Uma conhecida entidade da administração pública portuguesa está a violar, deliberadamente, o Regulamento Geral de Proteção de Dados (RGPD) desde a sua entrada em vigor em 2018. Apesar de o Encarregado de Proteção de Dados (EPD) ter entregado uma proposta formal da Política de Privacidade há mais de dois anos, o órgão dirigente recusa-se a aprová-la e a publicá-la, mantendo os titulares “às escuras” sobre o destino dos dados pessoais tratados. Todavia, o caso que chegou ao nosso conhecimento não é uma situação única.
O “Buraco Negro” da Transparência
Ao navegar pelo sítio institucional dessa entidade, há uma ausência que salta imediatamente à vista (e não precisa de ser especialista em Direito Digital): não existe uma política de privacidade publicada. Apenas um parágrafo genérico que “informa” que a instituição cumpre o RGPD.
Esta omissão não se deve a desconhecimento técnico ou à falta de recursos humanos. A autora deste artigo sabe que existe uma proposta final do documento que foi apresentada à direção “há mais de dois anos” pelo respetivo Encarregado de Proteção de Dados (EPD). Desde então, o documento repousa numa gaveta da liderança, acumulando poeira digital e sucessivos alertas formais que foram categoricamente ignorados.
O PRINCÍPIO VIOLADO
Alínea a) do n.º 1 do artigo 5.º do RGPD: “Os dados pessoais devem ser tratados de forma lícita, leal e transparente em relação ao titular dos dados.”
Alertas Ignorados e Inércia Consciente
A investigação apurou que a direção da entidade foi alertada por diversas vezes para a gravidade desta falha. Num Estado de Direito, as instituições públicas deveriam ser o exemplo máximo de cumprimento legal, em vez disso, assistimos neste caso (que, infelizmente, não é exemplo isolado) a uma postura de inércia consciente.
Ao travar a publicação do documento, a liderança da instituição assume o risco de expor a entidade a:
- Injunções e sanções por parte da Comissão Nacional de Proteção de Dados (CNPD).
- Processos judiciais de titulares que vejam os seus direitos de informação e oposição vedados.
- Uma crise grave de reputação institucional, num momento em que a cibersegurança e a privacidade pública estão sob escrutínio máximo.
A Quem Imputar as Culpas?
O Encarregado de Proteção de Dados (EPD) tem uma função de auditoria, consultoria e ligação. No caso vertente, o EPD cumpriu cabalmente as suas funções previstas no Artigo 39.º do regulamento ao redigir a proposta e sinalizar o perigo.
A responsabilidade pelo incumprimento recai, em exclusivo, sobre o órgão de gestão. O EPD propõe, mas é a direção que tem o poder — e a obrigação — de aprovar e publicar e a inação da liderança anula o esforço técnico e desprotege os cidadãos e cidadãs.
O que Esconde uma Política de Privacidade?
Para o/a titular dos dados, uma Política de Privacidade pode parecer apenas “jargão jurídico”, contudo, na verdade, ela é a única garantia de que o Estado não está a usar os seus dados de forma abusiva. Sem este documento publicado, os utentes desta entidade não sabem:
- Que dados estão a ser recolhidos (identificação, dados fiscais, dados sensíveis?);
- Qual a base legal para esse tratamento;
- Com quem partilham as informações (outros ministérios? Empresas subcontratadas?);
- Durante quanto tempo os dados ficam armazenados nos servidores públicos;
- Como exercer os direitos de acesso, retificação ou apagamento.
O Próximo Passo: A Queixa à CNPD
Esgotadas que foram as vias de diálogo interno e face ao silêncio reiterado por parte da direção, o caso está prestes a transitar para a esfera da fiscalização externa e uma denúncia formal detalhada está a ser preparada para dar entrada na Comissão Nacional de Proteção de Dados (CNPD) porque a transparência não é um ato de caridade da Administração Pública; é um dever constitucional e europeu. Manter a política de proteção de dados na gaveta é governar à margem da lei.