A Lei 58/2019, de 8 de agosto, assegurou a execução no Direito nacional do RGPD, Regulamento Geral de Proteção de Dados (RGPD), aprovado pelo Regulamento (UE) 2016/679, de 27 de abril, que consagra o regime jurídico relativo ao tratamento de dados pessoais e à sua livre circulação, em vigor desde 25 de maio de 2018, adequando-o ou regulamentando matérias específicas, naquilo que o Regulamento permite.
A Comissão Nacional de Proteção de Dados (CNPD) é, como esperado, designada a entidade nacional de controlo para efeitos de RGPD, competindo-lhe, entre outras atribuições, fiscalizar o cumprimento do RGPD e das demais disposições legais e regulamentares relativas à proteção de dados pessoais e dos direitos, liberdades e garantias dos titulares dos dados, bem como corrigir e sancionar o seu incumprimento.
Na sua página da Internet a CNPD publicitará as listas dos tipos de operações de tratamento sujeitos e dispensados do requisito de avaliação de impacto sobre a proteção de dados, a que se referem os n.ºs 4 e 5 do art. 35.º do RGPD.
A Lei 58/2019, que pode consultar aqui:
- Regulamenta em termos mais detalhados que o RGPD as funções do Encarregado de Proteção de Dados;
- Fixa em 13 anos a idade mínima para os menores poderem prestar livremente o seu consentimento para o tratamento de dados pessoais;
- Permite que as entidades públicas que o solicitem à CNPD, mediante pedido devidamente fundamentado, sejam dispensadas da aplicação de coimas durante o prazo de 3 anos, até 9 de agosto de 2022;
- Regula a videovigilância (art.ºs 19.º e 28.º), estabelecendo expressamente que as imagens gravadas e outros dados pessoais registados através da utilização de sistemas de vídeo ou outros meios tecnológicos de vigilância à distância, nos termos previstos no artigo 20.º do Código do Trabalho, só podem ser utilizados no âmbito do processo penal, só podendo também ser utilizados para efeitos disciplinares na medida em que o sejam no âmbito do processo penal.
Lembramos que nesta como noutras matérias o RGPD e a lei em apreço dispensam qualquer comunicação prévia ou pedido de autorização à CNPD.
- Permite e considera legítimo o tratamento de dados biométricos dos trabalhadores pela empresa, sem consentimento dos mesmos, para controlo da assiduidade e de acessos às instalações do empregador, na condição de assegurar que apenas se utilizam representações dos dados biométricos e que o respetivo processo de recolha não permite a sua reversibilidade;
Em matéria de videovigilância e relações laborais estabelece a lei o seguinte:
|
Artigo 19.º 1 — Sem prejuízo das disposições legais específicas que imponham a sua utilização, nomeadamente por razões de segurança pública, os sistemas de videovigilância cuja finalidade seja a proteção de pessoas e bens asseguram os requisitos previstos no artigo 31.º da Lei n.º 34/2013, de 16 de maio, com os limites definidos no número seguinte. 2 — As câmaras não podem incidir sobre: a) Vias públicas, propriedades limítrofes ou outros locais que não sejam do domínio exclusivo do responsável, exceto no que seja estritamente necessário para cobrir os acessos ao imóvel; b) A zona de digitação de códigos de caixas multibanco ou outros terminais de pagamento ATM; c) O interior de áreas reservadas a clientes ou utentes onde deva ser respeitada a privacidade, designadamente instalações sanitárias, zonas de espera e provadores de vestuário; d) O interior de áreas reservadas aos trabalhadores, designadamente zonas de refeição, vestiários, ginásios, instalações sanitárias e zonas exclusivamente afetas ao seu descanso. 3 — Nos estabelecimentos de ensino, as câmaras de videovigilância só podem incidir sobre os perímetros externos e locais de acesso, e ainda sobre espaços cujos bens e equipamentos requeiram especial proteção, como laboratórios ou salas de informática. 4 — Nos casos em que é admitida a videovigilância, é proibida a captação de som, exceto no período em que as instalações vigiadas estejam encerradas ou mediante autorização prévia da CNPD.
