A segurança e proteção de dados no âmbito da Administração Pública
A segurança e proteção de dados no âmbito da Administração Pública
Madalena Jorge Nunes[1]
Sumário: 1. Introdução. 2. Legislação e Regulamentação; 2.1 Regulamento Geral sobre a Proteção de Dados; 2.2 Análise de como o RGDP se aplica à Administração Pública, em Portugal; 2.3 Estudo das especificidades da legislação nacional. 3. Vulnerabilidades da Administração Pública em relação à segurança de dados; 3.1 Análise dos desafios enfrentados pela Administração Pública em reação a ataques cibernéticos. 4. Pesquisa sobre um caso específico e exploração do papel da Comissão Nacional de Proteção de Dados. 5. Considerações finais.
Resumo: Neste trabalho proponho-me a analisar a segurança e proteção de dados na Administração Pública, em Portugal, com um foco especial e detalhado na implementação do Regulamento Geral sobre a Proteção de Dados. Ao longo do trabalho, abordo a forma como as entidades administrativas adaptam as suas práticas de tratamento de dados, de forma a cumprirem as exigências legais. Avalio, ainda, as vulnerabilidades que a Administração Pública enfrenta em termos de segurança e proteção de dados pessoais dos utilizadores. Ao longo deste projeto pretendo destacar a necessidade de um compromisso contínuo por parte das entidades administrativas em conciliar a eficiência dos nossos serviços com uma melhor segurança e gestão de informação pessoal.
Palavras-chave: Proteção de Dados; Administração Pública; Regulamento Geral de Proteção de Dados; Dados pessoais;
1. Introdução
No panorama atual, em que a digitalização está em constante desenvolvimento, a segurança e proteção de dados tornam-se questões fundamentais, especialmente para os órgãos da Administração Pública. A crescente dependência de sistemas informáticos para fornecer serviços públicos torna imprescindível a proteção de dados pessoais contra riscos como acessos não autorizados e violações de privacidade. A proteção de dados no contexto da Administração Pública não é relevante apenas no combate contra ameaças externas, mas também abrange a responsabilidade de garantir que os dados pessoais dos seus cidadãos sejam tratados de forma transparente, ética e de acordo com as normas legais.
Este trabalho visa explorar como é que a segurança e proteção de dados se aplicam no contexto da Administração Pública, para tal, irei identificar os desafios e as obrigações legais a que a esta se encontra sujeita e como é que a mesma equilibra a eficiência dos serviços públicos com a proteção dos direitos fundamentais dos cidadãos.
2. Legislação e Regulamentação
2.1 Regime Geral de Proteção de Dados
O Regime Geral de Proteção de Dados[2] surge com a necessidade emergente de reforçar os direitos fundamentais das pessoas na era digital. É um ato legislativo único que veio acabar com fragmentação que se sentia resultante da coexistência de sistemas nacionais diferentes. Era imperativo que existisse o mesmo nível de proteção de dados pessoais em toda a União Europeia, independentemente do lugar em que os dados fossem tratados.
Antes de avançarmos para a análise do RGPD no âmbito da nossa Administração Pública Portuguesa importa qualificar o conceito de dados pessoais.
Como sustentam os Professores José Noronha Rodrigues e Daniela Medeiros Teves “uma das mais importantes definições para a compreensão do RGPD é a de dados pessoais, na medida em que o Regulamento protege os dados pessoais de pessoas singulares, vivas, não abrangendo o tratamento de dados de pessoais relativos a pessoas coletivas.” [3]
O próprio regulamento define “dados pessoais” como “a informação relativa a uma pessoa singular identificada ou identificável (“titular dos dados”); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um dos mais elementos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular.” [4]
2.2 Análise de como o RGPD se aplica à Administração Pública em Portugal
A Administração Pública[5] processa dados pessoais de várias formas e em diversos contextos, no âmbito das suas funções. Neste sentido, o processamento de dados pessoais que envolve a coletânea, armazenamento, utilização, alteração, partilha e eliminação de informações pessoais dos cidadãos deve necessariamente ser feito em conformidade com a legislação atual, nomeadamente o RGPD.
A AP, ao tratar de dados pessoais, deve observar os mesmos princípios fundamentais do RGPD que se aplicam a qualquer organização. Contudo, alguns artigos e considerações do RGPD têm uma relevância particular quando se trata do setor público.
