O que é um dado pessoal segundo o RGPD e o que não é?

Um dado pessoal, de acordo com o artigo 4.º, n.º 1, do Regulamento Geral sobre a Proteção de Dados (RGPD, Regulamento (UE) 2016/679), é qualquer informação relativa a uma pessoa singular identificada ou identificável. Considera-se identificável quem possa ser identificado, direta ou indiretamente, nomeadamente através de um identificador como o seu nome, um número de identificação, dados de localização, um identificador online ou um ou vários elementos próprios da identidade física, fisiológica, genética, psíquica, económica, cultural ou social dessa pessoa. A pergunta que faz o título deste artigo é muito comum em ambientes onde o RGPD tem alguma influência ou mesmo nas nossas vidas pessoais, quando uma empresa nos pede consentimento para processar os nossos dados pessoais para diferentes fins.“Bem, porque não, mas primeiro gostava de saber o que são considerados dados pessoais“.

Responde-nos em profundidade.

Para irmos diretos ao assunto, por dados pessoais entende-se qualquer informação e/ou caraterística que permita identificar ou tornar identificável uma pessoa. Esta definição consta do artigo 4.1 do RGPD.

Por conseguinte, a imagem de uma pessoa é um dado pessoal, tal como qualquer informação que permita determinar, direta ou indiretamente, a sua identidade, como, por exemplo, um nome, um número de identificação, um número de telefone, um número de matrícula de um veículo, um endereço IP… Ou mesmo caraterísticas antropométricas que permitam identificar inequivocamente uma pessoa, como a Agência Espanhola de Proteção de Dados (AEPD) considerou em numerosas ocasiões.

Por outro lado, não são considerados dados pessoais aqueles que não facilitam a identificação da pessoa singular, como, por exemplo: o número de registo da empresa (CIF), um endereço de correio eletrónico genérico, como info@, e outros.

O RGPD reconhece a existência de categorias de dados pessoais e determina mesmo uma muito específica que se refere a dados especialmente protegidos.

Segue-se uma lista aproximada dos tipos de dados pessoais existentes:

1. Dados de identificação: nome, número do bilhete de identidade, número da segurança social, número de telefone, endereço, assinatura, nome de utilizador, endereço IP, etc.
2. Caraterísticas pessoais: caraterísticas físicas, preferências, hobbies, data de nascimento, etc.
3. Situação familiar e social: número de filhos, licenças, licenças, etc.
4. Informações sobre o emprego: categoria profissional, título do emprego, experiência profissional, salário, etc.
5. Dados académicos e profissionais: habilitações literárias, qualificações, percurso académico, etc.
6. Controlo de presença: marcação de ponto no posto de trabalho ou controlo de acesso às instalações.
7. Financeiro: rendimentos, rendimentos, dados bancários, etc.

Relativamente à categoria de dados especialmente protegidos, prevista no artigo 9.º do RGPD, trata-se de dados que revelam a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, os dados genéticos[1], os dados biométricos[2] destinados a identificar inequivocamente uma pessoa singular, os dados relativos à saúde ou à vida e a orientação sexual de uma pessoa singular.

O tratamento desses dados é proibido, a não ser que respeite um certo número de excepções, tais como as seguintes:

• Consentimento explícito do titular dos dados, nos termos do RGPD.
• Cumprimento das obrigações e exercício dos direitos no domínio do direito do trabalho, da segurança social e da proteção social.
• Proteção dos interesses vitais da pessoa em causa
• Tratamento efectuado no âmbito de fundações ou associações com fins políticos, filosóficos, religiosos ou sindicais.
• Tratamento de dados manifestamente públicos.
• Tratamento necessário para a formulação, o exercício ou a defesa de reclamações, ou tratamento efectuado pelos tribunais no exercício das suas funções judiciais.
• Por razões de interesse público no domínio da saúde pública.
• Tratamento necessário para fins de arquivo e de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos.

Os dados podem ser recolhidos através de qualquer canal (papel, formato eletrónico, voz, etc.). No entanto, tanto no momento da recolha como posteriormente, o responsável pelo tratamento[3] deve fornecer informações sobre a forma como os teus dados serão tratados, em conformidade com os artigos 13º e 14º do RGPD.

Neste caso, e dependendo do tipo de canal de comunicação utilizado, a forma de fornecer esta informação pode variar (papel, e-mail ou WhatsApp são alguns dos canais possíveis). O sistema de camadas é muito útil para facilitar a informação num processo de recolha de dados. Por outras palavras, uma primeira camada fornece informações básicas e uma segunda camada fornece informações adicionais.

Para mais pormenores sobre como e quando fornecer esta informação, é aconselhável consultar o Guia para o cumprimento do dever de informação, publicado pela Agência Espanhola de Proteção de Dados.

Em qualquer caso, esta informação deve ser fornecida numa linguagem clara e simples, de forma concisa, transparente, inteligível e de fácil acesso. Por isso, é de salientar a importância do processo de recolha de dados pelo responsável pelo tratamento, que pode recolher dados através de formulários, modelos ou templates, enviados por qualquer canal. O importante é ter provas que possam garantir que o processo foi efectuado em conformidade com os requisitos do RGPD.

Em princípio, qualquer meio de recolha de dados é válido. Atualmente, existem muitos canais de recolha de dados e muitos deles são não só ágeis, mas também muito utilizáveis pelo público em geral, como é o caso do WhatsApp. O que é essencial é que o responsável pelo tratamento de dados seja capaz de acreditar a sua recolha e provar que tem os consentimentos que lhe podem estar associados para fins específicos.

Como indicado acima, é obrigação do responsável pelo tratamento de dados da empresa fornecer as informações e provar que estas foram cumpridas. Para tal, pode recorrer a um prestador de serviços qualificado e de confiança, como o Grupo Mailcomms, que, graças à sua experiência no envio de comunicações omnicanal personalizadas, se adapta às necessidades de recolha de dados de qualquer cliente e empresa. E, sempre, fornecer ao responsável pelo tratamento de dados as provas necessárias em caso de reclamação, uma vez que este goza de uma presunção ilidível.

Da mesma forma, o MailComms Group oferece uma ferramenta capaz de obter, processar e gerir, do início ao fim, estes consentimentos com garantia de conformidade regulamentar. Queres saber?

[1] Dados genéticos: dados relativos às caraterísticas genéticas herdadas ou adquiridas de uma pessoa singular que fornecem informações únicas sobre a fisiologia ou a saúde dessa pessoa, obtidas, nomeadamente, a partir da análise de uma amostra biológica dessa pessoa. Por exemplo, através da análise cromossómica ou de qualquer análise que forneça informações únicas sobre a fisiologia e a saúde de uma pessoa.

[2] Dados biométricos: dados pessoais obtidos a partir de um tratamento técnico específico, relativos às caraterísticas físicas, fisiológicas ou comportamentais de uma pessoa singular que permitem ou confirmam a identificação única dessa pessoa, tais como imagens faciais ou dados dactiloscópicos.

[3] Responsável pelo tratamento: qualquer pessoa que possa decidir sobre as finalidades e os meios de tratamento dos dados.