Privacidade desde a conceção – princípios

O RGPD estabelece, entre outros, o conceito de “privacy by design” como um dos princípios para o desenvolvimento de websites e aplicações. Em português, utilizamos o conceito de “privacidade desde a conceção”. Contudo, para além do obviamente disposto na lei, do que se trata?

O design, para muitos, pouco parece ter que ver com a privacidade. No entanto, alguns atributos e orientações já na conceção de projetos web podem orientar uma plataforma de modo a conceder maior ou menor privacidade, com base em 7 princípios fundamentais.

Privacidade desde a conceção – princípios

Em primeiro lugar, não se trata de um conceito novo – já leva quase 20 anos. A privacidade desde a conceção foi inicialmente concebida pela Dra. Ann Cavoukian, na ocasião comissária para informação e privacidade da província canadiana de Ontário. Em um podcast recente, a especialista fala mais sobre o conceito. De qualquer modo, essa abordagem é sustentada por 7 princípios:

  1. Proativo e não reativo; prevenir e não remediar
  2. Privacidade como configuração padrão
  3. Privacidade intrínseca ao design
  4. Funcionalidade plena
  5. Segurança de ponto a ponto
  6. Visibilidade e transparência
  7. Respeito pela privacidade do usuário

Embora alguns dos itens sejam de fácil compreensão, pairam dúvidas a respeito da interpretação de alguns dos princípios. É preciso pensar, a despeito da separação em tópicos, em alguns preceitos de forma universal – o facto é que o web design ou design com atributos de privacidade não pode, jamais, ser pensado em fragmentos. A privacidade desde a conceção exige que consideremos os fatores que são positivos ou negativos em relação à privacidade do usuário, como sugere em sua terminologia, ANTES da própria elaboração do projeto.

Em outros tópicos detalharemos cada um dos princípios, com exemplos práticos e referências de interpretação adotadas por especialistas na área.

 

Artigo 47º – Regras vinculativas aplicáveis às empresas

Artigo 47º

Regras vinculativas aplicáveis às empresas

1. Pelo procedimento de controlo da coerência previsto no artigo 63º, a autoridade de controlo competente aprova regras vinculativas aplicáveis às empresas, que devem:

a) Ser juridicamente vinculativas e aplicáveis a todas as entidades em causa do grupo empresarial ou do grupo de empresas envolvidas numa atividade económica conjunta, incluindo os seus funcionários, as quais deverão assegurar o seu cumprimento;

b) Conferir expressamente aos titulares dos dados direitos oponíveis relativamente ao tratamento dos seus dados pessoais; e

c) Preencher os requisitos estabelecidos no nº 2.

2. As regras vinculativas aplicáveis às empresas a que se refere o nº 1 especificam, pelo menos:

a) A estrutura e os contactos do grupo empresarial ou do grupo de empresas envolvidas numa atividade económica conjunta e de cada uma das entidades que o compõe;

b) As transferências ou conjunto de transferências de dados, incluindo as categorias de dados pessoais, o tipo de tratamento e suas finalidades, o tipo de titulares de dados afetados e a identificação do país ou países terceiros em questão;

c) O seu caráter juridicamente vinculativo, a nível interno e externo;

d) A aplicação dos princípios gerais de proteção de dados, nomeadamente a limitação das finalidades, a minimização dos dados, a limitação dos prazos de conservação, a qualidade dos dados, a proteção dos dados desde a conceção e por defeito, o fundamento jurídico para o tratamento, o tratamento de categorias especiais de dados pessoais, as medidas de garantia da segurança dos dados e os requisitos aplicáveis a transferências posteriores para organismos não abrangidos pelas regras vinculativas aplicáveis às empresas;

e) Os direitos dos titulares dos dados relativamente ao tratamento e regras de exercício desses direitos, incluindo o direito de não ser objeto de decisões baseadas unicamente no tratamento automatizado, nomeadamente a definição de perfis a que se refere o artigo 22º, o direito de apresentar uma reclamação à autoridade de controlo competente e aos tribunais competentes dos Estados-Membros nos termos do artigo 79º, bem como o de obter reparação e, se for caso disso, indemnização pela violação das regras vinculativas aplicáveis às empresas;

f) A aceitação, por parte do responsável pelo tratamento ou subcontratante estabelecido no território de um Estado-Membro, da responsabilidade por toda e qualquer violação das regras vinculativas aplicáveis às empresas cometida por uma entidade envolvida que não se encontre estabelecida na União; o responsável pelo tratamento ou o subcontratante só pode ser exonerado dessa responsabilidade, no todo ou em parte, mediante prova de que o facto que causou o dano não é imputável à referida entidade;

