No atual contexto da sociedade da informação, marcado por uma célere transformação digital que a todos é transversal, independentemente da geografia, os dados pessoais são ativos de valor imensurável e cada vez mais valorizados e procurados pelos agentes económicos.

Considerando a infinidade de informações que podem ser estabelecidas a partir do seu tratamento, revela-se, por conseguinte, necessário reforçar a proteção dos direitos dos seus titulares.

Na Europa, o Regulamento Geral de Proteção de Dados (RGPD) constitui o “marco legislativo”, aplicável a todos os Estados-membros da União Europeia desde 25 de maio de 2018, e isto sem prejuízo de legislação nacional que o possa complementar, como é o caso da Lei n.º 58/2019, de 8 de agosto, que assegura a execução do RGPD na ordem jurídica portuguesa.

O RGPD veio mudar o paradigma da proteção de dados pessoais, que deixou de assentar num modelo de heterorregulação, fortemente marcado por um papel preventivo da autoridade de controlo, para um modelo de autorregulação, em que as entidades que procedem à recolha e tratamento de dados pessoais têm, de forma proativa, atuar em conformidade com o RGPD.

Ou seja, o RGPD transfere o ónus da conformidade para as organizações, mas não basta, todavia, atuar em conformidade. É ainda necessário demonstrá-la, (pense, por exemplo, em caso de inspeção pela autoridade de controlo), o que traduz no princípio de “prestação de contas” (“accountability”).

Por outro lado, a nível do regime sancionatório, o RGPD introduziu um cunho fortemente dissuasor, ao prever a aplicação de avultadas sanções pecuniárias (de natureza administrativa), que podem atingir valores máximos de 20 milhões de Euros ou 4% do volume de negócios do infrator a nível mundial. A Lei n.º 58/2019 distingue, todavia, os montantes de coimas, consoante o transgressor seja uma pessoa singular, uma pequena, média ou grande empresa.

Com efeito, a par da mudança de paradigma, o RGPD pretende ser implacável a nível sancionatório e como prova, estão as sanções financeiras aplicadas pelas autoridades de controlo da União Europeia, por exemplo, ao Facebook, à cadeia de hotéis Marriot, a operadores de comunicações eletrónicas, entre outros.

Em Portugal, embora a aplicação de sanções seja mais retraída, a autoridade de controlo não tem poupado as violações mais graves, em particular, no âmbito da Administração pública, com a aplicação de severas sanções financeiras a um grupo hospitalar (por acesso indevido a dados do sistema de saúde), a dois municípios (por comunicação de dados a terceiros e falta de designação do Encarregado de Proteção de Dados) e mais recentemente ao Instituto Nacional de Estatística (por violação das regras de transferências internacionais).

A Comissão Nacional de Proteção de Dados (CNPD) é a autoridade nacional de controlo e tem por atributo, controlar e fiscalizar o cumprimento do RGPD e da legislação nacional em matéria de proteção de dados pessoais, a fim de defender os direitos, liberdades e garantias das pessoas singulares no âmbito dos tratamentos de dados pessoais.

A CNPD desenvolve a sua atividade em dois planos fundamentais: (i) a orientação prévia e de sensibilização e (ii) a fiscalização (sucessiva) dos tratamentos de dados pessoais, dispondo para o efeito de poderes de autoridade corretivos e sancionatórios.

De acordo com dados recentemente divulgados, no ano de 2022, a CNPD aplicou coimas, no valor total de 4.802.000 Euros, a maior parte das quais por envio de marketing - violação das regras legais (spam) – ao abrigo da legislação sobre a privacidade nas comunicações eletrónicas – e as demais ao abrigo do RGPD.

Para além de sanções pecuniárias, a CNPD também pode aplicar medidas corretivas e, em sede de infrações específicas, realizar advertências, o que, aliás, se tem verificado, de forma crescente, desde 2020.

Em situações mais graves, em particular quando está em causa a prática de crimes, ou de sanções de montante superior a 100 mil Euros, pode ainda ser determinada a publicidade da condenação, com repercussões ao nível da imagem e reputação das entidades infratoras.

