A 14 de Abril de 2016 o Parlamento Europeu aprovou o Regulamento Geral de Proteção de Dados (RGPD), que veio substituir a anterior diretiva 95/46/EC vertida para o ordenamento jurídico Português na Lei n.º 67/98 de 26 de Outubro ainda em vigor.
Este regulamento cuja aplicação efetiva e vinculativa foi estabelecida para entrar em vigor a 25 de Maio do 2018 tem como escopo a harmonização das leis que regulam esta matéria nos países da UE, mas acima de tudo criar uma nova consciência e abordagem sobre a forma como são vistos e tratados os dados pessoais.
Considerando o novo paradigma de mundo orientado pela informação imediata e pelo poder dos dados pessoais colhidos e tratados com ou sem consentimento, ou pior, com ou sem conhecimento, o RGPD vem, de fato, trazer o discernimento exigido a esta matéria, não deixando, no entanto, de acarretar mudanças de grande impacto, muitas delas fonte de forte controvérsia.
Com enfoque no impacto do RGPD, nas empresas, temos percepção imediata que este é não só muito significativo no que concerne à sua adaptação a este novo regime, isto porque tem de ser estudado, preparado e adoptado para poder ser absorvido amortecendo o abalo ao regular funcionamento das organizações que este tipo de alteração implica para alcançar a conformidade, e porque a não conformidade acarreta o risco de penalizações financeiras bastante dissuasoras que estão definidas até 4% da faturação ou 20.000.000 EUR.
As alterações chave a saber sobre o RGPD começam desde logo pelo seu âmbito e pelos sujeitos a quem se destina, importando por isso começar por distinguir, de acordo com o artigo 4º do RGPD:
Controladores de dados e processadores de dados / Data controller e Data processor
Data controller (Controlador) – Será pessoa singular ou coletiva, ente público ou privado, agência, instituição ou qualquer outro organismo que decide como e porque é que os dados são processados. Portanto, pessoa física ou jurídica que, isoladamente ou em conjunto com outros, determina os fins e meios de processamento de dados pessoais.
Pelo artigo 5º do RGPD, o controlador é o responsável por provar o cumprimento dos princípios relativos ao tratamento de dados pessoais conforme está vinculado.
Data Processor (Processador) - Será pessoa singular ou coletiva, ente público ou privado, agência, instituição ou qualquer outro organismo que trate os dados pessoais por conta do responsável pelo tratamento destes (subcontratante). Ou seja, aquele que processa dados pessoais em nome do controlador.
Pelo artigo 28.º do RGPD, o tratamento pode ser efetuado em nome de um controlador, mas este é responsável por subcontratar apenas os processadores que forneçam garantias suficientes de cumprimento do RGPD, isto é, processadores que tenham evidências da implementação das medidas técnicas e organizacionais adequadas de tal forma que o processamento satisfaça os requisitos do regulamento. O que nos leva à obrigatoriedade de qualquer empresa da UE ou mesmo fora da UE, como controlador ou processador, ter de implementar os controlos necessários para garantir a conformidade com o RGPD, desde que os dados a ser processados sejam sobre cidadão da UE. Esta responsabilidade é partilhada e por isso as multas podem ser aplicadas a ambos, controladores e processadores.
No que aqui importa a ONLINE é, assim, o controlador de todos os dados que coleta dos seus clientes e, para prestação de qualquer serviço subscrito e respetivo suporte.
Uma vez estabelecidas estas diferenças, centremo-nos na tríade estruturante de todo o regulamento a partir da qual discorrem todos os direitos e deveres que, a montante, abordaremos em triagem por relevância ou impacto:
A - Informação e histórico
B - Responsabilização
C - Supervisão
A - INFORMAÇÃO E HISTÓRICO
Passa a ser responsabilidade do controlador de dados implementar medidas efetivas capazes de demonstrar a conformidade das atividades de processamento de dados, mesmo que, como já vimos, o processamento seja realizado por um processador de dados em nome do controlador, sendo que neste caso se tratará de responsabilidade partilhada.