g) A forma como as informações sobre as regras vinculativas aplicáveis às empresas, nomeadamente, sobre as disposições referidas nas alíneas d), e) e f) do presente número, são comunicadas aos titulares dos dados para além das informações referidas nos artigos 13º e 14º;

h) As funções de qualquer encarregado da proteção de dados, designado nos termos do artigo 37º ou de qualquer outra pessoa ou entidade responsável pelo controlo do cumprimento das regras vinculativas aplicáveis às empresas, a nível do grupo empresarial ou do grupo de empresas envolvidas numa atividade económica conjunta, e pela supervisão das ações de formação e do tratamento de reclamações;

i) Os procedimentos de reclamação;

j) Os procedimentos existentes no grupo empresarial ou no grupo de empresas envolvidas numa atividade económica conjunta para assegurar a verificação do cumprimento das regras vinculativas aplicáveis às empresas. Esses procedimentos incluem a realização de auditorias sobre a proteção de dados e o recurso a métodos que garantam a adoção de medidas corretivas capazes de preservar os direitos dos respetivos titulares. Os resultados dessa verificação devem ser comunicados à pessoa ou entidade referida na alínea h) e ao Conselho de Administração da empresa ou grupo empresarial que exerce o controlo ou do grupo de empresas envolvidas numa atividade económica conjunta, devendo também ser facultados à autoridade de controlo competente, a pedido desta;

k) Os procedimentos de elaboração de relatórios e de registo de alterações às regras, bem como de comunicação dessas alterações à autoridade de controlo;

l) O procedimento de cooperação com a autoridade de controlo para assegurar o cumprimento, por qualquer entidade do grupo empresarial ou do grupo de empresas envolvidas numa atividade económica conjunta, em especial facultando à autoridade de controlo os resultados de verificações das medidas referidas na alínea j);

m) Os procedimentos de comunicação, à autoridade de controlo competente, de todos os requisitos legais a que uma entidade do grupo empresarial ou do grupo de empresas envolvidas numa atividade económica conjunta esteja sujeita num país terceiro que sejam passíveis de ter forte impacto negativo nas garantias dadas pelas regras vinculativas aplicáveis às empresas; e

n) Ações de formação especificamente dirigidas a pessoas que tenham, em permanência ou regularmente, acesso a dados de natureza pessoal.

3. A Comissão pode especificar o formato e os procedimentos de intercâmbio de informações entre os responsáveis pelo tratamento, os subcontratantes e as autoridades de controlo no que respeita às regras vinculativas aplicáveis às empresas na aceção do presente artigo. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 93º, nº 2.

Registo das atividades de tratamento – visão espanhola

A despeito das particularidades de adoção do RGPD em cada país da União Europeia, a visão de cada região a respeito da norma será cada vez mais útil para nortear procedimentos, tanto para empresas e controladores de dados quanto para as autoridades envolvidas.

Na Espanha, a Agência Espanhola de Proteção de Dados (AEPD), criou documentos extensos, porém didáticos, para auxiliar na informação a respeito do RGPD. Em seu excelente guia para DPOs, a agência espanhola detalha disposições, obrigações e oferece recomendações para os encarregados da proteção de dados, de forma simples e direta.

Em relação ao registo das atividades de tratamento de dados, em particular, o documento espanhol analisa de forma muito mais objetiva as necessidades e obrigações para acompanhamento de tais informações – uma luz para muitas perguntas que ainda seguem a responder em Portugal.

Números e precisão na informação

A informação disponível até agora a respeito do RGPD e particularidades que envolvem as responsabilidades do DPO e dos controladores de dados tem sido generalista e mesmo vaga. A AEPD oferece algumas referências quantitativas e qualitativas que poderão responder a algumas questões que seguem em aberto. No caso do registo das atividades – qualquer empresa precisará fazê-lo?

É difícil e mesmo injusto imaginar que uma padaria ou um café terá de efetuar registos frequentes de todos os dados que processa ou deixa de processar. Bem, a obrigação desses procedimentos, na visão da AEPD, recai sobre qualquer empresa, porém há algumas exceções nas quais há isenção da obrigação de tal registo.

Para a AEPD, estão isentas de tal obrigação empresas com menos de 250 empregados. Sim – um número! Entretanto, tal isenção anula-se uma vez que a empresa, ainda que com menos empregados que o citado, processe dados que possam causar riscos diretos aos direitos do usuário ou incluam dados classificados como sensíveis, segundo a óptica do RGPD.

