A – INFORMAÇÃO E HISTÓRICO

Passa a ser responsabilidade do controlador de dados implementar medidas efetivas capazes de demonstrar a conformidade das atividades de processamento de dados, mesmo que, como já vimos, o processamento seja realizado por um processador de dados em nome do controlador, sendo que neste caso se tratará de responsabilidade partilhada.

Então, controlador de dados passa a ser o responsável por garantir que os direitos assegurados pelo RGPD são efetivamente cumpridos, a saber os mais relevantes:

1 – Informação sobre os dados colhidos o seu fim e o consentimento

O pedido de consentimento para a colheita e processamento dos dados terá de ser levado a cabo de forma inteligível à vista do homem comum, contendo em si ou anexo qual o seu objetivo, fim ou fundamento. Portanto, o consentimento deve ser claro e distinguível de outros assuntos, facilmente acessível, fazendo uso de linguagem clara e simples. Permitindo ao titular dos dados, não só perceber o que está a consentir e quando o está a fazer, mas também do mesmo modo, ou com acesso e facilidade semelhantes, retirar o seu consentimento.

A todo o tempo os controladores de dados devem ter histórico de forma a poder provar que o consentimento foi adquirido de forma legitima e em conformidade com o RGPD.

Como controlador a Carnalentejana garante, ao dia de hoje, que o consentimento da coleta dos dados cliente subscritor, no ato do preenchimento da sua ficha de cliente, é obtido de maneira ativa e consciente. No entanto e tendo em mente o principio da clareza que o novo regulamento preconiza, por ação prática, a Carnalentejana passa a separar, desde logo, o consentimento à receção de informação generalizada da aceitação das cláusulas contratuais gerais.

2 – Direito ao acesso

Um dos direitos que foram expandidos com o RGPD foi o direito de acesso dos sujeitos aos seus dados pessoais, à sua edição e retificação. Este direito extende a sua abrangência incluindo agora o direito de saber a todo o tempo se os seus dados estão ou não a ser processados, onde e para que finalidade. Além disso, o controlador deve fornecer uma cópia dos dados pessoais, gratuitamente, e em formato exportável.

3 – Direito à portabilidade

Intrinsecamente ligado ao direito ao acesso, ganha forma diferenciada o direito à portabilidade. O titular dos dados, além de acesso passa a ter o direito de exigir uma cópia em formato de uso comum, exportável e importável de forma automática/digital, adquirindo, assim, uma autonomia diferenciada já que pode transmitir esses dados a outro controlador, ou seja quebra a indução do atrito à mudança provocada pelo controlador.

Interessante será avaliar a forma de uso pleno deste direito em conjugação de outra regra preconizada como boa prática pelo RGPD, a anonimização ou pseudonimização que, adiante, também abordaremos.

A Carnalentejana, enquanto controlador, permite ao titular dos dados, através de um formulário exportar todos os seus dados pessoais que serão enviados por email num formato universal.

4 – Direito ao esquecimento

O direito ao esquecimento ou “Right to erasure” é uma das mudanças fulcrais introduzidas pelo RGPD. Quando antes cabia ao titular dos dados o ónus da prova quanto ao fato dos seus dados, ao estarem a ser processados ou disseminados serem causa direta de danos ou sofrimento para si, agora inverte-se o ónus, passando o direito a ser sempre invocável a todo o tempo.

Portanto o titular poderá reivindica-lo sempre, sendo ónus do controlador provar razão legalmente fundamentada para não o fazer.

O princípio subjacente a esta mudança no direito é facilitar e agilizar a eliminação, o fim do processamento ou disseminação de dados pessoais de quem assim não pretenda e quando, para tal, não haja uma razão justificada.

Estas razões justificadas que permitem o controlador negar o exercício deste direito ao titular dos dados devem pois, sempre, ser avaliadas à luz de um exercício de razoabilidade que nos obriga a pesar a importância dos interesses legítimos do controlador, face aos interesses ou direitos e liberdades fundamentais do titular dos dados.

O titular dos dados terá o direito inegável de ver os seus dados eliminados e interrompido o seu processamento quando:

• O propósito original, ou o fim a que se destinavam os dados pessoais não existir e os dados em si não forem mais necessários para nenhum fim que lhe seja conhecido ou transmitido;
• Quando o indivíduo não consentiu independentemente do fim;
• Quando não haja sustentação legal para tal;
• Se os dados processados ​​são de serviços prestados a uma criança;
• Em qualquer caso em que os dados sejam processados ​​em violação RGPD.