No Brasil, coube a Lei Geral de Proteção de Dados (LGPD) a tutela do direito fundamental à proteção de dados pessoais, trazendo no seu conteúdo o regime sancionatório aplicável a quem realizar o tratamento de dados em desconformidade com as suas disposições.

As coimas vêm dispostas no referido diploma, contudo, a regulamentação do regime que permitem as suas finalidades, foram recentemente divulgadas pela Autoridade Nacional de Proteção de Dados brasileira (ANPD), a 27 de fevereiro de 2023 – Resolução CD/ANPD nº 4.

A publicação desta Resolução era aguardada com grande expetativa, sobretudo, pelos agentes que tratam dos dados pessoais; visto que a ANPD já tinha iniciado, em 2022, um conjunto de procedimentos de fiscalização, mas não existia clareza e segurança jurídica quanto às sanções aplicáveis.

As penalidades administrativas previstas na Resolução são: advertência, multa simples, multa diária, publicitação da infração, bloqueio e eliminação dos dados pessoais, suspensão parcial do funcionamento do banco de dados (até que regularizada a desconformidade identificada), suspensão da atividade de tratamento de dados pessoais e a proibição parcial ou total do exercício de atividades relacionadas ao tratamento desses dados.

Além disso, verifica-se a importante preocupação do regulador quanto à aplicação dos critérios e parâmetros a serem adotados na imposição das sanções, denotando elevado apreço pela proporcionalidade e razoabilidade que deverão nortear o procedimento sancionatório.

Desse modo, deverá ser considerada – para a aplicação das medidas sancionatórias – o seguinte: a gravidade das infrações e dos direitos pessoais atingidos; a vantagem consumada ou pretendida pelo agente responsável pelo tratamento irregular; ainda, a sua condição económica, o grau do dano promovido pelo comportamento em desconformidade com a LGPD, bem como a intensidade da multa, entre outras.

A Resolução classifica as infrações em leves, médias ou graves, tendo em conta a gravidade, a natureza e os direitos pessoais afetados. As infrações serão consideradas médias quando atingirem interesses e direitos fundamentais dos titulares, revelando na limitação de; ou impedimento dos exercícios de direitos, fruição de serviços ou proporcionar danos materiais ou morais a estes (como, discriminação, violação da integridade física, dissimulação de imagem ou reputação, fraudes financeiras ou uso indevido de identidade), desde que não se enquadrem como infrações reconhecidas como graves.

Neste último caso, para que a infração seja classificada como grave – além de possuir um dos itens acima referidos, a ação a reprimir deverá estar inserida numa das seguintes condições: envolvimento do tratamento de dados pessoais em larga escala; o agente auferir ou pretender uma vantagem económica decorrente da infração praticada; conduta que implique risco à vida do titular dos dados; infração que envolva o tratamento de dados sensíveis ou dados pessoais de crianças, adolescentes ou idosos; agente que realizar o tratamento de dados pessoais sem amparo nas bases legais da LGPD; conduta que vise o tratamento com efeitos discriminatórios ilícitos ou abusivos; adoção de práticas sistemáticas irregulares pelo transgressor e, por fim, a conduta irregular constituir-se em obstrução à fiscalização.

Por exclusão, serão consideradas leves as infrações que não incorram em qualquer uma das disposições tidas como médias ou graves como acima exposto.

No último dia 31 de maio, a ANPD divulgou uma nova relação de processos fiscais sob a sua análise: no total de 16 processos, indicando as 27 organizações que estão no centro dessas investigações. Todos, até momento, sem decisão; mas, tendo em conta os últimos acontecimentos, já se percebe um acréscimo da maturidade regulatória brasileira.

Em suma, realizando uma interpretação sistemática e tendo em conta o regime geral proteção de dados (LGPD/RGPD), é inequívoca a intenção dos legisladores em proteger as informações dos titulares de dados pessoais.

É, por isso, de realçar a importância  fundamental da adoção pelas entidades que procedem ao tratamento de dados pessoais de efetivas ações e comprovados mecanismos capazes de mitigar os danos para os titulares de dados, o que se deve traduzir na promoção de boas práticas e de adequado controlo digital, na procura de uma justa medida para que tudo ocorra sem a criação injustificada de barreiras ao imprescindível desenvolvimento económico. Esta situação é transversal a Portugal e ao Brasil.

