declarado de videovigilância, se é necessária a obtenção do consentimento e quais os princípios que seriam aplicáveis, bem como o prazo máximo de conservação desses dados.

Do referido parecer jurídico extrai-se o seguinte:

• O dado da matrícula de um automóvel é um dado pessoal, uma vez que existe um registo de veículos que permite conhecer o proprietário.

• Esse dado não pode ficar enquadrado no ficheiro de videovigilância que a consulente diz ter criado e inscrito, por se alterar a finalidade do ficheiro (cuja finalidade é a videovigilância e a segurança), tendo em conta que o que se pretende é extrair os caracteres da matrícula da imagem captada para os transferir para uma base de dados.

• Deverá ser criado um novo ficheiro que contemple esta nova finalidade (que será relativa a: “a necessidade de erradicar, ou pelo menos atenuar, esses comportamentos fraudulentos”, isto é, “pessoas que abastecem os seus veículos em postos de abastecimento de …. Abandonam as instalações sem efetuar o correspondente pagamento”.

• Este novo ficheiro deverá ser inscrito na AEPD, devendo aplicar-se-lhe as medidas de segurança estabelecidas na Lei, bem como informar adequadamente e permitir o exercício dos direitos de acesso, retificação, cancelamento e oposição.

                                           A TER EM CONTA

Os dados recolhidos devem ser adequados, pertinentes e não excessivos para a finalidade a que se destinam.

Quando deve ser atualizado o Documento de Segurança?

O artigo 88.7 do RD1720/2007 (Real Decreto espanhol) estabelece:

O documento de segurança deverá manter-se sempre atualizado e será revisto sempre que ocorram alterações relevantes no sistema de informação, no sistema de tratamento utilizado, na sua organização, no conteúdo da informação incluída nos ficheiros ou tratamentos ou, se for o caso, em consequência dos controlos periódicos realizados.

Estas são algumas das situações em que devemos atualizar o documento de segurança:

• Entra na empresa um novo trabalhador que vai tratar dados pessoais. Deverá ser acrescentado à lista de utilizadores e acessos permitidos.

• Sai da empresa um trabalhador que tinha acesso a dados pessoais. Deverá ser eliminado da lista de utilizadores e acessos.

• É comprado novo equipamento informático. Deverá ser acrescentado ao inventário de equipamento da sede.

• É adquirido um novo software. Deverá ser acrescentado o software na respetiva secção, bem como os perfis que têm acesso ao mesmo.

• São recolhidos novos tipos de dados. Deverá ainda ser modificada a inscrição do ficheiro.

• Entra ou muda algum subcontratante.
  Deverá ser celebrado o contrato e modificada a inscrição do ficheiro, se for o caso.

• Quando ocorram outras alterações na organização que possam afetar os dados.

A TER EM CONTA

Não dispor de um Documento de Segurança atualizado e que reflita a situação real da empresa é uma infração grave, punida com coima entre 40.001 € e 300.000 €