Protecção de dados regista máximos de coimas, violações de dados e processos de averiguações em 2021

 in Público

Num total de 60 coimas sobressai a aplicada à Câmara Municipal de Lisboa no caso do envio de dados de activistas às autoridades russas.

Quatro anos após a entrada em vigor do Regulamento Geral sobre a Protecção de Dados (RGPD), a Comissão Nacional de Protecção de Dados (CNPD) registou em 2021 máximos de processos de averiguações, violações de dados e coimas. O maior aumento ocorreu nas coimas.

No ano passado, houve 60, num valor total de 1,49 milhões de euros, incluindo as sanções aplicadas ao abrigo do RGPD e da lei da privacidade nas comunicações electrónicas, onde se enquadram as normas relativas ao spam e às gravações de chamadas. Do total sobressai a aplicada à Câmara Municipal de Lisboa no caso do envio de dados de activistas às autoridades russas, no valor de 1,25 milhões de euros.

Em 2020, só foram aplicadas 15 coimas, no valor de 47 mil euros. Em 2019, houve 34 multas, num valor de cerca de 600 mil euros, sendo que sete destas sanções dizem respeito a infracções ao RGPD (410 mil euros) e as restantes à legislação anterior. Já no ano 2018, ano em que a RGPD entrou em vigor, a CNPD aplicou 22 coimas, que ascenderam a 408 mil euros.

Somando a actividade sancionatória da CNPD desde a vigência do RGPD, verifica-se um total de 131 coimas. Estas originaram mais de 2,54 milhões de euros.

No que toca a notificações de violação de dados pessoais, a autoridade reguladora presidida por Filipa Calvão registou um total de 318 no ano passado, ao abrigo do RGPD, 250 das quais no sector privado e 68 no sector público. Entre os privados, a maior prevalência ocorreu na área de comércio e serviços (78 notificações), seguindo-se a banca e seguros (42); no sector público destacaram-se os incidentes na administração local (27) e no ensino superior (24).

Quanto à origem dos incidentes de segurança, surge em primeiro lugar “falha humana”, com 77 notificações; em segundo lugar, “ransomware”, com 70. O phishing motivou 38 incidentes notificados. Houve ainda 32 que se deveram a falhas aplicacionais, explicou a CNPD, acrescentando que “o princípio da confidencialidade dos dados foi o mais comprometido”, com 249 casos, à frente do princípio da disponibilidade (86) e do princípio da integridade (64), embora um incidente possa afectar mais do que um princípio em simultâneo.

As 318 violações de dados pessoais em 2021 tiveram também um aumento relativamente às 301 notificadas em 2020, às 240 de 2019 e às 161 entre 25 de Maio e 31 de Dezembro de 2018. No cômputo geral deste período pós-RGPD, contabilizam-se 1.020 notificações de violação de dados pessoais.

Paralelamente, foram abertos 1.232 processos de averiguações em 2021, entre os quais estão investigações por iniciativa própria da CNPD e denúncias de outras entidades, como PSP, GNR, ASAE, Ministério Público (MP) ou Autoridade para as Condições do Trabalho (ACT). O número marca um aumento de 11,6% face aos 1.104 processos de 2020 e é ainda superior aos registos de 2019 (936) e do período de vigência do RGPD em 2018 (610), resultando num total de 3882 ao longo destes anos. Estes processos abrangem não só situações cobertas pelo RGPD, mas também por qualquer legislação em matéria de protecção de dados pessoais, em particular no sector das comunicações electrónicas e no sector policial.

Em relação a pedidos de parecer sobre projectos de diploma, regulamentos, protocolos ou sistemas de videovigilância - quer na esfera do RGPD, quer da lei de protecção de dados para efeitos de investigação criminal e repressão de infracções penais -, a CNPD recebeu 135 pedidos em 2021. Mais do que foi registado em 2020 (105), 2019 (81) ou 2018 (29), o que perfaz 350 pedidos após Maio de 2018.

Por último, a autoridade administrativa revelou que até sexta-feira estavam registados 4397 encarregados de protecção de dados (EPD). Desses, 813 em funções em entidades públicas e 3584 em entidades privadas, contra 3620 EPD activos no final de 2020 e 3104 que tinham sido notificados à CNPD em 2019.

A protecção de dados pessoais ganhou outra força com a aplicação do RGPD após 25 de Maio de 2018, sensivelmente dois anos depois da aprovação no Parlamento Europeu e no Conselho Europeu. Entre as principais mudanças esteve a imposição de avultadas sanções financeiras que, no limite, podem atingir para as contra-ordenações muito graves os 20 milhões de euros ou 4% do volume de negócios anual a nível mundial dos infractores, consoante o valor que seja mais elevado.

“Os negócios gerados em torno dos dados pessoais são o novo petróleo”

<Filipa Guimarães, in público on-line

A jurista e coordenadora do primeiro mestrado em cibersegurança em Portugal, na Faculdade de Direito da Universidade de Lisboa, fala das dificuldades em legislar num mundo onde reina o anonimato e o crime não conhece fronteiras. A especialista antevê ainda os desafios que se avizinham para Portugal com a transposição da Directiva NIS, legislação da UE que tentará impor requisitos de segurança mais apertados no ciberespaço.

