Quem entrega dados pessoais a uma empresa tem o direito de saber quem os trata, para quê, com que fundamento, a quem podem ser comunicados e durante quanto tempo são conservados. O Regulamento Geral sobre a Proteção de Dados (RGPD) consagra este dever de informação, que é habitualmente cumprido através de uma política de privacidade.
Na prática, muitas políticas são modelos adaptados à pressa, que descrevem tratamentos que a empresa não realiza e omitem outros que fazem efetivamente parte da sua atividade. Uma política assim não cumpre a sua função e pode, ela própria, evidenciar incumprimentos.
Enquadramento legal
O RGPD (Regulamento (UE) 2016/679) é diretamente aplicável em Portugal. A Lei n.º 58/2019, de 8 de agosto, assegura a sua execução na ordem jurídica nacional e estabelece o enquadramento institucional da Comissão Nacional de Proteção de Dados (CNPD), enquanto autoridade de controlo.
As regras centrais relativas ao dever de informação encontram-se nos artigos 12.º a 14.º do RGPD. O artigo 12.º exige que a informação seja concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara.
O artigo 13.º aplica-se quando os dados pessoais são recolhidos junto do próprio titular. O artigo 14.º aplica-se quando são obtidos por outra via, por exemplo, através de terceiros ou de fontes públicas.
O conteúdo mínimo
Quando os dados são recolhidos junto do titular, a política de privacidade deve indicar, pelo menos:
- Quem é o responsável pelo tratamento e como pode ser contactado, bem como o encarregado da proteção de dados, se tiver sido designado;
- As finalidades de cada tratamento e o respetivo fundamento jurídico;
- Os interesses legítimos prosseguidos, quando seja esse o fundamento invocado;
- Os destinatários ou categorias de destinatários dos dados;
- As transferências para países fora do Espaço Económico Europeu, quando existam, e as garantias que as acompanham;
- O prazo de conservação ou, não sendo possível fixá-lo, os critérios utilizados para o determinar;
- Os direitos dos titulares, incluindo os direitos de acesso, retificação, apagamento, limitação do tratamento, portabilidade e oposição, quando aplicáveis, bem como o direito de retirar o consentimento e de apresentar reclamação à CNPD;
- Se o fornecimento dos dados é obrigatório e quais as consequências da sua não disponibilização;
- A existência de decisões automatizadas, incluindo a definição de perfis, quando aplicável.
Quando os dados não são recolhidos diretamente junto do titular, devem ainda ser indicadas as categorias de dados pessoais em causa e a respetiva fonte, incluindo, quando aplicável, se provêm de fontes acessíveis ao público.
Um fundamento jurídico para cada finalidade
O artigo 6.º do RGPD estabelece que o tratamento de dados pessoais só é lícito quando assente num dos fundamentos jurídicos nele previstos: consentimento, execução de um contrato ou de diligências pré-contratuais, cumprimento de uma obrigação legal, defesa de interesses vitais, exercício de funções de interesse público ou interesses legítimos do responsável pelo tratamento ou de terceiros.
A escolha do fundamento jurídico não é indiferente. Faturar um cliente decorre, designadamente, do cumprimento de obrigações legais; tratar os dados necessários à execução de um contrato assenta, em regra, nesse mesmo fundamento contratual; já o envio de comunicações de marketing direto depende das condições legalmente aplicáveis, que variam consoante a natureza do destinatário e o contexto da comunicação.
No caso de comunicações eletrónicas de marketing direto, importa atender também ao artigo 13.º-A da Lei n.º 41/2004, de 18 de agosto. Para destinatários pessoas singulares, é exigido, em regra, consentimento prévio e expresso. Relativamente a pessoas coletivas, vigora um regime diferente, que permite essas comunicações até à oposição do destinatário e sem prejuízo das listas legalmente previstas. Existe ainda uma exceção para a utilização de contactos eletrónicos de clientes na promoção de produtos ou serviços próprios análogos, desde que sejam respeitadas as condições legais.
Apresentar o consentimento como fundamento de todos os tratamentos é um erro frequente. O consentimento pode ser retirado a qualquer momento, pelo que não deve ser utilizado quando exista outro fundamento jurídico adequado à finalidade prosseguida.
Os erros mais frequentes
- Política copiada ou genérica: não corresponde aos tratamentos efetivamente realizados pela empresa, podendo conter informações incorretas ou omitir operações relevantes.
- Prazos de conservação indefinidos: a utilização de expressões como «pelo tempo necessário», sem indicação dos critérios que determinam esse período, não satisfaz adequadamente o dever de informação.
