RGPD – Em que ponto estamos?

O novo Regulamento Geral de Proteção de Dados veio impor às organizações que realizam operações com dados pessoais a obrigatoriedade de prestar informações relacionadas com a base legal para o tratamento dos dados, o prazo de conservação dos mesmos e a própria possibilidade de apresentar queixa junto do regulador, a Comissão Nacional de Proteção de Dados (CNPD).
 

Tudo na mesma 

A ausência de uma lei orgânica de proteção de dados resulta num vazio legal para a aplicação do RGPD. No início do mês de maio, a poucos dias do RGPD se tornar obrigatório para todas as empresas que armazenem e tratem dados de cidadãos europeus, o Governo apresentou uma proposta de lei para uma versão mais suave do RGPD, benevolente para as PME no que diz respeito à aplicação das coimas e distinguindo entre coimas “muito graves” (4% do volume de negócios, o que está previsto no RGPD) e “graves” (2% do volume de negócios).

Outra das propostas do Governo passava por assegurar que a CNPD não inviabilizava o futuro das empresas nacionais com coimas. Além do volume de negócios, o regulador teria de verificar se a empresa deteria capacidade efetiva para pagar a coima sem fechar portas de seguida. Uma vez que todos os partidos quiseram levar a proposta de lei à especialidade e que esta ainda não foi votada, tudo permanece na mesma. Daniel Reis, sócio e coordenador da PLMJ, destaca que a CNPD está “paralisada por falta de receitas e porque não existe enquadramento legal para a instauração da aplicação de processos de contraordenação e consequente aplicações de coimas”. O advogado espera que, até ao final do ano, seja publicada a lei portuguesa e que esta “garanta as condições para existir verdadeira fiscalização pela CNPD”.
 

Maioria das empresas nacionais ainda sem conseguir cumprir

Em junho, um estudo realizado pela Harvey Nash/KPMG, que auscultou líderes de IT de 84 países, onde se incluía Portugal, previa que os investimentos anuais combinados em cibersegurança alcançariam em 2018 os 46 mil milhões de dólares, um aumento de 23% face a 2017. As maiores preocupações das empresas prendiam-se com a privacidade e governance de dados pessoais. A Sage, também em junho deste ano, sondou um grupo de empresas portuguesas, com 40% a admitirem estar preocupadas com a eventualidade de serem multadas por incumprimento do RGPD. Além da ausência de conhecimento sobre o RGPD, um número significativo de empresas, 36%, demonstraram não saber, ou não estar confiantes, de que teriam os recursos necessários para o cumprimento da nova diretiva.

À data de hoje, diz Daniel Reis, “há empresas que terminaram os seus projetos, outras que os estão a implementar e outras que ainda não fizeram nada”. O sócio e coordenador da PLMJ TMT reforça ainda que “a maioria das empresas não conseguem hoje garantir que cumprem o RGPD”. As mudanças nas empresas foram, de acordo com Daniel Reis, maioritariamente ao nível da “atualização de políticas de privacidade e na adaptação de alguns procedimentos internos”.
 

Programas de implementação são raros

Apesar de existir, atualmente, uma “maior sensibilização dos cidadãos e das empresas que atuam em setores de maior risco” – caso do marketing, saúde, retalho, banca e seguros – no que diz respeito aos temas da privacidade e da proteção de dados, o advogado da PLMJ reconhece que a implementação de programas integrados de proteção da informação e cumprimento do RGPD “ainda são uma raridade”. “Apenas um grupo restrito de empresas, sobretudo multinacionais e algumas empresas dos setores regulados, é que investiram em programas completos e detalhados”.

O caso dos SMS da EMEL

Durante a passagem da tempestade Leslie pelo território nacional, no passado mês de outubro, a EMEL, empresa municipal de mobilidade e estacionamento de Lisboa, decidiu enviar um SMS a várias pessoas com recomendações sobre que medidas de prevenção deveriam tomar. A mensagem da EMEL mencionava um “aviso da Proteção Civil”, que revelou nada ter tido a ver com este tema. À comunicação social, a CNPD afirmou ter tomado conhecimento do envio do SMS da EMEL, referindo não ter tomado qualquer decisão. Inicialmente colocou-se a hipótese de os SMS terem sido enviados a utilizadores da aplicação de estacionamento da EMEL. Porém, houve quem tivesse recebido a comunicação sem nunca, alegadamente, ter instalado a app, e houve ainda pessoas que receberam a mensagem sem residirem em Lisboa. Como é que a EMEL acedeu a estes dados e porque decidiu utilizá-los para fazer passar um aviso da Proteção Civil, sem que esta estivesse envolvida? A julgar pela forma como o RGPD (não) está a ser tratado em Portugal, o mais provável é que este assunto acabe por cair no esquecimento.