Os dados pessoais não se podem tratar como cada um quiser. O artigo 5.º do RGPD fixa sete princípios que servem de guia em cada tarefa. Quando não souber o que fazer, reveja esta lista.
Os princípios do artigo 5.º
- Licitude, lealdade e transparência. Tem de existir um fundamento de licitude, não se engana ninguém e explica-se com clareza o que se faz com os dados.
- Limitação das finalidades. Os dados recolhem-se para um fim concreto e não se usam depois para outro incompatível. Os dados de um formulário de emprego não servem para enviar publicidade.
- Minimização. Só se pedem e se usam os dados necessários. Se bastar o nome, não se pede também a data de nascimento.
- Exatidão. Os dados devem estar atualizados. Se alguém avisar de um erro, corrige-se.
- Limitação da conservação. Os dados não se guardam para sempre, mas apenas enquanto forem necessários ou uma lei o exigir.
- Integridade e confidencialidade. Protegem-se contra acessos não autorizados, perdas e destruição.
- Responsabilidade. A empresa tem de conseguir demonstrar que cumpre, com documentos, registos e procedimentos.
Os fundamentos que permitem tratar dados
Para tratar dados é necessário pelo menos um dos fundamentos do artigo 6.º do RGPD:
- o consentimento da pessoa
- a execução de um contrato, por exemplo o contrato de trabalho
- uma obrigação legal, como comunicar os dados à Seguridad Social (a segurança social espanhola)
- a defesa dos interesses vitais de uma pessoa
- uma função de interesse público ou o exercício de autoridade pública
- um interesse legítimo da empresa ou de terceiros, desde que não prevaleçam os direitos da pessoa
Numa empresa, a maioria dos dados do pessoal trata-se por força do contrato e de obrigações legais: recibos de vencimento, admissões, contribuições e retenções. Pedir consentimento ao pessoal raramente é um bom fundamento, porque o trabalhador depende da empresa e pode não se sentir livre de dizer que não.
O consentimento
Quando o consentimento é de facto o fundamento, tem de ser livre, específico, informado e inequívoco, dado por uma declaração ou por um ato positivo claro. Uma caixa já marcada ou o silêncio não valem. A pessoa pode retirá-lo a qualquer momento, e retirá-lo tem de ser tão fácil como dá-lo.
A idade dos menores
A LOPDGDD, no seu artigo 7.º, fixa em 14 anos a idade a partir da qual um menor pode consentir por si próprio no tratamento dos seus dados. Abaixo dessa idade é necessário o consentimento de quem exerça o poder paternal ou a tutela. Isto é importante em academias, clubes desportivos, estabelecimentos de ensino e empresas que prestam serviços a famílias.
A informação que se deve dar
Quando se recolhem dados, é preciso informar a pessoa (artigos 13.º e 14.º do RGPD): quem é o responsável, para que se usam os dados, com que fundamento de licitude, a quem são comunicados, durante quanto tempo se guardam e que direitos tem. A LOPDGDD (artigo 11.º) permite fazê-lo por níveis: uma informação básica à vista e o resto num local fácil de encontrar, por exemplo um endereço web.
Lembre-se: se for usar dados para algo novo que não foi explicado à pessoa, consulte antes quem de direito na sua empresa.