Artigo 28.º 1 — O empregador pode tratar os dados pessoais dos seus trabalhadores para as finalidades e com os limites definidos no Código do Trabalho e respetiva legislação complementar ou noutros regimes setoriais, com as especificidades estabelecidas no presente artigo. 2 — O número anterior abrange igualmente o tratamento efetuado por subcontratante ou contabilista certificado em nome do empregador, para fins de gestão das relações laborais, desde que realizado ao abrigo de um contrato de prestação de serviços e sujeito a iguais garantias de sigilo. 3 — Salvo norma legal em contrário, o consentimento do trabalhador não constitui requisito de legitimidade do tratamento dos seus dados pessoais: a) Se do tratamento resultar uma vantagem jurídica ou económica para o trabalhador; ou b) Se esse tratamento estiver abrangido pelo disposto na alínea b) do n.º 1 do artigo 6.º do RGPD. 4 — As imagens gravadas e outros dados pessoais registados através da utilização de sistemas de vídeo ou outros meios tecnológicos de vigilância à distância, nos termos previstos no artigo 20.º do Código do Trabalho, só podem ser utilizados no âmbito do processo penal. 5 — Nos casos previstos no número anterior, as imagens gravadas e outros dados pessoais podem também ser utilizados para efeitos de apuramento de responsabilidade disciplinar, na medida em que o sejam no âmbito do processo penal. 6 — O tratamento de dados biométricos dos trabalhadores só é considerado legítimo para controlo de assiduidade e para controlo de acessos às instalações do empregador, devendo assegurar-se que apenas se utilizem representações dos dados biométricos e que o respetivo processo de recolha não permita a reversibilidade dos referidos dados. |
Como a lei em apreço não alterou o Código do Trabalho e este dispõe sobre o uso de dados biométricos e de meios de vigilância à distância (art. 18.º e 21.º), impondo, respetivamente, a «notificação» da CNPD acompanhada de parecer da comissão de trabalhadores e a obtenção de competente «autorização», que na nossa opinião consideramos já não serem exigíveis, ficamos a aguardar pelos competentes esclarecimentos que a CNPD possa prestar.
- Estabelece que o prazo de conservação dos dados pessoais é o que for fixado por norma legal ou regulamentar ou, na falta desta, o que se revele necessário para a prossecução da finalidade;
- Define os montantes mínimos das coimas devidas pela violação do RGPD, que têm os seguintes valores limite:
|
|
||||||||||||||||||||||||||||
- Criminaliza a utilização de dados de forma incompatível com a finalidade da recolha, o acesso indevido, o desvio, a viciação ou destruição de dados, a inserção de dados falsos e a violação do dever de sigilo, estabelecendo penas de prisão até 4 anos ou penas de multa até 480 dias.
|
Videovigilância Nas FAQ’s disponíveis no seu sítio na Internet (https://www.cnpd.pt/), a CNPD presta a seguinte informação sobre a videovigilância: Quero instalar/renovar um sistema de videovigilância para proteção de pessoas e bens, mas já não encontro o formulário da CNPD. Como devo proceder? É preciso pagar taxa? Com o novo regulamento europeu de proteção de dados, já não é necessário pedir autorização à CNPD para ter um sistema de videovigilância. Assim, já não é preciso preencher qualquer formulário ou pagar taxa, nem é preciso comunicar nada à CNPD. No entanto, para poder instalar um sistema de videovigilância tem de atender a vários requisitos legais, que podem incluir além do RGPD, a Lei 34/2013, de 16 de maio, que regula a atividade de segurança privada ou o Código do Trabalho, consoante o que for aplicável à sua situação concreta. Aguarda-se ainda que a lei nacional de execução do RGPD possa trazer algumas condições específicas aplicáveis aos sistemas de videovigilância.
As autorizações de videovigilância emitidas antes de 25 de maio continuam válidas? Sim, em tudo o que não contrariem o disposto no RGPD. Os responsáveis pelo tratamento devem cumprir as condições estabelecidas nas autorizações para o tratamento de dados pessoais através de videovigilância.
Quero acrescentar o número de câmaras que estão referidas na autorização da CNPD. Como fazer? Já não é necessário realizar nenhuma notificação ou comunicação à CNPD. Se colocar câmaras em locais não abrangidos pela autorização, esta ficará desatualizada (caduca). De qualquer forma, deve ter atenção para não captar imagens em zonas não permitidas. De acordo com o RGPD, é o responsável pelo tratamento que deve analisar previamente se o tratamento de dados pessoais, decorrente da utilização de um sistema de videovigilância, cumpre os requisitos do RGPD e de outra legislação nacional que seja aplicável.
Continua a ser necessário afixar o aviso informativo? Sim. Os titulares dos dados têm o direito a ser informados sobre a utilização de sistemas de videovigilância. O aviso informativo deve respeitar o previsto no artigo 31.º, n.º 5, da Lei 34/2013, de 16 de maio.
Durante quanto tempo tenho de conservar as imagens de videovigilância? Em conformidade com a Lei 34/2013, de 16 de maio, deve conservar as imagens pelo período de 30 dias. Isto sem prejuízo de ser necessário manter as imagens por mais tempo, no âmbito de processo criminal em curso. |
Na mesma data foi publicada a Lei 59/2019, que aprovou as regras relativas ao tratamento de dados pessoais para efeitos de prevenção, deteção, investigação ou repressão de infrações penais ou de execução de sanções penais, transpondo para o Direito português a Diretiva (UE) 2016/680, de 27 de abril de 2016
