RGPD IGNORADO?
1. Numa recente notícia datada de 2 de setembro a SICNoticías, referenciando uma notícia vinda a público pelo Jornal Público, dá nota de uma “quebra de dados” (data breach) praticada pela AIMA, a agência para a integração migração e asilo, por ter exposto os dados pessoais de 545 titulares, candidatos à legalização em Portugal.
Tudo aconteceu numa iniciativa convocatória para recolha de dados biométricos na cidade do Porto.
Aparentemente, nenhum destes órgãos de comunicação social logrou obter uma reação da própria agência que se remeteu ao silêncio, numa dupla violação ao RGPD: a exposição de dados não consentida e o silêncio/inacção a que se remeteu.
Assim, não se sabe se a AIMA, cumprindo a obrigação de comunicar aos visados o sucedido (por aplicação do nº 1, do Artº 34º, do RGPD, sem demorada “injustificada”, ou seja, o tempo que demorar a fazer essa comunicação tem de ser sustentado numa fundamentação objectiva) bem como à Comissão Nacional de Protecção de Dados (por aplicação do Artº 33º, do RGPD, até 72 horas após ter tomado conhecimento dos factos), realizou essas diligências, nem tão pouco se sabe se o respectivo Encarregado de Protecção de Dados (DPO), foi solicitado a realizar alguma diligência, ou se por “motu próprio”, como também é sua obrigação (por aplicação do Artº 39º do RGPD).
Ora sendo a AIMA uma entidade pública de grande exposição, não abona em nada o conjunto da administração central.
2. Já em agosto de 2025, o “Jornal de Notícias dava conta de um incidente semelhante no Município de Faro, a propósito da realização de uma manifestação encabeçada por três cidadãos, cuja comunicação de realização do referido evento, terá sido partilhada pelos serviços do município com cerca de 30 entidades distintas, ao invés de somente dirigida à Polícia de Segurança Pública, como o determina a lei.
O Presidente da Câmara de Faro, Rogério Bacalhau, lamentou o sucedido, adiantou que se tratou de um acto involuntário, informou ter desencadeado todos os passos legais para responder ao sucedido, sem os especificar, mas admitimos que sejam, os que acima referimos a propósito da AIMA, pois não há outros.
Mais adiantou que já tinha pedido desculpas aos visados, e que tinha solicitado às entidades que inadvertidamente foram visadas com o mail, para que procedessem à sua eliminação.
Garantiu, ainda, o presidente da Câmara Municipal de Faro, que para além de ser comunicada à CNPD (até porque é obrigatório), já tinha envolvido a funcionária em causa em formação adequada de forma a evitar que se repetisse o incidente.
A questão que se levanta aqui, mais do que um pedido de desculpas, sempre aceitável numa óptica de penitência cristã, é saber efectivamente em quem repousa a responsabilidade pelo acontecido?
A resposta é dada pelo próprio Presidente quando afirma que foi dada formação á funcionária após ter acontecido este incidente. Se os recursos humanos não são envolvidos em acções de sensibilização ao RGPD (obrigatório também á luz do RGPD), então a responsabilidade é do superior hierárquico, e no caso tratando-se de uma competência do Presidente da Câmara, está então encontrado quem vai ter de assumir as sanções associadas ao incidente, e são várias.
Mas o Encarregado de Protecção de dados (DPO) não está isento de responsabilidades, porque lhe compete, também a ele, disponibilizar essa formação, ou aconselhar vivamente o Presidente da Câmara a fazê-lo, ou, no limite, ambos os casos.
Outro problema que se levanta, prende-se com o pedido dirigido às entidades a quem foi encaminhado o mail incorretamente, para eliminarem o mail recepcionado.
Como irá o senhor Presidente da Câmara Municipal, fazer esse escrutínio e evidenciá-lo?
E essas entidades, quais foram? É importante sabê-lo, até porque sobre elas recai a responsabilidade de imediatamente à recepção indevida, alertar o remetente. Fizeram-no?
