Boletim LOPD junho 2013

O contrato de acesso a dados por conta de terceiros

Sempre que uma empresa externa aceda ou possa aceder a dados pessoais da nossa entidade (ex.: consultor fiscal, manutenção informática, etc.), é necessário assinar um contrato para regular esse acesso.

Este contrato denomina-se contrato de acesso a dados por conta de terceiros, e a empresa externa que presta o serviço denomina-se subcontratante.

Para ser válido, o contrato tem de conter a seguinte informação:

• O serviço que vai ser prestado.

• Os ficheiros ou dados pessoais a que o subcontratante pode ter acesso.

• Onde e como vai ser prestado o serviço.

• Se o serviço implica, ou não, armazenar dados nos sistemas do subcontratante.

• As medidas de segurança que o subcontratante é obrigado a implementar.

• Além disso, será indicado no contrato, expressamente, que o subcontratante apenas tratará os dados de acordo com as instruções do responsável pelo tratamento, que não os aplicará nem utilizará para fim distinto do que conste do referido contrato, nem os comunicará, nem sequer para a sua conservação, a outras pessoas.

O contrato deve constar por escrito ou de alguma outra forma que permita comprová-lo

A TER EM CONTA

Não dispor deste contrato com um subcontratante pode implicar uma sanção entre 900 e 40.000€.

Sanção pela existência de câmaras sem aviso informativo

Na resolução R/02180/2010 da AEPD (Agencia Española de Protección de Datos) pode ver-se a sanção que uma organização pode sofrer por instalar câmaras de videovigilância sem colocar os avisos de zona videovigiada e sem a indicação do local onde podem ser exercidos os direitos dos titulares dos dados.

Em 20/08/09 deu entrada na AEPD uma exposição da Área de Governo de Segurança e Mobilidade da Câmara Municipal de Madrid que remetia para um relatório da Polícia Municipal de Madrid a comunicar uma possível infração da LOPD motivada pela existência de câmaras de videovigilância no estabelecimento comercial Madrid Juegos, cujo titular é a entidade JOYPAZAR S.A..

No relatório indica-se que, durante uma inspeção realizada à JOYPAZAR, se verificou a existência de seis câmaras de videovigilância sem avisos informativos e sem a indicação de onde podem ser exercidos os direitos.

Instruído o procedimento, constata-se que existe um sistema de videovigilância instalado e em funcionamento que recolhe imagens de pessoas sem os avisos informativos, pelo que se está a proceder ao tratamento de dados sem o consentimento dos titulares, por não existir um aviso informativo que indicasse que essas gravações estavam a ser realizadas. E sendo esta a informação básica exigida para que os titulares possam dar esse consentimento, já que dificilmente será possível consentir algo que se desconhece (neste caso, que se está a ser gravado).

Resultado: Sanção de 2.500€ por infração do artigo 6.1 da LOPD, relativo ao consentimento.

IMPORTANTE

O aviso informativo tem de conter sempre o nome do responsável e a morada na qual devem ser exercidos os direitos.

Cessão de dados do recenseamento municipal a um notário

O parecer jurídico 0074/2013 da AEPD responde à consulta colocada sobre se é conforme à LOPD a cessão do certificado de inscrição no padrón (recenseamento municipal espanhol) de duas pessoas por parte da Câmara Municipal a um Notário que o solicitou para avaliar se um determinado imóvel constitui ou não habitação própria permanente num processo de venda extrajudicial de um bem hipotecado.

Do referido parecer jurídico extrai-se o seguinte:

• Qualquer comunicação ou cessão dos dados do Padrón deverá fundamentar-se na necessidade que a Administração cessionária tenha, no exercício das suas competências, de conhecer o dado da morada da pessoa em causa.

• Neste caso, estamos perante um processo de venda extrajudicial de um imóvel hipotecado, previsto no artigo 129 da Ley Hipotecaria espanhola de 8 de fevereiro de 1946.

• O art. 1858 do Código Civil espanhol afirma que “é também da essência destes contratos que, vencida a obrigação principal, possam ser alienadas as coisas que constituem o penhor ou a hipoteca para pagar ao credor”. O procedimento encontra-se desenvolvido no RD 6/2012, de 9 de março, sobre medidas urgentes de proteção de devedores hipotecários sem recursos.

Portanto, esta norma com força de lei determina que o Notário que tramita o procedimento executivo extrajudicial de um bem hipotecado deva saber se o imóvel constitui ou não habitação própria permanente. Conciliando essa norma legal com a regulamentação contida na Ley de Bases de Régimen Local antes citada, chegamos à conclusão de que existe habilitação legal suficiente para, no âmbito de um procedimento concreto – como acontece na consulta colocada –, comunicar o dado de inscrição no padrón.

A TER EM CONTA

A cessão de dados requer sempre o consentimento do titular ou o enquadramento em alguma das exceções previstas.

Quero contratar um serviço de cópia de segurança remota. O que devo fazer?

Um serviço de cópia de segurança remota é um tratamento de dados por conta de terceiros (sempre que façamos cópia de segurança de dados pessoais).

Ou seja, a empresa que nos presta o serviço é um subcontratante e, como tal, temos de ter em conta os seguintes pontos:

1. Garantir que cumpre a LOPD. O regulamento de desenvolvimento da LOPD, no seu artigo 20.2, estabelece: “Quando o responsável pelo tratamento contratar a prestação de um serviço que implique um tratamento de dados pessoais sujeito ao disposto neste capítulo, deverá zelar para que o subcontratante reúna as garantias para o cumprimento…”.
   Ou seja, é da nossa responsabilidade escolher subcontratantes que cumpram a LOPD.

2. Assinar um contrato de acesso a dados por conta de terceiros que especifique o serviço, os ficheiros abrangidos, as condições do mesmo e as medidas de segurança que deve cumprir.

3. Indicar no Documento de Segurança esta circunstância (subcontratante, serviço, implicações, etc.).

4. Garantir por contrato que os dados não saem da União Europeia para evitar realizar uma Transferência Internacional de Dados.

A TER EM CONTA

Realizar uma Transferência Internacional de Dados não autorizada é uma infração Muito Grave e pode implicar uma sanção entre 300.001€ e 600.000 €.