Boletim LOPD maio 2014

A LOPD NO DIA A DIA

Quem pode exercer um direito ARCO?

Os direitos de acesso, retificação, cancelamento e oposição são pessoalíssimos e devem ser exercidos pelo próprio titular.
Estes direitos serão exercidos:

a) Pelo próprio titular, comprovando a sua identidade (fotocópia do DNI ou documento semelhante).
b) Pelo seu representante legal (sempre comprovado), quando o titular se encontre em situação de incapacidade ou seja menor de idade, o que o impossibilite de exercer pessoalmente estes direitos.
c) Por um representante voluntário, expressamente designado para o exercício do direito. Neste caso, deverá estar claramente comprovada a identidade do representado, através do DNI ou documento equivalente, bem como a representação por ele conferida.

Os direitos serão recusados quando o pedido for apresentado por uma pessoa diferente do titular e não se comprove que atua em representação deste.

IMPORTANTE

Os direitos devem ser atendidos no prazo e na forma devidos, em especial o direito de cancelamento, já que muitas coimas da AEPD resultam da sua omissão.

COIMAS DA AEPD

Placa de videovigilância não válida

No processo sancionatório PS/00328 da AEPD podemos ver a coima que uma empresa pode sofrer se a placa informativa de zona videovigiada não cumprir os requisitos formais estabelecidos.
Segundo os factos, a Policía Municipal de Madrid denunciou a instalação de câmaras de videovigilância no estabelecimento ATOLÓN, propriedade da INVERSIONES ALABARDERO SL, sem cumprir os requisitos exigidos pela LOPD.
Os responsáveis pelo espaço apresentaram documentação em que consta que a instalação das câmaras de segurança foi efetuada pela entidade “Securitas Direct”, bem como um CD com fotografias das placas instaladas no estabelecimento, nas quais se pode ver que a placa instalada indica: “Securitas Direct. Instalación Protegida. Camaras de videovigilancia 24 horas” e um número de telefone.
No entanto, segundo a AEPD, essa placa não está em conformidade com a regulamentação em matéria de proteção de dados, porque omite um dado fundamental: não indica a identidade do responsável pelo ficheiro perante o qual se podem exercer os direitos de acesso, retificação, cancelamento e oposição reconhecidos nos arts. 15 e seguintes da LOPD, nem a referência à “Ley Orgánica 15/1999, de Protección de Datos”.
Resultado: Coima de 2.000€ por violação do artigo 5.1 da LOPD, relativo ao direito de informação.

IMPORTANTE

A placa informativa deve incluir a identidade do responsável pelo ficheiro e a morada perante a qual se podem exercer os direitos de acesso e cancelamento das imagens.

A AEPD ESCLARECE

Instalação de um call center noutro país

O relatório 0427/2010 da AEPD responde à consulta apresentada sobre se é exigível o disposto na LOPD no caso em que a consulente pretende instalar na Colômbia um serviço de atendimento de chamadas (call center) para tratar as encomendas e reclamações dos seus clientes, tendo em conta que a empresa, por regra geral, apenas trata os dados relativos ao número de telefone, fixo ou móvel, e à morada desses clientes, por ocasião das encomendas que estes fazem. Na consulta afirma-se que essas normas não seriam aplicáveis ao caso, uma vez que não se estaria a proceder ao tratamento de dados de caráter pessoal dos clientes.
Desse parecer jurídico conclui-se o seguinte:
a) Os dados relativos ao número de telefone a partir do qual é feita uma encomenda e à morada completa onde esta deve ser entregue são dados de caráter pessoal, estando o seu tratamento, por conseguinte, sujeito ao disposto na Ley Orgánica 15/1999.
b) A contratação de um serviço de “call center” na Colômbia implicará uma transferência internacional de dados com destino a um Estado que não oferece um nível adequado de proteção, para a qual será necessário obter a autorização do Diretor da Agencia Española de Protección de Datos”

IMPORTANTE

Quando se subcontratam noutros países serviços que impliquem o acesso a dados pessoais, temos de ter presente o correto cumprimento da LOPD.

O PROFISSIONAL RESPONDE

Como faço a gestão das entradas e saídas de utilizadores nos equipamentos informáticos para ter tudo controlado?

Os procedimentos de controlo de acesso devem ter em conta o ciclo de vida do utilizador, desde a sua criação no sistema até à sua desativação.
Para isso, deve redigir-se um procedimento ou política de registo de criação e desativação de utilizadores, cujo cumprimento rigoroso é tanto mais importante quanto mais utilizadores acederem ao sistema.
A política deve cumprir, entre outros, os seguintes pontos:
Atribuir um identificador único por utilizador, não podendo esse identificador ser partilhado por diferentes utilizadores.
Em caso de saída definitiva de um utilizador, eliminar imediatamente os seus direitos de acesso.
Em caso de ausência temporária, bloquear o seu identificador.
Comparar periodicamente a lista de utilizadores com a de pessoal, eliminando os utilizadores redundantes e os que não constam da lista, e rever os recursos a que têm acesso.
Cotejar a lista de utilizadores anterior com a lista de utilizadores e acessos permitidos do Documento de Segurança.

IMPORTANTE

A lista de utilizadores com acesso a recursos deve coincidir com a lista de utilizadores e acessos permitidos do Documento de Segurança.