Então, controlador de dados passa a ser o responsável por garantir que os direitos assegurados pelo RGPD são efetivamente cumpridos, a saber os mais relevantes:
1 - Informação sobre os dados colhidos o seu fim e o consentimento
O pedido de consentimento para a colheita e processamento dos dados terá de ser levado a cabo de forma inteligível à vista do homem comum, contendo em si ou anexo qual o seu objetivo, fim ou fundamento. Portanto, o consentimento deve ser claro e distinguível de outros assuntos, facilmente acessível, fazendo uso de linguagem clara e simples. Permitindo ao titular dos dados, não só perceber o que está a consentir e quando o está a fazer, mas também do mesmo modo, ou com acesso e facilidade semelhantes, retirar o seu consentimento.
Como controlador a ONLINE garante, ao dia de hoje, e na verdade desde sempre, que o consentimento da coleta dos dados cliente subscritor, no ato do criação da sua ficha de cliente, é obtido de maneira ativa e consciente. No entanto e tendo em mente o principio da clareza que este regulamento preconiza, por ação prática, a ONLINE passa a separar, desde logo, o consentimento à receção de informação generalizada da aceitação das cláusulas contratuais gerais.
2 - Direito ao acesso
Um dos direitos que foram expandidos com o RGPD foi o direito de acesso dos sujeitos aos seus dados pessoais, à sua edição e retificação. Este direito extende a sua abrangência incluindo agora o direito de saber a todo o tempo se os seus dados estão ou não a ser processados, onde e para que finalidade. Além disso, o controlador deve fornecer uma cópia dos dados pessoais, gratuitamente, e em formato exportável.
No que diz respeito ao acesso aos dados, a ONLINE, como controlador, sempre esteve disponível para e por pedido via e-mail autorizado facultar ou alterar os dados dos seus clientes.
No entanto, caso o cliente não tenha acesso, por nenhuma forma ao seu email autorizado ou outro com as mesmas prerrogativas, é chamado a contatar a ONLINE que lhe veiculará acesso a um formulário de alteração de email autorizado que deverá preencher com dados de identificação que terão necessariamente de ser atestados por meio legal - assinatura digital de cartão de cidadão, reconhecimento de assinatura, exibição de documentos de suporte, etc. Mediante a aceitação deste formulário a ONLINE fará a alteração dos dados em conformidade com o solicitado. Neste caso, muito embora sejemos forçados a manter o formulário como prova legitima deste pedido de alteração, este é codificado para confirmação da sua existência, mas o formulário em si apenas é acessível por sujeitos autorizados com a devida justificação que ficará devidamente registada.
3 - Direito à portabilidade
Intrinsecamente ligado ao direito ao acesso, ganha forma diferenciada o direito à portabilidade. O titular dos dados, além de acesso passa a ter o direito de exigir uma cópia em formato de uso comum, exportável e importável de forma digital.
4 - Direito ao esquecimento
O direito ao esquecimento ou “Right to erasure” é uma das mudanças fulcrais introduzidas pelo RGPD. Quando antes cabia ao titular dos dados o ónus da prova quanto ao fato dos seus dados, ao estarem a ser processados ou disseminados serem causa direta de danos ou sofrimento para si, agora inverte-se o ónus, passando o direito a ser sempre invocável a todo o tempo.
Portanto o titular poderá reivindica-lo sempre, sendo ónus do controlador provar razão legalmente fundamentada para não o fazer.
O princípio subjacente a esta mudança no direito é facilitar e agilizar a eliminação, o fim do processamento ou disseminação de dados pessoais de quem assim não pretenda e quando, para tal, não haja uma razão justificada.
Estas razões justificadas que permitem o controlador negar o exercício deste direito ao titular dos dados devem pois, sempre, ser avaliadas à luz de um exercício de razoabilidade que nos obriga a pesar a importância dos interesses legítimos do controlador, face aos interesses ou direitos e liberdades fundamentais do titular dos dados.
O titular dos dados terá o direito inegável de ver os seus dados eliminados e interrompido o seu processamento quando:
O propósito original, ou o fim a que se destinavam os dados pessoais não existir e os dados em si não forem mais necessários para nenhum fim que lhe seja conhecido ou transmitido;
Quando o indivíduo não consentiu independentemente do fim;
Quando não haja sustentação legal para tal;
Se os dados processados são de serviços prestados a uma criança;
Em qualquer caso em que os dados sejam processados em violação RGPD.