Também aqui a administração local não sai bem.
3. Um último exemplo, cujos desenvolvimentos aconteceram na primeira pessoa, no concelho de onde estas palavras são escritas.
Uma das minhas filhas inscreveu-se, na escola onde estudava, para uma visita de estudo, ao estrangeiro, uns dias antes da “era” covid, um dos seus professores ficara como interface entre a escola e a agência de viagens que trataria da viagem.
Certo dia fui surpreendido com um mail do dito professor, com uma comunicação sobre a viagem, estando-lhe associada, de forma aberta, os dados pessoais dos encarregados de educação e dos alunos dos cento e tantos miúdos que iriam viajar.
Estarrecido com a profusão de dados pessoais que iam desde nomes, moradas, filiação, contatos telefónicos, número de identificação do cartão de cidadão, número de identificação fiscal e até números de conta bancárias, pedi à minha filha que falasse com o professor em causa para se reunir comigo, mas sem adiantar ao assunto. Queria surpreende-lo, queria que a mensagem fosse impactante.
Ora o professor quis saber de que se tratava, e então lá mandei dizer que era para falar sobre a viagem. O que era verdade … .
Enfim custou mas o professor lá me recebeu, um pouco contrariado, mas aconteceu, e sentei-me, numa sala de aulas vazia, com ele, e coloquei sobre a mesa várias folhas impressas com todos os dados que recebera.
Comecei por lhe perguntar, sabendo à partida a resposta, se já tinha ouvido falar do RGPD, ao que me respondeu, sem segurança, que sim vagamente.
Expliquei-lhe, grosso modo, o que era o RGPD, as obrigações associadas a quem faz tratamento de dados, como era o caso dele, em nome da escola, e os direitos dos titulares dos dados, os alunos e encarregados de educação, e rapidamente adentrei no temível mundo das sanções, e pior, disse-lhe quais seriam as sanções aplicáveis se no lugar de ser eu a estar ali fosse a CNPD. Quase chorou.
Descansei-o, quando lhe disse haver uma saída, e perguntei-lhe se a escola, o agrupamento, já lhe tinha providenciado formação de sensibilização ao RGPD. Não, não tinha. Então, o que acontecera até àquele momento tinha atenuantes e fortes. Mas dali para a frente já não havia atenuantes, porque suscitada a violação.
Porém, disse-lhe, que a título gracioso, eu estava disponível para dar formação aos docentes da turma da minha filha, e a partir daí era só seguir o guião.
Afiançou-me que iria transmitir à direcção do agrupamento aquela minha disponibilidade, ainda por cima em pro-bono, e agradeceu muito.
Ora comecei por dizer que isto aconteceu no início do covid, 2019 portanto, daí até hoje, setembro de 2025, não tive nenhum contato da escola, do professor, de ninguém. Nem de borla a coisa vai. Portanto sou levado a concluir que estas coisas acontecem, não por descuido, nem por desconhecimento, é mesmo desleixo profissional com o dinheiro dos contribuintes, e dos dados dos cidadãos, os mesmos que lhes pagam os ordenados.
Aliás as escolas são um universo “sui generis”, quando do arranque do RGPD na União Europeia em 2018, e sabendo que as escolas têm uma estrutura especifica para formar docentes Centro de Formação do Agrupamento Escolar (CFAE), assim chamado, contatei os cerca de noventa CFAE que existem, propondo palestras sobre o RGPD nas escolas.
Tive, na altura, 3 respostas, 1 de um CFAE da região norte a exigir que retirasse o mail deles da minha base de dados, e para não os incomodar mais … lá expliquei que não tinha nenhuma base de dados e que me limitara a usar o mail existente no site deles, e desejei-lhes boa sorte. Os outros 2, até foram aqui da região, mas … ficaram pelo caminho.
Ora com gente deste calibre temo muito pelo futuro deste País.
Oliveira Dias, Politólogo
RGPD IGNORADO?
