Um ano depois, ainda não temos uma lei nacional que concretize o RGDP

Vivemos em passo acelerado e a verdade é que, de repente, damos por nós já à porta de assinalar o primeiro ano sobre a data de aplicação efetiva do RGPD. Há um ano, o assunto dominava a atualidade, as opiniões desdobravam-se em formações, artigos, newsletters e multiplicavam-se as previsões e apostas sobre o que iria acontecer após 25 de maio.

Em jeito de balanço, importa refletir sobre o que após estes 12 meses foi atingido e sobre o que está ainda por concretizar, sendo que nem tudo são rosas, mas também não nos limitamos a colher espinhos.

Entre os ganhos/marcos atingidos neste primeiro ano destacamos os seguintes:

• Aumento significativo da informação/conhecimento e sentido de alerta e de preparação por parte dos cidadãos e das organizações para o tema da proteção de dados pessoais;
  
  
• Maior preocupação com a segurança dos dados pessoais, pois, apesar de a adaptação ao RGPD ter diferentes velocidades, esta temática foi trazida para a ordem do dia;
  
  
• As organizações que endereçaram este tema tornaram-se mais maduras e responsáveis, solidificando a sua credibilidade perante clientes, fornecedores e colaboradores. O reposicionamento estratégico e a revisão da forma de comunicação e relacionamento fizeram com que as organizações com percurso feito nesta área conseguissem fortalecer a sua marca;
  
  
• O RGPD impulsionou a investigação científica nestas temáticas, quer na área jurídica, quer na informática, tendo ganho uma dimensão que antes não lhe era reconhecida;
  
  
• O RGPD não se tornou, como alguns antecipavam, numa carta de intenções. Foram já noticiadas situações (a nível nacional e internacional) em que se deliberou pela aplicação de coimas à luz do RGPD, por incumprimento de princípios e regras aí previstos;
  
  
• Foram dados passos em frente, destacando-se a disponibilização pela CNPD de formulário próprio para a comunicação do EPD/DPO das organizações, alterar uma notificação já realizada ou comunicar o fim de funções; de um modelo de registo de atividades de tratamento para os responsáveis pelo tratamento e outro para os subcontratantes, assim como de um formulário para notificar situações de violação de dados pessoais;
  
  
• Destaca-se também a aprovação do Regulamento n.º 1/2018, referente à lista de tratamento de dados pessoais em que é necessário efetuar uma prévia Avaliação de Impacto sobre a Proteção de Dados, em acréscimo aos casos previstos no n.º 3 do artigo 35.º do RGPD.

O que ainda está por fazer:

• O tecido empresarial português é composto, na sua maioria, por médias e pequenas empresas que não dispõem de meios financeiros e humanos que lhes permitam endereçar completamente esta temática. Verifica-se ainda que muitas organizações estão numa fase embrionária de implementação do RGPD e que outras ainda estão no ponto de partida;
  
  
• Apesar das grandes movimentações em torno do assunto, parece, em alguns casos, que pouco mudou e que velhos hábitos foram mantidos. Veja-se o caso da publicidade não solicitada na caixa de correio eletrónico e em mensagens de texto no telemóvel vindas de entidades com quem não se interagiu; a recolha de dados pessoais sem indicação concreta das finalidades e do período de armazenamento e a eventual partilha desses dados com terceiros, desconhecidos dos titulares dos dados
  
  
• O investimento em literacia digital continua a ser uma grande prioridade. Isto, porque se é inegável o acesso que a maioria dos portugueses tem à internet e ao mundo digital , também não deixa de o ser que muitos não entendem as reais implicações que os seus atos têm neste "novo” mundo, ou sabendo-o, parece que somos tomados por um "véu de ignorância” que nos faz clicar irrefletidamente num conjunto de botões/opções que nos permitem aceder a um artigo, uma notícia, uma promoção ou desconto sem pensar no que esse clique significa para a partilha e privacidade dos nossos dados pessoais;
  
  
• Somos confrontados ainda com a insuficiência de meios da CNPD para responder às exigências que o RGPD coloca.
  
  

Continuamos a não ter uma lei nacional que concretize o RGPD

É certo que, decorrido este tempo, ainda não foi aprovada uma Lei nacional que concretize o RGPD, com as limitações que isso acarreta. No entanto, também é certo que diversas entidades públicas e privadas têm feito um esforço interpretativo e de resolução de questões que vão sendo colocadas e que auxiliam outras entidades que percorrem caminho semelhante. Volta a estar em cima da mesa uma proposta que possibilita a isenção de coimas para as entidades públicas que não cumpram as exigências em termos de proteção de dados, tópico que continua a gerar polémica. Isto, porque se prevê a possibilidade de as entidades públicas poderem apresentar um pedido prévio e fundamentado de dispensa à CNPD e se a mesma lhe for concedida, permitirá a isenção (nos três primeiros anos de vigência desta Lei) de coimas no âmbito do RGPD. A ausência de legislação interna concretizadora do RGPD faz com que muitos falem já na hipótese de poder vir a existir uma ação de incumprimento contra o Estado Português, o que coloca mais urgência nessa temática.

Assim, se vários avanços se conseguiram, também facilmente se percebe que muito caminho ainda está por percorrer e que não podemos relaxar ou deixar adormecer as exigências que o RGPD nos coloca individual e coletivamente.