O controlador poderá negar-se à eliminação ou alteração dos dados, provendo, em sua vez, a restrição do seu acesso e/ou processamento quando:
A precisão dos dados pessoais é contestada pelo titular dos dados, no entanto a sua exatidão não pode ser determinada ou provada;
Os dados pessoais que se pretende eliminar ou mudar devem ser mantidos para fins de evidência.
Em qualquer dos casos o controlador é responsável por comunicar, por escrito, ao titular dos dados a sua recusa de retificação ou eliminação de dados pessoais ou a restrição do seu tratamento, bem como os motivos da recusa. Sendo ainda fato que a própria lei poderá prever a exclusão a essa obrigação por parte do controlador, sempre que esta seja uma medida necessária e proporcional para um estado de direito democrático e, portanto, tendo sempre e devidamente em conta os direitos fundamentais e os interesses legítimos do titular dos dados. São exemplos, não exaustivos, destas exclusões todos os casos em que a eliminação ou alteração de dados possa:
Evitar prejudicar a prevenção, deteção, investigação ou aplicação de infrações penais ou a execução de sanções penais;
Por em causa a segurança pública;
Por em causa a segurança nacional;
Por em causa os direitos e liberdades dos outros;
Evitar ou obstruir investigações ou procedimentos oficiais/legais.
Não deixa aqui, no entanto, de ser o controlador obrigado a informar o titular dos dados da possibilidade de apresentar uma queixa a uma autoridade de controlo ou de interpor recurso judicial perante a sua recusa a este direito.
Para as entidades controladoras e processadoras a conformidade com o uso deste direito traz várias implicações, começando por aumentar a sua necessidade de capacidade de manter registos de atividades de processamento, bem como provas da relevância e da necessidade de todos os dados que controlam ou processam, o que inclui as finalidades do processamento, categorias envolvidas e prazos previstos. Esta informação deve ser comunicada ao titular dos dados e os registos devem ser mantidos de forma a poderem ser disponibilizados à autoridade de supervisão mediante solicitação de prova para qualquer matéria relacionada a um assunto de dados pessoais.
A ONLINE, enquanto controlador, nunca vedou ao cliente o direito ao esquecimento. No entanto, em exercício de razoabilidade, avaliados os parcos dados que coleta face às suas obrigações contratuais e a defesa dos seus interesses legítimos, bem como o cumprimento da lei, nomeadamente a lei fiscal, a ONLINE poderá negar-se à eliminação ou alteração dos dados, provendo, em sua vez, a restrição do seu acesso e/ou processamento de forma preserva-lo como evidência. Estes dados são, no entanto, armazenados, não processados, e apenas com acesso restrito e justificado.
Além dos titulares dos dados que exerçam direito ao esquecimento, também todos aqueles que apresentem mais de 8 anos de inatividade passarão automaticamente a ser armazenados em conformidade. Os prazos e meios de exercer este direito, apesar de constarem já nas condições gerais de prestação de serviço, estão a ser criteriosamente vertidos para a nova versão de política de privacidade da ONLINE que, para garantia de conformidade com o RGPD e informação detalhada para os nossos clientes, está, agora, a ser revista.
Enquanto Processador apesar de não ser responsabilidade direta da ONLINE garantir ao titular dos dados que o seu direito ao esquecimento é levado a cabo, no que concerne aos dados alojados nos seus servidores, a lícita limitação ao direito ao esquecimento está intrinsecamente ligada ao tempo obrigatório de retenção de backups.
5 - Pseudonomização e anonimização
O RGPD recomenda a pseudonimização para reduzir os riscos de exposição dos titulares de dados em causa o que, por si, também viabiliza uma segurança adicional para os responsáveis pelo tratamento e os processadores. Muito embora o RGPD incentive a utilização da pseudonimização, os dados pseudonimizados não deixam de ser considerados dados pessoais, permanecendo, por isso, abrangidos pelo RGPD.
O RGPD define a pseudonimização, como um processamento de dados pessoais levado a cabo de forma a não poderem ser atribuídos a um sujeito ou dado específico sem o uso de informações adicionais. Para pseudonimizar um conjunto de dados de forma eficiente as informações adicionais devem ser mantidas separadamente e sujeitas a medidas técnicas e organizacionais que garantam a sua não atribuição a uma pessoa identificada ou identificável.
