O RGPD (Regulamento Geral sobre a Proteção de Dados) é a lei da União Europeia que regula o tratamento de dados pessoais. Aplica-se desde 25 de maio de 2018 em todos os Estados-Membros. Define quem pode recolher e usar dados sobre pessoas, com que fundamento, durante quanto tempo e com que garantias, e dá a cada pessoa direitos sobre a sua informação. Em Portugal é executado pela Lei n.º 58/2019 e fiscalizado pela CNPD. Protege pessoas identificáveis, não os dados em si.
Um exemplo do dia a dia
Um gabinete de contabilidade em Coimbra (um exemplo inventado) trata da contabilidade e dos salários de 35 pequenas empresas. Guarda nomes, NIF, IBAN, vencimentos e algumas baixas médicas dos trabalhadores dos clientes.
O RGPD exige-lhe, entre outras coisas, que use esses dados só para aquilo que lhe foi pedido, que não os guarde mais tempo do que o necessário, que os proteja, que assine um contrato com cada fornecedor que os trate por sua conta (o programa de salários, a cloud, uma ferramenta de IA) e que responda a qualquer trabalhador que pergunte que dados tem sobre ele. Se sofrer uma violação de dados com risco para as pessoas, tem de a notificar à CNPD no prazo de 72 horas.
O RGPD, passo a passo
A quem se aplica. A qualquer empresa, profissional, entidade pública ou associação que trate dados pessoais na UE, e também a quem, de fora da UE, ofereça bens ou serviços a pessoas que cá estão. Ficam de fora, no essencial, as utilizações puramente pessoais ou domésticas.
O que protege. Os dados pessoais: qualquer informação relativa a uma pessoa singular identificada ou identificável (artigo 4.º, n.º 1). Alguns dados são "categorias especiais" (artigo 9.º): saúde, dados genéticos e biométricos, origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas, filiação sindical, vida ou orientação sexual. O seu tratamento é proibido, salvo se se aplicar uma exceção, como o consentimento explícito ou a prestação de cuidados de saúde.
As regras principais.
- Princípios (artigo 5.º): licitude, lealdade e transparência, limitação das finalidades, minimização, exatidão, limitação da conservação, integridade e confidencialidade, e responsabilidade.
- Fundamento de licitude (artigo 6.º): cada tratamento precisa de um, como o consentimento, um contrato, uma obrigação legal ou interesses legítimos.
- Direitos dos titulares: acesso, retificação, apagamento, oposição, limitação do tratamento e portabilidade.
- Subcontratantes (artigo 28.º): se outra empresa trata dados por sua conta, é necessário um contrato que a limite às suas instruções.
O que acrescenta Portugal. A Lei n.º 58/2019 assegura a execução do RGPD na ordem jurídica nacional. Por exemplo, fixa nos 13 anos a idade a partir da qual uma criança pode consentir sozinha no tratamento de dados em serviços da sociedade da informação, e tem regras próprias para dados de saúde e para o contexto laboral.
A autoridade. A Comissão Nacional de Proteção de Dados (CNPD) recebe queixas, fiscaliza e aplica coimas.
As coimas. As infrações mais graves podem chegar a 20 milhões de euros ou 4 % do volume de negócios anual a nível mundial, consoante o montante que for mais elevado.
Isto é informação geral, não aconselhamento jurídico.
O que o RGPD não protege
O RGPD é abrangente, mas tem uma fronteira muito clara: protege informação sobre pessoas identificáveis. O considerando 26 di-lo expressamente: os princípios da proteção de dados não se aplicam a informação anónima, ou seja, a dados que já não permitem identificar ninguém.
Isso tem uma consequência prática que poucos conhecem. Se de um relatório clínico, de um contrato ou de um recibo de vencimento se retirarem todos os elementos identificativos, de forma que ninguém possa voltar a identificar a pessoa, o que resta sai do RGPD. O diagnóstico, a dose, o preço, a cláusula: tudo isso pode ser agregado e vendido legalmente a farmacêuticas, seguradoras, empresas de análise de mercado ou de desenvolvimento de IA. Existe um mercado público, com catálogos e subscrições, que vive disso.
