RGPD, entre o acordar tardio e o relaxamento prematuro
Em vésperas do dia 25 de maio de 2018 houve uma explosão de interesse à volta do tema RGPD. Ações de formação, seminários, artigos de opinião e emails com pedidos de consentimento emergiram de todos os lados. Porém, tratou-se de uma explosão, seguida de uma travagem a fundo acerca de tudo o que rodeia este assunto.
Decorridos 6 meses sobre a data de aplicação efetiva do RGPD, é o momento de fazer um balanço relativamente aos desafios e oportunidades que o mesmo trouxe e perceber em que ponto estamos neste tema.
Podemos dizer que, antes do RGPD, muitos eram aqueles para quem as questões de privacidade e proteção de dados eram completamente secundárias. Assim, será justo dizer-se que um dos ganhos do RGPD foi o maior sentido de alerta e de preparação para a proteção de dados pessoais e defesa dos princípios e direitos a eles ligados, bem como um maior empenho em dominar estes temas e em cumprir as obrigações decorrentes. No entanto, e não minimizando o esforço realizado, penso que estamos já a sofrer um efeito de "relaxamento” prematuro sobre estas matérias e que o ciclo descendente de interesse sobre este tema se verificou cedo demais.
Olhando para trás, facilmente se percebe que assistimos a um acordar tardio, pois a generalidade das organizações e cidadãos só despertaram para este tema muito próximo do dia 25 de maio de 2018. Nessa altura, foi percetível uma explosão de interesse, que se traduziu em formações, seminários, artigos e emails que recebemos numa base diária. Medidores de conformidade, análises de GAP e projetos de adequação marcavam a ordem do dia. Porém, tratou-se mesmo de uma explosão, seguida de, diríamos, uma travagem repentina sobre tudo o que rodeia este assunto.
Transformação profunda ou ligeira variação?
Apesar das grandes movimentações em torno do assunto, parece, em alguns casos, que pouco mudou e que velhos hábitos foram retomados, como a publicidade não solicitada na caixa de correio eletrónico e em mensagens de texto no telemóvel vindas de entidades com quem não se interagiu; a recolha de dados pessoais sem indicação concreta das finalidades e do período de armazenamento e a eventual partilha desses dados com terceiros, desconhecidos dos titulares dos dados. Quem não passou já por uma destas situações nestes últimos 6 meses?
Devemos manter-nos alerta e, quer os cidadãos, quer as organizações, devem ter consciência de que o tema não se esgotou e que o Regulamento tem de continuar a ser cumprido. Não se trata de um tema da moda, que pode ser descartado depois da estação! Após uma onda de curiosidade e interesse, e apesar desta aparente apatia em que parece ter-se mergulhado, não podemos esquecer-nos que o RGPD surgiu como um motor de oportunidades para rever e reforçar as políticas de proteção de dados, privacidade e segurança interna e externa, fazendo com que as organizações se tornassem mais maduras e responsáveis, solidificando a sua credibilidade perante clientes, fornecedores e colaboradores. O reposicionamento estratégico e a revisão da forma de comunicação e relacionamento fizeram com que as organizações com percurso feito nesta área conseguissem fortalecer a sua marca.
E as coimas anunciadas?
Há 6 meses, muitos se questionavam se o RGPD acabaria por tornar-se uma carta de intenções e se os valores das coimas anunciadas serviriam apenas de fator intimidatório sem ser levado à prática. Para que dúvidas não restem, a este respeito, começaram já a ser noticiadas situações (a nível nacional e internacional) em que se deliberou pela aplicação de coimas à luz do RGPD, por incumprimento de princípios e regras aí previstos. Paralelamente foram dados passos em frente, destacando-se a disponibilização pela CNPD de formulário próprio para a comunicação do DPO das organizações e de formulário para notificar situações de violação de dados pessoais.
Destaca-se também a aprovação do Regulamento n.º 1/2018, referente à lista de tratamentos de dados pessoais em que é necessário efetuar uma prévia Avaliação de Impacto sobre a Proteção de Dados, em acréscimo aos casos previstas no n.º 3 do artigo 35.º do RGPD.
Ainda não existe uma lei nacional que concretize o RGDP
É certo que, decorrido este tempo, ainda não foi aprovada uma Lei nacional que concretize o RGPD, com as limitações que isso acarreta. No entanto, também é certo que diversas entidades públicas e privadas têm feito um esforço interpretativo e de resolução de questões que vão sendo colocadas e que auxiliam outras entidades que percorrem caminho semelhante.
Ainda a este respeito, e dado que a figura do DPO e os profissionais que podem desempenhar essa função é um ponto controverso, importa referir que recentemente o Conselho Geral da Ordem dos Advogados emitiu Parecer (Parecer n.º 14/PP/2018-G), publicado a 28 de setembro de 2018, onde considerou que "os advogados estão impedidos de exercer a advocacia (…), para entidades para quem exerçam, ou tenham exercido as funções de Encarregado de Proteção de Dados”, não obstante o voto de vencido de um dos Conselheiros.
Assim se percebe que muito caminho ainda está por percorrer e que não podemos relaxar ou deixar adormecer as exigências que o RGPD nos coloca individual e coletivamente.
*Artigo publicado no site SAPO TEK no dia 22 de janeiro de 2019.