As técnicas de pseudonimização diferem das técnicas de anonimização. Com a anonimização os dados são apagados para qualquer informação que possa servir como um identificador de um assunto de dados. A pseudonimização, como vimos, não remove todas as informações de identificação dos dados, mas apenas reduz a vinculação de um conjunto de dados com a identidade original de um indivíduo, usando, por exemplo a criptografia, que torna os dados originais ininteligíveis e o processo não pode ser revertido sem acesso à chave de descodificação correta ou a tokenização, que é outra abordagem para proteger os dados substituindo-os por outros, chamados tokens.
A distinção legal entre dados anónimos e pseudonimizados é a sua categorização como dados pessoais. Os dados sob pseudónimo ainda permitem alguma forma de reidentificação (mesmo indireta e remota), enquanto os dados anónimos não podem ser reidentificados.
Tanto a pseudonimização como a anonimização são preconizadas pelo RGPD, que aspira e incentiva a sua utilização de forma generalizada e recorrente.
Assim, os controladores e os processadores de dados pessoais são convidados a implementar uma ou outra dessas técnicas para minimizar o risco e, uma vez que as duas técnicas diferem, diante do RGPD, a escolha deverá depender do grau de risco e de como os dados serão processados.
Como controlador, a ONLINE é percursora do uso da pseudonimização sendo que o uso do ID de cliente, ID Código de serviço, ID de Número de pagamento são termos familiares ao cliente ONLINE. Internamente e no tratamento da informação, tipicamente, o normal operador não precisa conhecer senão o email autorizado do cliente, para sua identificação, já que todas as outras matérias, daí por diante, são tratadas com uso aos referidos ID. Na ONLINE não há tratamento automatizado, incluindo a definição de perfis que produzam decisões c/ efeitos jurídicos.
B - RESPONSABILIZAÇÃO
1 - Obrigação do uso da privacy by design, privacy by default e Data Minimisation
Privacidade por design – privacy by design - como um conceito passa a ser parte de uma exigência legal do RGPD. A privacidade por design exige a inclusão da proteção de dados desde o início do design dos sistemas, portanto deve ser projetada no desenvolvimento dos processos de negócios para qualquer produto ou serviços, sendo definidas configurações de privacidade de elevado padrão e recorrendo a medidas técnicas e de procedimentos capazes de garantir que o processamento, durante todo o ciclo de vida dos dados, esteja em conformidade com o regulamento.
É ainda exigido que os responsáveis pelo tratamento mantenham e processem apenas os dados absolutamente necessários para o cumprimento de seus deveres e para cumprimento das finalidades para as quais foram recolhidos e são tratados (minimização de dados), bem como o acesso a dados pessoais seja limitado àqueles que precisam realizar o processamento.
O RGPD vem ainda garantir que são colocados em prática todos os mecanismos e técnicas que possam garantir que, por defeito, apenas será recolhida, utilizada e conservada, a quantidade necessária de dados pessoais tendo em conta a sua finalidade. Esta obrigação deve ser considerada durante toda a vida dos dados e do seu tratamento, bem como no seu prazo legal de conservação, considerando para ambos os casos os requisitos diferenciados necessários à sua acessibilidade. Esta obrigação visa assegurar que os dados pessoais não são disponibilizados massivamente ou a um número indeterminado de pessoas ou sem intervenção humana.
Todas estas medidas trazem a responsabilidade acrescida ao controlador/processador que fica, assim, adstrito, desde a concepção e durante todo o tempo em que processe ou controle dados pessoais, a garantir a privacidade dos titulares dos dados, o que conduzirá, necessariamente, à minimização da exposição ao risco.
Conformidade da ONLINE com o RGDP
Enquanto, controlador, a ONLINE cumpre com os requisitos inerentes ao que se entende por privacy by design e by default, usando os meios de segurança adaptados, com certificados de segurança e pseudonomização desde a subscrição de serviço, encriptação de dados, firewall, antivirus & antimalware, restritos e escalonados, arquivo reduzido, com rigorosa política de limpeza de sistemas internos ciclicamente.
