Boletim LOPD janeiro 2013

Tratamentos de dados proibidos pela Lei Orgânica de Proteção de Dados

Como sabemos, a LOPD (lei espanhola de proteção de dados) regula o tratamento de dados pessoais realizado pelas entidades (tanto públicas como privadas), empresas e organizações (associações, fundações, etc.).

No entanto, poderia dar-se o caso de uma organização recolher massivamente dados sensíveis dos cidadãos para lhes dar um uso, no mínimo, questionável.

Para estes efeitos, e com o objetivo de proteger os cidadãos desta possível prática, a LOPD proíbe expressamente os ficheiros criados com a finalidade exclusiva de armazenar dados de caráter pessoal que revelem a ideologia, filiação sindical, religião, crenças, origem racial ou étnica ou vida sexual.

Ou seja, não se podem criar ficheiros cuja única finalidade seja recolher estes dados sem que exista qualquer outra finalidade além da simples recolha e armazenamento destes dados.

Isto aplica-se tanto a ficheiros automatizados (os que são conservados em suportes informáticos) como a ficheiros não automatizados (os que são conservados em suporte de papel).

A TER EM CONTA

É preciso ter muito clara a finalidade da recolha dos dados pessoais e informá-la adequadamente.

Coima por enviar emails utilizando o campo CC

Na resolução R/02997/2012 da AEPD pode ver-se a coima que uma empresa pode sofrer por enviar emails a vários destinatários utilizando o campo Com Cópia (CC), em vez de utilizar Com Cópia Oculta (BCC).

Em 31 de maio de 2012 é recebida no registo da Agencia Española de Protección de Datos uma reclamação de A.A.A. na qual se expõem os seguintes factos. No dia 25 de maio de 2012, a denunciante recebeu no seu endereço de email xxx@yahoo.com uma mensagem enviada a partir do endereço xxx@santamarialareal.org na qual figuram os endereços de email de aproximadamente 1000 pessoas. A denunciante declara que, antes da data de envio da mensagem, tinha adquirido uma coleção de DVD a essa entidade, fornecendo o seu endereço de email.

O endereço de email, considerando que contém informação sobre o seu titular, ou na medida em que permita proceder à identificação do mesmo, deve ser considerado um dado de caráter pessoal e o seu tratamento está sujeito à LOPD.

Durante o procedimento de inspeção, ficou provado no processo que o denunciante recebeu um email enviado pelo denunciado, no qual se visualizavam dados pessoais de múltiplas pessoas, (endereços de email) (incluindo o seu próprio), pelo que se deve entender violado o dever de sigilo imposto pelo artigo 10 da LOPD.

Resultado: coima de 2.000€ por uma infração do artigo 10 da LOPD, classificada como grave.

IMPORTANTE

Devemos utilizar sempre o campo BCC (Com Cópia Oculta) para fazer envios massivos de emails.

Subcontratação com empresa mexicana

O parecer 0352/2011 da AEPD responde à consulta apresentada: a consulente indica que pretende subcontratar a uma empresa mexicana uma parte das tarefas e, para isso, idealizou um procedimento que submete à apreciação desta Agência para determinar se pode ser considerado um procedimento de dissociação, de modo a que não se aplique o previsto na regulamentação de proteção de dados relativamente aos movimentos internacionais de dados e à figura de subcontratante do tratamento.

Desse parecer jurídico extrai-se o seguinte:

1. Coloca-se a questão de saber se pode ser considerado um procedimento de dissociação o que consiste em digitalizar um ficheiro que contém dados e atribuir a cada registo um identificador único. Posteriormente, a imagem seria fragmentada, aparecendo em cada fragmento um dado isolado ao qual seria atribuído um código único. Essas imagens fragmentadas são enviadas a uma empresa subcontratada sem que lhe seja enviado o identificador único atribuído a cada registo, de forma a que não possa associar as imagens correspondentes a uma mesma pessoa. Contudo, haverá dados que, por si só, identificarão direta ou indiretamente uma pessoa, como o número do DNI. Por conseguinte, este processo de fragmentação do registo permite que alguns dados identifiquem direta ou indiretamente uma pessoa, o que impossibilita qualificar esses dados como dissociados.
2. Tendo em conta que os dados vão ser transmitidos para o México, estaremos perante uma transferência internacional de dados por parte do subcontratante do tratamento.

Por conseguinte, as empresas que contratem com a consulente a informatização dos seus ficheiros serão as obrigadas a solicitar a autorização do Diretor da Agência e a apresentar as garantias adequadas para o efeito.

A TER EM CONTA

Sempre que se enviem dados para outro país, devemos ter em conta que podemos estar a realizar uma Transferência Internacional de Dados (TID).

Quais são os dados enviados à Agencia Española de Protección de Datos ao inscrever um ficheiro?

Os ficheiros que uma organização gere são notificados ao Registro General de Protección de Datos (RGPD) espanhol.

A notificação de inscrição de um ficheiro contém os seguintes campos:

• Identificação do responsável pelo ficheiro.
• Identificação do ficheiro.

• Finalidades e utilizações previstas.

• Sistema de tratamento utilizado.

• Grupo de pessoas sobre as quais se obtêm os dados.

• Procedimento e proveniência dos dados.

• Estrutura básica do ficheiro, descrição detalhada dos dados identificativos e, se for o caso, dos especialmente protegidos, bem como as categorias de dados nele incluídas.

• As cedências ou comunicações de dados previstas.

• As transferências internacionais de dados.

• Os serviços ou unidades perante os quais podem ser exercidos os direitos de acesso, retificação, cancelamento e oposição.

• A identificação do subcontratante do tratamento, se for o caso.

• A indicação do nível de medidas de segurança exigível: básico, médio ou alto.

A TER EM CONTA

Os ficheiros devem ser notificados à Agencia Española de Protección de Datos ANTES da sua criação.