Empresas multinacionais como a Google (Android) e o Facebook (Facebook, Instagram, WhatsApp) já estão a receber queixas por, alegadamente, violarem a nova Lei. O formulário interno S-290 usado pelas Testemunhas de Jeová, alegadamente, contorna a nova Lei.
O Regulamento Geral de Proteção de Dados (RGPD) foi criado em abril de 2016, entrou em vigor na totalidade dos países da UE a 25 de maio. Por ser um Regulamento, e não uma Diretiva, a aplicação é automática. Não é necessário a transposição para a Lei nacional. Vem regular o tratamento de dados pessoais e garantir o direito à proteção de dados pessoais. Impede uma utilização indevida ou abusiva dos seus dados pessoais. As empresas / organizações têm de ter medidas concretas para preservar e assegurar a segurança dos dados pessoais que processam. A supervisão da implementação do RGPD em Portugal, compete à Comissão Nacional de Proteção de Dados (CNPD).
O que são dados pessoais? Dados pessoais são informações relativa a uma pessoa identificada ou identificável (por ex.: nome, apelido, idade, endereço, correio-eletrónico, dados de localização). O que são dados pessoais sensíveis? São dados pessoais considerados «sensíveis»: dados pessoais que revelem a origem racial ou étnica, opiniões políticas e convições religiosas ou filosóficas; a sua filiação sindical; dados genéticos, dados biométricos tratados para identificar uma pessoa; dados relacionados com a saúde e o acesso à ficha clínica; dados relativos à vida sexual da pessoa ou sua orientação sexual.
O que significa «motivos de interesse legítimo»? Uma empresa / organização tem frequentemente de efetuar o tratamento de dados pessoais para realizar tarefas relacionadas com as suas atividades estatutárias. Neste contexto, pode não se justificar como uma obrigação jurídica, mas existe «motivos de interesse legítimo». Os titulares dos dados tem de ser informados sobre o tratamento dos dados no momento da recolha dos mesmos.
O que é o consentimento válido? Para ser válido, tem de cumprir os seguintes requisitos: deve ser dado de livre vontade; deve ser informado e dado para uma finalidade específica; todos os motivos para o tratamento devem ser indicados de forma clara; é explícito e dado através de um ato positivo (por ex.: caixa de verificação em que a pessoa tem de marcar explicitamente ou assinatura num formulário); utiliza linguagem clara e simples e é claramente visível; é possível remover o consentimento e tal facto é explicado (por ex.: hiperligação para cancelamento da subscrição).
Para existir consentimento de livre vontade, a pessoa tem de poder de escolher livremente e ter o poder recusar ou retirar o consentimento sem sofrer qualquer desvantagem ou penalidades. Se for comprovado alguma forma de coação, chantagem ou condicionamento ilegal, evidente ou implícito, esse consentimento não foi dado de livre vontade ou existiu simulação de vontade.
No consentimento informado, a pessoa tem de receber as seguintes informações: a identidade de quem efetua o tratamento dos dados; os fins para os quais os dados estão a ser tratados; o tipo de dados que serão tratados; a possibilidade de remover o consentimento dado (por ex.: hiperligação para cancelamento da subscrição); se aplicável, o facto dos dados irem ser utilizados para decisões exclusivamente automatizadas, incluindo a definição de perfis; se o consentimento estiver relacionado com uma transferência internacional, os possíveis riscos das transferências de dados para países terceiros onde não existam proteções adequadas.
E se remover o seu consentimento? O consentimento deve ser tão fácil de remover como de dar. Se o consentimento for removido, a empresa / organização deixa de poder efetuar o tratamento dos dados. Uma vez removido, tem de garantir que os dados são apagados, a menos que exista outra obrigatoriedade legal. Se os dados estavam a ser tratados para diferentes finalidades, não pode utilizar os dados pessoais para a parte do tratamento relativamente à qual o consentimento foi removido.
O que dizer dos dados pessoais de crianças? A empresa / organização só pode efetuar o tratamento de dados pessoais de crianças com base no consentimento se tiver o consentimento explícito do progenitor ou tutor da criança até uma determinada idade. O limite etário é definido por cada Estado-Membro da UE. Verifique isso junto da CNPD. Deve prevalecer sempre a defesa do “superior interesse da criança”.
José Garcia
