gdpr | Blog da Hexónio

Base Legal: Interesse Público

O interesse público é aplicável quando o processamento de dados pessoais é exigido no exercício da autoridade oficial ou quando a lei o permite no interesse público.
É mais relevante para as autoridades públicas, mas pode ser aplicado a qualquer organização que exerça autoridade oficial ou desempenhe tarefas de interesse público. Não é necessário um poder estatutário específico para processar dados pessoais, mas a tarefa, função ou poder subjacente deve ter uma base clara na lei. O processamento deve ser necessário. Se a tarefa ou os poderes exercidos poderem ser executados de uma forma menos intrusiva, esta base legal não se aplica. Como sempre, a ação deve ser documentada para justificar o porquê e como os dados pessoais foram coletados e processados e, se relevantes, os indivíduos devem ser informados.

O que é “Interesse Público”?

Segundo o Artigo 6(1)(e), “o tratamento é necessário para o desempenho de uma tarefa realizada no interesse público ou no exercício da autoridade pública do responsável pelo tratamento”.

Quando pode ser Aplicado?

A aplicação desta base legal é principalmente impulsionada pela lei. Quando a lei estabelece uma tarefa específica de interesse público ou quando é necessário um exercício de autoridade oficial, tais como tarefas, funções, deveres ou poderes de um organismo público. Isto contempla funções públicas e poderes que são estabelecidos em lei.

Necessita de ajuda com o RGPD?

Contacte-nos para saber as soluções RGPD que temos disponíveis.

Base Legal: Obrigações Legais

A obrigação legal é aplicável como base legal quando é necessário processar dados pessoais para cumprimento da lei ou de uma obrigação legal. Neste caso, deve haver uma disposição legal específica ou uma fonte apropriada de aconselhamento ou orientação que estabeleça claramente a obrigação.
Tal não se aplica às obrigações contratuais e não se aplica quando é razoavelmente possível alcançar o mesmo objetivo sem processar dados pessoais.
Como sempre, a ação deve ser documentada para justificar o porquê e como os dados pessoais foram recolhidos e processados.

Quando se aplica?

Esta base legal é aplicada quando uma organização é obrigada a processar os dados pessoais para cumprimento da lei.
É necessário ter em consideração de que a Razão 41 confirma que esta não tem de ser uma obrigação estatutária explícita, desde que a aplicação da lei seja de aplicação previsível. Por esta razão, inclui obrigações claras de direito comum.

De forma simples, é aplicada sempre que um estado membro ou a legislação da UE assim o obrigar, porque o objetivo geral é cumprir uma obrigação legal que tenha uma base suficientemente clara no direito comum ou no estatuto.

Obviamente, exige a identificação da obrigação em questão, seja por referência à disposição legal específica, seja por indicação de uma fonte adequada de orientação ou conselho que a defina claramente. Por exemplo, pode referir um site do governo ou uma orientação geral da indústria ou setor que explique as obrigações legais aplicáveis.

Necessita de ajuda com o RGPD?

Contacte-nos para saber as soluções RGPD que temos disponíveis.

Base Legal: Consentimento

O consentimento significa que os indivíduos possuem uma escolha e controlo real sobre os seus próprios dados pessoais.
O consentimento é um ato claro que estabelece uma resposta positiva dada de forma livre, específica, informada e inequívoca sobre o acordo de processamento dos dados pessoais entre um individuo e uma organização.

Pedir Consentimento

O consentimento requer uma declaração muito clara e específica com uma resposta explícita. Desta forma, as opções pré-selecionadas ou outros métodos de consentimento pré-selecionados são ilegais.
Se o consentimento incluir propósitos diferentes ou vários tipos de processamento, deve ser solicitado um consentimento separado para cada um deles.

A indicação da razão de recolha de dados e o será feito com os mesmos deve ser indicado de forma clara e suportada na base legal mais adequada para o processamento.
Portanto, quando um indivíduo dá consentimento, deve ser claro para todas as partes envolvidas sobre o que se está a dar consentimento.

As autoridades públicas e os empregadores devem ter cuidado adicional para mostrar que o consentimento é dado livremente e deve evitar a dependência excessiva do consentimento.

As crianças têm proteção específica em relação aos seus dados pessoais. Uma atenção especial deve ser dada para fins publicitários, perfis de utilizadores e a recolha de dados pessoais ao utilizar serviços oferecidos diretamente a uma criança.
Existem exceções no contexto de serviços preventivos ou de aconselhamento oferecidos diretamente a uma criança.
Consulte o Artigo 8 para mais detalhes.

