Esta lição explica quem responde se as normas forem incumpridas, o que pode fazer a AEPD, que sanções existem e que papel tem o encarregado da proteção de dados.
A Agencia Española de Protección de Datos
A AEPD é a autoridade de controlo independente em Espanha. Segundo o artigo 58.º do RGPD e a LOPDGDD, pode, entre outras coisas:
- investigar e pedir informação ou aceder a instalações e equipamentos
- advertir e repreender quem incumpre
- ordenar que se satisfaçam os direitos das pessoas ou que um tratamento seja conforme com as normas
- limitar ou proibir um tratamento
- aplicar coimas administrativas
Instrui também as reclamações das pessoas afetadas. Ao contrário do que acontece noutros países, a AEPD aplica diretamente as coimas. Às administrações públicas, porém, não aplica coimas: profere uma resolução que declara a infração e estabelece as medidas para a corrigir (artigo 77.º da LOPDGDD).
As coimas
O artigo 83.º do RGPD fixa dois escalões:
- até 10 milhões de euros ou 2 % do volume de negócios anual a nível mundial do exercício anterior, consoante o que for mais elevado, para infrações como não aplicar medidas de segurança, não notificar uma violação ou não cumprir as obrigações dos subcontratantes
- até 20 milhões de euros ou 4 % desse volume de negócios, consoante o que for mais elevado, para infrações dos princípios básicos, dos fundamentos de licitude ou dos direitos das pessoas
A coima deve ser efetiva, proporcionada e dissuasiva. A AEPD tem em conta fatores como a gravidade, a duração, a intenção ou negligência, as medidas adotadas e a cooperação com ela.
Infrações e prescrição
A LOPDGDD classifica as infrações em três graus (artigos 72.º a 74.º):
- muito graves: por exemplo, tratar dados sem um fundamento de licitude válido. Prescrevem aos três anos
- graves: por exemplo, não aplicar as medidas de segurança adequadas, não notificar uma violação ou tratar dados de um menor de 14 anos sem o consentimento de quem exerce o poder paternal. Prescrevem aos dois anos
- leves: por exemplo, não dar às pessoas toda a informação exigida. Prescrevem ao fim de um ano
As sanções aplicadas também prescrevem (artigo 78.º): ao fim de um ano as de até 40.000 euros, aos dois anos as de 40.001 a 300.000 euros e aos três anos as de mais de 300.000 euros.
E eu, como trabalhador ou trabalhadora?
A coima da AEPD recai normalmente sobre a empresa, que é a responsável. Mas isso não significa que não responda por nada:
- Se incumprir as instruções ou revelar dados sem autorização, a empresa pode aplicar-lhe medidas disciplinares, incluindo o despedimento, por transgressão da boa-fé contratual e abuso de confiança (artigo 54.º do Estatuto de los Trabajadores).
- Aceder a dados reservados sem autorização ou divulgá-los pode constituir o crime de descoberta e revelação de segredos (artigos 197.º e seguintes do Código Penal espanhol).
- As pessoas afetadas podem reclamar uma indemnização pelos danos sofridos (artigo 82.º do RGPD).
O encarregado da proteção de dados (EPD)
O EPD aconselha a empresa, supervisiona o cumprimento, coopera com a AEPD e atende as pessoas afetadas. Tem de atuar com independência e não pode ser sancionado nem despedido por exercer as suas funções (artigo 38.º do RGPD).
É obrigatório nas autoridades e organismos públicos, e nas entidades cuja atividade principal consiste em acompanhar regular e sistematicamente pessoas em grande escala ou em tratar em grande escala categorias especiais de dados (artigo 37.º do RGPD). O artigo 34.º da LOPDGDD enumera ainda outros casos, como as ordens profissionais, os estabelecimentos de ensino, as seguradoras ou as federações desportivas que tratam dados de menores. Os seus contactos são publicados e comunicados à AEPD: a designação, a nomeação e a cessação de funções são comunicadas à Agência no prazo de dez dias. Se a sua empresa tiver um EPD, pode recorrer a ele com as suas dúvidas.
O que a empresa deve continuar a fazer
Este curso é uma formação geral. A empresa deve, além disso: manter o registo das atividades de tratamento (artigo 30.º do RGPD), informar o pessoal sobre como trata os seus dados, ter protocolos internos para direitos e violações, dar instruções por escrito adaptadas a cada posto e facilitar o contacto com o EPD, se o houver.
Lembre-se: cumprir a norma é tarefa de todas as pessoas da empresa. As normas existem para proteger as pessoas, também a si.