O artigo 5.º do RGPD estabelece os princípios que estão por trás de todas as regras deste curso. Se os recordar, consegue deduzir o que fazer na maioria das situações.
1. Licitude, lealdade e transparência
Use dados pessoais apenas se tiver um fundamento de licitude (lição 3), use-os de forma que as pessoas esperariam razoavelmente e diga-lhes o que faz com eles. Não induza ninguém em erro sobre o motivo por que recolhe os seus dados.
2. Limitação das finalidades
Recolha os dados para uma finalidade determinada e declarada, e não os use depois para algo incompatível. Um número de telefone recolhido para combinar uma entrega não serve para marketing, e uma lista de aniversários do pessoal não serve para ser dada a uma loja de presentes.
3. Minimização dos dados
Recolha apenas o que for adequado, pertinente e limitado ao que precisa. Se um formulário pede a data de nascimento, pergunte para que serve. Se a resposta for «por precaução», a pergunta deve sair.
4. Exatidão
Mantenha os dados exatos e atualizados. Corrija os erros depressa e avise quem de direito. Um dado errado pode significar uma fatura errada, uma decisão errada ou uma carta entregue à pessoa errada.
5. Limitação da conservação
Não conserve dados pessoais mais tempo do que o necessário para a sua finalidade. Os empregadores devem ter um calendário de conservação que diga durante quanto tempo se guarda cada tipo de registo. Alguns registos têm de ser conservados por um período por lei, por exemplo os fiscais e os salariais. Quando o prazo termina, apague ou destrua os dados em segurança. Os dados anonimizados já não são dados pessoais e podem ser conservados.
6. Integridade e confidencialidade (segurança)
Proteja os dados contra perda, danos e acesso não autorizado, com medidas técnicas e organizativas adequadas. É o princípio que aplica todos os dias: bloquear o ecrã, escolher o destinatário certo, triturar o papel. Veja a lição 5.
7. Responsabilidade
O responsável tem de cumprir e poder demonstrá-lo. Isso significa políticas escritas, formação, registos das atividades de tratamento, registos de violações e decisões documentadas. O pessoal ajuda seguindo os procedimentos e registando o que faz.
Os princípios na prática
Pense numa rececionista de hospital que vê o nome de um vizinho na lista do dia.
- Olhar apenas para os registos necessários ao trabalho respeita a minimização e a limitação das finalidades.
- Não contar a ninguém fora do trabalho respeita a confidencialidade.
- Procurar o vizinho «por curiosidade» viola os princípios. Num organismo público isto chama-se muitas vezes «snooping» (bisbilhotar processos). Pode ser um assunto disciplinar e, em casos graves, um crime.
Outro exemplo. Uma equipa de vendas guarda durante dez anos uma folha de cálculo com contactos de clientes «por precaução». Ninguém sabe quem lá consta. Isto viola a limitação da conservação e a exatidão, e a equipa não consegue demonstrar a responsabilidade.
Registos das atividades de tratamento
O artigo 30.º obriga muitos responsáveis e subcontratantes a manter um registo escrito das atividades de tratamento: que dados, de quem, para quê, quem os recebe, durante quanto tempo se conservam e como são protegidos. As organizações com menos de 250 trabalhadores têm uma isenção limitada, mas esta não se aplica quando o tratamento é suscetível de implicar um risco para as pessoas, não é ocasional ou inclui categorias especiais de dados ou dados sobre infrações. Na prática, quase todos os empregadores mantêm um registo, porque guardam regularmente dados de saúde ou salariais do seu pessoal. Pode ser-lhe pedido que ajude a mantê-lo atualizado.
Proteção de dados desde a conceção e por defeito
O artigo 25.º exige que as organizações incorporem a proteção de dados nos sistemas e processos desde o início, e que configurem os sistemas de modo que, por defeito, só sejam recolhidos os dados necessários e só os vejam as pessoas certas. Se participar na escolha ou na alteração de um sistema, pergunte: que dados guarda, quem os pode ver e quando são apagados?
O que deve recordar
- Sete princípios: licitude, lealdade e transparência; limitação das finalidades; minimização; exatidão; limitação da conservação; segurança; responsabilidade.
- Use os dados apenas para a finalidade declarada e apenas na medida do necessário.
- Não conserve os dados mais tempo do que o necessário.
- Responsabilidade significa poder mostrar o que fez e porquê.