Artigo 49º – Derrogações para situações específicas

Artigo 49º

Derrogações para situações específicas

1. Na falta de uma decisão de adequação nos termos do artigo 45º, nº 3, ou de garantias adequadas nos termos do artigo 46º, designadamente de regras vinculativas aplicáveis às empresas, as transferências ou conjunto de transferências de dados pessoais para países terceiros ou organizações internacionais só são efetuadas caso se verifique uma das seguintes condições:

a) O titular dos dados tiver explicitamente dado o seu consentimento à transferência prevista, após ter sido informado dos possíveis riscos de tais transferências para si próprio devido à falta de uma decisão de adequação e das garantias adequadas;

b) A transferência for necessária para a execução de um contrato entre o titular dos dados e o responsável pelo tratamento ou de diligências prévias à formação do contrato decididas a pedido do titular dos dados;

c) A transferência for necessária para a celebração ou execução de um contrato, celebrado no interesse do titular dos dados, entre o responsável pelo seu tratamento e outra pessoa singular ou coletiva;

d) A transferência for necessária por importantes razões de interesse público;

e) A transferência for necessária à declaração, ao exercício ou à defesa de um direito num processo judicial;

f) A transferência for necessária para proteger interesses vitais do titular dos dados ou de outras pessoas, se esse titular estiver física ou legalmente incapaz de dar o seu consentimento;

g) A transferência for realizada a partir de um registo que, nos termos do direito da União ou do Estado-Membro, se destine a informar o público e se encontre aberto à consulta do público em geral ou de qualquer pessoa que possa provar nela ter um interesse legítimo, mas apenas na medida em que as condições de consulta estabelecidas no direito da União ou de um Estado-Membro se encontrem preenchidas nesse caso concreto.

Quando uma transferência não puder basear-se no disposto no artigo 45º ou 46º, incluindo nas regras vinculativas aplicáveis às empresas, e não for aplicável nenhuma das derrogações previstas para as situações específicas a que se refere o primeiro parágrafo do presente número, a transferência para um país terceiro ou uma organização internacional só pode ser efetuada se não for repetitiva, apenas disser respeito a um número limitado de titulares dos dados, for necessária para efeitos dos interesses legítimos visados pelo responsável pelo seu tratamento, desde que a tais interesses não se sobreponham os interesses ou os direitos e liberdades do titular dos dados, e o responsável pelo tratamento tiver ponderado todas as circunstâncias relativas à transferência de dados e, com base nessa avaliação, tiver apresentado garantias adequadas no que respeita à proteção de dados pessoais. O responsável pelo tratamento informa da transferência a autoridade de controlo. Para além de fornecer a informação referida nos artigos 13º e 14º, o responsável pelo tratamento presta informações ao titular dos dados sobre a transferência e os interesses legítimos visados.

2. As transferências efetuadas nos termos do n.o 1, primeiro parágrafo, alínea g), não envolvem a totalidade dos dados pessoais nem categorias completas de dados pessoais constantes do registo. Quando o registo se destinar a ser consultado por pessoas com um interesse legítimo, as transferências só podem ser efetuadas a pedido dessas pessoas ou se forem elas os seus destinatários.

3. O nº 1, primeiro parágrafo, alíneas a), b) e c), e segundo parágrafo, não é aplicável a atividades levadas a cabo por autoridades públicas no exercício dos seus poderes.

4. O interesse público referido no nº 1, primeiro parágrafo, alínea d), é reconhecido pelo direito da União ou pelo direito do Estado-Membro a que o responsável pelo tratamento se encontre sujeito.

5. Na falta de uma decisão de adequação, o direito da União ou de um Estado-Membro podem, por razões importantes de interesse público, estabelecer expressamente limites à transferência de categorias específicas de dados para países terceiros ou organizações internacionais. Os Estados-Membros notificam a Comissão dessas disposições.

6. O responsável pelo tratamento ou o subcontratante documenta a avaliação, bem como as garantias adequadas referidas no nº 1, segundo parágrafo, do presente artigo, nos registos a que se refere o artigo 30º.

