Boletim LOPD outubro 2012 – Yecla

Boletim LOPD outubro 2012

O ciclo de vida dos dados

No tratamento dos dados pessoais temos quatro momentos fundamentais:
1. Recolha dos dados: É o momento em que os dados são recolhidos. Podem provir do próprio interessado, de um Terceiro ou de fontes acessíveis ao público.
2. Conservação e utilização dos dados: É o momento em que introduzimos os dados recolhidos no ficheiro e os utilizamos para uma finalidade específica. Por exemplo, elaborar faturas, recibos de vencimento, contratos, etc.
3. Comunicação dos dados: É o momento em que comunicamos os dados, ou o resultado do tratamento, a Terceiros. Isto é conhecido como “cedência ou comunicação de dados”, seja a outra entidade ou à administração.
4. Eliminação dos dados: É o momento em que eliminamos definitivamente os dados porque já não são necessários ou pertinentes para a finalidade para a qual foram recolhidos.
Em cada um destes momentos existem obrigações específicas e definidas que têm de ser cumpridas.

A TER EM CONTA

O responsável pelo ficheiro é responsável, em todos e cada um destes momentos, pelo que é feito com os dados.

Coima por não atender a uma notificação da AEPD

No procedimento sancionatório PS/00101/2012 pode ver-se a coima que uma empresa pode sofrer por não atender devidamente ao exercício dos direitos dos cidadãos, sobretudo quando a AEPD o exigiu.

Em 4 e 13 de janeiro de 2012, deram entrada na AEPD participações de D. B.B.B. (doravante, o denunciante), nas quais denuncia que D. A.A.A. (doravante, o denunciado) não cumpriu a notificação do Diretor desta AEPD, relativa à Resolução de tutela de direitos n.º TD/00706/2010, que dava provimento à sua reclamação e instava o denunciado a, no prazo de dez dias, facultar o acesso aos seus dados de saúde contidos nos seus ficheiros ou, caso contrário, recusar esse acesso de forma motivada e fundamentada.

Em 2 de abril de 2012, tentou-se notificar o denunciado do referido acordo de início de procedimento sancionatório através dos serviços postais, com o resultado “Ausente na entrega”. O referido acordo de início de procedimento sancionatório foi enviado para notificação do denunciado mediante a sua afixação no Quadro de editais do Ayuntamiento de Valencia. O edital esteve afixado no Quadro de editais do Ayuntamiento de Madrid de 25 de abril a 15 de maio de 2012. A 27 de abril de 2012 foi publicado no Boletín Oficial del Estado (BOE), concedendo-se ao denunciado um prazo para apresentar alegações ao referido acordo.

A falta de resposta do arguido neste procedimento à notificação do Diretor da AEPD estabelece a base de facto para fundamentar a imputação da infração.

Resultado: coima de 5.000€ por infração do art. 37.1.a) da LOPD.

A AEPD ESCLARECE

Utilização de câmaras para controlar a assiduidade

O parecer 0392/2011 da AEPD responde à consulta sobre a conformidade com o disposto na LOPD e no seu Regulamento de Desenvolvimento do tratamento dos dados necessários para o reconhecimento dos alunos de um determinado estabelecimento universitário através de programas de reconhecimento facial, que serão utilizados para o controlo da sua assiduidade às aulas e para a sua identificação na realização das respetivas provas.

Desse parecer jurídico extrai-se o seguinte:

1. Para verificar se uma medida restritiva supera o juízo de proporcionalidade e, portanto, pode ser aplicada, há que constatar que cumpre estas três condições:
   1. Se essa medida é suscetível de alcançar o objetivo proposto (juízo de idoneidade).
   2. Se, além disso, é necessária, no sentido de que não exista outra medida mais moderada para alcançar esse propósito com igual eficácia (juízo de necessidade).
   3. E, finalmente, se é ponderada ou equilibrada, por dela resultarem mais benefícios do que prejuízos (juízo de proporcionalidade em sentido estrito).
2. A finalidade proposta, o controlo da assiduidade, poderia ser alcançada igualmente através de outros mecanismos habitualmente utilizados e menos intrusivos.

Em conclusão, esse tratamento dos dados viola, no entender da AEPD, o princípio da proporcionalidade e, em segundo lugar, gera riscos desnecessários decorrentes do próprio tratamento dos dados, que não se conciliam facilmente com as normas reguladoras do direito fundamental à proteção de dados de caráter pessoal.