Boletim LOPD setembro 2013

Recolha de dados pessoais junto do próprio interessado

O momento mais importante para o correto cumprimento da regulamentação de proteção de dados é, sem dúvida, o momento da recolha dos dados.

É nesse momento que devemos informar sobre a finalidade para a qual esses dados são recolhidos (por exemplo, emitir a fatura solicitada), a identidade e morada do responsável pelo ficheiro e onde podem ser exercidos os direitos de acesso, retificação, cancelamento e oposição.

Caso venha a ocorrer uma cessão dos dados (como, por exemplo, uma agência de viagens que ceda posteriormente dados ao operador turístico), deverá ainda informar-se o titular dos dados sobre a finalidade dessa cessão e o setor a que pertence o destinatário da mesma (pode ainda ser necessário solicitar o consentimento para a mesma, se essa cessão não estiver abrangida por alguma das exceções previstas na Lei).

Para cumprir corretamente este princípio de informação, é necessário adequar os formulários que a empresa utilize para recolher esses dados, acrescentando a cláusula informativa correspondente (é recomendável acrescentá-la também em faturas, orçamentos, etc.).

Entre os formulários que devem ser adequados à LOPD, não devemos esquecer o formulário de contacto do site. Site que deve estar adequado também à LSSICE (lei espanhola de serviços da sociedade da informação).

A TER EM CONTA

Cabe à entidade demonstrar que informou de forma adequada a pessoa que forneceu os seus dados.

Sanção por colocar ecrãs de videovigilância à vista do público

Na resolução R/01776/2013 da AEPD (Agencia Española de Protección de Datos) pode ver-se a sanção que uma empresa pode sofrer por ter os monitores das câmaras de videovigilância à vista do público, bem como por não ter essas câmaras legalizadas de acordo com a LOPD.

O estabelecimento foi denunciado pelo Posto de Palamós da Guardia Civil.

O Diretor da AEPD decidiu notificar o denunciado para que regularizasse, no prazo de um mês, a situação do seu sistema de videovigilância e comprovasse a realização das seguintes ações:

• Retirar os ecrãs nos quais são visualizadas as imagens captadas, de forma que não sejam vistas por todo o público que entra, mas apenas pelo responsável pelo ficheiro.

• Afixar no seu estabelecimento avisos a informar da presença de câmaras e nos quais se especifique a entidade perante a qual exercer os direitos de acesso, retificação, cancelamento e oposição.

• Inscrever o ficheiro com a finalidade “videovigilância”.

No entanto, terminado o prazo acordado, o denunciado não tinha adotado todas as medidas corretivas solicitadas, pelo que foi iniciado o procedimento sancionatório.

No decurso do procedimento sancionatório, a entidade denunciada apresentou fotografias em que fazia constar a ausência dos ecrãs e a colocação dos avisos informativos, bem como o certificado de inscrição do ficheiro.

Resultado: Sanção de 1.000 € por infração do artigo 37.1.a) da LOPD.

IMPORTANTE

O aviso de videovigilância, para ser válido, deve indicar a entidade ou pessoa e a morada perante a qual se exercem os direitos de acesso, retificação, cancelamento e oposição.

Medidas de segurança a adotar por um consultor fiscal

O parecer jurídico 0524/2009 da AEPD responde à consulta colocada sobre diversas questões relativas ao nível de segurança a implementar nos ficheiros relacionados com a atividade de consultoria fiscal, desenvolvida pelo consulente. Em particular, pergunta-se se os dados relativos à consignação à Igreja Católica, aos donativos dedutíveis feitos a ONG, ao grau de deficiência, ao montante da quota sindical e ao casamento entre pessoas do mesmo sexo constituem dados especialmente protegidos que exijam a adoção de medidas de segurança de nível alto.

Do referido parecer jurídico extrai-se o seguinte:

• O dado relacionado com a consignação à Igreja Católica não revela, necessariamente, as crenças religiosas de uma pessoa.

• O dado relativo à deficiência, sempre que seja tratado para cumprimento de deveres públicos, aplica-se a exceção prevista no art. 81.6 do Regulamento e é possível implementar medidas de segurança de nível básico.

• O dado relativo à quota sindical, sempre que se trate de ficheiros ou tratamentos que contenham, de forma incidental ou acessória, dados especialmente protegidos sem relação com a sua finalidade, aplica-se a exceção prevista no art. 81.5.b) do Regulamento e poderão ser implementadas medidas de segurança de nível básico (aqui o parecer refere “sempre que seja em formato papel”; no entanto, a disposição adicional quarta do R.D. 3/2010 alterou a redação do art. 81.5b) do Regulamento). Esta exceção é aplicável também aos casos de deduções por donativos.

• Quanto à menção, na declaração de IRS, do casamento entre pessoas do mesmo sexo, este não é um dado especialmente protegido.

A TER EM CONTA

Os dados recolhidos devem ser adequados, pertinentes e não excessivos para a finalidade a que se destinam.

A cópia de segurança: com que frequência deve ser feita?

ndependentemente do nível de segurança dos ficheiros, deve ser feita uma cópia de segurança pelo menos uma vez por semana, que permita repor os ficheiros no estado anterior à perda.

Obviamente, se não tiverem sido modificados dados dos ficheiros nessa semana, não é necessário fazer a cópia de segurança, já que a anterior será suficiente.

Dos ficheiros de nível alto, para além da cópia de segurança semanal, deve existir outra cópia fora das instalações principais, de forma que, se ocorrer uma catástrofe (incêndio, inundação, etc.), não se percam todos os dados e possamos recuperá-los a partir da cópia remota.

Neste aspeto, devemos ter em conta que essa cópia remota deverá estar cifrada, de forma que só as pessoas autorizadas possam aceder à informação nela contida.

Relativamente à recuperação dos dados, devemos ter em conta o seguinte:

1. Devemos anotar no registo de incidências essa perda de dados e a sua posterior recuperação.

2. Caso se trate de cópias de segurança de ficheiros de nível médio ou alto, a recuperação deverá ser autorizada pelo responsável pelo ficheiro e no registo de incidências deverão ainda ser registados os procedimentos de recuperação dos dados realizados, indicando a pessoa que executou o processo, os dados restaurados e, se for o caso, que dados foi necessário introduzir manualmente no processo de recuperação.

A TER EM CONTA

Não ter implementadas as medidas de segurança estabelecidas na regulamentação é uma infração grave, punida com coima entre 40.001 € e 300.000 €.