Proteção de Dados Pessoais — Conformidade, Confiança e Competitividade

O Regulamento Geral sobre a Proteção de Dados (RGPD) — Regulamento (UE) 2016/679 — é o quadro normativo europeu que regula o tratamento de dados pessoais. Aplica-se a todas as organizações, públicas e privadas, que tratem dados pessoais de titulares na União Europeia, independentemente de a organização estar ou não estabelecida na UE. Em Portugal, a Lei n.º 58/2019, de 8 de agosto, procede à execução do RGPD na ordem jurídica nacional.

Nos termos do artigo 37.º do RGPD, a designação de um Encarregado de Proteção de Dados (DPO) é obrigatória quando: (a) o tratamento for efectuado por uma autoridade ou organismo público; (b) as actividades principais do responsável ou subcontratante consistam em operações de tratamento que exijam controlo regular e sistemático dos titulares em grande escala; ou (c) as actividades principais consistam no tratamento em grande escala de categorias especiais de dados ou de dados relativos a condenações penais. Em Portugal, a Lei n.º 58/2019 alarga esta obrigação a determinadas entidades adicionais.

A Avaliação de Impacto sobre a Proteção de Dados (AIPD ou DPIA) é uma análise sistemática e abrangente dos riscos que um tratamento de dados pessoais pode representar para os direitos e liberdades dos titulares. É obrigatória nos termos do artigo 35.º do RGPD quando o tratamento seja susceptível de resultar num elevado risco, designadamente quando envolve novas tecnologias, tratamento automatizado com efeitos jurídicos, monitorização sistemática em grande escala ou categorias especiais de dados.

O prazo geral para resposta a pedidos de exercício de direitos dos titulares é de um mês a contar da recepção do pedido, podendo ser prorrogado até dois meses adicionais em casos de complexidade ou elevado número de pedidos (artigo 12.º, n.º 3, do RGPD). Neste caso, o titular deve ser informado da prorrogação e dos respectivos motivos no prazo de um mês. Se o responsável decidir não dar seguimento ao pedido, deve informar o titular no prazo de um mês, indicando os motivos e a possibilidade de reclamação junto da CNPD.

Em caso de violação de dados pessoais, o responsável pelo tratamento deve: (1) notificar a CNPD no prazo máximo de 72 horas após tomar conhecimento da violação, salvo se for improvável que resulte em risco para os titulares (artigo 33.º do RGPD); (2) documentar a violação, os seus efeitos e as medidas correctivas adoptadas; (3) comunicar a violação aos titulares afectados sem demora injustificada se for provável que resulte em elevado risco para os seus direitos e liberdades (artigo 34.º do RGPD). É fundamental ter procedimentos internos previamente definidos para resposta a incidentes.

Sim. O RGPD permite expressamente que o Encarregado de Proteção de Dados exerça as suas funções com base num contrato de prestação de serviços, ou seja, como DPO externo (artigo 37.º, n.º 6). O DPO externo pode servir várias organizações, desde que esteja facilmente acessível a partir de cada estabelecimento e que não exista conflito de interesses. O modelo de DPO externo é particularmente adequado para PME e organizações que não disponham de recursos para um DPO a tempo inteiro.

O responsável pelo tratamento é a pessoa singular ou colectiva que determina as finalidades e os meios do tratamento de dados pessoais — decide «porquê» e «como» os dados são tratados (artigo 4.º, n.º 7, do RGPD). O subcontratante é a entidade que trata dados pessoais por conta do responsável, seguindo as suas instruções (artigo 4.º, n.º 8). A distinção é fundamental porque as obrigações e responsabilidades legais diferem significativamente. Muitas organizações actuam simultaneamente como responsáveis (para dados dos seus clientes) e como subcontratantes (para dados tratados por conta de terceiros).

O RGPD prevê dois escalões de coimas. O escalão superior — até 20 milhões de euros ou 4% do volume de negócios anual global, consoante o que for mais elevado — aplica-se às violações mais graves, incluindo o incumprimento dos princípios de tratamento, dos direitos dos titulares e das regras sobre transferências internacionais (artigo 83.º, n.º 5). O escalão inferior — até 10 milhões de euros ou 2% do volume de negócios — aplica-se a obrigações de natureza mais técnica ou organizativa (artigo 83.º, n.º 4). Em Portugal, a Lei n.º 58/2019 estabelece disposições adicionais sobre o regime sancionatório, incluindo limites específicos para entidades públicas.