Assim, é importante implementar um sistema de gestão de Compliance personalizado à realidade das atividades desenvolvidas por cada organização. Isto, para que – de um lado – se garanta a observação dos direitos dos titulares de dados pessoais e – por outro – se proporcione maior previsibilidade, segurança jurídica e tranquilidade para o desejável crescimento dos negócios nos diversos mercados nacionais.

De acordo com o Decreto-Lei n.º 38/2023, de 29 de maio (“DL 38/2023”), o Estado irá, através da ESTAMO – Participações Imobiliárias, S.A. (“ESTAMO”), identificar os imóveis disponíveis no mercado para arrendamento, atestar as respetivas condições de habitabilidade e negociar com os proprietários as condições do seu arrendamento.

Por seu turno, o Instituto da Habitação e Reabilitação Urbana, I.P. (“IHRU”) assumirá a posição de arrendatário nesses contratos de arrendamento, promoverá o sorteio dos candidatos para posterior atribuição dos imóveis em regime de subarrendamento, assegurará a gestão dos contratos de arrendamento e subarrendamento celebrados, incluindo inspeções e obras de reparação, com possibilidade de delegação nas câmaras municipais e juntas de freguesia, e pagará as comissões a que haja lugar, incluindo as devidas a empresas de mediação imobiliária.

A duração dos contratos de arrendamento não poderá ser inferior a 3 anos e o preço de renda a pagar pelo IHRU não deverá ultrapassar 30% do limite geral de preço de renda por tipologia em função do concelho onde se localiza o imóvel previsto no Programa de Arrendamento Acessível aprovado pelo Decreto-Lei n.º 68/2019, de 22 de maio, salvo se os proprietários forem entidades públicas caso em que este limite não será aplicável.

O IHRU garante o pagamento pontual das rendas aos proprietários (não se especificando, porém, a forma dessa garantia) e a entrega, no termo do contrato de arrendamento, dos imóveis nas mesmas condições em que os recebe. Os rendimentos prediais resultantes de contratos de arrendamento celebrados neste âmbito estarão isentos de tributação em IRS e IRC nos termos previstos no Programa de Arrendamento Acessível.

Na posterior atribuição dos imóveis através de subarrendamento destinado a habitação permanente, serão elegíveis os agregados familiares ou habitacionais cujo rendimento anual bruto máximo seja igual ou inferior ao limite máximo do sexto escalão da tabela prevista do n.º 1 do artigo 68.º do Código do IRS, acrescido de €10.000 para agregados de duas pessoas e acrescido de €5.000 por cada pessoa adicional,.

O DL 38/2023 alterou, também, diversos outros diplomas na área da habitação, em particular, no âmbito do arrendamento. Destacamos, entre outras, as seguintes alterações:

1. Regime jurídico que regula a realização do inventário do património do Estado com aptidão para uso habitacional (Decreto-Lei n.º 82/2020, de 2 de outubro):os imóveis devolutos ou disponíveis de uso habitacional ou cujas condições e caraterísticas permitam a sua afetação a uso habitacional passam a integrar o inventário do património do Estado e o IRHU passa a poder dar esses imóveis em arrendamento de longa duração (não inferior a 10 anos), ficando as obras de conservação e/ou reabilitação a cargo do arrendatário, caso em que o pagamento da renda mensal apenas será devido depois de concluídas as referidas obras. O IRHU deverá ainda acompanhar as obras em causas e validar o seu custo final.

2. Regime Jurídico do Património Imobiliário Público (Decreto-Lei n.º 280/2007, de 7 de agosto): a regularização matricial e registal de imóveis do Estado construídos antes da entrada em vigor do Regime Jurídico da Urbanização e Edificação e destinados a arrendamento em regimes de renda de cariz social, passa a estar dispensada da apresentação de documentos que comprovem terem sido realizados processos urbanísticos de controlo prévio, como por exemplo, loteamentos ou obras de urbanização. Caso se pretenda constituir propriedade horizontal, caberá à entidade proprietária (e não aos municípios) declarar que os respetivos requisitos legais se encontram cumpridos. Este regime simplificado será igualmente aplicável a imóveis pertencentes aos municípios.

