Módulo 1 · 1.2
O RGPD em resumo, para quem utiliza a cloud
Módulo 1: Porque escolher uma cloud europeia? · Tempo de leitura: 11 minutos
Objetivo de aprendizagem: Após esta lição, saberá identificar os papéis e as obrigações do RGPD relevantes quando utiliza um serviço de cloud, e explicar porque continua a ser responsável, mesmo quando os dados estão junto de terceiros.
Conceitos-chave: RGPD (GDPR), dados pessoais, tratamento, responsável pelo tratamento, subcontratante, subsubcontratante, princípios (art. 5.º), dever de responsabilização, contrato de subcontratação (art. 28.º), segurança (art. 32.º), transferência (capítulo V), Comissão Nacional de Proteção de Dados, coimas (art. 83.º)
Porque é que o RGPD entra agora em cena
O RGPD (Regulamento Geral sobre a Proteção de Dados, em inglês GDPR) é um regulamento europeu: Regulamento (UE) 2016/679. É aplicável diretamente em todos os países da UE desde 25 de maio de 2018. Na Holanda, a Autoridade para a Proteção de Dados (AP, Autoriteit Persoonsgegevens) exerce a supervisão; em cada outro país da UE existe uma autoridade de controlo própria (em Portugal, a Comissão Nacional de Proteção de Dados, CNPD).
Talvez pense que o RGPD é apenas para grandes empresas com bases de dados de clientes. Mas a Bakkerij De Korrel também está abrangida. Na caixa de correio existem encomendas com nomes, moradas e números de telefone. Nas pastas online existem horários, recibos de vencimento e uma cópia de um documento de identificação de um novo colaborador. Na agenda existem nomes de clientes associados a entregas. Tudo isto são dados pessoais: qualquer informação relativa a uma pessoa singular identificada ou identificável (art. 4.º, ponto 1). E guardar, enviar por correio eletrónico, partilhar e eliminar são todas formas de tratamento (art. 4.º, ponto 2).
Existe uma exceção: o que faz puramente a título privado, como as suas próprias fotografias de família, está fora do âmbito do RGPD (a chamada "exceção doméstica", art. 2.º, n.º 2, alínea c)). Assim que estiver em causa o seu trabalho, a sua empresa ou a sua associação, o RGPD aplica-se.
Isto é uma explicação, não é aconselhamento jurídico.
Três papéis: quem é quem?
| Papel | Significado (art. 4.º) | Na padaria |
|---|---|---|
| Responsável pelo tratamento | Determina as finalidades e os meios do tratamento dos dados pessoais (ponto 7) | Bakkerij De Korrel |
| Subcontratante | Trata os dados por conta do responsável (ponto 8) | O serviço de cloud onde ficam o correio eletrónico e os ficheiros |
| Subsubcontratante | Uma entidade que o subcontratante contrata por sua vez (art. 28.º, n.os 2 e 4) | O centro de dados, um departamento de apoio externo, um fornecedor de cópias de segurança |
A conclusão mais importante é esta: a responsabilidade não se transfere juntamente com os dados. A padaria continua a ser a responsável pelo tratamento, mesmo quando os dados estão alojados num serviço de cloud. Se o serviço de cloud assumir um compromisso e algo correr mal, a padaria tem de conseguir demonstrar que fez uma escolha ponderada e que formalizou boas condições contratuais. A isto chama-se dever de responsabilização (art. 5.º, n.º 2, e art. 24.º).
Atenção: um serviço de cloud nem sempre é apenas subcontratante. Se o fornecedor também utilizar os seus dados para fins próprios, como o desenvolvimento de produtos, publicidade ou o treino de sistemas próprios, então é ele próprio o responsável pelo tratamento relativamente a essa parte. Isto é um dos aspetos a verificar nas condições de utilização e no contrato de subcontratação (lição 9.2).
Os princípios relevantes para a cloud
O artigo 5.º enumera os princípios que qualquer tratamento deve respeitar. Para a escolha de um serviço de cloud, os mais importantes são:
- Limitação da finalidade: só utiliza os dados para a finalidade para a qual os obteve. Um serviço que utilize os dados dos seus clientes para fins próprios entra em conflito com este princípio.
- Minimização dos dados: não conservar mais do que o necessário. Uma mudança é um bom momento para arrumar (lição 3.2).
- Limitação da conservação: não conservar mais tempo do que o necessário. Pense em antigas cartas de candidatura numa caixa de correio.
- Integridade e confidencialidade: segurança adequada contra perda, furto e acesso não autorizado. Isto é desenvolvido no artigo 32.º: deve adotar medidas adequadas ao risco, como encriptação, gestão de acessos, recuperação após um incidente e testes regulares.
Quatro obrigações que encontra numa mudança
- Escolher um subcontratante que ofereça garantias suficientes (art. 28.º, n.º 1). Deve, portanto, verificar como o fornecedor assegura a segurança e onde trata os dados. Isto é feito no módulo 2.
- Celebrar um contrato de subcontratação (art. 28.º, n.º 3). Nele constam temas obrigatórios: o que é tratado, instruções, confidencialidade, segurança, subsubcontratantes, apoio em caso de violação de dados e o que acontece aos dados quando terminar o contrato. Isto é abordado na lição 9.2.
