O governo aprovou em conselho de ministros uma proposta de lei que, entre outros, define quais vão ser as coimas mínimas pela violação do Regulamento Geral de Proteção de Dados (RGPD).
As coimas entrarão em vigor a 25 de maio de 2018 sendo que o governo irá propor que a administração pública possa ter três anos de derrogação deste prazo no que se refere à aplicação das coimas.
Sendo certo que esta proposta de lei terá ainda de ser aprovada no parlamento podendo aí, no processo de debate, conhecer alterações, o que se antecipa face ao que é proposto pelo governo é o que se segue:
Coimas mínimas pela violação do Regulamento Geral de Proteção de Dados
Grandes empresas:
- €5000 para contraordenações muito graves; e
- €2500€ para contraordenações graves ?
Pequenas e Médias Empresas (PME’s)
- €2000 para contraordenações muito graves; e
- €1000 para contraordenações graves ?
Pessoas singulares,
- €1000 para contraordenações muito graves; e
- €500 para contraordenações graves
A coima máxima no caso de um empresa pode atingir no máximo 4% do volume de negócios anual ou €20 milhões.
Para recordar qual a definição dos vários tipos de empresas consulte o artigo Definição de Grande, Média, Pequena e Microempresa.
O que é o Regulamento Geral de Proteção de Dados?
Sobre o Regulamento Geral de Proteção de Dados há vasta literatura sobre o tema no internet e muitos negócios em curso no mundo empresarial para procurar cumprir esta regulação (e algum pânico).
Muito sumariamente, trata-se de legislação de âmbito comunitário que visa proteger o cidadão face ao tratamento de dados pessoais por parte das empresas e dos vários serviços da sociedade de informação, definindo e reforçando a proteção jurídica dos direitos do indivíduos cujos dados são manipulados e estabelecendo regras e procedimentos tecnológicas que deem garantias de cumprimento dessa proteção.
Exemplos de situações problemáticas à luz do RGPD:
- Situações de abuso de dados recolhidos para um fim e que acabam por ser usados para outros estão entre os principais visados;
- A perenidade de arquivo de dados pessoais sem qualquer justificação associada ao fim para o qual foram recolhidos inicialmente é outra;
- A recolha excessiva de dados – que ultrapasse o âmbito do que justificou o pedido de dados – é outra;
- As garantias de segurança do sistema informático onde os dados são guardado, outra, mas também, mais genericamente, a existência de arquivo inseguro , não controlado e disperso em vários formatos (incluindo papel);
- As regras de acesso e de destruição a pedido da informação pessoal, outra.
A 22 de março de 2018, o governo divulgou uma breve nota à comunicação social sobre o tema onde divulgou em duas páginas algumas das principais características do RGPD. Em complemento ao que já aqui escrevemos divulgamos um excerto:
O que é novo?
• Reforço dos direitos dos titulares dos dados (portabilidade dos dados e direito ao apagamento).
• Definição de categorias especiais de dados pessoais (dados biométricos, dados de saúde).
• Obrigação de auto-avaliação por parte dos responsáveis do tratamento de dados pessoais e dos subcontratantes, caindo a obrigação de notificação prévia à Autoridade Nacional de Controlo.
• Mecanismos de certificação em matéria de proteção de dados para efeitos de comprovação da conformidade com o RGPD das operações de tratamento levadas a cabo pelos responsáveis e subcontratantes.
• Obrigação de notificação à autoridade nacional de controlo em caso de violação de dados pessoais.
• Obrigação de Encarregado de Proteção de Dados nas entidades públicas e privadas
• Agravamento dos valores das coimas: o RGPD prevê aplicação de sanções às grandes empresas até 20 milhões de euros, ou 4% do volume de negócios anual, para contraordenações muito graves.
Quais foram as opções legislativas adotadas pelo Governo? ?
O Instituto Português de Acreditação, IP – IPAC assume a responsabilidade de acreditação dos organismos de certificação em matéria de proteção de dados ?
É criada a figura do Encarregado de Proteção de Dados.
Em entidades públicas deve existir pelo menos um Encarregado de Proteção de Dados por cada área governativa, por cada secretaria regional, por cada município, nas freguesias em que tal se justifique, e por cada pessoa coletiva pública. ?
Foram também definidas regras específicas adotadas em conformidade com o RGPD:
-
Consentimento de Menores: o tratamento de dados pessoais de crianças relativo à oferta direta de serviços da sociedade da informação é previsto quando as mesmas tenham completado treze anos (solução semelhante na Dinamarca, Espanha, Estónia, Irlanda, Letónia, Polónia, Suécia, Reino Unido, Eslovénia, Noruega, Polónia e República Checa)
-
Utilização de sistemas de videovigilância: sem prejuízo de legislação especial, devem ser respeitadas as zonas de digitação de códigos de caixas multibanco, instalações sanitárias, zonas de espera e provadores de vestuário e o interior de áreas reservadas a trabalhadores.
-
Liberdade de expressão e informação: estabelece-se que a proteção de dados pessoais não prejudica o exercício da liberdade de expressão, informação e imprensa.