Google Analytics – como anonimizar o IP dos usuários

Desde 25 de maio de 2010, o Google Analytics oferece o recurso _anonymizelp na biblioteca JavaScript ga.js e na biblioteca analytics.js para permitir que proprietários de websites solicitem que todos os endereços IP dos seus usuários sejam anonimizados no produto. Esse recurso foi desenvolvido para ajudar os proprietários de sites a manter a conformidade com suas próprias políticas de privacidade ou, em alguns países, com as recomendações de autoridades locais de proteção de dados, que podem proibir o armazenamento de informações de endereços IP completos. A anonimização/mascaramento de IP ocorre assim que os dados são recebidos pela rede de coleta do Google Analytics, antes de qualquer armazenamento ou processamento.

Considerando que o IP pode ser considerado um dado pessoal à luz do regulamentado pelo RGPD, o recurso é algo simples de resolver e ajuda a manter a conformidade com o disposto na lei europeia. Mas como fazer a mudança?

Uma simples linha de código

É isso o que é preciso para acionar o novo recurso do Google Analytics. Independentemente do tipo de biblioteca que do Analytics que esteja a usar no seu website, o Google disponibilizou a ferramenta. São três as possibilidades de inclusão, conforme a biblioteca do Analytics que esteja a utilizar:

Biblioteca ga.js
ga(’set’, ‘anonymizeIp’, true);


Biblioteca analytics.js
ga(’set’, ‘anonymizeIp’, true);


Biblioteca gtag.js
gtag(’event’, ’your_event’, { ‘anonymize_ip’: true })

Artigo 50º – Cooperação internacional no domínio da proteção de dados pessoais

Artigo 50º

Cooperação internacional no domínio da proteção de dados pessoais

Em relação a países terceiros e a organizações internacionais, a Comissão e as autoridades de controlo tomam as medidas necessárias para:

a) Estabelecer regras internacionais de cooperação destinadas a facilitar a aplicação efetiva da legislação em matéria de proteção de dados pessoais;

b) Prestar assistência mútua a nível internacional no domínio da aplicação da legislação relativa à proteção de dados pessoais, nomeadamente através da notificação, comunicação de reclamações, e assistência na investigação e intercâmbio de informações, sob reserva das garantias adequadas de proteção dos dados pessoais e de outros direitos e liberdades fundamentais;

c) Associar as partes interessadas aos debates e atividades que visem intensificar a cooperação internacional no âmbito da aplicação da legislação relativa à proteção de dados pessoais;

d) Promover o intercâmbio e a documentação da legislação e das práticas em matéria de proteção de dados pessoais, nomeadamente no que diz respeito a conflitos jurisdicionais com países terceiros.

Artigo 46º – Transferências sujeitas a garantias adequadas

Artigo 46º

Transferências sujeitas a garantias adequadas

1. Não tendo sido tomada qualquer decisão nos termos do artigo 45º, nº 3, os responsáveis pelo tratamento ou subcontratantes só podem transferir dados pessoais para um país terceiro ou uma organização internacional se tiverem apresentado garantias adequadas, e na condição de os titulares dos dados gozarem de direitos oponíveis e de medidas
jurídicas corretivas eficazes.

2. Podem ser previstas as garantias adequadas referidas no nº 1, sem requerer nenhuma autorização específica de uma autoridade de controlo, por meio de:

a) Um instrumento juridicamente vinculativo e com força executiva entre autoridades ou organismos públicos;

b) Regras vinculativas aplicáveis às empresas em conformidade com o artigo 47º;

c) Cláusulas-tipo de proteção de dados adotadas pela Comissão pelo procedimento de exame referido no artigo 93º, nº 2;

d) Cláusulas-tipo de proteção de dados adotadas por uma autoridade de controlo e aprovadas pela Comissão pelo procedimento de exame referido no artigo 93º, nº 2;

e) Um código de conduta, aprovado nos termos do artigo 40º, acompanhado de compromissos vinculativos e com força executiva assumidos pelos responsáveis pelo tratamento ou pelos subcontratantes no país terceiro no sentido de aplicarem as garantias adequadas, nomeadamente no que respeita aos direitos dos titulares dos dados; ou

f) Um procedimento de certificação, aprovado nos termos do artigo 42º, acompanhado de compromissos vinculativos e com força executiva assumidos pelos responsáveis pelo tratamento ou pelos subcontratantes no país terceiro no sentido de aplicarem as garantias adequadas, nomeadamente no que respeita aos direitos dos titulares dos dados.

3. Sob reserva de autorização da autoridade de controlo competente, podem também ser previstas as garantias adequadas referidas no nº 1, nomeadamente por meio de:

a) Cláusulas contratuais entre os responsáveis pelo tratamento ou subcontratantes e os responsáveis pelo tratamento, subcontratantes ou destinatários dos dados pessoais no país terceiro ou organização internacional; ou

b) Disposições a inserir nos acordos administrativos entre as autoridades ou organismos públicos que contemplem os direitos efetivos e oponíveis dos titulares dos dados.

