3 anos de RGPD… em que ponto estamos?!

O Regulamento Geral de Proteção de dados (RGPD), assim conhecido, é um Regulamento Europeu que estabelece as regras para o tratamento de dados pessoais de pessoas na União Europeia.

Muito antes deste Regulamento entrar definitivamente em vigor – 25 de maio de 2018 –, já existiam em Portugal normas específicas para esta matéria. A novidade, se assim se pode dizer, é que a partir de maio de 2018, as regras passam a ser uniformes em toda a Europa, sem prejuízo das adaptações introduzidas por cada Estado-Membro. Naturalmente, as normas agora vigentes refletem a realidade atual e, por conseguinte, incorporam novas medidas na defesa dos direitos de cada indivíduo ao tratamento dos seus dados pessoais.

Este Regulamento foi alvo de grande mediatismo, anunciaram-se grandes revoluções, aplicaram-se grandes coimas, mas… que balanço podemos fazer da sua implementação, passados 3 anos da sua entrada em vigor “definitiva”?! Estamos hoje mais atentos, mais conscientes desta realidade? Somos mais cuidadosos na defesa dos nossos direitos? Sentimos que as organizações tratam os dados pessoais com mais cuidado e rigor? …

No Relatório de Atividades 2019-2020 da Comissão Nacional de Proteção de Dados (CNPD), podemos constatar que em Portugal, durantes estes 3 anos, foram abertos 3.148 processos de averiguação, dos quais resultaram 802 notificações de violações de dados pessoais. Foram aplicadas 71 coimas, no valor global aproximado de 1 milhão de €uros. Nestes números, incluem-se processos e coimas aplicadas ao abrigo do RGPD e da anterior legislação de proteção de dados pessoais.

No espaço europeu, podemos constatar que foram aplicadas pouco mais de 650 coimas, para um valor total aproximado de 292 milhões €uros. 

À primeira vista, os valores parecem impor respeito. Porém, a realidade é bem diferente. Há ainda um longo caminho a percorrer. 

É necessário sensibilizar os cidadãos para o exercício destes seus direitos. É necessário que as organizações se consciencializem das suas responsabilidades. É necessário que os organismos públicos sejam mais atuantes e contribuam com o seu o exemplo. 

As notícias publicadas recentemente sobre o Município de Lisboa, onde se aponta para a partilha de dados pessoais entre o Município e a Embaixada Russa em Portugal, são preocupantes. Esta partilha, sem o conhecimento e consentimento prévio, livre e informado por parte dos titulares dos dados pessoais, a existir, é uma violação grave do RGPD. Naturalmente, esta situação tem um impacto mediático muito grande, pelos intervenientes. Porém, a situação veiculada acontece diariamente, nos mais variados contextos. 

Quantas empresas fornecem dados dos seus trabalhadores a entidades parceiros com quem trabalham? Quantas empresas partilham bases de dados entre si, sem que os titulares o saibam e consintam? Quantas Instituições transmitem informações dos seus utentes a terceiros sem legitimidade para o fazerem? 

Quantas entidades ainda não olharam para o RGPD e não assumiram medidas e políticas que os coloquem em conformidade com o Regulamento? 

A resposta pode ser simples: apesar do valor elevado das coimas, o número de processos, de inspeções e de coimas aplicadas é reduzido. Poucas coimas e elevados valores, ajudam a “passar a mensagem” de que isto é um problema das grandes empresas, como a Google, a quem foi aplicada uma coima de 50 milhões de €uros. E não é, certamente!

Talvez a pandemia tenha ajudado a que chegássemos a este nível de “desresponsabilização”. Naturalmente, a saúde e o bem-estar das populações é, e será sempre, o bem maior que a todos nos move. Contudo, é fundamental recuperar o tempo perdido. É importante dotar as autoridades de controlo nacionais de meios que permitam a eficaz e eficiente fiscalização, para que os direitos fundamentais dos cidadãos sejam protegidos. E trata-se de direitos fundamentais quando o que está em causa é a salvaguarda de dados pessoais, muitos deles sensíveis.

Para as organizações, implementar o RGPD não é uma tarefa complexa. É fundamental que haja a consciência de que são responsáveis pelo tratamento de dados pessoais. E, como tal, têm de conhecer esses dados que tratam, olhar para os processos e meios de tratamento e implementar medidas que assegurem a sua salvaguarda, que eles são utilizados apenas para os fins a que respeitam e com o conhecimento dos seus titulares.

António Filipe Cruz | Gestor de Formação e Coordenador Pedagógico
F3M Information Systems, S.A.