Dados pessoais nas marcações: quem responde por eles?

O «responsável pelo tratamento» é quem marca, não quem faz o software

O RGPD — o Regulamento (UE) 2016/679 — assenta em duas palavras que decidem quase tudo o resto. O responsável pelo tratamento é, na definição do artigo 4.º, ponto 7), quem «determina as finalidades e os meios de tratamento de dados pessoais». O subcontratante é, no ponto 8) do mesmo artigo, quem «trate os dados pessoais por conta do responsável pelo tratamento destes». Num negócio de marcações, quem decide que vai guardar o contacto de quem marca, e para quê, é o negócio. O software vem a seguir.

Dessa distinção nasce uma obrigação concreta que passa despercebida com frequência: o artigo 28.º, n.º 3 prevê que a relação entre os dois seja regulada por contrato ou outro ato normativo que fixe o objeto e a duração do tratamento, a natureza e a finalidade, o tipo de dados pessoais e as categorias de titulares, e as obrigações e direitos do responsável. Entre as estipulações que esse contrato tem de conter está, na alínea a), que o subcontratante «trata os dados pessoais apenas mediante instruções documentadas do responsável pelo tratamento».

O n.º 9 do mesmo artigo acrescenta a forma: o contrato ou outro ato normativo a que se referem os n.os 3 e 4 «devem ser feitos por escrito, incluindo em formato eletrónico». Não se exige papel nem assinatura à mão — exige-se que exista, e que se possa mostrar.

É essa a posição da MarcaAí: subcontratante, que trata os dados dos clientes finais por conta e segundo instruções do negócio. O contrato que o artigo 28.º descreve está publicado no Acordo de Tratamento de Dados, com a lista dos subcontratantes ulteriores a que recorremos; o que é tratado, para quê e durante quanto tempo está na Política de Privacidade. Este guia não resume nenhum dos dois de propósito: um documento legal resumido noutro sítio passa a ter duas versões, e a que vale é a que está publicada.

⚠️ O campo das observações, e porque é que uma clínica olha duas vezes para ele

O RGPD trata algumas categorias de dados com um regime muito mais apertado do que o resto. O artigo 9.º, n.º 1 proíbe, como regra, o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, bem como o tratamento de dados genéticos, de dados biométricos para identificar alguém de forma inequívoca, de dados relativos à saúde ou de dados relativos à vida sexual ou orientação sexual.

O n.º 2 do mesmo artigo lista os casos em que essa proibição não se aplica. Entre eles estão, na alínea a), o consentimento explícito do titular para finalidades específicas e, na alínea h), o tratamento necessário para o diagnóstico médico, a prestação de cuidados ou tratamentos de saúde ou a gestão de serviços de saúde, ao abrigo do direito da União ou de um Estado-Membro ou por força de um contrato com um profissional de saúde.

⚠️ A ligação que quase ninguém faz está na definição. O artigo 4.º, ponto 15) define «dados relativos à saúde» como «dados pessoais relacionados com a saúde física ou mental de uma pessoa singular, incluindo a prestação de serviços de saúde, que revelem informações sobre o seu estado de saúde». Uma frase como «vem por causa de uma dor no joelho», escrita no campo de observações de uma marcação, cabe nessa definição — e não deixa de caber por ter sido escrita à pressa, em texto livre, por quem estava a marcar do telemóvel.

A consequência mais imediata está no artigo 30.º. Os n.os 1 e 2 preveem um registo das atividades de tratamento; o n.º 5 dispensa desse registo as empresas ou organizações com menos de 250 trabalhadores — mas essa dispensa cai «a menos que o tratamento efetuado seja suscetível de implicar um risco para os direitos e liberdades do titular dos dados, não seja ocasional ou abranja as categorias especiais de dados a que se refere o artigo 9.º, n.º 1». Uma agenda que corre todos os dias não é ocasional; se por cima disso levar notas sobre sintomas, a dispensa deixa de valer por duas razões independentes uma da outra.

