Em quase todos os postos de trabalho lida-se com dados de pessoas. Quem está na receção anota o nome de um visitante. Quem atende numa loja recolhe uma morada de entrega. Quem trabalha na administração vê recibos de vencimento, baixas e contratos. Por isso, as normas de proteção de dados não são apenas assunto da direção: também dizem respeito a si.
As normas que se aplicam em Espanha
- O Regulamento Geral sobre a Proteção de Dados (RGPD, Regulamento (UE) 2016/679) aplica-se diretamente em todos os países da União Europeia.
- A Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD, lei orgânica espanhola de proteção de dados pessoais e garantia dos direitos digitais) completa o regulamento em Espanha. Regula, por exemplo, a idade do consentimento, o dever de confidencialidade, a videovigilância e os direitos digitais no trabalho.
- A Agencia Española de Protección de Datos (AEPD, aepd.es, a agência espanhola de proteção de dados) é a autoridade que zela pelo cumprimento destas normas.
O que é um dado pessoal
É qualquer informação sobre uma pessoa singular identificada ou identificável (artigo 4.º, ponto 1, do RGPD). Por exemplo:
- nome, apelidos, morada, telefone e email
- número de DNI (Documento Nacional de Identidad, o cartão de identificação espanhol) ou de NIE (número de identificação de estrangeiro), número de trabalhador ou de cliente
- fotografias, vídeos e gravações de voz em que a pessoa é reconhecível
- endereços IP, dados de localização e matrículas associadas a uma pessoa
- salário, horários, ausências, avaliações e dados da vida profissional
O dado não tem de ser secreto. Um email publicado num sítio web continua a ser um dado pessoal. Os dados de uma sociedade (o seu CIF ou as suas vendas) não o são, mas os da pessoa que está por detrás de um negócio em nome individual são.
Os dados anónimos, que já não permitem identificar ninguém, ficam fora das normas. Os dados pseudonimizados, em que o nome é substituído por um código mas é possível regressar à pessoa com uma chave guardada à parte, continuam a ser dados pessoais.
O que é um tratamento
Tratamento é tudo o que se pode fazer com dados: recolher, registar, guardar, consultar, pesquisar, enviar, alterar, partilhar e apagar (artigo 4.º, ponto 2). Quando apenas olha para uma ficha no ecrã, já está a tratar dados. As normas aplicam-se aos tratamentos automatizados e também aos ficheiros em papel, se estiverem organizados por critérios, por exemplo uma pasta arquivada por apelido.
Quem é quem
- O titular dos dados é a pessoa a quem os dados se referem: uma cliente, um doente, um aluno ou um colega de trabalho.
- O responsável pelo tratamento decide para que fins e por que meios se tratam os dados (artigo 4.º, ponto 7). Normalmente é a empresa ou a entidade para a qual trabalha, não cada trabalhador a título pessoal.
- O subcontratante trata dados por conta do responsável, por exemplo uma gestoria (escritório que trata de processos administrativos e de salários) ou o fornecedor de um programa na nuvem (artigo 4.º, ponto 8). Entre ambos tem de haver um contrato ou outro ato jurídico por escrito (artigo 28.º).
Quem trabalha sob a autoridade da empresa só pode tratar os dados seguindo as suas instruções (artigo 29.º do RGPD). Não pode decidir por conta própria usar a lista de clientes para outra finalidade.
Porque é que isto importa
Os dados mal utilizados podem causar danos reais: burlas, usurpação de identidade, assédio, discriminação ou a perda de um emprego. Um erro prejudica também a empresa e pode acabar numa sanção.
Lembre-se: antes de usar os dados de uma pessoa, pergunte-se se precisa deles para o seu trabalho e se a empresa lhe permite usá-los dessa forma.