Enquanto processador, a ONLINE garante:
A nossa infraestrutura é maioritáriamente alojada em serviços Cloud na AWS ( Amazon Web Services, Inc ), os serviços da AWS estão em conformidade com o General Data Protection Regulation (GDPR – Regulamento geral de proteção de dados) e adoptam os standards mais elevados de segurança e normas de protecção de dados, entre elas: C5 (DE), Cyber Essentials Plus (UK), DoD SRG, FedRAMP, FIPS, IRAP[AU], ISO9001, ISO27001, ISO27017, ISO27018, PCI Security Standards Council, AICPA/SOC, MLPS L3, MTCS, PCI DSS L1, SEC Rule-17-a-4, SOC1, SOC2 e SOC3.
2 - Encarregado de Proteção de Dados ("DPO - Data Protection Officer") e o responsável pelo tratamento e proteção dos dados pessoais
A nomeação de DPO será mandatória para autoridades públicas, com exceção dos tribunais ou autoridades judiciárias independentes, quando atuem no exercício das suas funções judiciais. Além das autoridades públicas será obrigatório um DPO para todos os controladores e processadores cujas atividades principais consistam em operações de processamento de processamento de dados de forma regular e sistemático e em larga escala ou quando esses dados pertençam a categorias especiais – dados sensíveis. Segundo o artº 9 do RGPD são dados sensíveis todos os que revelem a origem racial ou étnica, as opiniões políticas, as convições religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa.
O DPO deve ser nomeado com base nas suas qualificações profissionais com especial enfoque no conhecimento técnico sobre legislação e práticas de proteção de dados.
O DPO é o responsável pela conformidade e pela gestão de processos tendo em vista a segurança de dados. É ainda responsável por lidar com situações de crise, como fugas de informação ou outros problemas críticos para continuidade de negócios no que concerne à manutenção e processamento de dados pessoais e confidenciais.
Mesmo nas entidades em que não seja obrigatório o DPO, a entidade deverá designar um responsável pelo tratamento, ou seja, uma entidade, funcionário ou não que, individualmente ou em conjunto com outrem, determine as finalidades e os meios de tratamento dos dados pessoais.
A ONLINE tem um DPO para garantir conformidade com o RGPD.
3 - Responsabilidade por fundamento na coleta e processamento de dados
Os dados não podem ser coletados ou processados sem que haja um fundamento legal que o justifique.
Em termos de complexidade o essencial fundamento será sempre o consentimento expresso por parte do titular, não podendo este ser generalista, mas antes elencar e especificar cada um dos fins a que se destina.
Fora o consentimento, o processamento, por ser indispensável para a prestação de um serviço ou venda de um produto, pode afigurar-se como necessário e a esta necessidade será intrínseca a necessidade de processar os dados para a preparação e execução de um contrato, acordo, proposta ou outro documento oficial ou com força legal.
O processamento é sempre necessário e justificado para o cumprimento de uma obrigação legal à qual o controlador está sujeito ou para acautelar interesses vitais do titular dos dados ou mesmo de outros que destes dependam.
Tem pleno assento e justificação legal todo o processamento que cumpra obrigações necessárias para levar a cabo uma tarefa de interesse público e para defender os interesses legítimos do controlador/processador. Ficando a salvaguardo que a ponderação desses interesses legítimos deve sempre ser sempre feita atendendo aos direitos, liberdades e garantias fundamentais do titular dos dados, já que, em casos em que estes últimos prevaleçam, exige-se sobretudo a proteção dos dados pessoais, em particular se o titular dos dados for uma criança.
Além destes, resulta como intrínseco às suas funções que o processamento dos dados seja levado a cabo legitimamente, no ato do próprio exercício da autoridade oficial do controlador (DPO ou responsável pelo tratamento e proteção dos dados pessoais), pelo que neste caso o seu acesso e tratamento estará, desde logo, acautelado.
Havendo minimização na coleta, todos os dados que são processados pela ONLINE, enquanto controlador encontram o seu fundamento na subscrição dos serviços por cláusulas contratuais gerais, e ora assim, na necessidade intrínseca à sua prestação. Fora estas a ONLINE não recolhe ou processa quaisquer outros dados e todos os que lhe possam ser facultados pelo titular de forma voluntária e discricionária são ignorados e excluídos de processamento.
