RGPD da UE

As coimas podem atingir 4% do volume de negócios anual a nível mundial ou 20 milhões de euros por violação do RGPD. Esta é a coima máxima que pode ser aplicada às infrações mais graves, por exemplo, não dispor de consentimento suficiente do cliente para tratar dados ou violar a essência dos conceitos de “Privacidade desde a conceção”.

Dados pessoais são quaisquer informações que possam ser utilizadas para identificar, direta ou indiretamente, uma pessoa, como um nome, uma fotografia, um endereço de e-mail, dados bancários, publicações em redes sociais, informações médicas ou o endereço IP de um computador.

O consentimento deve ser dado de forma inteligível e facilmente acessível, com a finalidade do tratamento de dados associada a esse consentimento. Deve ser inequívoco, facilmente identificável e utilizar uma linguagem clara e de fácil compreensão. Deve também ser tão fácil retirar o consentimento como dá-lo. No tratamento de dados pessoais sensíveis, só o consentimento expresso (“opt-in”) é suficiente.

Se o titular dos dados tiver menos de 16 anos, é necessário o consentimento dos pais para tratar os dados pessoais da criança. Os Estados-Membros podem reduzir a idade do consentimento parental, mas nunca para menos de 13 anos.

Deve ser designado um EPD no caso de (a) autoridades públicas, (b) organizações que efetuam um controlo sistemático em grande escala ou com recurso a big data, ou (c) organizações que procedem ao tratamento em larga escala de dados pessoais sensíveis (art.º 37.º). Se a sua organização não se enquadrar em nenhuma destas categorias, não precisa de designar um EPD.

Notificação de violações

Ao abrigo do RGPD, a notificação de violações passa a ser obrigatória em todos os Estados-Membros sempre que uma violação de dados seja suscetível de “resultar num risco para os direitos e liberdades das pessoas singulares”. A notificação deve ser feita no prazo de 72 horas após se ter tomado conhecimento da violação. Os subcontratantes são também obrigados a notificar os responsáveis pelo tratamento “sem demora injustificada” após terem tomado conhecimento de uma violação de dados.

Direito de acesso

Os titulares dos dados têm o direito de obter do responsável pelo tratamento a confirmação de que os dados pessoais que lhes dizem respeito foram ou não tratados, onde e para que finalidade. O responsável pelo tratamento deve fornecer gratuitamente uma cópia dos dados pessoais em formato eletrónico.

Direito a ser esquecido

Também conhecido como direito ao apagamento dos dados, o direito a ser esquecido permite ao titular dos dados exigir que o responsável pelo tratamento apague os seus dados pessoais, cesse a sua divulgação e, eventualmente, faça com que terceiros deixem de os tratar. Para tal, os dados devem ter deixado de ser relevantes para as finalidades originais do tratamento ou o titular dos dados deve ter retirado o seu consentimento. Importa também referir que este direito exige que os responsáveis pelo tratamento ponderem os direitos do titular face ao “interesse público na disponibilidade dos dados” ao analisarem esses pedidos.

Portabilidade dos dados

O titular dos dados pode receber os dados pessoais que lhe digam respeito e que tenha fornecido anteriormente num “formato de uso corrente e de leitura automática”, e tem o direito de transmitir esses dados a outro responsável pelo tratamento.

Privacidade desde a conceção

A privacidade dos dados deve estar no centro dos sistemas tecnológicos que os responsáveis pelo tratamento e os subcontratantes utilizam para gerir as informações dos titulares dos dados, e não ser apenas um complemento.

As informações que devem ser disponibilizadas ao titular dos dados aquando da recolha dos dados foram definidas de forma rigorosa e incluem:

• A identidade e os contactos do responsável pelo tratamento e do EPD
• As finalidades do tratamento a que os dados pessoais se destinam
• O fundamento jurídico do tratamento
• Se for caso disso, os interesses legítimos do responsável pelo tratamento ou de um terceiro
• Se for caso disso, os destinatários ou categorias de destinatários dos dados pessoais
• O prazo de conservação dos dados pessoais ou, se tal não for possível, os critérios usados para definir esse prazo
• A existência do direito de acesso, retificação ou apagamento dos dados pessoais
• O direito à portabilidade dos dados
• O direito de retirar o consentimento a qualquer momento
• O direito de apresentar reclamação a uma autoridade de controlo

É importante salientar que, quando os dados não tiverem sido obtidos diretamente junto do titular (por exemplo, através de uma lista de terceiros), a lista varia e inclui a origem dos dados pessoais:

• A existência de definição de perfis e informações úteis sobre a lógica subjacente, bem como a importância e as consequências previstas desse tratamento para o titular dos dados.
• O RGPD representa um problema significativo para os profissionais de marketing que obtêm dados a partir de listas de terceiros.

O artigo 6.º do RGPD estabelece que um responsável pela recolha de dados só pode tratar dados de forma lícita se, entre outras condições, tiver um interesse legítimo ou o consentimento do titular. Determinar se tem um interesse legítimo exige uma “avaliação cuidadosa” das expectativas e do contexto dos dados que está a recolher.

É tentador recorrer a uma interpretação ampla do interesse legítimo para evitar a necessidade de consentimento. Desaconselhamos o recurso a uma visão abrangente do interesse legítimo como forma de justificar a recolha de dados. O RGPD apresenta alguns exemplos, como o tratamento de dados pessoais para prevenir fraudes, para fins administrativos internos relativos a funcionários e clientes, para a segurança da rede e para a comunicação de eventuais atividades criminosas ou ameaças à segurança pública.

Ainda existe uma zona cinzenta em torno do interesse legítimo, e a definição irá tornar-se mais clara com o tempo. A recomendação a curto prazo é criar o hábito de perguntar: “é possível atingir o mesmo objetivo sem tratar dados pessoais?” Se a resposta for sim, a melhor prática é não recorrer ao interesse legítimo como fundamento para o tratamento de dados e obter o consentimento.

1. Implemente um plano proativo para a sua conformidade com o RGPD.
2. Reveja os avisos e as políticas de privacidade e certifique-se de que cumprem os níveis de conformidade do RGPD.
3. Prepare um plano para o caso de uma violação de segurança.
4. Audite os seus consentimentos.
5. Torne os consentimentos de marketing expressos (opt-in).
6. Reveja com o seu consultor jurídico a parte da diretiva relativa ao interesse legítimo, para garantir que abrange a utilização, pela sua organização, dos dados do comprador para processar e gerir a respetiva encomenda.
7. Torne a linguagem de consentimento sobre a utilização de dados pessoais fácil de encontrar e de ler.
8. Crie um plano de ação para os pedidos dos titulares dos dados à sua organização relativos à utilização dos seus dados.
9. Assuma a responsabilidade pela sua conformidade.
10. Dê formação aos seus colaboradores.
11. Tenha processos claros implementados, documentados e auditados.
12. Designe um EPD quando necessário.
13. Certifique-se de que os seus parceiros responsáveis pelo tratamento e subcontratantes estão em conformidade.

O RGPD aplica-se a organizações, responsáveis pelo tratamento e subcontratantes, localizados dentro e fora da UE, que oferecem bens ou serviços a titulares de dados na UE. O RGPD aplica-se também a organizações, como empresas de marketing ou entidades que fornecem ou utilizam dados, que controlam o comportamento de titulares de dados na UE.

O responsável pelo tratamento determina as finalidades, as condições e os meios do tratamento de dados pessoais, enquanto o subcontratante trata os dados pessoais por conta do responsável pelo tratamento.