Quase nove meses depois da entrada em vigor do Regulamento Geral de Protecção de Dados (RGPD), o Parlamento português continua a discutir a lei que vai adaptar este diploma europeu à realidade nacional. Isto porque o próprio regulamento –​ que se aplica directamente em Portugal – deixa várias opções em aberto aos Estados-membros da União Europeia.

Um desses casos é a possibilidade de os países isentarem as respectivas entidades públicas de multas no caso de estas violarem as regras da protecção de dados. É isso mesmo que sugere a proposta de lei apresentada pelo Governo em Março do ano passado na Assembleia da República, um regime que seria reanalisado após três anos. Esta solução conta com o apoio do PS, enquanto o PCP se absteve de apresentar uma proposta de alteração quanto a este aspecto.

O Governo justifica a opção com o facto de as entidades pública não fazerem dinheiro com os dados pessoais, mas apenas os usarem para cumprir obrigações legais. Mas há um problema de custos associado a esta questão. Isto está porque o regulamento implica alterações ao nível, por exemplo, do desenho dos sistemas informáticos que guardam os dados. As entidades são obrigadas a recorrer a técnicas mais avançadas, ainda que atendendo aos custos da sua aplicação, para minimizar os riscos para a segurança. E isso pode significar investimentos avultados.

Apesar de PSD, CDS e Bloco de Esquerda se terem manifestado contra a isenção, neste momento parece provável que esta passe devido a um recuo dos bloquistas. O deputado do BE, José Manuel Pureza, afirma que, por princípio, não considera que as entidades públicas devam ser discriminadas positivamente em relação às privadas. E reconhece que tal significaria um retrocesso, já que desde 1991 que a lei de protecção de dados sanciona da mesma forma entidades públicas e privadas. Mas parece ter cedido a alguns argumentos. “Não faz sentido o Estado pagar coimas ao próprio Estado”, afirma Pureza.

O mesmo argumento é usado pelo deputado comunista António Filipe, que diz que não faz sentido “colocar o erário público a pagar-se a si mesmo”. O parlamentar do PCP defende que as entidades públicas “não podem ficar isentas do cumprimento da lei”, mas acredita que a solução pode passar por outro tipo de penalização. “Pode-se, por exemplo, tirar responsabilidades disciplinares”, afirma.

O CDS defende a simples eliminação da isenção proposta pelo Governo, enquanto o PSD apresenta uma solução de compromisso. Propõe, como regra, que as coimas se apliquem “de igual modo às entidades públicas e privadas”, mas admite que “as entidades públicas, mediante pedido devidamente fundamentado”, possam solicitar à Comissão Nacional de Protecção de Dados (CNPD) “a dispensa” da sua aplicação durante três anos. Nestes casos, as entidades públicas continuam “sujeitas aos poderes de correcção” da comissão.

O deputado social-democrata Carlos Abreu Amorim defende que não faz sentido haver escolas ou hospitais privados sujeitos a coimas e públicos isentos. Mas, reconhece que há entidades públicas que não estão preparadas para cumprir as novas exigências do regulamento, nomeadamente a Segurança Social e a Autoridade Tributária. Por isso, admite a hipótese de dispensa da aplicação de coima para alguns. E considera que a solução do Governo de isentar todo o sector público fará com que os responsáveis de cada entidade deixem simplesmente de se preocupar com o assunto da protecção de dados. “Três anos depois vai-se fazer a reavaliação e vai estar tudo na mesma”, acredita Carlos Abreu Amorim.

Para a deputada do CDS Vânia Dias da Silva, é inadmissível a isenção de multas. “Se não tiverem sanções, os entes públicos não vão ligar nada ao regulamento. E estas entidades gerem dados muito sensíveis”, realça. Os democratas-cristãos sugerem uma solução alternativa, que se aplica a todos: fazer depender a abertura de um processo de contra-ordenação de uma advertência prévia ao infractor, que terá depois um prazo razoável para corrigir a violação negligente.

A versão que for aprovada pode ser relevante para o desfecho judicial de três das quatro coimas aplicadas pela CNPD nos nove meses de vigência do regulamento. O hospital público do Barreiro foi multado num valor global de 400 mil euros, tendo contestado judicialmente as multas num processo que corre no Tribunal do Barreiro.

Proposta fechada em Março

Neste momento, o grupo de trabalho criado no Parlamento para discutir a lei que adapta o RGPD à realidade nacional está numa fase final de discussão. Na última reunião, há cerca de semana e meia, os deputados acordaram as matérias em que há hipótese de consenso e o grupo parlamentar do PS ficou incumbido de apresentar uma versão final destas normas. “As audições estão concluídas. Pensamos entregar a proposta até ao início de Março. Depois serão necessárias mais uma ou duas reuniões”, avalia o deputado socialista Pedro Delgado Alves.

Nas matérias em que os parlamentares pensam ser possível chegar a um consenso inclui-se a idade dos menores para poderem autorizar o tratamento dos seus dados por parte de empresas responsáveis por serviços online. A proposta do Governo era que essas sociedades só deviam poder tratar os dados de menores de 13 anos caso existisse consentimento dos pais ou representantes legais. A partir dessa idade a decisão do menor já era válida.

PS, CDS e PCP sugeriram que se subisse para 16 anos a idade em que o menor pode consentir no tratamento dos seus dados (PSD e Bloco não apresentaram propostas). Mas a solução final pode passar por estabelecer dois limites diferentes. “Nem todos os dados têm o mesmo grau de sensibilidade. Por isso, ficámos de estudar a possibilidade de se avançar com 13 anos para alguns casos e com os 16 para elementos mais sensíveis”, explica Pedro Delgado Alves. Mas o deputado ainda não está certo que uma solução destas seja viável, reconhecendo que tal tornaria a lei mais complexa.

Delgado Alves explica que os deputados foram sensíveis aos argumentos apresentados por alguns especialistas, como o fundador do Miúdos Seguros na Net, Tito Morais, de que aumentar para 16 anos a idade do consentimento poderá contribuir para agravar o problema. Isto porque coloca o foco da questão na idade e não na necessidade de apostar na informação, na educação e em ferramentas que possam contribuir para proteger crianças e jovens dos potenciais riscos a que podem estar expostos online.

Independentemente de saber exactamente a que empresas se destina esta norma e se a mesma inclui ou não as redes sociais, parece certo que todos os deputados concordam que não será esta norma a evitar os perigos a que os jovens estão sujeitos online. “Isto não vai impedir os miúdos de aceder à Internet, nem de mentir se quiserem ludibriar o sistema”, reconhece a deputada Vânia Dias da Silva. Ainda assim, diz-se mais inclinada a estabelecer os 16 anos como idade para os menores consentirem no tratamento de dados na Net. “Só a partir dos 16 anos é que há imputabilidade criminal”, nota. E remata: “Se souberem que estão a transgredir, pelo menos pesa-lhes na consciência.”