Enquanto processador, todos os dados armazenados nos nossos servidores foram recebidos com base na contratação do referido serviço e assim prevalecem enquanto o serviço/contrato prevalecer. Fora este tempo fica a obrigação residual, também advinda do próprio contrato, de manter, durante os tempos definidos os backups dos conteúdos anteriormente alojados.
4 - Prestar contas da conformidade com o RGPD – Accountability
No sentido do RGPD, a prestação de contas é a prova de conformidade de uma entidade com o próprio regulamento. Nessa mesma lógica, a responsabilidade é acompanhada de medidas para mostrar a realidade da proteção de dados. É importante observar esses dois aspetos da responsabilidade: a implementação responsável do GDPR e do "relatório".
O RGPD redefiniu que os dados "pessoais" são os dados usados para identificar uma pessoa: "é considerado identificável uma pessoa que pode ser identificada direta ou indiretamente, inclusive por referência a um identificador, por exemplo nome, número de identificação, dados de localização ou identificador on-line, ou a um ou mais elementos específicos da sua identidade física, fisiológica, genética, psicológica, económica, cultural ou social".
Nesse contexto, o RGPD impõe aos controladores/processadores a adaptar o seu funcionamento de forma a garantir que o seu tratamento de dados pessoais cumprem a lei.
Em termos práticos, esta obrigação de prestação de contas traz consigo a figura do DPO e do responsável pelo tratamento e proteção dos dados pessoais, mas acima de tudo força estas entidades a manter um registo documental dos processamentos realizados sob a responsabilidade do controlador ou processador e a analisar as consequências concretas desse processamento de dados, apresentando, em conclusão, os riscos particulares no que diz respeito aos direitos e liberdades dos titulares desses dados.
Em suma, pretende o regulamento que o controlador de dados deva ser capaz de provar que cumpre todas as obrigações de proteção de dados e que todas as medidas apropriadas foram tomadas para proteger efetivamente os dados coletados.
5 - Fugas de informação e falhas de segurança - data breaches
O RGPD define uma violação de dados pessoais como "uma violação de segurança que leva à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso a dados pessoais transmitidos, armazenados ou processados de outra forma".
Violações de dados pessoais podem ser divididas em três tipos e uma só violação de dados pode envolver, uma, duas ou até as três categorias, a saber:
Violação de confidencialidade, quando haja divulgação ou acesso não autorizado ou acidental a dados pessoais;
Violação de disponibilidade, quando houve uma perda de acesso ou destruição de dados pessoais;
Violação de integridade, quando haja alteração não autorizada ou acidental de dados pessoais.
Com o RGPD o controlador, mais do que responsável por evitar que as violações de segurança aconteçam, passa ainda a ter a obrigação legal de verificar a gravidade da violação e notificar a autoridade supervisora sem demora indevida. A menos que a violação de dados não venha de forma nenhuma a constituir uma violação dos dados pessoais e portanto não seja suscetível de resultar num risco para os direitos e liberdades dos indivíduos tendo um efeito prejudicial significativo sobre os indivíduos afetados, ie, que possam resultar em discriminação, danos à reputação, perda financeira, perda de confidencialidade ou outras desvantagens económicas ou sociais significativas. Fora esta exceção o controlador tem um prazo máximo de 72 horas após tomar conhecimento da violação de dados para fazer o relatório e comunicar à autoridade supervisora.
Quando esse efeito prejudicial seja provado cumpre ainda ao controlador notificar os sujeitos afetados. A notificação deve ser feita em linguagem clara e simples com uma explicação concreta da ocorrência. Prescinde-se da obrigação de aviso aos titulares de dados se o controlador de dados tiver implementado medidas de proteção técnicas e organizacionais apropriadas que tornem os dados pessoais ininteligíveis a qualquer pessoa que não esteja autorizada a aceder-lhes, como pseudonomização ou anonimização ou caso tome medidas subsequentes que afastem o risco de afetação os direitos e liberdades dos titulares dos dados.
A ONLINE enquanto controlador e processador sempre usou da política de transparência para os seus clientes, portanto a obrigação de comunicação ao titular não passa a ser uma tarefa acrescida, mas antes uma tarefa que tudo faremos, como até hoje, para evitar ter que levar a cabo. Em todo o caso, considerando os vários tipos de criticidade de uma possível fuga de informação, os procedimento ou metodologias de ação para comunicação adaptada, está em fase de implementação, ajuste e teste. Temos como maior preocupação ajustar a avaliação do impacto para garantir que esta é devidamente granular e minuciosa de forma a, por um lado, não se correr o risco de agir por defeito não comunicando, mas também não agir por excesso potenciando um alarme ou uma intranquilidade e insegurança que, em rigor, não são verdade ou reflexo do risco real.
