RGPD - Regulamento Geral de Proteção de Dados

O Regulamento Geral de Proteção de Dados ( RGPD ) em vigor após 25 de Maio de 2018, substitui a anterior diretiva e lei de proteção de dados em vigor. De seguir, apresentam-se as suas ideias principais assim como o regulamento completo.

O dados que o RGPD visa proteger, são toda a informação relativa a uma pessoa singular identificada ou identificável.

Inclui dados genéticos e dados biométricos. Conceito de identificável inclui o nome, número de identificação, dados de localização, identificadores por via eletrónica, bem como um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular. Tratamento, inclui não só a recolha, mas também todo o “manuseamento”.


Informação aos titulares dos dados

O regulamento obriga a informar acerca da base legal para o tratamento de dados, prazo de conservação dos mesmos e transferência dos mesmos. Todas as políticas de privacidade e textos que prestem informação aos titulares de dados têm de ser revistos.

Exercício dos direitos dos titulares dos dados

O regulamento obriga a garantir o exercício dos direitos dos titulares dos dados. Desta forma, os pedidos de exercício desse direito passam a ser monitorizados e documentados com prazos máximos de resposta, direito à portabilidade dos dados, à eliminação dos dados e à notificação de terceiros sobre a retificação ou apagamento ou limitação de tratamento solicitados pelos titulares.

Consentimento dos titulares dos dados

O regulamento obriga a controlar as circunstâncias em que foi obtido o consentimento dos titulares quando isso for base legal do tratamento dos dados pessoais. Existem um conjunto de exigências para obtenção desse consentimento e o seu não cumprimento obriga à obtenção de um novo consentimento.

Natureza dos dados

O regulamento define o conceito de dados sensíveis que estão sujeitos a condições específicas para o seu tratamento, nomeadamente direitos e decisões automatizadas. Um exemplo de dados sensíveis serão os dados biométricos. Dependendo da dimensão e contexto destes tratamentos de dados específicos, poderá ser obrigatória a nomeação de um Encarregado de Proteção de Dados.
Documentação e registo

O regulamento obriga a manter um registo documentado de todas as atividades de tratamento de dados pessoais. As organizações são obrigadas a demonstrar o cumprimento de todos os requisitos decorrentes da aplicação do regulamento.

Subcontratação

O regulamento obriga a que o subcontratante garanta que detém todas as autorizações dos responsáveis pelo tratamento de dados. Os contratos de subcontratação terão de ser revistos para incluir um conjunto vasto de informações com o objetivo de proteger a informação dos titulares de dados que é frequentemente tratada por várias entidades sem os respetivos titulares terem conhecimento.

Encarregado de Proteção de Dados

O regulamento introduz a figura do Encarregado de Proteção de Dados que terá um papel de controlador dos processos de segurança para garantir a proteção de dados no dia-a-dia. Embora não seja obrigatório para todas as entidades, a existência do mesmo que garanta essa função pode acrescentar muito valor aos processos de cumprimento das obrigações.

Processos de Segurança e Tratamento de Dados

O regulamento obriga a um grande controlo do risco associado ao possível roubo de informação. Este controlo de risco deverá passar a ser garantido por medidas de segurança efetivas que garantam a confidencialidade, a integridade dos dados e que previnam a destruição , perda e alterações acidentais ou ilícitas, ou a divulgação/acesso não autorizado de dados.

Proteção de dados desde a conceção

O regulamento salienta a necessidade de passar a avaliar projetos futuros de tratamento de dados com a devida antecedência e rigor de forma a poder avaliar o seu impacto na proteção de dados e adotar as medidas adequadas para mitigar esses riscos.

Notificação de violações de segurança

O regulamento obriga a que todas as violações de segurança que resultem em risco para os direitos dos titulares sejam comunicadas à autoridade de controlo assim como aos respetivos titulares dos dados.