Auditoria ao Consentimento

Como o consentimento é auditável, é necessário manter registos de quando, como e para que efeito o indivíduo deu o seu consentimento.

Gestão do Consentimento

Os indivíduos podem gerir o consentimento, inclusive retirar o mesmo em qualquer momento.
Deve ser fácil para as pessoas retirarem o consentimento e isso deve ser indicado quando se solicita o consentimento.

Objetivo

O consentimento feito de forma genuína, deve criar confiança e compromisso com o cliente, o que aumentará sua reputação perante o mesmo.

Necessita de ajuda no RGPD?

Temos vários soluções para cumprir com o RGPD. Contacte-nos.

Base Legal para Processamento de Dados Pessoais

O RGPD impõe que as organizações tenham uma base legal válida para processar dados pessoais de forma a que o tratamento seja considerado lícito.
Existem seis bases legais, todas de importância igual, embora a escolha da base mais adequada a usar dependerá do propósito da organização e da sua relação com as pessoas.

A base legal deve ser determinada antes do início do processamento de dados porque deve ser documentada, juntamente com os propósitos do processamento de dados, e incluída no aviso de privacidade aceite pelas pessoas. Isso deixa claro a que é que as pessoas estão dando o seu consentimento.

Se os propósitos mudarem, a menos que sejam compatíveis com o propósito inicial, será necessário alterar a base legal, e poderá ser necessário refazer os processos de documentação, consentimento, etc..

Bases Legais para Processamento de Dados

As seis bases legais para processamento de dados pessoais são definidas no Artigo 6:

a pessoa em causa consentiu o processamento dos seus dados pessoais para um ou mais fins específicos;
o processamento é necessário para a execução de um contrato do qual o titular dos dados é parte, ou para diligências pré-contratuais a pedido do titular dos dados;
o processamento é necessário para o cumprimento de uma obrigação jurídica ou legal a que o responsável pelo tratamento está sujeito;
o processamento é necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular;
o processamento é necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento;
o processamento é necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for uma criança. Isso não se aplica ao processamento realizado pelas autoridades públicas no desempenho de suas tarefas.

As atividades de processamento que se enquadram no cumprimento de um contrato, obrigação legal, interesses vitais e tarefa pública podem ser bastante simples e diretas na sua identificação. A chave para muitos estará na avaliação sobre se o Consentimento ou os Interesses Legítimos serão mais apropriados para o processamento específico das informações pessoais.

Processamento de Dados de Categoria Especial

Ao processar dados de categorias especiais, é necessário identificar uma base legal para o processamento geral e uma condição adicional para o processamento desse tipo de dados.

Processamento de Dados Criminais

Ao processar dados de condenação criminal ou dados sobre ofensas, é necessário identificar uma base legal para o processamento geral e uma condição adicional para o processamento desse tipo de dados.

Podemos ajudar no RGPD?

Temos várias soluções de RGPD. Contacte-nos.

Princípios do RGPD

O RGPD define as principais responsabilidades das organizações no que respeita à proteção de dados e processamento de dados pessoais.

O Artigo 5 do RGPD introduz os dois pilares da proteção e processamento dos dados pessoas. De forma simples, introduz os princípios relacionados com os dados e quem é responsável pelo seu cumprimento.

Princípios dos Dados Pessoais

Ao abrigo do RGPD, os dados pessoais serão:

objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados;

recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades; o tratamento posterior para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica ou para fins estatísticos, não é considerado incompatível com as finalidades iniciais;

adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados;

exatos e atualizados sempre que necessário; devem ser adotadas todas as medidas adequadas para que os dados inexatos, tendo em conta as finalidades para que são tratados, sejam apagados ou retificados sem demora;

conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados; os dados pessoais podem ser conservados durante períodos mais longos, desde que sejam tratados exclusivamente para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica ou para fins estatísticos, sujeitos à aplicação das medidas técnicas e organizacionais adequadas exigidas pelo presente regulamento, a fim de salvaguardar os direitos e liberdades do titular dos dados;

tratados de uma forma que garanta a sua segurança, incluindo a proteção contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidental, adotando as medidas técnicas ou organizacionais adequadas.