3. Programa de Arrendamento Acessível (Decreto-Lei n.º 68/2019, de 22 de maio): o enquadramento de contratos no Programa de Arrendamento Acessível passa a ser automático através da submissão dos comprovativos do cumprimento dos requisitos aplicáveis na plataforma eletrónica do IHRU, sem prejuízo da possibilidade do IHRU realizar auditorias posteriormente para verificação da conformidade dos contratos celebrados.

4. Programa de apoio financeiro “Porta 65” (Decreto-Lei n.º 308/2007, de 3 de setembro): para além de alterações ao programa “Porta 65” já existente, é criado um novo programa, o “Porta 65+” destinado ao apoio ao arrendamento, independentemente da idade dos candidatos, por agregados com quebra de rendimentos superior a 20% face aos rendimentos dos três meses precedentes ou do mesmo período homólogo do ano anterior e por agregados monoparentais, mediante a concessão de uma subvenção mensal.

O DL 38/2023 está em vigor desde o dia 30 de maio de 2023, com exceção das alterações ao Programa “Porta 65”, as quais entraram em vigor no dia 1 de junho último.

A Comissão Nacional de Proteção de Dados (“CNPD”) emitiu duas recentes orientações sobre o acesso a dados pessoais detidos por entidade pública na qualidade de subcontratante e a disponibilização de dados pessoais tratados no âmbito de procedimentos administrativo.

1. ACESSO A DADOS PESSOAIS DETIDOS POR ENTIDADE PÚBLICA NA QUALIDADE DE SUBCONTRATANTE

A Orientação, esclarece as condições em que um terceiro pode aceder a dados pessoais detidos por entidade pública que seja subcontratante.

Os subcontratantes, nos termos do Regulamento Geral de Proteção de Dados, apenas podem realizar operações sobre dados pessoais no seguimento de instruções do responsável pelo tratamento dos dados. A disponibilização de dados pessoais a terceiros é, para todos os efeitos, uma operação de tratamento, pelo que o subcontratante apenas a pode realizar mediante autorização ou instrução do responsável pelo tratamento.

Precisamente, é ao responsável pelo tratamento que cabe fazer a ponderação entre os direitos do titular dos dados e os interesses subjacentes ao pedido de acesso; pois é a ele que cabe manter o controlo sobre os dados pessoais e garantir os direitos do titular dos dados pessoais. O subcontratante deve, apenas, auxiliar o responsável pelo tratamento no cumprimento das suas obrigações.

Refere a CNPD que o dever do responsável pelo tratamento de dar acesso aos dados pessoais e, consequentemente, a documentos administrativos que contenham esses dados (os chamados “documentos nominativos”), não conflitua com a finalidade da Lei de Acesso aos Documentos Administrativos, mais do que isso assegura o cumprimento das exigências de proteção de dados pessoais, uma vez que o responsável pode e deve instruir o subcontratante a cumprir o disposto na Lei de Acesso aos Documentos Administrativos.

O acesso a dados pessoais detidos por subcontratantes pode não assegurar a finalidade do acesso, e os princípios da exatidão dos dados pessoais e da transparência administrativa, uma vez que não há garantia de que os dados pessoais detidos pelo subcontratante, e que sejam pertinentes para a finalidade do acesso, são atualizados ou completos, visto que o dever de manter os dados atualizados e completos cabe ao responsável pelo tratamento,

A CNPD considera que a entidade administrativa responsável pelo tratamento deve garantir o acesso a documentos nominativos e não o subcontratante, que apenas pode conceder acesso mediante autorização ou instruções específicas do responsável.

Contudo, a situação torna-se mais complexa nos casos em que a informação a aceder não seja da responsabilidade exclusiva de uma única entidade (v.g. casos em que um subcontratante trabalha para mais de um responsável pelo tratamento e os casos em que a informação a aceder depende da combinação de dados pessoais pelos quais mais de uma entidade administrativa ou entidade pública é responsável).