No dia 25 de Maio deste ano, Portugal terá de mostrar se está preparado para a nova configuração jurídica da União Europeia no que se refere ao ciberespaço. Nessa data, é transposta a Directiva NIS (Network and Information Security), relativa à segurança das redes e da informação, adoptada pelo Parlamento Europeu em 2015. Os especialistas consideram que este vai ser um grande teste à harmonização das legislações dos países da UE em relação à cibersegurança. A colaboração dos Estados-membros será determinante, mas a empreitada não é fácil nem está livre de polémicas. Raquel Alexandra Brízida Castro, professora da Faculdade de Direito da Universidade de Lisboa e coordenadora científica do primeiro mestrado em cibersegurança em Portugal, explicou ao P2 as linhas gerais do que estará em causa nos próximos tempos.

É correcto pensarmos que as questões ligadas ao ciberespaço são um assunto de uma só responsabilidade, designadamente, do poder legislativo?
A regulação, legislativa ou administrativa, do ciberespaço é uma missão difícil, mas já não é considerada impossível. Mais do que ser um palco de condutas em total liberdade, o ciberespaço é para mim, em termos muito genéricos e em primeiro lugar, um cenário onde deve existir a máxima liberdade possível, mas com a máxima responsabilidade. No entanto, a partir do momento em que existe a susceptibilidade de lesão de direitos, liberdades e garantias, o Estado deve intervir, na medida do possível. Ou seja, o direito, a política e a tecnologia devem aliar-se no sentido da protecção dos direitos fundamentais, através dos instrumentos jurídico-normativos internacionais e nacionais aplicáveis, designadamente e, antes de mais, a Constituição. Convém, no entanto, referir que os problemas do ciberespaço podem não ter motivações erradas ou criminosas, resultando antes da falta de consciência ou de conhecimento de regras básicas de higiene digital.

Os ciberataques feitos às grandes empresas ou às administrações públicas acontecem numa base diária. No entanto, só muito poucos são conhecidos das pessoas, que também podem ser utentes ou utilizadoras desses “territórios”. Quais são as razões para que isto aconteça? E que fragilidades denunciam?
Quando esses ciberataques assumem uma dimensão relevante, quase sempre chegam ao conhecimento das pessoas. Embora a informação que chega seja, quase sempre, parcial…. No entanto, na maioria dos casos, não interessa que essa informação seja divulgada, precisamente porque escancara fragilidades que causam, no mínimo, embaraço. Com a transposição da Directiva NIS, as empresas qualificadas como operadores de serviços essenciais e prestadores de serviço digitais vão ter de cumprir requisitos apertados de segurança informática, bem como deveres de notificação do Estado, caso ocorra um ciberataque. A responsabilidade de zelar pela segurança das redes vai recair, em grande medida, sobre as empresas e as entidades gestoras de infra-estruturas críticas e serviços essenciais, que deverão implementar programas para criar uma cultura de gestão e prevenção de riscos e ataques, bem como de reacção aos mesmos.

Portugal está tão preparado para um ataque informático como outro Estado-membro?
Sou jurista e não sei responder a esta pergunta. O que sei é que não existem sistemas 100% seguros. Nem em Portugal nem em qualquer outro Estado-membro.

Os próximos meses vão ser decisivos para uma maior fiabilidade e segurança na Internet?
A elaboração de uma Lei da Cibersegurança, de transposição da Directiva NIS, constitui uma oportunidade irrepetível de gerar e estimular uma consciência colectiva dos problemas da segurança do ciberespaço e da cibersegurança. A partilha de preocupações é, a meu ver, o instrumento mais eficaz de esclarecimento dos cidadãos e das empresas sobre o verdadeiro alcance das ciberameaças e, reflexamente, da relevância da segurança das redes e da informação no ciberespaço. Na minha opinião, uma futura lei de cibersegurança deverá ser clara na definição dos deveres das empresas e deve responsabilizar a Autoridade de Cibersegurança densificando legalmente os critérios objectivos da sua actuação.

De quem é o problema da segurança (ou falta dela) do ciberespaço?
O ciberespaço é um recurso global, cujo controlo dificilmente pode ser reclamado por um Estado. No ciberespaço existem dificuldades acrescidas de regulação por causa da facilidade de recurso ao anonimato e dos problemas de jurisdição e extraterritorialidade das condutas susceptíveis de lesar direitos fundamentais.

A privacidade acabou mesmo? Ou está nas mãos de quem não sabemos, para fins que desconhecemos?
Quando se fala em privacidade, normalmente podemos referir-nos a duas dimensões diferentes: uma é a privacidade no sentido de evitar ingerências do Estado na reserva da vida privada, através, por exemplo da garantia do sigilo das comunicações, outra diz respeito ao controlo que cada indivíduo tem ou pode ter sobre os seus dados pessoais. Diz-se que os negócios gerados em torno dos dados pessoais são o novo petróleo… Não sei se a privacidade acabou mesmo, espero que não. O que sei é que temos de caminhar, gradualmente, para uma situação em que cada pessoa tenha a plena consciência da sua pegada digital e formas de garantir o direito à sua autodeterminação. O direito à autodeterminação informacional (e as suas formas concretas de protecção, mesmo normativas) constitui um desafio em constante construção. A aplicação plena, no nosso Direito, do novo Regulamento Geral de Protecção de Dados, também a partir de Maio, acompanhado da lei nacional que o vem concretizar (e que ainda desconhecemos) será um ponto importante de resposta à sua questão. Outra perspectiva é a do direito à privacidade perante formas cada vez mais intrusivas das novas tecnologias, ao serviço dos Estados em nome da segurança e da perseguição penal. Neste ponto, acho que corremos o risco de ressuscitar o controverso e inaceitável “direito penal do inimigo” [conceito segundo o qual algumas pessoas, por serem consideradas inimigas da sociedade (ou do Estado), não detêm todas as protecções penais e processuais penais que são dadas aos demais indivíduos].