Como é compreensível acima, existem limitações de finalidade e conservação onde os tratamento dos dados foi, de alguma forma, estendido.
Existem assim garantias e derrogações relativas ao tratamento para fins de arquivo de interesse público ou para fins de investigação científica ou histórica ou para fins estatísticos, tal como especificado no Artigo 89.

Responsável

Ao abrigo do RGPD, é necessária a existência de um responsável que será

responsável pelo cumprimento e ter forma de o comprovar.

De forma simples, as organizações têm de ter um Data Protection Officer (commumente referido como DPO) que é responsável por garantir o cumprimento e demonstrar esse cumprimento no que toca aos princípios dos dados pessoais.

Dependendo do tamanho da organização, o DPO poderá ser alguém da própria organização, exceptuando os casos de administradores, por óbvias razões de potenciais conflitos.

Precisa de ajuda com o RGPD?

Temos solução para os seus problemas de RGPD. Contacte-nos.

O que é o RGPD

O RGPD, comummente também referido como GDPR por ser a sigla em inglês de General Data Protection Regulation, refere-se ao regulamento europeu 2016/679 sobre proteção e dados pessoais.

O RGPD define os direitos e obrigações legais relativos à recolha, processamento e circulação de dados pessoais dos cidadãos da UE. Fornece um nível de proteção elevado e coerente, equivalente em todos os Estados Membros, e é extensível às organizações externas à UE que trabalham com dados pessoais dos cidadãos da UE.

As obrigações relacionadas com a manipulação de dados pessoais abrangem agora situações como o direito a ser esquecido e a obrigatoriedade de informar o regulador no caso de existir uma violação de segurança que possa comprometer o acesso aos dados pessoais por pessoas não autorizadas para o efeito.

Afinal o que são “dados pessoais”?

De forma simples, são todos os dados sobre uma pessoa que uma organização recolhe, armazena e transmite: formulários web, cookies, preferências de utilizador, relatórios médicos, recibos de vencimento, etc.. O RGPD reforça o processamento dos dados pessoais de forma legal, justa e transparente em relação à pessoa em causa.
Ao nível legal, no RGPD os dados pessoais são definidos como

informação relativa a uma pessoa singular identificada ou identificável («titular dos dados»); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular

Consulte o Artigo 4 para mais informação.

E os dados altamente sensíveis?

O RGPD leva em consideração tipos especiais de dados altamente sensíveis, como seja informação médica, convicções criminais, vida sexual, orientações políticas, dados genéticos, etc.. Em tais casos, aplicam-se regras especiais.

Consulte o Artigo 9 para mais informação.

A quem se aplica?

O RGPD aplica-se a todas as pessoas e organizações que recolham, reúnam, transmitam ou processem de qualquer forma os dados pessoais dos cidadãos da União Europeia. Sim, isso significa que as organizações não pertencentes à UE têm igualmente de cumprir com este regulamento quando tratam dados pessoais de cidadãos da UE.

As micro, pequenas e médias empresas têm níveis de conformidade um pouco mais simplificados. Tal inclui uma derrogação para organizações com menos de 250 colaboradores em relação à manutenção de registos.

As organizações públicas e de direito penal são abrangidas por regras especiais, uma vez que abordam questões específicas de índoles nacionais e europeias.

Quão difícil é cumprir com o RGPD?

Como é obviamente compreensível, tal dependerá de quão grande seja sua organização, o que ela faz e como ela já aborda o processamento de dados pessoais.

A melhor estratégia para a conformidade começa com uma avaliação realizada por uma equipe multidisciplinar composta por pessoas certificadas em RGPD, advogados conhecedores do RGPD e uma equipa de TI pragmática que compreende verdadeiramente o RGPD.

Precisa de ajuda com o RGPD?

Contacte-nos se precisar de ajuda em RGPD.

RGPD Explicado

O Regulamento (UE) 2016/679, também conhecido como Regulamento Geral sobre a Proteção de Dados, abreviado para RGDP, é extremamente importante para os cidadãos da UE e para as organizações que processam dados pessoais de cidadãos da UE.

Os seguintes artigos explicam a adoção do RGDP pelas organizações:

Não sabe o que fazer com o RGPD?

Percebemos de RGPD e das necessidades dos DPOs.
Contacte-nos se precisar de ajuda sobre o tema. Temos serviços de consultoria em RGPD.