Formação RGPD

Estás sentado na tua secretária. À tua frente, no ecrã, uma lista de clientes. No telemóvel, vês um e-mail que queres enviar em seguida. Em segundo plano, falas com um colega sobre um caso atual. Tudo parte do dia a dia normal de trabalho. E é precisamente por isso que é fácil passar despercebido. Em cada um destes momentos, trabalhas com dados pessoais. São dados sobre pessoas, sobre clientes, sobre colaboradores, sobre contactos, sobre pessoas que confiam em nós. E proteção de dados significa que lidamos com estes dados de forma a que permaneçam protegidos. Não apenas o departamento jurídico, não apenas o encarregado da proteção de dados, mas todos nós. O RGPD estabelece no artigo 4.º, n.º 1, que os dados pessoais são todas as informações relativas a uma pessoa singular identificada ou identificável. Simplificando, assim que uma pessoa pode ser reconhecida direta ou indiretamente, estamos a falar de dados pessoais. Não se trata apenas do nome. É também um número de telefone, um endereço de e-mail, um número de cliente, um número de contrato, uma nota de conversa, uma fotografia ou uma informação que, juntamente com outros dados, permite identificar de quem se trata.

O RGPD menciona no artigo 5.º vários princípios, como a licitude, a limitação da finalidade, a minimização dos dados e a confidencialidade. Para o dia a dia, isto significa que só utilizamos dados pessoais quando temos permissão, apenas para o fim previsto, apenas na medida do necessário e apenas de forma a que pessoas não autorizadas não consigam aceder-lhes. Isto soa abstrato. Mas, no dia a dia, manifesta-se geralmente em situações muito simples. A primeira situação: o destinatário errado. Escreves um e-mail. O programa sugere automaticamente um endereço. Clicas rapidamente para continuar e, de repente, dados pessoais vão parar a alguém que não os devia receber. Isto pode ser uma violação da proteção de dados pessoais, nos termos do artigo 4.º, n.º 12, do RGPD, como, por exemplo, uma divulgação não autorizada. Por isso, a regra é: antes de enviar, para um pouco, verifica o destinatário, verifica os anexos, verifica o conteúdo.

Estes dois segundos podem evitar um incidente de proteção de dados. A segunda situação: o local errado. O lugar dos dados pessoais é nos sistemas autorizados da empresa. Não em pens USB privadas. Não em caixas de e-mail privadas. Não em messengers privados. Não em serviços de nuvem que não estejam autorizados. O artigo 32.º do RGPD obriga as empresas a proteger os dados pessoais através de medidas técnicas e organizativas adequadas. Se os dados forem para locais não previstos, essa proteção pode ser perdida. Por isso, quando guardas, partilhas ou reencaminhas dados, pergunta-te rapidamente: é este o local correto e autorizado para o fazer? A terceira situação: a exposição aberta. Um ecrã visível para outras pessoas. Uma chamada telefónica com dados de clientes num café. Documentos deixados abertos na secretária. Aqui também se trata de confidencialidade. O artigo 5.º, n.º 1, alínea f), do RGPD estipula que os dados pessoais devem ser protegidos contra o acesso não autorizado. Simplificando, nem toda a gente pode ver ou ouvir tudo. Por isso, a regra é: bloquear o ecrã, não ter conversas com dados pessoais em público, não deixar documentos à vista.

Se não tiveres a certeza, uma pergunta simples ajuda. Posso utilizar estes dados para este fim específico e a outra pessoa pode ver esta informação? Se hesitares, não avances simplesmente. Pergunta ao teu superior hierárquico ou ao encarregado da proteção de dados. Encontras os contactos na plataforma de aprendizagem. E se, mesmo assim, algo correr mal? Um e-mail foi enviado para o destinatário errado. Um dispositivo foi perdido. Um documento ficou visível para pessoas não autorizadas. Alguém teve acesso sem ter autorização para tal. Nesse caso, aplica-se uma regra. Comunicar imediatamente. Não esperar. Não encobrir. Não investigar primeiro por conta própria. Não ficar em silêncio por vergonha. O artigo 33.º do RGPD estipula que, em caso de violação de dados pessoais, o responsável pelo tratamento deve notificá-la à autoridade de controlo competente sem demora injustificada e, se possível, no prazo de 72 horas após ter tido conhecimento da mesma, a menos que a violação não seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares.

Em caso de risco elevado, pode ser adicionalmente necessária uma comunicação às pessoas em causa, nos termos do artigo 34.º do RGPD. Para ti, no dia a dia, isto significa: comunica imediatamente um possível incidente a nível interno. De preferência, por telefone, ao encarregado da proteção de dados ou através do canal de comunicação previsto para o efeito. Encontras mais informações na nossa plataforma de aprendizagem e no portal de Self-Service. Quanto mais cedo o incidente for conhecido, melhor a empresa poderá reagir. No final, trata-se de uma atitude simples. Os dados pessoais não são informações quaisquer. São informações sobre pessoas. Quem trabalha com eles tem uma responsabilidade. Proteção de dados no dia a dia significa: verificar rapidamente, agir de forma consciente e comunicar imediatamente se algo correr mal. Se todos tiverem este reflexo, os dados pessoais permanecem onde devem estar: protegidos.