Como manter a conformidade com o RGPD durante a Covid-19

A Covid-19 criou desafios sem precedentes para as organizações em todo o mundo. Num curto espaço de tempo, as organizações tiveram de implementar rapidamente operações à distância, reagir com rapidez a novos riscos e adaptar processos, tudo isto mantendo a conformidade com o RGPD.

Devido à pandemia, as organizações estão agora a recolher e a tratar novos tipos de informação sobre as pessoas. Grande parte dessa informação enquadra-se nas categorias de «dados pessoais» e «categorias especiais de dados pessoais», estando ambas sujeitas a requisitos de conformidade rigorosos ao abrigo do RGPD.

A rápida transição para o teletrabalho também pôs em evidência a importância da proteção de dados, uma vez que os cibercriminosos procuram tirar partido da pandemia e usá-la como meio para lançar ataques direcionados. Estão constantemente a surgir novos riscos de cibersegurança, por isso é fundamental que as organizações implementem as medidas adequadas necessárias para manter a segurança de dados mais rigorosa exigida pelo RGPD.

O Gabinete do Comissário de Informação do Reino Unido (ICO) afirmou que compreende as dificuldades que as organizações estão a enfrentar neste momento e que vai adotar uma abordagem «razoável e pragmática» na aplicação das obrigações em matéria de proteção de dados. No entanto, deixaram bem claro que se espera, mesmo assim, que as organizações mantenham um bom nível de conformidade com o RGPD enquanto se adaptam a este novo ambiente de trabalho.

Para garantir que a tua organização continua a cumprir o RGPD durante a pandemia da Covid-19, preparámos uma série de medidas que podes tomar.

Dicas importantes para garantir a conformidade com o RGPD durante a Covid-19

1. Realizar uma Avaliação do Impacto na Proteção de Dados (DPIA)

Para cumprir o RGPD, tens de conseguir demonstrar que estás a cumprir requisitos adicionais de registo ao tratares dados sensíveis. Como as informações de saúde são classificadas como uma «categoria especial de dados pessoais», representam um risco mais elevado. Uma forma de demonstrar responsabilidade e garantir que estão em vigor as medidas adequadas para proteger estes dados é através de uma Avaliação de Impacto sobre a Proteção de Dados. As DPIA ajudam a identificar e minimizar os riscos relacionados com o tratamento de dados pessoais.

A DPIA deve indicar:

• A atividade que está a ser processada
• Os riscos relacionados com a proteção de dados
• Se a atividade é necessária e proporcionada
• Como é que o risco vai ser mitigado
• Confirmação de que as medidas de mitigação foram eficazes

A DPIA vai ser fundamental para comprovar a conformidade e reduzir os riscos relacionados com a proteção de dados na tua organização.

2. Recolhe e trata apenas o que for necessário

Ao abrigo do RGPD, as organizações têm de ter um motivo específico e legítimo para recolher e tratar dados pessoais. Os dados só podem ser usados para fins específicos e não podem ser tratados para qualquer outro fim, a menos que o titular dos dados tenha dado o seu consentimento explícito. Quaisquer dados recolhidos têm de se limitar apenas ao necessário para atingir esses fins específicos.

Isto significa que a tua organização deve avaliar e identificar os tipos de dados pessoais que é preciso tratar para garantir a segurança dos colaboradores. Por exemplo, é necessário fazer medições de temperatura quando os colaboradores entram no escritório? Os contactos de um colaborador com resultado positivo para a Covid-19 devem ser notificados? A tua organização não pode simplesmente recolher dados pessoais na esperança de que possam vir a ser úteis no futuro; tem de haver objetivos claros que justifiquem o tratamento desses dados. Se conseguires demonstrar que a tua abordagem é razoável, justa e proporcional às circunstâncias, é improvável que seja ilegal.

3. Sê transparente

Ao tratar dados pessoais, tens de ser aberto e honesto sobre o que estás a fazer com eles. Por exemplo, se a tua organização precisar de implementar testes aos colaboradores ou se tiveres de recolher dados para efeitos de rastreio de contactos, tens de ser transparente e disponibilizar determinadas informações a essas pessoas. Os colaboradores têm o direito de saber por que precisas destes dados, o que pretendes fazer com eles e com quem os vais partilhar.

