Proteção de Dados

Em 25 de maio de 2018 entrou em vigor, em todos os Estados Membros da União Europeia, o Regulamento Geral de Proteção de Dados, sendo em 8 de agosto de 2019 publicada a Lei Portuguesa, Lei 58/2019 de 8 de agosto, que regulamenta a execução do mesmo no ordenamento jurídico nacional.

O Regulamento Geral de Proteção de Dados pretendeu responder a um conjunto de desafios, bastante atuais, de onde se pode destacar:

Harmonizar as leis de proteção de dados em todos os países membros da União Europeia
Crias regras mais claras para a transferência de dados através das fronteiras
Melhorar o controlo sobre os dados pessoais
Obrigar as organizações a um maior rigor e responsabilidade na recolha e tratamento dos dados pessoais

Assim, sendo considerados como “Dados pessoais” qualquer informação relativa a uma pessoa singular que permita que a mesma possa ser identificada, direta ou indiretamente, por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, entre outros. E uma vez que é considerado como tratamento qualquer operação efetuada sobre estes tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, revela-se de particular importância que todas as organizações tenham um especial cuidado nesta matéria.

É essencial para todas as organizações saberem em concreto qual a sua situação no que se reporta a dados pessoais, pelo que é de especial importância a realização de uma “Due Diligence” à proteção de dados, para que se possa saber, nomeadamente:

Que dados pessoais existem na organização?
Com que fundamento legal estão a ser tratados os dados?
Caso seja com base no consentimento: Será necessário obter novo consentimento?
É necessário rever impressos, formulários e políticas de privacidade?
A linguagem utilizada é clara, acessível e são fornecidos aos titulares dos dados toda a informação obrigatória?
Existem regras especificas para provar que todos os requisitos legais são cumpridos?
Onde estão alojados os dados?
Há transferência de dados para fora da União Europeia e em caso afirmativo a mesma é legitima?

Com base nos resultados obtidos em cada organização e tendo por ponto de partida a situação existente, será essencial assegurar o cumprimento das obrigações impostas pelo Regulamento Geral de Proteção de dados, visando nomeadamente estabelecer políticas e procedimentos que permitam reagir a qualquer falha de segurança e notificar as autoridades competentes nos prazos estabelecidos, elaborar documentos de subcontratação de serviços que cumpram os requisitos exigidos, estabelecer mecanismos de resposta ao exercício dos direitos pelos titulares dos dados e fundamentalmente implementar as ações tendentes ao cumprimento do Regulamento Geral de Proteção de Dados, como sejam:

Definir e redigir as políticas internas de privacidade
Preparar manuais de procedimentos estatutos e códigos de ação
Definir mecanismos de consentimento
Rever contratos e documentação legal

É igualmente essencial para qualquer organização elaborar uma calendarização de acompanhamento através de auditorias regulares de “Compliance”, avaliação de impacto quando um novo tipo de tratamento é introduzido e realização regular de testes para verificar as vulnerabilidades de intrusão e acesso aos dados.