Aplicação da lei, coimas e o seu papel

Esta última lição trata do que acontece quando algo corre mal e do que deve e não deve fazer.

Os poderes da ICO

A Information Commissioner's Office (ICO) é o regulador britânico da proteção de dados. Pode:

• investigar reclamações e fazer auditorias;
• dar conselhos, avisos e repreensões;
• emitir notificações de execução (enforcement notices) que ordenam a uma organização que mude o que faz;
• emitir notificações de coima (penalty notices);
• instaurar procedimento por certos crimes.

A maioria dos casos não acaba em coima. A ICO costuma ver primeiro se a organização foi transparente, formou o pessoal e corrigiu o problema. Ainda assim, aplicaram-se coimas elevadas a organizações com falhas graves.

Coimas máximas

• Máximo superior: até 17,5 milhões de £ ou 4 % do volume de negócios anual mundial, consoante o que for mais elevado. Aplica-se a violações dos princípios, dos fundamentos de licitude, dos direitos das pessoas e das transferências internacionais.
• Máximo normal: até 8,7 milhões de £ ou 2 % do volume de negócios anual mundial, consoante o que for mais elevado. Abrange deveres como a segurança, a notificação de violações, os registos e o encarregado da proteção de dados.

São máximos. A coima real depende do caso: a gravidade, a duração, o número de pessoas e o comportamento da organização. Os mesmos máximos aplicam-se agora às infrações à PECR.

Outras consequências

• Indemnização. As pessoas podem pedir em tribunal indemnização por danos ou sofrimento causados por uma violação.
• Reputação. Os clientes perdem a confiança, e a ICO publica muitas das suas decisões.
• Perda de negócio e custo da resposta.
• Disciplina. Os trabalhadores que violem a política podem ser alvo de ação disciplinar ou despedidos.

Crimes cometidos por indivíduos

Nos termos da secção 170 da DPA 2018, é crime obter, divulgar ou conservar dados pessoais com conhecimento ou por imprudência, sem o consentimento do responsável, ou vendê-los. São exemplos levar listas de clientes para um novo empregador ou consultar os registos de uma pessoa por motivos próprios. A secção 173 abrange a destruição ou ocultação de dados para impedir um pedido de acesso. Estes crimes podem levar a uma multa em tribunal. Pode ser julgado a título pessoal, e não só o empregador.

O que continua a caber ao empregador

Este curso dá uma sensibilização geral. O seu empregador continua responsável por:

• as suas próprias políticas e procedimentos de proteção de dados;
• um aviso de privacidade e a escolha de um fundamento de licitude para cada uso;
• um encarregado da proteção de dados quando a lei o exigir, por exemplo nas autoridades públicas, ou na monitorização em grande escala de pessoas ou no uso em grande escala de dados de categoria especial;
• registos das atividades de tratamento e avaliações de risco (AIPD) para usos de risco elevado;
• pagar à ICO a taxa de proteção de dados, quando se aplicar;
• contratos com subcontratantes;
• um procedimento para violações e uma forma de tratar os pedidos de acesso e as reclamações;
• formação específica por função e formação de atualização, por exemplo para o pessoal de recursos humanos, marketing, saúde e cuidados.

O que deve fazer

• Use os dados pessoais apenas para o seu trabalho, e só os de que precisar.
• Bloqueie ecrãs, papéis e dispositivos.
• Verifique antes de enviar. Verifique com quem está a falar.
• Comunique de imediato violações, quase-incidentes e pedidos do público.
• Pergunte quando não tiver a certeza.
• Cumpra as políticas e a formação dadas pelo empregador.

O que não deve fazer

• Não consulte registos por curiosidade.
• Não partilhe a sua palavra-passe nem deixe outros usarem a sua conta.
• Não leve dados para casa nem para um novo emprego sem autorização.
• Não ignore um pedido de um cliente, doente ou colega sobre os seus dados.
• Não esconda um erro nem apague provas.
• Não introduza dados pessoais em aplicações não autorizadas, no email pessoal ou em ferramentas públicas de IA.

Onde encontrar mais informação

A ICO publica orientações gratuitas em ico.org.uk, incluindo um guia para pequenas organizações. A política do empregador tem prioridade no seu trabalho do dia a dia.