É melhor ter esta informação por escrito num documento chamado «declaração de privacidade». A declaração de privacidade é um dos documentos essenciais que terás de apresentar se tratares dados pessoais, para cumprires o RGPD. Basicamente, explica como recolhes, tratas e usas os dados das pessoas. A tua declaração de privacidade atual pode já indicar quais as informações que podem ser recolhidas e tratadas durante uma crise de saúde, mas talvez seja preciso atualizá-la para refletir quaisquer novas atividades de tratamento de dados que estejam a ser realizadas durante a atual pandemia de Covid-19.

4. Mantém a informação segura

Quaisquer dados pessoais que tenhas na tua posse têm de ser guardados de forma segura e apenas durante o tempo que for necessário. Uma política de retenção vai ajudar a determinar quando é que as informações pessoais precisam de ser revistas, apagadas ou eliminadas. Os registos físicos devem ser guardados sob chave para evitar fugas de dados, e devem existir medidas de segurança adequadas para proteger os dados pessoais que estão armazenados digitalmente.

Apesar da rápida transição para o teletrabalho, a ICO afirmou que as organizações devem adotar o mesmo tipo de medidas de segurança que usariam em circunstâncias normais. Para evitar qualquer violação de dados pessoais e reduzir a probabilidade de um ciberataque dispendioso, é importante que mantenhas a segurança dos sistemas e do software e que te mantenhas atento às ameaças cibernéticas relacionadas com o coronavírus. Os colaboradores também vão precisar de ser informados sobre as ameaças em constante evolução e receber formação sobre como utilizar as novas ferramentas e processos de segurança que vão permitir um trabalho remoto seguro.

Além disso, as organizações continuam a ter a obrigação legal de comunicar quaisquer violações de dados pessoais à autoridade de controlo competente no prazo de 72 horas após a deteção.

5. Respeitar os direitos do titular dos dados

Apesar de estarmos a operar em circunstâncias excecionais, é fundamental que a tua organização informe as pessoas sobre os seus direitos no que diz respeito aos seus dados pessoais. O RGPD confere os seguintes direitos às pessoas:

• O direito à informação – As pessoas têm o direito de ser informadas sobre a recolha e a utilização dos seus dados pessoais.
• O direito de acesso – As pessoas têm o direito de aceder aos seus dados pessoais e a qualquer informação complementar. Podem pedir uma cópia de toda a informação que tenhas sobre elas, que deve ser fornecida gratuitamente e no prazo de um mês a contar da data em que o pedido for apresentado.
• O direito à retificação – As pessoas podem pedir que quaisquer dados pessoais incorretos sejam retificados.
• O direito ao apagamento – As pessoas podem pedir que os seus dados pessoais sejam apagados. O direito ao apagamento também é conhecido como o direito ao esquecimento.
• O direito de restringir o tratamento – Em determinadas circunstâncias, as pessoas podem pedir que o tratamento dos seus dados seja restringido. Quando o tratamento é restringido, podes guardar os dados pessoais dessas pessoas, mas não os podes utilizar.
• O direito à portabilidade dos dados – As pessoas podem obter e reutilizar os seus dados pessoais para os seus próprios fins noutros serviços.
• O direito de oposição – A menos que existam motivos legítimos para o tratamento dos dados pessoais de uma pessoa, esta mantém o direito de se opor a esse tratamento.
• Direitos relativos à tomada de decisões automatizada e à definição de perfis – O RGPD contém disposições sobre a tomada de decisões individuais automatizadas. Isto reduz o risco de serem tomadas decisões desfavoráveis sem intervenção humana.

Se a tua organização tiver implementado a verificação de sintomas ou a realização de testes, há requisitos adicionais que terás de cumprir. Estes incluem identificar uma base legal para a utilização das informações que recolhes e realizar uma avaliação de impacto na proteção de dados (DPIA) caso os dados de saúde estejam a ser tratados em grande escala.