Revista do Ano 2018: O RGPD ou como a ameaça do “bicho papão” até agora se revelou um “gatinho manso”

A aplicação do Regulamento Geral de Proteção de Dados (RGPD) foi um dos temas que trouxe mais dores de cabeça, dúvidas e inquietações às organizações este ano, mas os temidos impactos de multas ainda não se fazem sentir.

Tek

Depois de dois anos de preparação, o Regulamento Geral de Proteção de Dados começou a ser aplicado em toda a Europa a 25 de maio, e apesar do tempo que as organizações tiveram para preparar as estruturas, e do RGPD já estar efetivamente em vigor desde a publicação do regulamento, nos dias antes da data sentiu-se algum “pânico”, com uma avalanche de pedidos de autorização que teve em muitos casos um impacto negativo nas bases de dados.

A legislação traz consigo uma nova visão que transfere mais responsabilidade para as empresas e outras organizações na utilização de dados pessoais, e um um novo enquadramento de multas que assustou meio mundo (ou mais) pela imposição de um valor máximo que pode chegar aos 20 milhões de euros, ou 4% da faturação anual, nos casos de violação grave das regras.

Em causa está sobretudo a violação de dados, que tem de ser reportada à entidade fiscalizadora no espaço de 72 horas e que, mas também outro tipo de enquadramentos, como a definição de uma idade mínima para aceder a serviços online, entre os quais as redes sociais.

Seis meses depois da entrada em vigor, as organizações continuam a não estar preparadas, mas também não se sentiu uma avalancha de multas. Filipa Calvão, presidente da CNPD, confirmou que até final de novembro a comissão recebeu 147 notificações e que tem investigações em curso, mas a única coima que foi aplicada até agora respeita ao Centro Hospitalar do Barreiro, no valor de 400 mil euros e que resulta de três coimas diferentes.

Para além das notificações o SAPO TEK sabe que há 390 queixas com abertura de processo e que quase 2 mil entidades já notificaram a CNPD sobre a designação de um DPO, um número que pode não corresponder diretamente ao total de encarregados de proteção de dados, já qe alguns podem ser partilhados por mais do que uma entidade.

Uma entidade fiscalizadora "espartilhada" por falta de recursos

A CNPD está a avançar com as investigações apesar de ainda não ter sido publicada a proposta de lei que estabelece algumas das definições do RGPD para Portugal, um diploma que é considerado polémico por isentar a Administração Pública e coimas. A legislação está ainda em análise no Parlamento, como aliás acontece também com o diploma que estabelece a lei quadro da CNPD, que está espartilhada pela falta de meios humanos e financeiros para sustentar a atividade de entidade fiscalizadora nacional e de integração com organismos internacionais.

“Já há anos que lutávamos com falta de recursos, o RGPD só veio agravar”, explicou ao SAPO TEK Clara Guerra, coordenadora no Serviço de Informação e Relações Internacionais da CNPD, citando o elevado número de queixas e de solicitações de pareceres e análises que tem de fazer.

Mesmo assim, admitiu ao SAPO TEK que a mediatização do tema nos últimos meses teve um efeito positivo, não só porque os cidadãos tomaram mais conhecimento dos seus direitos como as empresas perceberam que tinham de “arrumar a casa” e fazer outro tipo de gestão e utilização da informação que os utilizadores e mesmo os seus clientes lhes fornecem.

E o escasso número de multas não deve permitie às organizações ficarem com uma sensação de impunidade. “Há um claro sinal ao mercado: uma coisa é termos em atenção a adaptação ao RGPD mas não há desculpa para não proteger os dados dos cidadãos, até porque a grande maioria das regras já estavam em vigor com a lei de proteção de dados.

Multas lá fora, as redes sociais e balanços pouco expressivos

Não faltam estudos, inquéritos e apreciações de especialistas que mostram que a grande maioria das empresas não estão preparadas para o RGPD, e não é só em Portugal. O Facebook é uma das organizações que tem sido mais fustigada pela descoberta de violações de dados, algumas das quais ocorridas há meses ou anos, mas que têm levado a coimas, nomeadamente em Itália. A DECO também se juntou a outras associações de defesa dos consumidores para lançar uma ação conjunta contra o Facebook e até tem metas de conseguir até 2 mil euros por cidadão.

Por outro lado, as dores de crescimento do RGPD na Europa não impediram Tim Cook, CEO da Apple, a defender o interesse de levar a legislação para os Estados Unidos. Mas embora o regulamento tenha impacto em todas as empresas que se relacionam com utilizadores europeus, não é expectável que outras regiões venham a adoptar este legislação mais restritiva em termos de proteção de dados.

O responsável pela tecnológica de Cupertino louvou o esforço que a União Europeia tem feito em prol da defesa da privacidade dos internautas e a eficiente implementação do RGPD. No que toca a este assunto, Cook admitiu que gostava de ver o resto do mundo a seguir as pisadas da UE, e sublinhou que a Apple vai apoiar qualquer movimento que os EUA façam nesse sentido.

O CEO defende que, a curto prazo, há quatro direitos chave que deveriam ser assegurados com legislação adequada: o direito a minimizar a quantidade de dados pessoais que é partilhada; o direito de os utilizadores saberem, especificamente, que dados estão a ser recolhidos pelas plataformas; o direito a aceder a esses mesmos dados de forma permanente; e o direito a manter esses dados seguros.