Matizes importantes:
- Pseudonimizar não é anonimizar. Trocar o nome por um código mantém os dados dentro do RGPD (artigo 4.º, n.º 5). Explicamos a diferença em pseudonimização e anonimização.
- A anonimização pode ser desfeita. Um estudo publicado na Nature Communications em 2019 calculou que 99,98 % dos norte-americanos podem ser reidentificados a partir de 15 atributos.
- O contrato pesa mais do que a lei. Se os termos de utilização derem ao fornecedor uma licença para reutilizar o que carrega, o RGPD não impede que, depois de anonimizado, esse conteúdo ganhe outra vida.
Mostramos esse percurso em o rasto dos seus dados, com as fontes em legal de vender.
O que isto significa quando usa ferramentas de IA
Com qualquer ferramenta de IA, o RGPD dá-lhe uma lista de perguntas úteis:
- Há contrato de subcontratação (artigo 28.º)? Sem ele, o uso profissional com dados pessoais é difícil de defender.
- O fornecedor reserva-se uma licença para reutilizar o seu conteúdo, mesmo anonimizado?
- Treina com os seus dados? E durante quanto tempo os fornecedores dos modelos guardam os dados?
- Onde estão alojados os dados? O tratamento na UE evita transferências internacionais.
- Tem fundamento de licitude para introduzir esses dados e, no caso de dados de saúde, uma exceção do artigo 9.º?
O Wysor responde a estas perguntas no contrato. Atuamos apenas como subcontratante, segundo as suas instruções (artigo 28.º do RGPD), e um subcontratante não pode vender nem reutilizar aquilo que trata. Não tomamos licença para reutilizar o seu conteúdo, não treinamos com ele e não o vendemos, anonimizado ou não. Estes compromissos vinculam também quem quer que um dia venha a ser dono do Wysor. Os dados são cifrados em trânsito e em repouso e alojados na UE, e todos os fornecedores de modelos ligados aplicam retenção zero. Num só espaço de trabalho tem GPT, Claude, Gemini e outros modelos. Assim, o Wysor pode ser usado em conformidade com o RGPD sem que o seu conteúdo entre alguma vez no mercado de dados anonimizados. Mais detalhes no nosso guia de IA conforme o RGPD.
Perguntas frequentes
O que significa RGPD? Regulamento Geral sobre a Proteção de Dados, o Regulamento (UE) 2016/679. Em inglês chama-se GDPR. É diretamente aplicável em todos os países da UE desde 25 de maio de 2018.
Qual é a diferença entre o RGPD e a Lei 58/2019? O RGPD é o regulamento europeu e aplica-se da mesma forma em toda a UE. A Lei n.º 58/2019 é a lei portuguesa que assegura a sua execução e regula os aspetos que o RGPD deixa a cada Estado-Membro.
A quem se aplica o RGPD? A qualquer organização ou profissional que trate dados pessoais na UE, seja grande ou pequeno, e a quem, de fora, ofereça serviços a pessoas na UE. Não se aplica a utilizações puramente pessoais ou domésticas.
Que coimas pode aplicar a CNPD? As infrações mais graves ao RGPD podem ser punidas com coimas até 20 milhões de euros ou 4 % do volume de negócios anual a nível mundial, o que for mais elevado. A coima é graduada segundo a gravidade, a duração e a dimensão do responsável.
O RGPD protege os dados anonimizados? Não. O considerando 26 exclui a informação anónima. Por isso os dados verdadeiramente anonimizados podem ser reutilizados e vendidos legalmente, e por isso convém escolher ferramentas que não se reservem qualquer direito de reutilizar o seu conteúdo.
Leituras recomendadas
- IA conforme o RGPD: o guia
- Sigilo profissional explicado de forma simples
- O que é a IA generativa? Explicação simples
- Pseudonimização e anonimização: a diferença
- O rasto dos seus dados
- Legal de vender: as fontes
Tem dúvidas sobre o RGPD e a IA? Escreva-nos para [email protected] ou use o formulário de contacto na aplicação.