A aplicação do RGPD na AP revelou-se complexa, exigindo a participação de toda a organização e a implementação de transformações significativas. É fundamental que as entidades públicas possuam um conhecimento abrangente sobre a sua estrutura e operações, identificando os dados pessoais que tratam, os processos em que ocorre esse tratamento e verificando se tais procedimentos estão em conformidade com as disposições do RGPD.
Este Regulamento foi fundamental para combater a desproteção sentida pelos utilizadores perante as práticas de recolha desmedida de informação que importavam numa desconfiança crescente. O regulamento exige um trabalho extra para as organizações em geral, mas considero que seja visto com agrado pelos utilizadores.
Quais são os casos concretos em que a Administração Pública deve atuar em conformidade com o Regulamento Geral de Proteção de Dados?
Para a AP, o tratamento de dados pessoais só será lícito no âmbito do cumprimento de uma obrigação legal, justificado por interesse público ou no exercício da sua autoridade pública[6]. Na sua obra “Direito da Proteção de Dados à luz do RGPD e da lei nº 58/2019”, o Professor Barreto Menezes Cordeiro, conclui que a “positivação de obrigações legais de tratamento de dados encontra-se sempre sujeita a dois vetores (i) a prossecução de um interesse público; e (ii) ser proporcional ao objetivo legítimo prosseguido”[7]. No entanto, o RGPD não define o que se entende por interesse público, em matéria de processamento e tratamento de dados; no texto do RGPD podemos, no entanto, encontrar vários exemplos do que é considerado interesse público (contudo, não é uma definição), como será o caso do processamento de dados para a gestão de benefícios sociais, segurança pública, administração fiscal, entre outros. Igualmente, o RGPD não contém uma definição de autoridade pública, como conclui o Professor Barreto Menezes Cordeiro, “trata-se de um conceito de conteúdo não consolidado, tanto no Direito Português como no Direito Europeu”.[8]
A AP trata frequentemente de dados sensíveis, nomeadamente, em áreas como a saúde, segurança social e gestão de recursos humanos, considerando o carácter especial destes dados a AP deve garantir que o tratamento dos mesmos seja feito apenas nas condições estabelecidas no RGPD [9], condições essas que quando confrontadas com o regime “normal”, verifica-se um forte agravamento dos requisitos legais para o tratamento destes dados. Esse agravamento é justificado, face à própria natureza destes dados.
Esta entidade deve ainda garantir que os cidadãos sejam informados de forma transparente sobre o tratamento dos seus dados pessoais, incluindo a finalidade do tratamento e os direitos que os próprios têm sobre os seus dados[10]. O Professor Barreto Menezes Cordeiro[11] distingue duas concretizações dentro do direito de acesso, consagrado no artigo 15º, (i) o direito a obter do responsável pelo tratamento a confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento; (ii) se forem objeto de tratamento, o direito de acesso aos dados pessoais e a outras informações elencadas no artigo supramencionado. Este direito de acesso é a base do exercício dos demais direitos, que vão ser posteriormente mencionados: para exercerem os outros direitos, os titulares dos dados têm de reconhecer, primeiro, que os seus dados estão a ser objeto de tratamento.
Seguindo o disposto no RGPD a AP deve, ainda, fornecer aos cidadãos o direito de solicitar e obter informações sobre os seus dados pessoais que são mantidos em sistemas públicos, de forma clara e acessível [12], bem como, garantir que os cidadãos possam exercer o direito ao apagamento dos seus dados pessoais (a não ser que haja uma obrigação legal que justifique a retenção de dados) [13]. Este artigo consagra dois direitos distintos: o direito ao apagamento e o direito ao esquecimento. O primeiro permite que o cidadão exija ao responsável pelo tratamento o apagamento dos seus dados pessoais (quando verificados os pressupostos do nº1 do artigo mencionado em nota de rodapé). O direito ao esquecimento surge como um reconhecimento de que “o simples facto de se apagar uma determinada informação de um sítio não significa que ela tenha sido apagada de toda a Internet”.
Para garantir que o tratamento de dados seja de acordo com o estabelecido pelo RGDP, a Administração Pública devemanter registos detalhados de todas as suas atividades de processamento de dados pessoais [14] (estes registos, devem ser apresentados, mediante pedido de uma autoridade de controlo), deve também realizar avaliações sobre o impacto sobre a proteção de dados sempre que o tratamento dos mesmos possa impactar negativamente a privacidade dos cidadãos [15] e ainda, nomear um Encarregado de Proteção de Dados que irá garantir a conformidade com o RGPD e fornecer orientação interna sobre questões de proteção de dados [16].