As três coisas que o regime pede a quem tem a base de dados

Um fundamento para tratar. O artigo 6.º, n.º 1 lista as situações em que um tratamento é lícito. Para uma marcação, a alínea b) é a mais evidente: o tratamento «necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré-contratuais a pedido do titular dos dados». Guardar o nome e o contacto de quem escolheu uma hora não vive de um consentimento — vive do acordo que a própria pessoa quis celebrar. O consentimento, na alínea a), é outra coisa, e é o que sustenta aquilo que não é necessário para a marcação acontecer.

Informar quem marca, no momento em que marca. O artigo 13.º prevê que, quando os dados são recolhidos junto do próprio titular, lhe sejam facultadas, aquando dessa recolha, a identidade e os contactos do responsável, as finalidades e o fundamento jurídico do tratamento e os destinatários (n.º 1), e ainda o prazo de conservação, os direitos de acesso, retificação, apagamento, limitação, oposição e portabilidade, e o direito de apresentar reclamação a uma autoridade de controlo (n.º 2). É o que uma política de privacidade faz — quando está no sítio onde a pessoa está a escrever os dados, e não três cliques ao lado.

Responder quando alguém pergunta. Os artigos 15.º a 20.º dão ao titular, entre outros, o direito de acesso (artigo 15.º), de retificação (artigo 16.º), de apagamento (artigo 17.º) e de portabilidade dos dados (artigo 20.º). O artigo 12.º, n.º 3 fixa o relógio: as informações sobre as medidas tomadas são prestadas «sem demora injustificada e no prazo de um mês a contar da data de receção do pedido», prorrogável até dois meses em função da complexidade e do número de pedidos. Quem recebe o pedido é o responsável — o negócio — e não quem lhe fornece o software.

A montante de tudo isto está o artigo 5.º, n.º 1, e duas das suas alíneas explicam sozinhas porque é que o campo de observações merece uma segunda leitura: a alínea c) exige dados «adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados» (minimização), e a alínea e) exige que sejam conservados «apenas durante o período necessário para as finalidades para as quais são tratados» (limitação da conservação).

A peça portuguesa: a Lei n.º 58/2019 e a CNPD

O RGPD é um regulamento europeu e aplica-se diretamente, mas há uma lei portuguesa por cima dele: a Lei n.º 58/2019, de 8 de agosto. O artigo 1.º diz que ela «assegura a execução, na ordem jurídica interna» do Regulamento (UE) 2016/679, e o artigo 3.º designa a Comissão Nacional de Proteção de Dados (CNPD) como «a autoridade de controlo nacional para efeitos do RGPD e da presente lei». É a CNPD que fiscaliza, que recebe as reclamações e que decide.

⚠️ E há aqui uma coisa que raramente aparece nos textos sobre o assunto: poucas semanas depois de a lei entrar em vigor, na reunião de 3 de setembro de 2019, a própria CNPD aprovou uma deliberação em que declara que desaplicará nove normas da Lei n.º 58/2019 nos casos que venha a apreciar, por as considerar contrárias ao RGPD, invocando o primado do direito da União. Ler a lei portuguesa isolada, sem essa deliberação ao lado, dá uma imagem do regime que a autoridade encarregada de o aplicar já disse por escrito que não vai seguir.

Onde é que a MarcaAí entra — e onde é que não entra

A MarcaAí é subcontratante e trata os dados dos clientes finais por conta e segundo instruções do negócio. O que isso significa em concreto, quem são os subcontratantes ulteriores e o que acontece aos dados no fim do contrato está no Acordo de Tratamento de Dados. O que recolhemos, com que finalidade e durante quanto tempo está na Política de Privacidade. As duas páginas são o texto que vale; este guia descreve a lei e não substitui nenhuma delas.

O campo de observações de uma marcação é escrito por quem marca. Não sugerimos o que lá pôr, não o interpretamos, não o classificamos e não o usamos para nada além de o mostrar a quem gere a agenda. O que se pergunta ao cliente, o que se guarda e durante quanto tempo é decisão do negócio — que é, na linguagem do artigo 4.º, ponto 7), exatamente quem determina as finalidades e os meios.