Boletim LOPD novembro 2012

Boletim LOPD novembro 2012

Armazenamento da documentação em formato papel: orçamentos, faturas, guias de remessa, etc.

Os dispositivos utilizados para o armazenamento dos documentos que contenham dados pessoais devem dispor de mecanismos que dificultem a sua abertura por pessoas não autorizadas a aceder a essa documentação.
Ou seja, essa documentação (os arquivadores com as faturas, guias de remessa, recibos de vencimento, etc.) deve ser guardada em armários, gaveteiros, etc. que disponham de fechadura com chave ou outro dispositivo semelhante.

Obviamente, só as pessoas autorizadas a aceder a essa documentação devem ter a chave, e os dispositivos devem permanecer fechados enquanto não for necessário aceder aos documentos neles guardados.

E o que fazemos se os armários não tiverem fechadura?

Neste caso, a regulamentação indica que, se as características físicas não permitirem adotar esta medida, o responsável pelo ficheiro adotará medidas que impeçam o acesso de pessoas não autorizadas.

Estas medidas podem consistir em transferir toda esta documentação para um espaço à parte fechado à chave, ou outra semelhante, que garanta que os documentos não serão acedidos por alguém não autorizado.

Coima por partilhar um ficheiro com dados através do eMule

Na resolução R/02437/2012 da AEPD pode ver-se a coima que uma empresa pode sofrer por não ter implementadas as medidas de segurança exigidas pela LOPD.

Em 16 de julho de 2007, deu entrada na AEPD um email da Polícia Local do Concello de Ourense, no qual informa que, no dia 10 desse mês, encontrou e transferiu um ficheiro de um utilizador da Internet, no ambiente de partilha Emule, cujo nome era “PONFERRADA AFILIADOS FIA BIERZO ACCESS 2000.MDB”.

No dia 10/7/2007, às 16:21 horas, foi identificado o IP do utilizador do emule que partilhava o referido ficheiro, que era o ***IP.1.
Após a inspeção da AEPD, verifica-se que a base de dados é composta por diferentes tabelas, entre as quais as denominadas “AFILIADO” e “EMPRESAS”, verificando-se que a primeira tem 2.890 registos. Essa base de dados corresponde a uma aplicação informática utilizada para a gestão do ficheiro, alojada num servidor situado na própria secretaria da organização sindical onde se realiza a inspeção.

O problema ocorreu porque um utilizador permitiu que o ficheiro pudesse ser partilhado por outros através do eMule, embora não esteja provado que o tenha feito conscientemente e com a intenção de dar a conhecer ou divulgar este ficheiro, nem que com isso pretendesse prejudicar os filiados ou a organização sindical FIA-UGT da comarca de El Bierzo.
Resultado: coima de 6.000€ à FEDERACIÓN ESTATAL DE INDUSTRIAS AFINES DE LA UNIÓN GENERAL DE TRABAJADORES por uma infração do artigo 9.1 da LOPD, classificada como grave.

Mudança de sexo e proteção de dados

O parecer 0268/2011 da AEPD responde à consulta sobre o modo como deverão ser aplicadas as disposições da LOPD e do seu Regulamento de desenvolvimento no caso de uma pessoa que foi submetida a um tratamento de transexualidade ter solicitado a retificação dos seus dados, de forma a que constem do processo clínico da paciente com o seu novo nome. Em particular, coloca-se a questão de saber se o nome da paciente deveria ser modificado nos dados relacionados com episódios do processo clínico ocorridos quando a paciente era homem.

Desse parecer jurídico extrai-se o seguinte:

a) A necessidade de os dados relacionados com o paciente constarem do processo clínico na sua situação atual, de forma a que a informação apareça vinculada à mesma.
b) No entanto, os episódios contidos no processo deverão ser conservados com a devida exatidão e integridade, a fim de garantir uma assistência de saúde adequada ao paciente com base em toda a informação clínica disponível, tendo particularmente em conta as especificidades que possam resultar do sexo do paciente em relação a determinadas doenças, uma vez que a consulta assinala que “o modo de adoecer é diferente em função do género”, existindo ainda determinadas doenças associadas exclusivamente a um género.

A consequência de tudo isto será que, embora a informação contida no processo clínico deva figurar sob o nome da paciente, os episódios concretos nele contidos deverão conservar a informação necessária para garantir que os profissionais de saúde que acedam ao processo sabem que a paciente, no momento em que esse episódio ocorreu, era do género masculino.

O que são as etiquetas RFID e que relação têm com a proteção de dados pessoais?

A Identificação por Radiofrequência ou RFID é uma tecnologia que permite identificar um objeto graças a um emissor nele incorporado que transmite por radiofrequência os dados identificativos do objeto (etiquetas de segurança, chips, cartão de biblioteca, cartão de controlo de trabalhadores, pulseiras com chip, etc.).
Embora esta tecnologia melhore a eficiência e a comodidade dos sistemas de uso diário, por vezes coloca riscos para a segurança e a privacidade dos utilizadores.

Nos casos em que as etiquetas contenham informação pessoal ou associada a pessoas singulares, serão aplicáveis as normas sobre proteção de dados pessoais, concretamente a LOPD.

Os utilizadores devem conhecer a tecnologia, interessar-se pelo uso que dela vai ser feito, conhecer o modo de exercer os seus direitos e transmitir aos responsáveis pelo uso destas tecnologias a necessidade de respeitar o seu direito fundamental à proteção de dados nos processos de conceção de novos serviços RFID.