A Administração Pública processa dados pessoais, essencialmente, para garantir o bom funcionamento do Estado. Apesar deste processamento de dados pessoais visar proporcionar serviços essenciais à sociedade é fundamental as imposições, obrigações e restrições rigorosas impostas pelo RGPD, que garante que este tratamento de dados é feito de forma ética, segura e respeitando os direitos dos cidadãos.
A aplicação do RGPD na Administração Pública reveste-se de uma importância fundamental. O cumprimento das normas impostas pelo Regulamento garante o respeito pelos direitos dos cidadãos, promove a confiança dos cidadãos nas suas instituições, evita abusos ou utilizações indevidas e, ainda, apoia o objetivo de modernização da AP, incentivando a uma Governação mais eficiente e compatível. A concretização da Proteção de dados na AP vai além do mero cumprimento legal, é um instrumento de valorização da cidadania, reforço da segurança jurídica e uma melhoria significativa na prestação de serviços públicos.
2.3 Estudo das especificidades da legislação nacional
A proteção de dados pessoais encontra-se em Portugal consagrada como um direito fundamental na Constituição da República Portuguesa [17] e demais legislação nacional.
A proteção de dados encontra-se prevista no artigo 35º da CRP – “utilização da informática”.
O Professor Gomes Canotilho[18] defende que do artigo 35º surgem um conjunto de direitos fundamentais em matéria de defesa contra o tratamento informático de dados pessoais. Sendo esses direitos, o direito de acesso das pessoas aos registos informáticos para conhecimento dos seus dados pessoais deles constantes, direito ao sigilo em relação aos responsáveis de ficheiros automatizados e a terceiros dos dados pessoais informatizados, direito à sua não interconexão e direito ao não tratamento informático de certos tipos de dados pessoais. No entanto, e como é constatado na obra “Direito da Proteção de Dados”[19], é atualmente possível o tratamento destes dados sensíveis, mediante consentimento do titular ou autorização prevista na lei.
Releva mencionar a Lei nº 58/2019, de 8 de agosto que assegura a execução do RGPD na ordem jurídica nacional. Releva só a menção, porque adapta o RGPD à realidade e necessidade do país, não apresentado alterações ou diferenças significativas da norma europeia.
3. Vulnerabilidades da Administração Pública em relação à segurança de dados
3.1 Análise dos desafios enfrentados pela Administração Pública em reação a ataques cibernéticos
O aparecimento da Covid-19 e a necessidade de confinamento foi um catalisador significativo para uma transformação digital profunda em diversos setores, incluindo a Administração Pública. Na AP era urgente assegurar a continuidade dos serviços, mesmo remotamente. Embora este processo tenha ocorrido, na sua maioria, de forma célere e bem-sucedida, verificou-se um aumento significativo do número de relatos de ciberataques às organizações durante este período.
Segundo o relatório de 2021 do Centro Nacional de Cibersegurança de Portugal, “as principais vítimas dos agentes de ameaças, em Portugal são os cidadãos em geral, as PME (pequenas e médias empresas), os Órgãos de Soberania, a Administração Pública e os setores da Banca e da Educação e Ciência, Tecnologia e Ensino Superior.” No mesmo relatório, o Centro Nacional de Cibersegurança de Portugal aponta ainda que “quando questionadas sobre a necessidade de reforço de competências em TIC, as entidades da Administração Pública Central e Regional e Câmaras Municipais indicaram de forma predominante a competência em segurança como sendo de necessidade elevada, a mais indicada por todos os tipos de entidades”. A situação pandémica evidenciou a agilidade com que os cibercrimonosos exploram as fragilidades em matéria de proteção de dados da Administração Pública e, consequentemente, evidenciou a necessidade de reforço da consciencialização sobre cibersegurança.
