Casos de tratamento de dados segundo a LOPD

A LOPD NO DIA A DIA

O que é uma pessoa identificada ou identificável?

Um dado de caráter pessoal é qualquer informação numérica, alfabética, gráfica, fotográfica, acústica ou de qualquer outro tipo relativa a pessoas singulares identificadas ou identificáveis.
Os dados pessoais permitem, portanto, identificar uma pessoa, bem como revelar informação sobre ela.

• Pessoa identificada: qualquer pessoa cuja identidade esteja determinada.
• Pessoa identificável: qualquer pessoa cuja identidade possa ser determinada, direta ou indiretamente, através de qualquer informação referente à sua identidade física, fisiológica, psíquica, económica, cultural ou social. Uma pessoa singular não será considerada identificável se essa identificação exigir prazos ou atividades desproporcionados.
  Vamos precisar o conceito de identificável. Se recolhermos imagens através de uma câmara de vigilância, as imagens recolhidas pertencem a pessoas que podemos, ou não, identificar. Se as imagens forem captadas com uma resolução que permita identificar uma pessoa, esta seria uma pessoa identificável e estaria abrangida pela lei; caso contrário, não.

IMPORTANTE

Deve ser feita uma análise, dentro da empresa, dos dados tratados para poder atribuir corretamente o nível de medidas de segurança a aplicar.

COIMAS DA AEPD

Coima por falta de medidas de segurança

Na decisão R/01306 da AEPD podemos ver a coima que uma entidade pode sofrer por não ter implementadas as medidas de segurança exigidas.
A 29 de março de 2010 deu entrada na AEPD uma exposição de D. A.A.A., na qual declara que a empresa HIPERCOR, S.A. não dispõe das medidas de segurança adequadas relativamente a informação de dados clínicos, uma vez que, a partir de dois terminais situados no cais de receção de mercadorias, onde tem o seu posto de trabalho, é possível visualizar, entre outros, análises clínicas de trabalhadores da empresa.
Durante a visita das inspetoras da AEPD, o denunciante acede a um equipamento informático que está no cais, verificando-se que, embora o sistema peça um utilizador e uma palavra-passe para aceder, o utilizador já aparece por defeito e a palavra-passe é igual ao nome de utilizador.
É possível ainda comprovar que, a partir desse equipamento, através da rede local, se consegue aceder a pastas situadas no computador da Diretora de Recursos Humanos do centro; concretamente, é possível aceder a uma pasta denominada “Serviço Médico” que contém os resultados das análises dos funcionários do centro.
Às 15:30 horas, as inspetoras da Agência e os representantes da entidade deslocam-se ao cais, verificando-se que o erro foi corrigido.

Resultado: Coima de 20.000 € por violação do artigo 9.1 da LOPD relativo às medidas de segurança.

IMPORTANTE

As medidas de segurança, além de constarem do documento de segurança, têm de ser implementadas. O aconselhamento de um profissional na aplicação das medidas de segurança é extremamente importante para uma implementação correta.

A AEPD ESCLARECE

Tratamento de dados de menores de idade

O relatório 0046 da AEPD responde à consulta apresentada sobre o tratamento de dados pessoais de menores de idade a quem é entregue um cartão de fidelização.

Desse parecer jurídico conclui-se o seguinte:

a) Se se tratar de um menor de 14 anos ou de um incapaz, o consentimento tem de ser dado pelos pais.
b) A cláusula informativa deve ser redigida numa linguagem compreensível para a idade do menor.
c) Não se podem recolher do menor dados que permitam obter informação sobre os restantes membros do agregado familiar ou sobre as características deste, como os dados relativos à atividade profissional dos progenitores, informação económica, dados sociológicos ou quaisquer outros, sem o consentimento dos titulares desses dados (apenas podem ser recolhidos os dados de identidade e morada do pai, mãe ou tutor, com a única finalidade de obter a autorização prevista na alínea a).
d) Cabe ao responsável pelo ficheiro estabelecer os procedimentos que garantam que foi verificada de forma efetiva a idade do menor e a autenticidade do consentimento prestado, se for o caso, pelos pais, tutores ou representantes legais.

IMPORTANTE

É preciso redobrar as cautelas quando se recolhem dados de menores, em especial na obtenção do consentimento.

O PROFISSIONAL RESPONDE

O que se deve fazer, para cumprir a LOPD, quando um trabalhador sai da empresa?

Para cumprir corretamente a LOPD, quando um trabalhador sai da entidade, devemos realizar as seguintes ações:

1. Eliminar ou marcar a data de saída deste utilizador na lista de utilizadores e acessos autorizados, de forma a que deixe de constar do documento de segurança como utilizador autorizado a aceder aos ficheiros com dados pessoais.
2. Eliminar ou bloquear o identificador que lhe estava atribuído para o acesso aos sistemas.
3. Cancelar as autorizações que esse trabalhador tivesse para as suas funções:
   a. Saída de suportes e/ou documentos para fora das instalações.
   b. Utilização de portáteis.
   c. Trabalho fora das instalações.
   d. Dispositivos a que tem acesso.
   e. Etc.
4. Cancelar todos os privilégios desse trabalhador, bem como as ligações remotas que tivesse ativas.

IMPORTANTE

É necessário definir protocolos de atuação que contemplem as ações a realizar quando um trabalhador deixa a entidade.