O ENCARREGADO DE PROTEÇÃO DE DADOS COMO AGENTE DE MUDANÇA

Não sendo uma posição nova, com a entrada em vigor do Regulamento Geral Sobre a Proteção de Dados (RGPD), o Encarregado de Proteção de Dados (EPD) ganhou uma relevância, dentro das organizações, que até então não tinha ainda conseguido obter.

Apesar de estar consagrado na Constituição Portuguesa, desde 1976, o “direito à identidade pessoal, […] ao bom nome e reputação, à imagem, […] à reserva da vida privada e familiar […]” (artigo 26.º, n.º 1), definida a utilização informática, “todos os cidadãos têm o direito de acesso aos dados informatizados que lhes digam respeito, podendo exigir a sua retificação e atualização, e o direito de conhecer a finalidade a que se destinam, nos termos da lei” (artigo 35.º, n.º 1), bem como haver legislação da União Europeia neste sentido há décadas (Convenção Para a Proteção de Indivíduos, 1981; Diretiva Para a Proteção de Dados, 1995; Carta dos Direitos Fundamentais, 2000), a verdade é que o tratamento de dados pessoais, salvo raras exceções, nunca foi considerado como merecedor de particular atenção por parte das organizações.

É ainda demasiado frequente pedirem-se demasiados dados, ou guardá-los por demasiado tempo, ou não haver particulares considerações de segurança na sua conservação, ou ainda a sua utilização para tratamentos injustificados. Ou todas as situações anteriores, ao mesmo tempo.

É, pois, responsabilidade do Encarregado de Proteção de Dados (EPD) mudar isto! O EPD tem de tomar para si a missão de dizer

não, não se pode solicitar tão grande quantidade de dados pessoais; não, esses dados não se podem guardar anos e anos só porque podem vir a fazer falta, um dia; não, uma firewall e um antivírus não são proteção suficiente; não, esses dados não podem ser tratados para esse fim. Certo?

Na verdade, não.

Mudar é preciso, e o EPD deve querer ter um papel a desempenhar no desenvolvimento da economia digital, no facilitar o controlo, por parte dos cidadãos, dos seus próprios dados, e no reforço da segurança jurídica e pratica por parte dos operadores económicos, bem como das entidades públicas. Para isso, deverá manter o foco na conformidade com a Lei (e não somente com o RGPD), mas não apenas dizendo o que não deve ser feito. Antes, deve informar e aconselhar sobre as melhores praticas, com vista à adequação com a legislação.

Disse um dia um dinossauro, “já cá estamos há tanto tempo e sempre fizemos assim, para quê fazer diferente”?

Mudar quase nunca é fácil, antes pelo contrário. O processo de mudança exige dos agentes nele envolvidos a capacidade de mobilização, persistência, pele grossa e conhecimentos, não só da organização, como também do setor de atividade, que lhe permitam ser credíveis.

Como agente de mudança, o EPD, a meu ver, tem de, antes de mais:

• promover o valor da mudança que vai acontecer
• demonstrar de uma forma simples, clara e facilmente inteligível, a forma como essa mudança deve ser implementada
• manter informados e apoiar todos os envolvidos
• aconselhar sobre como os novos procedimentos e processos devem ser implementados, de forma a conseguir obter o resultado esperado

A forma de o conseguir deve ser através do estabelecimento de uma estreita ligação entre a Administração (à qual deve ter acesso e pela qual não se pode deixar manipular) e todos aqueles que vão ser, de uma maneira ou de outra, afetados pela nova maneira de fazer as coisas. O EPD deve saber explicar as razões porque é necessário mudar, saber responder às inevitáveis dúvidas e ansiedades que estes processos acarretam, bem como saber persuadir as partes envolvidas a cooperar. Isto sem nunca esquecer a responsabilidade de expressar junto da Administração as preocupações manifestadas pela Organização. Ou seja, disseminar uma cultura de proteção de dados em todos os sentidos da estrutura, através de ações de formação, sensibilização e auditorias regulares.

E, sempre, acautelando o negócio. O objetivo primeiro da Organização não pode ser colocado em causa.

Para tudo isto, o EPD deve saber

• priorizar
• construir relações
• comunicar
• relacionar-se com pessoas

Como conseguir que o departamento legal não seja só sobre leis, e que o departamento de IT não seja só sobre cabos, cliques e aplicações? Como ser e como conseguir que os outros sejam multifuncionais (até um determinado ponto, como é evidente)? Como conseguir que a proteção de dados, a privacidade e a segurança da informação sejam componentes das responsabilidades do doutor e do engenheiro? Da pessoa que atende o cliente, da que lava o chão e do administrador?

Este envolvimento não se deve cingir apenas ao interior do edifício organizacional, uma vez que a organização é muito mais do que aquilo que se passa entre as suas paredes. O RGPD estabelece o EPD como o ponto de contato com o Regulador, tendo que com ele cooperar, bem como ser o contato com os titulares dos dados. Deve também manter contactos com subcontratantes, fornecedores e parceiros.

Mas também com os seus pares. E isto porque todos devemos caminhar no sentido de sermos completamente envolvidos nas questões relacionadas com a proteção de dados, de sermos um parceiro de discussão indispensável nestas matérias, dentro e fora das organizações. Desde o momento da conceção e ao longo da vida do tratamento de dados.

Temos de fazer da posição de Encarregado de Proteção de Dados, um standard na infraestrutura de capital humano das Organizações.

Este é um dos mais importantes desafios que temos pela frente.

Mas muitos outros desafios nos esperam, o que torna esta posição tão estimulante. Alguns deles, são:

• o custo da mudança; como gerir algo com tão elevado impacto quando não há um histórico de aplicação, de decisões em tribunal? como interpretar conceitos indeterminados? estamos todos seguros sobre o que significa larga escala? controlo regular e sistemático? haverá legislação complementar ainda por sair? e irá em que sentido? qual o custo de manter a organização em conformidade?
• a perceção de privacidade; estar em conformidade é fundamental, mas entendo que, enquanto EPD, não podemos dissociar-nos do objetivo da organização; para isso, devemos conseguir demonstrar que podemos acrescentar valor, que a mudança que propomos vai poder beneficiar a marca através de uma acrescida perceção de confiança e, por conseguinte, de reconhecimento, por parte do consumidor
• a definição do setor; como explicar a quem não lida com estas matérias, o que significa dizer “estou no ramo da proteção de dados”? para isso, defendo que se deve abordar os temas de forma clara, em fóruns de âmbito alargado, abertos à sociedade, onde se debatam não só os aspetos particulares da função, mas também da comunidade que lida com a privacidade e com a segurança da informação; isto permitirá a todos obter um maior apoio para, efetivamente, mudar a forma como as organizações usam a privacidade para não só manter, mas também aumentar o seu fim, seja ele o lucro ou outro qualquer.

Diz a Comissão Europeia que o propósito do RGPD não é uma mera alteração de regime, que se pretende “uma alteração profunda da sociedade”. Uma “mudança de época”, por oposição a uma época de mudança. Não é pouco o que se pede.

Como tal, tão grande propósito não se consegue apenas com a publicação de leis. Mudar por decreto, sem mais, é condenar a mudança ao fracasso. Cabe a todos, mas a nós diretamente envolvidos nesta questão em particular, fazer com que esta mudança seja para melhor.

E mudança implica oportunidade. Não a desperdicemos.

As opiniões expressas neste texto, são do seu autor e em nada comprometem a Associação de Encarregados de Proteção de Dados.