GDPR - General Data Protection Regulation
O GDPR - General Data Protection Regulation (Regulamento Geral sobre a Proteção de Dados) é o regulamento europeu que estabelece as regras relativas ao tratamento de dados pessoais e à livre circulação desses dados na União Europeia. Tem origem no Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, e aplica-se a todas as entidades, públicas ou privadas, que tratem dados pessoais de residentes na UE, independentemente da sua localização geográfica. Em Portugal, foi complementado pela Lei n.º 58/2019, de 8 de agosto, que assegura a execução do GDPR no ordenamento jurídico nacional.
O que estabelece o General Data Protection Regulation?
O GDPR estabelece um conjunto de direitos para os titulares dos dados, incluindo o direito de acesso, retificação, apagamento ("direito a ser esquecido"), limitação do tratamento, portabilidade dos dados e oposição ao tratamento. Impõe obrigações às entidades que tratam dados pessoais, designadamente a necessidade de obter consentimento explícito, garantir a segurança da informação, notificar violações de dados no prazo de 72 horas e nomear um Encarregado de Proteção de Dados em determinados casos. O regulamento aplica-se a responsáveis pelo tratamento e subcontratantes que processem dados de cidadãos europeus, mesmo que estabelecidos fora da UE.
Como funciona na prática?
A aplicação do GDPR é supervisionada em Portugal pela Comissão Nacional de Proteção de Dados (CNPD), entidade independente que fiscaliza o cumprimento das normas e pode aplicar coimas até 20 milhões de euros ou 4% do volume de negócios anual global. Na prática, as organizações devem implementar políticas de privacidade transparentes, realizar avaliações de impacto sobre a proteção de dados em tratamentos de alto risco, manter registos das atividades de tratamento e garantir que os contratos com subcontratantes incluem cláusulas de proteção de dados. Os cidadãos podem exercer os seus direitos através de pedidos formais às entidades e apresentar reclamações à CNPD.
Quando foi criado ou revisto?
O GDPR foi aprovado em 27 de abril de 2016 e entrou em aplicação em 25 de maio de 2018, substituindo a Diretiva 95/46/CE. Em Portugal, a Lei n.º 58/2019 foi publicada em 8 de agosto de 2019, estabelecendo o regime nacional de execução do regulamento.
Quem é afetado?
O GDPR afeta todas as empresas e organizações que tratem dados pessoais de residentes na UE, incluindo pequenas e médias empresas, multinacionais, entidades públicas, associações e profissionais liberais. Casos comuns incluem lojas online que recolhem dados de clientes, consultórios médicos que mantêm ficheiros de utentes, empresas que utilizam videovigilância e plataformas digitais que processam informações de utilizadores europeus.