Conferência sobre "O Novo Regulamento Europeu de Proteção de Dados"

A Associação para a Promoção e Desenvolvimento da Sociedade da Informação (APDSI) e a Comissão Nacional de Proteção de Dados (CNPD) organizaram, a 20 de setembro, na Sala do Senado da Assembleia da República, uma conferência sobre o novo regulamento europeu de proteção de dados para analisar e discutir os desafios e oportunidades que o futuro contexto regulatório vai trazer.

Embora só comece a ser aplicado em 2018, o novo quadro legal europeu tem novidades significativas que terão um impacto considerável na vida das organizações, públicas e privadas, agentes de segurança e autoridade, assim como na atividade das entidades de supervisão. Sendo a proteção de dados pessoais um direito fundamental em Portugal e na União Europeia, os cidadãos ocupam um lugar central nesta transformação que pretende trazer homogeneidade e eliminar diferenças entre regimes jurídicos da União Europeia.

Preocupada com a defesa dos direitos fundamentais dos cidadãos, a Comissão Nacional de Proteção de Dados alerta para o facto de, sendo apenas um Estado-membro a decidir sobre as questões legais de proteção de dados, a solução poder não ser a mais adequada ao queixoso. A presidente da CNPD, Filipa Calvão, alerta, também, para as dificuldades acrescidas que os cidadãos vão ter no acesso a outra entidade supra-nacional. O novo regulamento europeu de proteção de dados, que vai ter aplicação prática em maio 2018, "ainda tem um longo caminho a percorrer por empresas e organismos públicos que têm por missão fazer o controlo da proteção de dados. No plano político e legislativo precisa de respostas adequadas, sob pena de se sacrificar a homogeneidade", exemplifica a presidente da CNPD que está a "maturar alterações e a tentar encontrar soluções em conjunto com as restantes autoridades da União Europeia".

Christopher Kuner, Professor de Direito e Diretor do Brussels Privacy Hub, Vrije Universiteit Brussels (VUB), explica que a General Data Protection Regulation (GDPR é um termo a reter até 2018) vai implicar uma "grande mudança na regulação europeia aplicada a todos os Estados-membros, uma vez que não é necessária implementação nacional". Isto significa que a lei nacional ou desaparece ou é minimizada em grande escala.

Em defesa da GDPR, que pretende reforçar e uniformizar o enquadramento legal na proteção de dados pessoais, o professor destaca que, hoje em dia, os cidadãos tendem a não confiar que a lei de proteção de dados seja cumprida, além de se levantarem várias questões relacionadas com as diferenças culturais e entre os sistemas jurídicos de vários países. Muitas vezes levantam-se dúvidas sobre quem tutela e que áreas - acrescenta. Com o novo enquadramento legal, deixa de haver múltiplas entidades a reger e múltiplos mecanismos a ter em conta. Kuner fala da criação de uma One Stop Shop , que vai ser responsável pelos processos e atividades de proteção de dados em toda a União Europeia. As empresas e instituições, que agora estão espalhadas pelos vários países, vão ter apenas um ponto de contacto, apesar de haver parceiras que serão procuradas na tentativa de se alcançarem posições comuns, num mecanismo corporativo. "Como vai isto funcionar nos tribunais? É bom aplicar a lei mas é preciso reforçá-la fora da União Europeia", adverte o professor.

Sobre as questões relacionadas com a subcontratação na área da proteção de dados, Domingos Farinho, Professor da Faculdade de Direito da Universidade de Lisboa, citou as matérias legais que já estão em vigor no atual regime, para reforçar que, a ideia da extensão da proteção prevista no regulamento pelo responsável do tratamento, deve ser extensível à subcontratação porque "a relação entre o responsável pelo tratamento e o subcontratante é a mesma mas há capítulos novos no novo regulamento". A preocupação alarga-se à subcontratação fora da União Europeia e, naturalmente, ao setor público e não só.

O GDPR, enquanto "super direito com um elevado nível de tratamento de dados pessoais onde o cidadão ficará mais protegido", encoraja as organizações a serem mais cooperativas, diz David Wright, Diretor da Trilateral Research Ltd., encantado com a Sala do Senado da AR e com a audiência. Num segundo ponto da sua apresentação, David Wright antecipa que a nova lei vai mexer com utilizadores, clientes e cidadãos, em geral, pelo que é preciso prevenir "os efeitos colaterais de cada vez que se tratar de informação pessoal, como vida política, religiosa ou sexual".

Patrícia Jerónimo, Delegada para a Proteção de Dados, deu particular ênfase ao direito ao esquecimento no contexto empresarial e às notificações de violação de dados pessoais que, a partir de 2018, virão a acontecer no prazo máximo de 72 horas.

Na EDP a gestão de topo da empresa é a primeira a promover este tema, admitiu Pedro Dias Vicente, Responsável pelo Compliance da Direção de Auditoria do Grupo, que pretende "formar e informar clientes e colaboradores sobre o que podem fazer e sensibilizá-los para as consequências". Pedro Dias Vicente acredita que a preocupação com as pessoas é o fator diferenciador da empresa que vai garantir a contratação de um "data protection officer que promova o cumprimento da normativa dentro da organização", acrescenta.

Eugénia Santos, do Conselho Diretivo da Agência para a Modernização Administrativa (AMA) sublinha que o surgimento desta nova figura tem por missão "aconselhar e garantir que todo o tratamento de dados pessoais está a ser feito e é o ponto de contacto entre cidadão e autoridade de controlo.

De referir que um dos assuntos a que a AMA também fez referência está relacionado com o facto de, com o novo regulamento europeu de proteção de dados, acabar a notificação prévia de que os dados vão ser mantidos por determinadas entidades.

"O legislador nacional deve dizer em que termos fica o seu quadro legislatório. O quadro constitucional interno dos Estados-membros não poderá ser apagado face ao direito da União Europeia; este não pode prevalecer", acrescenta Alexandre Sousa Pinheiro, Professor da Faculdade de Direito da Universidade de Lisboa, em defesa da CNPD.

Aludindo à privacy by design, Catarina Sarmento e Castro, Juíza do Tribunal Constitucional, acredita que vai verificar-se uma "simplificação de procedimentos com o novo regulamento porque é uma tendência genérica da legislação que, com a alteração do contexto económico e social, trouxe maior liberdade de circulação de informação". A juíza reforça o seu ponto de vista bastante otimista face à nova regulamentação: "Ciberespaço é um lugar para potenciar o exercício de direito de cidadania. Pode até vir a ser consagrado o direito ao acesso à Internet", congratula-se.

"Ciberespaço é um lugar para potenciar o exercício de direito de cidadania. Pode até vir a ser consagrado o direito ao acesso à Internet", congratula-se Catarina Sarmento.

Estelle Massé, Analista Sénior da ONG Access Now (escritório de Bruxelas), membro da rede europeia EDRi, antecipa o futuro dos engenheiros informáticos ao lembrar que devem estar extremamente bem informados e sensibilizados para "a quantidade mínima de informação de que vão precisar para desenvolver a sua aplicação".

Coube à Ministra da Justiça, Francisca Van Dunem, encerrar a sessão da APDSI e da CNPD, realçando "o direito a ser-se esquecido e a portabilidade dos dados".