O controlador poderá negar-se à eliminação ou alteração dos dados, provendo, em sua vez, a restrição do seu acesso e/ou processamento quando:

• A precisão dos dados pessoais é contestada pelo titular dos dados, no entanto a sua exatidão não pode ser determinada ou provada;
• Os dados pessoais que se pretende eliminar ou mudar devem ser mantidos para fins de evidência.

Em qualquer dos casos o controlador é responsável por comunicar, por escrito, ao titular dos dados a sua recusa de retificação ou eliminação de dados pessoais ou a restrição do seu tratamento, bem como os motivos da recusa. Sendo ainda fato que a própria lei poderá prever a exclusão a essa obrigação por parte do controlador, sempre que esta seja uma medida necessária e proporcional para um estado de direito democrático e, portanto, tendo sempre e devidamente em conta os direitos fundamentais e os interesses legítimos do titular dos dados. São exemplos, não exaustivos, destas exclusões todos os casos em que a eliminação ou alteração de dados possa:

• Evitar prejudicar a prevenção, deteção, investigação ou aplicação de infrações penais ou a execução de sanções penais;
• Por em causa a segurança pública;
• Por em causa a segurança nacional;
• Por em causa os direitos e liberdades dos outros;
• Evitar ou obstruir investigações ou procedimentos oficiais/legais.

Não deixa aqui, no entanto, de ser o controlador obrigado a informar o titular dos dados da possibilidade de apresentar uma queixa a uma autoridade de controlo ou de interpor recurso judicial perante a sua recusa a este direito.

Para as entidades controladoras e processadoras a conformidade com o uso deste direito traz várias implicações, começando por aumentar a sua necessidade de capacidade de manter registos de atividades de processamento, bem como provas da relevância e da necessidade de todos os dados que controlam ou processam, o que inclui as finalidades do processamento, categorias envolvidas e prazos previstos. Esta informação deve ser comunicada ao titular dos dados e os registos devem ser mantidos de forma a poderem ser disponibilizados à autoridade de supervisão mediante solicitação de prova para qualquer matéria relacionada a um assunto de dados pessoais.

A Carnalentejana, enquanto controlador, nunca vedou ao cliente o direito ao esquecimento. No entanto, em exercício de razoabilidade, avaliados os parcos dados que coleta face às suas obrigações contratuais e a defesa dos seus interesses legítimos, bem como o cumprimento da lei, nomeadamente a lei fiscal, a Carnalentejana poderá negar-se à eliminação ou alteração dos dados, provendo, em sua vez, a restrição do seu acesso e/ou processamento de forma preserva-lo como evidência. Estes dados são, no entanto, armazenados, não processados, e apenas com acesso restrito e justificado.

B – RESPONSABILIZAÇÃO

C – SUPERVISÃO

1 – Autoridade de controlo

Haverá uma entidade pública responsável pelo acompanhamento da aplicação do RGPD em cada estado membro da UE, de forma a proteger os direitos e liberdades fundamentais dos titulares dos dados pessoais. Cada autoridade de supervisão irá contribuir para a fiscalização da aplicação coerente do regulamento e por isso irão cooperar ativamente entre si.

Neste sentido é oportuno destacar a pertinência da identificação da Autoridade de controlo principal. A autoridade de controlo principal é a dona da responsabilidade de gerir a atividade de tratamento transfronteiriço de dados, coordenando quaisquer investigações ainda que com a participação de outras autoridades de controlo que possam ser partes interessadas. É importante saber como identificar a autoridade de controlo principal já que, em caso de transferência internacional de dados ou em casos que envolvam entidades com estabelecimentos em mais que um país, o lesado pode ver o seu direito de queixa dificultado e a própria autoridade vedada à fiscalização preventiva. Ora, para determinar a autoridade de controle principal importa a localização do estabelecimento principal ou único do responsável pelo tratamento dos dados na UE, uma vez encontrado, identifica-se a autoridade desse país como competente para agir como autoridade de controlo principal para o tratamento transfronteiriço efetuado pelo referido responsável pelo tratamento ou subcontratante.