Aqui importa distinguir duas hipóteses:

(a) Se os responsáveis tiverem finalidades distintas e não diretamente relacionadas, o subcontratante não pode combinar os dados pessoais para garantir o acesso à informação, pois isso constituiria uma operação autónoma de tratamento, assente na reutilização de dados para uma finalidade diferente da que justificou sua coleta, o que é proibido para o subcontratante; e

(b) No caso de a finalidade do tratamento ser a mesma ou estarem diretamente relacionadas, o subcontratante pode combinar dados provenientes de responsáveis distintos, para fornecer informações a terceiros. No entanto, o subcontratante deve obter autorização por parte de cada um dos responsáveis envolvidos. Mais ainda, cada responsável deve informar os titulares dos dados, complementando as informações iniciais, especificando para quem os dados pessoais foram ou serão disponibilizados (já que os destinatários específicos são conhecidos), conforme decidido recentemente pelo TJUE. De qualquer forma, é importante ressaltar que não existe a obrigação da entidade fornecer os dados se isso resultar na criação de um novo documento e exigir um esforço desproporcional.

2. DISPONIBILIZAÇÃO DE DADOS PESSOAIS TRATADOS NO ÂMBITO DE PROCEDIMENTOS ADMINISTRATIVOS

A Orientação da CNPD esclarece quais as condições em que a um terceiro podem ser disponibilizados dados pessoais no âmbito de procedimentos administrativos, designadamente procedimentos pré-contratuais, e em especial sobre as condições de disponibilização dos dados pessoais.

2.1 Disponibilização a terceiros interessados no procedimento

O requerente, ao se constituir como “interessado” num procedimento administrativo, pode aceder a todas as informações do procedimento, de modo a defender os seus direitos e interesses, e garantir o respeito pelos princípios gerais do direito administrativo no decorrer do processo, especialmente os princípios da imparcialidade e igualdade. A mesma situação acontece sempre que a informação tenha subjacente dados pessoais suscetíveis de identificar um determinado indivíduo.

Permite-se que terceiros possam ter acesso a esses dados se nisso tiverem um “interesse legítimo” sem necessidade do consentimento do titular dos dados e sem que isso ponha em causa os direitos dos titulares dos dados, designadamente por não estarem em causa informações suscetíveis de revelar aspetos privados da vida das pessoas ou que envolvam indivíduos em situações de especial vulnerabilidade. Mesmo que a informação inclua categorias de dados especialmente protegidos, ainda pode permitir o tratamento desses dados caso a finalidade da operação for a defesa ou garantia do direito de acesso à justiça.

Contudo, a CNPD recomenda que, em conformidade com os princípios da proporcionalidade e minimização de dados pessoais estabelecidos, sejam removidos os dados não relevantes para a tomada de decisão ou para o cumprimento dos requisitos normativos, devendo, por isso, ser compartilhadas, apenas, os dados relevantes.

A CNPD apresenta alguns exemplos práticos que permitem compreender a importância da transmissão de dados a terceiros:

(i) Procedimento administrativo concursal de recrutamento/procedimento de avaliação de desempenho

Nas duas situações é necessária a disponibilização aos interessados, para efeitos da sua audiência, de todos os documentos do procedimento que sejam relevantes na ponderação para efeito de admissão ou procedimento de ordenação final dos candidatos. Ou seja, para satisfazer a finalidade visada é necessário o conhecimento pelos interessados dos elementos curriculares relevantes para a admissão e avaliação, respeitando a disponibilização de tais dados pessoais o princípio da minimização dos dados pessoais (artigo 5.º, n.º 1, alínea c) do RGPD).

No entanto, caso os documentos a facultar contenham dados referentes aos contactos e morada dos candidatos, os mesmos devem ser expurgados previamente à disponibilização aos candidatos.

Relativamente aos dados de identificação dos candidatos, a CNPD entende que nos processos de recrutamento devem ser objeto ab initio de pseudonimização não havendo necessidade da sua utilização para garantir a audiência dos interessados.

Entendimento oposto tem sido tomado pela CNPD relativamente à disponibilização dos dados de identificação (nome) nos procedimentos de avaliação/promoção. Nessas situações os mesmos são considerados necessários sob pena de comprometer a comparação da avaliação realizada, para efeito de aplicação do princípio da igualdade, devendo o direito à proteção de dados ser cumprido.