- Omissão dos prestadores de serviços: empresas de alojamento informático, correio eletrónico, faturação ou processamento salarial podem tratar dados por conta da empresa. Quando atuam como subcontratantes, deve existir um contrato com o conteúdo exigido pelo artigo 28.º do RGPD.
- Transferências internacionais não identificadas: a utilização de serviços de armazenamento, correio eletrónico ou marketing pode envolver transferências de dados para países fora do Espaço Económico Europeu, sujeitas às condições dos artigos 44.º e seguintes do RGPD.
- Informação disponibilizada apenas no site: quando os dados são também recolhidos através de contratos, formulários em papel, candidaturas a emprego ou sistemas de videovigilância, a informação deve ser prestada também nesses contextos e no momento legalmente exigido.
Cookies: um regime próprio
A instalação de cookies e de tecnologias semelhantes no equipamento do utilizador está sujeita à Lei n.º 41/2004, de 18 de agosto, na sua redação atual.
Em regra, é necessário obter consentimento prévio para a utilização destas tecnologias. A exceção abrange as situações em que sejam exclusivamente utilizadas para transmitir uma comunicação através de uma rede de comunicações eletrónicas ou sejam estritamente necessárias para fornecer um serviço da sociedade da informação expressamente solicitado pelo utilizador.
Por isso, é habitual tratar os cookies numa política específica, articulada com a política de privacidade e com o mecanismo de gestão do consentimento disponibilizado no site. A simples inclusão de uma referência aos cookies na política de privacidade não substitui o cumprimento das obrigações relativas à sua instalação e utilização.
Manter a política atualizada
A política de privacidade deve acompanhar a realidade da empresa. A criação de novos serviços, a contratação de novos prestadores, a utilização de novas ferramentas tecnológicas ou a introdução de novas formas de recolha de dados podem exigir a sua revisão.
É igualmente importante assegurar a coerência entre a política de privacidade, o registo das atividades de tratamento, os contratos com subcontratantes e os procedimentos internos da empresa.
A existência de uma política de privacidade não significa, por si só, que todos os tratamentos realizados sejam lícitos ou que a empresa esteja em conformidade com o RGPD. O documento deve refletir práticas efetivas e integrar um sistema de cumprimento das obrigações legais em matéria de proteção de dados.
Perguntas frequentes
Uma pequena empresa está dispensada de ter uma política de privacidade?
Não. O dever de informação aplica-se a todos os responsáveis pelo tratamento, independentemente da dimensão da empresa, sempre que estejam em causa tratamentos sujeitos ao RGPD.
O que admite uma derrogação, nos termos do artigo 30.º, n.º 5, é a obrigação de manter o registo das atividades de tratamento para organizações com menos de 250 trabalhadores, desde que se verifiquem cumulativamente as condições aí previstas. A derrogação não se aplica, designadamente, quando o tratamento não seja ocasional, seja suscetível de implicar riscos para os direitos e liberdades dos titulares ou abranja categorias especiais de dados ou dados relativos a condenações penais e infrações.
Basta ter a política de privacidade publicada no site?
Nem sempre. A informação deve ser prestada no momento da recolha dos dados, de acordo com o contexto em que ocorre. Se os dados forem recolhidos através de contratos, processos de recrutamento, formulários em papel ou outros meios, a informação deve estar disponível também nesses contextos.
Quem fiscaliza e que sanções existem?
A fiscalização do cumprimento do RGPD cabe à CNPD, autoridade de controlo nacional, junto da qual os titulares dos dados podem apresentar reclamação, nos termos do artigo 77.º do RGPD.
O incumprimento do dever de informação pode dar lugar à aplicação de coimas, nos termos do artigo 83.º do RGPD e do regime nacional previsto na Lei n.º 58/2019.
Nota final
A elaboração de uma política de privacidade adequada exige mais do que adaptar um modelo. Pressupõe conhecer os tratamentos realizados pela empresa, identificar os respetivos fundamentos jurídicos e assegurar que a informação prestada aos titulares corresponde efetivamente à realidade.
A ME&JBA — Advogados, em Lisboa, presta assessoria jurídica em matéria de Proteção de Dados e Tecnologias, incluindo a elaboração e revisão de políticas de privacidade, a análise de procedimentos de tratamento de dados e o acompanhamento de questões relacionadas com o cumprimento do RGPD.*
João Brazete de Almeida
Advogado
* Na preparação deste artigo foi utilizada uma ferramenta de Inteligência Artificial generativa como instrumento auxiliar de apoio à estruturação e redação do texto, bem como à revisão e ao aperfeiçoamento linguístico. A análise jurídica, a seleção e validação dos fundamentos legais e a revisão final do conteúdo são da responsabilidade do autor.