O relatório “Global Risks Report 2023” do Fórum Económico Mundial apresenta uma análise abrangente dos principais riscos globais que as sociedades enfrentam atualmente e nos próximos anos. O documento sublinha o impacto crescente das ciberameaças em infraestruturas críticas, como os serviços públicos, bem como a interdependência crescente entre a tecnologia e os serviços administrativos. O documento destaca a importância de implementar ações coordenadas entre os Governos e o setor privado. O setor privado, responsável por grande parte da inovação tecnológica pode colaborar com os Governos para criar padrões de segurança cibernética para, através dos esforços conjuntos, proteger infraestruturas críticas.
A digitalização e as novas tecnologias acatam profundas mudanças nas pessoas, sociedades e Governos, delas derivam vantagens e desvantagens, benefícios e riscos. Embora os ataques informáticos representem riscos consideráveis para os dados dos utilizados, a digitalização na administração pública continua a ser essencial, oferecendo benefícios claros em termos de eficiência, transparência e capacidade de adaptação a novos desafios. Devemos de continuar a investir na modernização dos serviços públicos, equilibrando os benefícios da digitalização com medidas adequadas de proteção e segurança.
4. Pesquisa sobre um caso específico e breve exploração do papel da Comissão Nacional de Proteção de Dados.
A Câmara Municipal de Lisboa[20] é uma entidade pública que, como todas as outras entidades da AP, está obrigatoriamente sujeita à legislação de proteção de dados, nomeadamente, o RGPD.
A CML recolhe e processa dados pessoais no contexto de inúmeros serviços, por exemplo, no portal da CML, os cidadãos podem aceder a vários serviços online, como pedidos de certidões, informações sobre impostos municipais, entre muitos outros. Para a realização destes serviços, são recolhidos dados pessoais- nome, morada, número de contribuinte, etc. A CML providencia ainda, programas de apoio a famílias, idosos e outros grupos vulneráveis. Para avaliar a exigibilidade para tais programas, são tratados dados pessoais sensíveis, como dados de rendimento, estado de saúde e situação familiar. Durante a recolha e processamento destes dados pessoais (em ambos os contextos), a CML garante a conformidade com o RGPD. No processo de inscrição para determinados serviços, a CML solicita aos cidadãos que leiam e a aceitem a política de privacidade, explicando como os dados serão tratados, por quanto tempo vão ficar retidos e todos os direitos que os cidadãos têm sobre os seus dados pessoais. A CML implementa os processos que, vimos anteriormente neste trabalho, serem exigidos pelo RGPD, nomeadamente, o direito de acesso, retificação, apagamento e limitação do tratamento, por exemplo, um cidadão pode pedir a correção de um erro nos seus dados pessoais nos registos municipais, ou até solicitar o apagamento desses dados, sempre que aplicável.
Na recolha, processamento, finalidade e conservação de dados a CML respeita e atua em conformidade com o disposto em legislação, concretamente o RGPD.
No âmbito das entidades estarem vinculadas ao RGPD, introduzo a Comissão Nacional de Proteção de dados[21]. A CNPD apresenta-se como a autoridade de controlo nacional para efeitos do RGPD. A CNPD é uma entidade administrativa independente, com personalidade jurídica de Direito Público e poderes de autoridade, dotada de autonomia administrativa e financeira e que funciona junto da Assembleia da República.
Ao constatar concretamente como é que as Entidades Públicas, nomeadamente, a Câmara Municipal de Lisboa integra nos seus serviços, práticas de proteção de dados é impossível não verificar que estas práticas contribuem para uma Administração Pública mais eficaz e confiável. Estas práticas demonstram o compromisso da AP com a ética e responsabilidade na gestão pública, reforçando a imagem da Administração como uma entidade que respeita os direitos dos cidadãos e age com seriedade.
No presente trabalho pretendi explorar de forma abrangente as questões relacionadas com a proteção de dados pessoais na Administração Pública, abordando as implicações do RGPD e as vulnerabilidades que estes órgãos públicos enfrentam nesta matéria. No atual contexto crescente da digitalização nunca foi tão importante garantir a eficiência, transparência e segurança no serviço público. O equilíbrio entre a utilização de novas tecnologias e a proteção de dados é um desafio permanente, mas também uma oportunidade de modernização da gestão pública, com inúmeros benefícios não só para a população como para a própria instituição.
No primeiro capítulo, analiso o RGPD e como este surgiu com o objetivo de uniformizar as regras de Proteção de Dados, em toda a União Europeia. Destaco, igualmente, as particularidades da aplicação deste Regulamento no contexto público em Portugal, onde as entidades públicas, além de cumprir as exigências legais, devem garantir que o tratamento de dados esteja vinculado ao interesse público e seja proporcional ao objetivo procurado.