(ii) Procedimentos pré-contratuais

Nos procedimentos pré-contratuais deve sempre garantir-se que a consulta pelos interessados diretos no procedimento deve ser feita depois da ocultação dos dados que não são relevantes para o preenchimento dos pressupostos normativos da decisão nem para o preenchimento dos fatores de avaliação e ordenação dos candidatos ou concorrentes, o que implica a ocultação ou remoção dos dados relativos à morada, contactos e número de identificação dos candidatos ou concorrentes (pessoas singulares).

(iii) Procedimentos administrativos realizados em plataformas digitais

Sempre que os procedimentos administrativos se realizem em plataformas digitais, estas devem permitir a ocultação automática dos dados não pertinentes nem necessários aos interessados na consulta do procedimento, nos termos do artigo 25.º do RGPD.

2.2.  Disponibilização a terceiros não participantes no procedimento

À disponibilização de dados pessoais a terceiros não participantes no procedimento, que corresponde ao acesso a documentos administrativos nominativos que não sejam regulados pelo Código de Procedimento Administrativo, aplica-se a legislação específica sobre o tema (Lei n.º 26/2016, de 22 de agosto, na sua redação atual – Lei de Acesso a Documentos Administrativos, LADA).

No entanto, a informação relativa a pessoas singulares constantes dos documentos administrativos, apesar da sua natureza profissional ou funcional, não deixa de integrar o conceito de “dados pessoais”, nem afasta a proteção legal conferida pelo referido diploma.

Assim, o acesso a esses dados a terceiros é permitido, ainda que com restrições: o artigo 6.º, n.º 5 da LADA condiciona o acesso a documentos nominativos à existência de prévio consentimento dos titulares dos dados ou à demonstração fundamentada, pelo terceiro de que é titular de um interesse direto, pessoal, legítimo e constitucionalmente protegido suficientemente relevante, que justifique o acesso à informação.

O responsável pelo tratamento deve considerar, no âmbito da sua análise, os riscos associados à reutilização dos dados, pelo que devem ser expurgados todos os dados pessoais não diretamente pertinentes para a satisfação do interesse legítimo do terceiro, tal como deve avaliar se as vantagens decorrentes do acesso por terceiro compensam, nomeadamente, a exposição da vida privada dos titulares dos dados.

Caso o terceiro que pretende conhecer os dados detidos por entidades públicas não invoque qualquer interesse direto, pessoal e legítimo no acesso, a falta destas indicações apenas será suprida presumindo estar em causa, não um direito de acesso a documentos administrativos, mas um interesse de controlo democrático da atividade publica, o qual deve ser ponderado à luz do princípio da proporcionalidade com os direitos do titular ou titulares dos dados pessoais (artigo 6.º, n.º 9 da LADA).

A CNPD entende, em suma, que o acesso a documentos nominativos, de acordo com a noção que consta da LADA, depende da invocação e demonstração de um interesse direto, pessoal, legítimo e constitucionalmente protegido suficientemente relevante, sem o qual o responsável pelo tratamento, não tem como fazer a ponderação necessária legalmente. No limite ao abrigo do artigo 5.º, n.º 9 já referido, pode presumir-se que está em causa um interesse no escrutínio democrático da atividade administrativa.

É ainda entendimento da CNPD que sempre que a entidade administrativa conclua pela disponibilização de documentos administrativos com dados pessoais a terceiros tem de cumprir certas obrigações, nomeadamente:

(a) Orientar-se pelos princípios da proporcionalidade, da minimização e da segurança dos dados pessoais na decisão sobre o meio de disponibilização dos documentos administrativos com os dados pessoais;

(b) Adotar medidas técnicas que garantam a integridade e confidencialidade dos dados pessoais;

(c) Informar o terceiro a quem concede o acesso que qualquer ulterior comunicação ou divulgação de dados pessoais obedece ao regime previsto no RGPD, passando a assumir a qualidade de responsável pelo tratamento dos dados pessoais;

(d) Reforço da informação referida na alínea anterior quando em causa estejam documentos com dados relativos à vida privada de terceiros, pelo impacto que a sua disponibilização pode ter sobre os direitos fundamentais das pessoas;

(e) Informar o titular dos dados da identidade daquele a quem em concreto disponibilizou os dados.