Toda a utilização de dados pessoais precisa de um fundamento de licitude nos termos do artigo 6.º. A organização escolhe-o e regista-o. Normalmente não é o trabalhador que o escolhe, mas deve conhecer as opções.
Os seis fundamentos de licitude
- Consentimento: a pessoa concordou livremente.
- Contrato: a utilização é necessária para executar um contrato com a pessoa, ou para diligências que ela pediu antes de o celebrar.
- Obrigação legal: a lei exige-o, por exemplo enviar dados salariais à Revenue (a autoridade tributária irlandesa).
- Interesses vitais: é necessário para proteger a vida de alguém.
- Interesse público: é necessário para exercer uma missão de interesse público ou uma autoridade conferida por lei. Os organismos públicos recorrem muitas vezes a ele.
- Interesses legítimos: é necessário para os interesses legítimos da organização ou de terceiros, desde que não prevaleçam os direitos da pessoa. As autoridades públicas não podem usar este fundamento para o que fazem enquanto autoridades públicas.
Consentimento válido
Nos termos do RGPD, o consentimento tem de ser:
- livre: sem pressão e sem penalização por recusar;
- específico e informado: a pessoa sabe a que está a aceder;
- inequívoco: um ato positivo claro. Caixas pré-selecionadas e o silêncio não são consentimento;
- tão fácil de retirar como de dar.
O consentimento é muitas vezes um fundamento fraco entre empregador e trabalhador, porque o trabalhador pode sentir que não pode dizer que não. Para os dados do pessoal, os empregadores costumam apoiar-se no contrato, na obrigação legal ou nos interesses legítimos. As categorias especiais de dados exigem uma condição adicional do artigo 9.º, como o consentimento explícito ou as obrigações do direito do trabalho.
Informar as pessoas: avisos de privacidade
Os artigos 13.º e 14.º exigem que a organização diga às pessoas, em linguagem clara e simples, quem é, por que usa os seus dados, qual o fundamento de licitude, quem os recebe, durante quanto tempo os conserva e quais são os seus direitos, incluindo o de apresentar reclamação à DPC. Faz-se normalmente através de um aviso de privacidade ou declaração de privacidade. Se um cliente perguntar, indique-lhe esse aviso ou passe a questão à pessoa certa.
Crianças
Os dados das crianças exigem um cuidado adicional. Nos termos da Data Protection Act 2018, secção 31, a idade de consentimento digital na Irlanda é 16 anos. Aplica-se quando um serviço em linha é oferecido diretamente a uma criança e o fundamento é o consentimento: abaixo dos 16 anos, tem de ser dado ou autorizado por um dos pais ou pelo tutor. Não a confunda com a maioridade geral (18 anos). Para outros fins, como um aviso escrito para uma criança, a informação tem de ser compreensível por uma criança.
Marketing direto
As regras de marketing na Irlanda vêm de duas fontes: o RGPD, para o uso de dados pessoais, e as ePrivacy Regulations 2011, para as mensagens eletrónicas.
- Emails, SMS e chamadas automáticas para um particular exigem, em geral, o seu consentimento prévio, e todas as mensagens têm de ter uma forma clara de recusar novos envios.
- Os clientes existentes podem receber emails ou SMS sobre produtos semelhantes da própria empresa sem consentimento, se tiveram oportunidade de recusar quando os seus dados foram recolhidos e em cada mensagem, e a venda foi nos últimos 12 meses.
- Qualquer pessoa pode opor-se ao marketing direto a qualquer momento (artigo 21.º). Se alguém disser para parar, pare e registe-o.
- Não compre listas de contactos sem verificar de onde vêm os dados.
- Os cookies e tecnologias semelhantes num sítio web exigem, em geral, consentimento, salvo se forem estritamente necessários.
A DPC pode instaurar procedimento criminal por violações das ePrivacy Regulations. Cada mensagem não solicitada é um crime distinto, com coima até 5 000 € em processo sumário (lição 8).
Partilhar dados
Partilhar dados pessoais com outra organização exige um fundamento de licitude e tem de ser compatível com a finalidade comunicada às pessoas. Se outra empresa trata dados do seu empregador como subcontratante, tem de haver um contrato escrito (artigo 28.º). Se um terceiro lhe pedir dados pessoais, mesmo que seja simpático, consulte primeiro o seu chefe ou o EPD. Não dê dados pessoais por telefone a alguém que não consiga identificar.
O que deve recordar
- Seis fundamentos de licitude; a organização escolhe e regista um.
- O consentimento tem de ser livre, específico, informado e inequívoco, e fácil de retirar.
- Idade de consentimento digital: 16 anos na Irlanda (Data Protection Act 2018, secção 31).
- O marketing por email ou SMS exige, em geral, consentimento e uma forma de recusar em cada mensagem.