O terceiro capítulo aborda as vulnerabilidades da AP face aos desafios de cibersegurança, especialmente no contexto pandémico, quando ocorreu uma aceleração da digitalização dos serviços públicos. Em síntese, a digitalização oferece grandes benefícios em termos de acessibilidade e eficácia, mas também expõe a AP a novos riscos que exigem uma vigilância constante e um fortalecimento das políticas de segurança.
No último capítulo procurei averiguar como é que a CML atua em conformidade com o RGPD. A pesquisa demonstra que a CML adota práticas adequadas, garantido o respeito pelos direitos dos cidadãos, nomeadamente, ao incluir o direito de acesso, retificação e apagamento de dados. Salienta-se, o papel da CNPD na sua função de autoridade de supervisão e controlo, essencial para garantir a conformidade das entidades públicas com as normas de proteção de dados.
A proteção de dados na AP é um desafio complexo, mas essencial. Embora a implementação destas normas tenha exigido adaptações significativas, elas representam um avanço fundamental na segurança jurídica e na modernização do setor público. As entidades públicas, têm demonstrado um compromisso crescente com a ética na gestão de dados pessoais, reforçando a confiança e a transparência no relacionamento com os cidadãos. A proteção de dados deve continuar a ser uma prioridade, com investimentos em formação, recursos e inovação tecnológica para enfrentar os desafios atuas e futuros de forma eficaz e responsável.
Bibliografia
- A. BARRETO MENEZES CORDEIRO, “Direito da proteção de dados à luz do RGPD e da lei nº 58/2019”, 2022, Almedina
- DOMINGOS SOARES FARINHO, FRANCISCO PAES MARQUES E TIAGO FIDALGO DE FREITAS, “Direito da Proteção de Dados – perspetivas públicas e privadas”, Almedina
- JOSÉ NORONHA RODRIGUES E DANIELA MEDEIROS TEVES, “A proteção de dados pessoais e a administração pública – o novo paradigma jurídico”, 2020, AAFDL EDITORA
- J.J GOMES CANOTILHO VITAL MOREIRA, “Constituição da República Portuguesa Anotada – artigos 1º a 107º”, Coimbra Editora
- SITE do Centro Nacional de Cibersegurança: CNCS
- SITE da Câmara Municipal de Lisboa
[1] Aluna da Faculdade de Direito da Universidade de Lisboa
[2] Doravante RGPD
[3] José Noronha Rodrigues e Daniela Medeiros Teves, A proteção de Dados pessoais e a Administração Pública, AAFDL, p. 41
[4] Artigo 4º do RGPD
[5] Doravante AP
[6] Artigo 6º do RGPD – licitude do tratamento
1. O Tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:
(...)
c) o tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito
(...)
e) o tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento.
[7] Direito da proteção de dados à luz do RGPD e da lei nº 58/2019, de António Barreto Menezes Cordeiro, pág. 216
[8] Direito da proteção de dados à luz do RGPD e da lei nº 58/2019, de António Barreto Menezes Cordeiro, pág. 221
[9] Artigo 9º do RGPD – tratamento de categorias especiais de dados pessoais
[10] Artigo 12º do RGPD- transparência das informações, das comunicações e das regras para exercício dos direitos dos titulares dos dados
[11] Direito da proteção de dados à luz do RGPD e da lei nº 58/2019, de António Barreto Menezes Cordeiro, pág. 262
[12] Artigo 15º do RGPD- direito de acesso
[13] Artigo 17º do RGPD- direito ao apagamento dos dados (“direito a ser esquecido”)
[14] Artigo 30º do RGPD- registo das atividades de tratamento
[15] Artigo 35º do RGPD- avaliação de impacto sobre a proteção de dados
[16] Artigo 37º - designação do encarregado de proteção de dados
[17] Doravante CRP
[18] Constituição da República Portuguesa Anotada, Volume I (artigos 1º a 107º), Coimbra Editora, de J.J. Gomes Canotilho Vital Moreira
[19] “Direito da Proteção de dados”, de Domingos Soares Farinho, Francisco Paes Marques e Tiago Fidalgo de Freitas
[20] Doravante CML
[21] Doravante CNPD
Comentários
Enviar um comentário