A DPC, as coimas e o seu papel

A Data Protection Commission

A DPC é a autoridade irlandesa independente de proteção de dados, criada pela Data Protection Act 2018. Muitas grandes empresas tecnológicas têm a sua sede europeia na Irlanda, por isso a DPC é também a autoridade principal em muitos casos transfronteiriços. Para os empregadores comuns, o seu trabalho inclui:

• publicar orientações e promover a sensibilização;
• tratar as reclamações do público (muitas vezes tenta primeiro resolvê-las de modo informal);
• realizar inquéritos e auditorias;
• usar poderes de investigação, como exigir informação, ouvir pessoas e entrar em instalações;
• usar poderes de correção do artigo 58.º, como advertências, repreensões, ordens de cumprimento, proibições temporárias ou definitivas de tratamento e coimas;
• instaurar procedimento por certos crimes, como as violações das ePrivacy Regulations.

Coimas

Nos termos do artigo 83.º, a coima administrativa máxima é:

• até 10 milhões de € ou 2 % do volume de negócios anual mundial, consoante o que for mais elevado, por violações como não notificar uma violação de dados, falhas de segurança ou não manter registos;
• até 20 milhões de € ou 4 % do volume de negócios anual mundial, consoante o que for mais elevado, por violações dos princípios, das regras sobre fundamentos de licitude ou dos direitos das pessoas.

As coimas têm de ser «efetivas, proporcionadas e dissuasivas». A DPC tem em conta a natureza, a gravidade e a duração da violação, se foi deliberada, o que foi feito para limitar os danos, a cooperação da organização e os seus antecedentes.

Organismos públicos

Nos termos da secção 141 da Data Protection Act 2018, a DPC pode também aplicar coimas às autoridades e organismos públicos que não atuem como empresas comerciais, com um limite de 1 milhão de €. Os organismos públicos não estão, portanto, isentos.

Confirmação pelo tribunal

A organização pode recorrer de uma coima da DPC para os tribunais no prazo de 28 dias (secção 142). Se não recorrer, a DPC tem de pedir ao Circuit Court (tribunal de círculo irlandês) que a confirme (secção 143). Uma coima só produz efeitos depois de confirmada por um tribunal.

Indemnização e ações em tribunal

As pessoas podem pedir uma indemnização por danos, incluindo danos imateriais, como o sofrimento causado, através de uma ação de proteção de dados em tribunal (secção 117 da lei de 2018 e artigo 82.º do RGPD).

Crimes

A Data Protection Act 2018 cria crimes, entre os quais:

• Secção 145: obter dados pessoais sem autorização prévia do responsável ou do subcontratante e divulgá-los a outra pessoa, e vender esses dados ou oferecê-los para venda. Em processo sumário, a pena é uma coima de classe A ou até 12 meses de prisão, ou ambas; em acusação formal (on indictment), uma coima até 50 000 € ou até 5 anos de prisão, ou ambas.
• Secção 144: divulgação por um subcontratante, ou pelo seu trabalhador, sem autorização prévia do responsável.
• Secção 146: os dirigentes de uma empresa podem ser responsabilizados quando o crime da empresa se deva ao seu consentimento, conivência ou negligência.

Nos termos das ePrivacy Regulations 2011, cada mensagem de marketing não solicitada é um crime distinto, com coima até 5 000 € em processo sumário. Em acusação formal, o limite é de 50 000 € para um indivíduo e de 250 000 € para uma empresa.

Um trabalhador pode ser pessoalmente responsabilizado, e sancionado pelo empregador, por aceder a dados ou transmiti-los sem autorização.

O seu papel

Não precisa de ser especialista. Todos os membros do pessoal devem:

1. Seguir as políticas de proteção de dados do empregador e as instruções do seu posto.
2. Usar dados pessoais apenas para o seu trabalho.
3. Mantê-los seguros (lição 5).
4. Reconhecer pedidos de direitos e encaminhá-los no mesmo dia (lição 4).
5. Comunicar violações, quase-incidentes e dispositivos perdidos de imediato (lição 6).
6. Perguntar ao EPD ou ao chefe quando tiver dúvidas.
7. Nunca aceder a dados por curiosidade nem levá-los consigo ao deixar um emprego.

O que o seu empregador continua a ter de fazer

Este curso ensina as regras gerais. Não substitui o que o empregador tem de fazer por si próprio. O seu empregador deve dar-lhe:

• as suas próprias políticas de proteção de dados e procedimentos (segurança, conservação, teletrabalho, monitorização);
• avisos de privacidade para clientes e pessoal;
• registos das atividades de tratamento quando exigidos (artigo 30.º);
• formação específica para o seu posto, por exemplo para recursos humanos, marketing, finanças, saúde ou atendimento ao cliente;
• os contactos do seu EPD ou do responsável pela proteção de dados, se existir, e a publicação dos contactos do EPD quando for obrigatório ter um;
• um procedimento para violações e uma forma de tratar os pedidos de direitos;
• contratos com os subcontratantes e AIPD, quando necessário.

A lei não indica um curso ou certificado em particular. O seu empregador decide que formação é suficiente para o seu posto.

O que deve recordar

• A DPC pode investigar e aplicar coimas: até 20 milhões de € ou 4 % do volume de negócios, e até 1 milhão de € aos organismos públicos.
• As coimas só produzem efeitos depois de confirmadas por um tribunal. As pessoas podem também pedir indemnização.
• Divulgar dados obtidos sem autorização é crime.
• A sua parte: cumprir as regras, proteger os dados, reconhecer pedidos de direitos, comunicar violações e perguntar quando tiver dúvidas.