C - SUPERVISÃO
1 - Autoridade de controlo
Haverá uma entidade pública responsável pelo acompanhamento da aplicação do RGPD em cada estado membro da UE, de forma a proteger os direitos e liberdades fundamentais dos titulares dos dados pessoais. Cada autoridade de supervisão irá contribuir para a fiscalização da aplicação coerente do regulamento e por isso irão cooperar ativamente entre si.
Neste sentido é oportuno destacar a pertinência da identificação da Autoridade de controlo principal. A autoridade de controlo principal é a dona da responsabilidade de gerir a atividade de tratamento transfronteiriço de dados, coordenando quaisquer investigações ainda que com a participação de outras autoridades de controlo que possam ser partes interessadas. É importante saber como identificar a autoridade de controlo principal já que, em caso de transferência internacional de dados ou em casos que envolvam entidades com estabelecimentos em mais que um país, o lesado pode ver o seu direito de queixa dificultado e a própria autoridade vedada à fiscalização preventiva. Ora, para determinar a autoridade de controle principal importa a localização do estabelecimento principal ou único do responsável pelo tratamento dos dados na UE, uma vez encontrado, identifica-se a autoridade desse país como competente para agir como autoridade de controlo principal para o tratamento transfronteiriço efetuado pelo referido responsável pelo tratamento ou subcontratante.
2 – As penalizações
Como tem sido amplamente falado o RGPD prevê que os infratores possam ser multados em até 4% da sua faturação/ano ou 20 milhões de euros, por prevalência do maior valor. Esta é a multa máxima que pode ser imposta para as infrações mais graves, por exemplo, não ter o consentimento suficiente do cliente para processar dados
Existindo, naturalmente, um escalonamento das multas consideraremos a título exemplificativo algumas das sanções previstas:
Aviso por escrito em casos de não-conformidade inicial e não intencional auditorias regulares periódicas de proteção de dados;
São passiveis de multa de até € 10 milhões ou até 2% da faturação anual do exercício anterior as violações das seguintes obrigações:
Condições aplicáveis ao consentimento da criança em relação aos serviços da sociedade da informação;
Processamento sem fundamento ou que não precisa necessariamente do uso de dados pessoais;
Desconsideração das regras da proteção de dados by design and by default;
Controladores ou o processador que não designem, por escrito, um representante na União;
Falta de verificação na escolha, controlo ou vigilância do processador pelo controlador;
Recusa de cooperação com as autoridades de controlo;
Incúria na segurança do processamento de dados;
Violação de regras de registos das atividades de processamento;
Falha na notificação de uma violação de dados pessoais à autoridade de supervisão ou ao titular dos dados;
Falha na avaliação do impacto da proteção de dados;
Incumprimento por não nomeação de um DPO ou não execução das suas obrigações.
Puníveis com multa até 20 milhões de euros ou até 4% do volume de negócios anual do exercício anterior (o que for mais avultado) se ocorrer uma violação das seguintes disposições:
Os princípios básicos para o tratamento, incluindo as condições de consentimento, de acordo com os Artigos 5, 6, 7 e 9;
Violação dos direitos dos titulares de dados nos termos dos artigos 12.º a 22.º;
Transferências de dados pessoais para um destinatário num país terceiro ou uma organização internacional nos termos dos artigos 44.o a 49.o;
Violação de quaisquer obrigações previstas na legislação do estado membro adotada para este fim;
Inobservância de uma ordem ou limitação temporária ou definitiva do tratamento ou suspensão do fluxo de dados pela autoridade de supervisão nos termos do artigo 58.o, n.o 2, ou a falta de acesso em violação do artigo 58.o, n.o.
Quanto a matérias como o registo de domínios, dados de whois, bem como outras que dependam de coordenação com entidades externas à UE encetamos esforços vários no sentido de obter informação vinculativa sobre o seu cumprimento ao RGPD.