- Manter um registo das atividades de tratamento (art. 30.º). Uma lista dos seus tratamentos: que dados, para quê, com quem são partilhados, durante quanto tempo são conservados. Após uma mudança, atualiza os destinatários e o local de armazenamento (lição 9.3).
- Seguir as regras de transferência para fora do EEE (capítulo V, arts. 44.º a 49.º). Se os dados forem enviados para um país fora do Espaço Económico Europeu, isso só é permitido se esse país tiver um nível de proteção adequado (uma decisão de adequação, art. 45.º) ou mediante garantias adicionais, como cláusulas contratuais-tipo (art. 46.º). Este tema é abordado na lição 1.4.
O que acontece se algo correr mal?
Em caso de violação de dados pessoais (por exemplo, uma conta pirateada que contém dados de clientes), o responsável deve comunicá-la à autoridade de controlo no prazo de 72 horas, exceto se for pouco provável que a violação implique um risco (art. 33.º). O subcontratante deve informar o responsável "sem demora injustificada" (art. 33.º, n.º 2). Por isso, um bom contrato de subcontratação indica a rapidez com que o fornecedor o alerta.
A autoridade de controlo pode aplicar coimas. O montante máximo, para as infrações mais graves, é de 20 milhões de euros ou 4% do volume de negócios anual a nível mundial, consoante o que for mais elevado (art. 83.º, n.º 5). Para pequenas organizações, a coima raramente é o maior risco. O risco real são os danos causados a clientes e colaboradores, e a confiança que se perde.
Porque é que isto afeta a escolha da sua cloud
O RGPD não proíbe a utilização de serviços de cloud norte-americanos. No entanto, tem de conseguir explicar por que motivo a sua escolha é responsável: que dados, que riscos, que condições contratuais. Quanto mais sensíveis forem os dados (saúde, crianças, finanças, processos de pessoal), mais relevante é essa ponderação. Para uma padaria, a situação é simples; para um consultório de fisioterapia ou uma escola, pesa muito mais. Um serviço que esteja estabelecido no EEE, que trate os dados no EEE e que não tenha subsubcontratantes fora do EEE, torna essa ponderação bastante mais simples, porque as regras de transferência deixam de ser aplicáveis.
Na prática: como isto se apresenta junto de um fornecedor
Um fornecedor utilizado em contexto profissional deve dispor de um contrato de subcontratação e de uma lista de subsubcontratantes. No WebOké, as perguntas frequentes do manual do Nextcloud indicam que deve celebrar um contrato de subcontratação quando utiliza o Nextcloud em contexto profissional e nele armazena dados pessoais de terceiros. Junto de outros fornecedores, encontrará normalmente algo semelhante sob a designação "Contrato de subcontratação", "Data Processing Agreement (DPA)" ou nos documentos jurídicos no final do sítio web.
Resumo
- Mesmo uma pequena organização trata dados pessoais no correio eletrónico, na agenda e nos ficheiros, estando por isso sujeita ao RGPD.
- Você é o responsável pelo tratamento; o serviço de cloud é o subcontratante; os fornecedores deste são subsubcontratantes.
- A responsabilidade não se transfere: deve escolher um subcontratante com garantias suficientes e conseguir explicar essa escolha.
- Artigos importantes: 5.º (princípios), 28.º (subcontratante e contrato de subcontratação), 30.º (registo), 32.º (segurança), 33.º (violação de dados no prazo de 72 horas), 44.º a 49.º (transferência).
- Os dados que permanecem dentro do EEE tornam a ponderação mais simples, porque as regras de transferência deixam de ser aplicáveis.
Quiz
Exercício
Exercício E1.2: Os seus papéis e dados. Elabore uma lista breve dos dados pessoais que a sua organização tem na cloud (correio eletrónico, agenda, ficheiros, chat). Indique, para cada tipo, quem é o responsável, quem é o subcontratante, e se existem dados sensíveis envolvidos.
Exercício E1.2: As suas funções e dados
Não preencha nomes ou dados reais de pessoas, apenas tipos de dados.
As suas marcações e notas ficam apenas neste navegador; não as enviamos para lado nenhum. Se tiver sessão iniciada, guardamos em Os meus cursos apenas que concluiu o exercício.
Para saber mais
Os passos descritos nestes artigos aplicam-se aos serviços do WebOké; junto de outros fornecedores, o funcionamento é semelhante.
- Manual do Nextcloud 15.13: Perguntas frequentes sobre segurança e privacidade
- Manual do Nextcloud 3.1: Como é que a WebOké protege a sua Nextcloud?
- Regulamento (UE) 2016/679 (RGPD), artigos 4.º, 5.º, 24.º, 28.º, 30.º, 32.º, 33.º, 44.º a 49.º e 83.º, em EUR-Lex
- Autoridade para a Proteção de Dados (a autoridade de controlo neerlandesa), temas "Contrato de subcontratação" e "Comunicar uma violação de dados": https://www.autoriteitpersoonsgegevens.nl. Em Portugal, consulte a Comissão Nacional de Proteção de Dados (CNPD) para os temas equivalentes.