Quase todos os empregos envolvem dados pessoais. Um rececionista anota o nome de um visitante. Uma empregada de loja recolhe uma morada de entrega. Uma enfermeira lê um processo clínico. Um funcionário da câmara regista um pedido de habitação. A lei de proteção de dados define as regras para tratar essa informação e aplica-se tanto a si como ao seu empregador.
A lei na Irlanda
- O Regulamento Geral sobre a Proteção de Dados (RGPD), Regulamento (UE) 2016/679, aplica-se diretamente na Irlanda. É o principal conjunto de regras.
- A Data Protection Act 2018 (a lei irlandesa de proteção de dados) acompanha-o. Dá ao RGPD o seu pormenor irlandês: a Data Protection Commission e os seus poderes, a idade de consentimento digital, as coimas aos organismos públicos, as ações em tribunal e os crimes.
- As ePrivacy Regulations 2011 (S.I. No. 336 of 2011, o regulamento sobre privacidade nas comunicações eletrónicas) abrangem o marketing por email, SMS e telefone, e os cookies. Vai encontrá-las na lição 3.
A Irlanda é membro da UE, por isso aplica o RGPD da UE. O Reino Unido tem o seu próprio, separado, o «UK GDPR». Não os confunda.
O regulador é a Data Protection Commission (DPC), a autoridade irlandesa de proteção de dados. Publica orientações, recebe reclamações e pode investigar e aplicar coimas às organizações. A lição 8 explica os seus poderes.
Dados pessoais
Dados pessoais são qualquer informação sobre uma pessoa viva identificada ou identificável. Não têm de ser secretos. Exemplos:
- um nome, uma morada, um endereço de email ou um número de telefone;
- uma fotografia, uma imagem de videovigilância ou uma gravação de voz;
- um número de trabalhador, um número de conta de cliente ou um identificador em linha, como um endereço IP;
- uma nota num processo sobre o que uma pessoa disse ou fez.
Se for possível perceber de quem é a informação, talvez juntando-a a outros dados, são dados pessoais. A informação sobre uma empresa não é dado pessoal. O nome e o email profissional de uma pessoa dessa empresa são.
Categorias especiais de dados
Alguns dados são mais sensíveis, porque o seu uso indevido pode causar danos reais. As categorias especiais de dados (artigo 9.º) são a informação sobre:
- origem racial ou étnica;
- opiniões políticas;
- convicções religiosas ou filosóficas;
- filiação sindical;
- dados genéticos e dados biométricos usados para identificar uma pessoa;
- saúde;
- vida sexual ou orientação sexual.
Uma organização precisa de uma condição legal adicional para usar estes dados. Os dados sobre condenações e infrações penais (artigo 10.º) também têm uma proteção adicional. A Data Protection Act 2018 acrescenta pormenores sobre quando podem ser usados. Tenha sempre mais cuidado com todos eles.
Tratamento
Tratamento significa quase tudo o que se faz com dados pessoais: recolher, registar, guardar, consultar, alterar, enviar, partilhar, apagar. Até ver um registo no ecrã é tratamento.
Quem é quem
- Um responsável pelo tratamento (controller) decide para que fins e de que forma os dados pessoais são usados. O seu empregador é normalmente o responsável pelo tratamento dos dados dos seus clientes e pelos dos seus colegas.
- Um subcontratante (processor) trata dados por conta do responsável e apenas segundo as suas instruções, por exemplo uma empresa de processamento salarial ou um fornecedor de serviços na nuvem.
- O titular dos dados (data subject) é a pessoa a quem os dados dizem respeito.
- Um encarregado da proteção de dados (EPD, em inglês DPO) aconselha a organização. As autoridades e os organismos públicos, e as organizações cuja atividade principal envolve monitorização em grande escala ou categorias especiais de dados, têm de nomear um. Muitas outras fazem-no voluntariamente.
A organização é responsável pelo cumprimento. Mas é o pessoal que trabalha com os dados todos os dias, por isso os erros do pessoal causam a maioria das violações. A secção 145 da lei de 2018 torna também crime transmitir dados pessoais obtidos sem autorização.
Onde a lei não chega
O RGPD não se aplica à atividade puramente pessoal ou doméstica, como a sua própria agenda de moradas. Não se aplica à informação sobre pessoas falecidas, embora possam continuar a existir outros deveres, como a confidencialidade. Aplica-se aos dados pessoais em papel se estiverem num sistema de arquivo estruturado.
O que deve recordar
- Dados pessoais são tudo o que identifica uma pessoa viva, direta ou indiretamente.
- As categorias especiais de dados exigem mais cuidado e uma condição legal adicional.
- O seu empregador é normalmente o responsável. Tem de seguir as suas instruções.
- A DPC é o regulador irlandês. Na Irlanda, a lei é o RGPD da UE mais a Data Protection Act 2018.