O Regulamento (UE) 2016/679, de 27 de Abril de 2016 (vulgarmente conhecido entre nós como o RGPD, ou Regulamento Geral de Protecção de Dados), tão badalado por toda a Europa, entrou em vigor em todos os países da UE e do Espaço Económico Europeu (Islãndia, Lichtenstein, Noruega e Suíça) a 25 de Maio de 2018.
Como é um regulamento da UE e não uma directiva, não é necessário os países transporem para as leis nacionais de cada país, um regulamento UE entra em vigor em toda a UE em simultâneo, apesar de nós por cá estarmos a preparar um Lei que vai afinar a aplicação do RGPD, a Proposta de Lei n.º 120/XIII (que ainda não foi aprovada, porque contém um truque que viola as normas comunitárias e vão custar-nos muito caro em coimas à UE....... a Proposta de Lei quer dispensar todas as entidades públicas das coimas que prevê o RGPD e aplicar apenas ao sector privado!!!!!!!! Sempre a inovar!).
Como o RGPD aborda uma área que me interessa profissionalmente e particularmente, vou acrescentando informação por fases.
Em resumo o RGPD protege todos os dados de pessoas singulares (e só os dados das pessoas, das empresas/entidades colectivas, entende-se que a informação é pública.
Figuras-chave do RGPD:Titular dos dados (pessoa singular)
Responsável pelo Tratamento - Pessoa ou pessoas que recolhem e tratam os dados pessoais.
Subcontratante - Quando os dados pessoais são transmitidos a outra entidade que vai tratar os dados pessoais.
Terceiros - Todos os que não sejam nenhuma das figuras anteriores (titular dos dados, responsável pelo tratamento e subcontratante), mas que mesmo assim estejam autorizados a tratar dados pessoais.
Encarregado de Protecção de Dados (EPD) ou Data Protection Officer (DPO) - Consultor (interno ou externo) que auxilia a empresa/instituição a aplicar o RGPD, através da elaboração de um diagnóstico (DPIA-Data Protection Impact Assessment).
Resumidamente, a partir de 25 de Maio de 2018, qualquer pessoa ou instituição que trate de dados pessoais de uma pessoa da UE, seja uma empresa americana, brasileira, chinesa...... tem de cumprir o RGPD, que no fundo obriga a que
peça autorização para usar os dados pessoais dessa pessoa (para utilizar o nome, morada, mail, telefone, .... tem de pedir obrigatoriamente autorização do titular para tratar esses dados,
caso não tenha autorização ou o titular dos dados recuse o consentimento, os dados têem de ser ELIMINADOS! (mesmo que sejam dados cedidos antes de 25 de Maio de 2018)!
Ou seja, para alguém tratar dados pessoais de uma pessoa da UE, tem de pedir o seu consentimento (artigo 6º do RGPD), o qual pode ser dado:
- Oralmente e gravado;
- Por escrito ou;
- Por meio digital.
Mais, quem trata os dados de uma pessoa singular da UE, se tiver uma fuga/violação dos dados (data breach), a entidade que trata os dados tem obrigatoriamente de notificar, no prazo máximo de 72 horas à entidade nacional responsável (vai ser a CNPD) e no mais curto espaço de tempo possível, notificar cada titular dos dados.
Endereço da CNPD:
https://www.cnpd.pt/As "data-breach" podem também ser comunicadas ao CNCS:
https://www.cncs.gov.pt/