4. A autoridade de controlo aplica o procedimento de controlo da coerência a que se refere o artigo 63º nos casos enunciados no nº 3 do presente artigo.

5. As autorizações concedidas por um Estado-Membro ou uma autoridade de controlo com base no artigo 26º, nº 2, da Diretiva 95/46/CE continuam válidas até que a mesma autoridade de controlo as altere, substitua ou revogue, caso seja necessário. As decisões adotadas pela Comissão com base no artigo 26º, nº 4, da Diretiva 95/46/CE permanecem em vigor até que sejam alteradas, substituídas ou revogadas, caso seja necessário, por uma decisão da Comissão adotada em conformidade com o nº 2 do presente artigo.

Artigo 53º – Condições gerais aplicáveis aos membros da autoridade de controlo

Artigo 53º

Condições gerais aplicáveis aos membros da autoridade de controlo

1. Os Estados-Membros estabelecem que cada membro das respetivas autoridades de controlo seja nomeado por procedimento transparente:

— pelo Parlamento,

— pelo Governo,

— pelo Chefe de Estado, ou

— por um organismo independente incumbido da nomeação nos termos do direito do Estado-Membro.

2. Cada membro possui as habilitações, a experiência e os conhecimentos técnicos necessários, nomeadamente no domínio da proteção de dados pessoais, ao desempenho das suas funções e ao exercício dos seus poderes.

3. As funções dos membros da autoridade de controlo cessam findo o seu mandato, com a sua exoneração ou aposentação compulsiva, nos termos do direito do Estado-Membro em causa.

4. Os membros da autoridade de controlo só são exonerados se tiverem cometido uma falta grave ou se tiverem deixado de cumprir as condições exigidas para o exercício das suas funções.

Artigo 52º – Independência

Artigo 52º

Independência

1. As autoridades de controlo agem com total independência no na prossecução das suas atribuições e no exercício dos poderes que lhe são atribuídos nos termos do presente regulamento.

2. Os membros das autoridades de controlo não estão sujeitos a influências externas, diretas ou indiretas no desempenho das suas funções e no exercício dos seus poderes nos termos do presente regulamento, e não solicitam nem recebem instruções de outrem.

3. Os membros da autoridade de controlo abstêm-se de qualquer ato incompatível com as suas funções e, durante o seu mandato, não podem desempenhar nenhuma atividade, remunerada ou não, que com elas seja incompatível.

4. Os Estados-Membros asseguram que cada autoridade de controlo disponha dos recursos humanos, técnicos e financeiros, instalações e infraestruturas necessários à prossecução eficaz das suas atribuições e ao exercício dos seus poderes, incluindo as executadas no contexto da assistência mútua, da cooperação e da participação no Comité.

5. Os Estados-Membros asseguram que cada autoridade de controlo selecione e disponha do seu próprio pessoal, que ficará sob a direção exclusiva dos membros da autoridade de controlo interessada.

6. Os Estados-Membros asseguram que cada autoridade de controlo fique sujeita a um controlo financeiro que não afeta a sua independência e que disponha de orçamentos anuais separados e públicos, que poderão estar integrados no orçamento geral do Estado ou nacional.

Artigo 51º – Autoridade de controlo

Artigo 51º

Autoridade de controlo

1. Os Estados-Membros estabelecem que cabe a uma ou mais autoridades públicas independentes a responsabilidade pela fiscalização da aplicação do presente regulamento, a fim de defender os direitos e liberdades fundamentais das pessoas singulares relativamente ao tratamento e facilitar a livre circulação desses dados na União («autoridade de controlo»).

2. As autoridades de controlo contribuem para a aplicação coerente do presente regulamento em toda a União. Para esse efeito, as autoridades de controlo cooperam entre si e com a Comissão, nos termos do capítulo VII.

3. Quando estiverem estabelecidas mais do que uma autoridade de controlo num Estado-Membro, este determina qual a autoridade de controlo que deve representar essas autoridades no Comité e estabelece disposições para assegurar que as regras relativas ao procedimento de controlo da coerência referido no artigo 63º, sejam cumpridas pelas autoridades.

4. Os Estados-Membros notificam a Comissão das disposições do direito nacional que adotarem nos termos do presente capítulo, até 25 de maio de 2018 e, sem demora, de qualquer alteração posterior a essas mesmas disposições.