O mês de maio aproxima-se e o prazo para as empresas se adaptarem ao novo Regulamento Geral da Proteção de Dados também se está a encurtar. Dentro de pouco mais de um ano, a 28 de maio de 2018, vai entrar em vigor o diploma que uniformiza as regras relativas à proteção de dados em todos os Estados da União Europeia, consagrando princípios como o direito ao esquecimento e a portabilidade dos dados pessoais.
O novo regulamento vai aplicar-se a todas as entidades que tratem dados pessoais, tanto as que realizam essas operações como as que sejam subcontratadas para o efeito, que serão diretamente responsabilizadas em caso de infração.
Para as empresas, os desafios são muitos. Qualquer consumidor vai poder exigir a uma empresa que deixe de ter acesso aos seus dados pessoais e, por exemplo, caso mude de banco, de seguradora ou de operadora de telecomunicações, terá direito a que os seus dados sejam transferidos para os novos prestadores desses serviços.
No entanto, os perfis de utilizador podem ter risco associado. “Por exemplo, se eu tiver um sistema automatizado que me faça uma aprovação de crédito bancário ou a admissibilidade de celebrar um contrato com uma empresa com base unicamente num perfil, através de uma máquina, tem de haver uma avaliação prévia” para evitar o choque nos direitos e nas liberdades individuais, disse ao Jornal Económico a advogada Ana Rocha, da CCA Ontier, que trabalha na área da Privacidade e Proteção de Dados.
A apreciação em causa consiste no levantamento das operações de tratamento que são feitas, nos dados associados e na sua finalidade, de modo a analisar que medidas de segurança podem ser implementadas para mitigar os riscos que os cidadãos possam enfrentar.
Coimas serão pesadas
Por outro lado, duas das principais mudanças do regulamento são o volume e o impacto das coimas e a accountability, na medida em que as empresas passam a estar obrigadas a demonstrar que cumprem a lei de forma transparente e ética. Assim, o poder regulador da Comissão Nacional de Supervisão de Dados (CNPD) ganha outros contornos.
Por enquanto, a maior preocupação das empresas portuguesas são as coimas, que poderão chegar a 20 milhões de euros, ou 4% do volume de negócios global de uma firma. A trabalhar em exclusivo na área há cerca de quatro anos, a advogada considera que é difícil para os clientes perceberem o que será efetivamente demonstrar cumprimento da lei.
“Embora os princípios da legislação não se tenham alterado muito, a questão é que as empresas não olhavam para isto muito atentamente e agora têm de acelerar o passo para implementar todas estas novas regras”, esclarece Ana Rocha. Nos últimos tempos, a advogada tem tido o papel de tradutora de ‘regulamentês’, juntamente com Filipe Mayer, coordenador do departamento de Tecnologias, Media e Telecomunicações do mesmo escritório.
As multinacionais, sobretudo aquelas que trabalham dados de conteúdo mais sensível, como as do ramo da saúde, estão entre as principais visadas. No entanto, a generalidade das empresas ainda está “um pouco perdida”, segundo estes profissionais, que têm trabalhado em conjunto com os escritórios espanhol e britânico da Ontier, em parte pela ativa intervenção da Information Commissioner’s Office e pela Agencia Española de Protección de Datos, os reguladores no Reino Unido e em Espanha.
Outra novidade é que a sede da empresa responsável pelo tratamento de dados vai poder decidir quem será a autoridade de controlo. “O que pode ser visto como inimigo é a forma como as autoridades de supervisão em cada país podem interpretar e aplicar as sanções”, explicou. A portuguesa CNPD tem promovido debates, conferências e listagens de “10 medidas de preparação” sobre o tema. Ainda assim, de acordo com os peritos, seria proveitoso organizar mais ações de formação para que no próximo ano as medidas estejam assimiladas. O debate sobre a nova regulamentação remonta a 2012, mas vai ser em 2018 que o trabalho de casa terá de ficar completo: a implementação das medidas necessárias e o levantamento de todos os serviços no âmbito do tratamento de dados.