2 – As penalizações

Como tem sido amplamente falado o RGPD prevê que os infratores possam ser multados em até 4% da sua faturação/ano ou 20 milhões de euros, por prevalência do maior valor. Esta é a multa máxima que pode ser imposta para as infrações mais graves, por exemplo, não ter o consentimento suficiente do cliente para processar dados

Existindo, naturalmente, um escalonamento das multas consideraremos a título exemplificativo algumas das sanções previstas:

• Aviso por escrito em casos de não-conformidade inicial e não intencional auditorias regulares periódicas de proteção de dados;
• São passiveis de multa de até € 10 milhões ou até 2% da faturação anual do exercício anterior as violações das seguintes obrigações:
  • Condições aplicáveis ao consentimento da criança em relação aos serviços da sociedade da informação;
  • Processamento sem fundamento ou que não precisa necessariamente do uso de dados pessoais;
  • Desconsideração das regras da proteção de dados by design and by default;
  • Controladores ou o processador que não designem, por escrito, um representante na União;
  • Falta de verificação na escolha, controlo ou vigilância do processador pelo controlador;
  • Recusa de cooperação com as autoridades de controlo;
  • Incúria na segurança do processamento de dados;
  • Violação de regras de registos das atividades de processamento;
  • Falha na notificação de uma violação de dados pessoais à autoridade de supervisão ou ao titular dos dados;
  • Falha na avaliação do impacto da proteção de dados;
  • Incumprimento por não nomeação de um DPO ou não execução das suas obrigações.
• Puníveis com multa até 20 milhões de euros ou até 4% do volume de negócios anual do exercício anterior (o que for mais avultado) se ocorrer uma violação das seguintes disposições:
  • Os princípios básicos para o tratamento, incluindo as condições de consentimento, de acordo com os Artigos 5, 6, 7 e 9;
  • Violação dos direitos dos titulares de dados nos termos dos artigos 12.º a 22.º;
  • Transferências de dados pessoais para um destinatário num país terceiro ou uma organização internacional nos termos dos artigos 44.o a 49.o;
  • Violação de quaisquer obrigações previstas na legislação do estado membro adotada para este fim;
  • Inobservância de uma ordem ou limitação temporária ou definitiva do tratamento ou suspensão do fluxo de dados pela autoridade de supervisão nos termos do artigo 58.o, n.o 2, ou a falta de acesso em violação do artigo 58.o, n.o

Uma vez avaliadas as três traves mestras deste Regulamento, não podemos deixar de entrar naquela que poderá ser considerada a mais desafiante tarefa a levar a cabo para garantir a conformidade com o RGPD. Considerando que esta lei da proteção de dados também inclui uma diretiva de proteção de dados separada para o setor da polícia e da justiça penal e que fornece regras sobre o intercâmbio de dados pessoais a nível nacional, europeu e internacional, isto encarrega-nos, numa primeira fase, da responsabilidade e obrigação de garantir que os parceiros de negócios fora da UE com os quais tenhamos práticas de transferência de dados pessoais de cidadão da UE cumpram, também eles, os requisitos de proteção de dados previstos pelo RGPD. E em última análise empurra-nos para a fiscalização, controlo e possibilidade de penalização tendo em conta o seu incumprimento.

No entanto, será de reconhecer que este se advinha como o desafio mais difícil de superar. Ora se essas entidades, muitas delas responsáveis únicas e tutelares de serviços indispensáveis ao nosso dia-a-dia de trabalho, como é o caso das newsletters, apresentam ainda um insipiente interesse na busca da conformidade com o RGPD, muito caminho há a percorrer para conseguirmos a sua conformidade. Ainda de maior importância será considerar o entrave do potencial conflito de leis entre ordenamentos jurídicos. Uma vez que o artigo 48 estabelece que qualquer julgamento de um tribunal e qualquer decisão de uma autoridade administrativa de um país terceiro que exija que um controlador ou processador transfira ou divulgue dados pessoais de uma pessoa da UE, independentemente de os dados residirem dentro ou fora da UE, não pode ser reconhecido ou executável de forma alguma, a menos que seja baseado em um acordo internacional, como um tratado de assistência jurídica mútua em vigor entre o terceiro país (não UE) requerente e a UE, ou um estado membro, nestes casos será viável ou possível compelir um parceiro de negócios de um país terceiro a cumprir o RGPD quando, por sua vez, este terá que se recusar a cumprir uma ordem com sustenção legal no seu país, contra autoridades judiciais ou de segurança nacional?

Estamos ao dispor para esclarecimentos em que nos encontrem por úteis e agradecemos o seu contato, toda a informação é pouca e a segurança dos seus dados é a nossa segurança, faça-nos saber a sua opinião ou contribuição.

Saiba mais sobre o RGDP

Regulamento Geral da Protecção de Dados