Fax e proteção de dados

O quadro em quatro princípios

O RGPD pensa em tratamentos e riscos, nunca em tecnologias. Estes quatro pontos de referência valem para o fax como para qualquer outro meio de envio.

• Enviar é tratar

  O artigo 4.º, ponto 2, inclui expressamente a «divulgação por transmissão» entre as operações de tratamento. Enviar por fax uma ficha de cliente, um recibo de vencimento ou uma receita cai, portanto, em pleno âmbito do Regulamento.

• Cada fax precisa de um fundamento de licitude

  O artigo 6.º prevê seis: consentimento, execução de um contrato, obrigação jurídica, interesses vitais, interesse público, interesses legítimos. Uma entidade patronal que envia uma declaração à Segurança Social cumpre, na maioria dos casos, uma obrigação jurídica.

• Só viaja o necessário

  O princípio da minimização dos dados, consagrado na alínea c) do n.º 1 do artigo 5.º, exige que os dados transmitidos sejam adequados, pertinentes e limitados à finalidade. Antes de gerar o PDF, retire as páginas e os elementos de que o destinatário não precisa.

• Fora do Espaço Económico Europeu, aplicam-se regras adicionais

  Um fax destinado a um país terceiro configura uma transferência regida pelo capítulo V (artigos 44.º a 49.º). Para o Canadá, a Comissão Europeia reconheceu um nível de proteção adequado às organizações sujeitas à lei federal PIPEDA (Decisão 2002/2/CE); para outros destinatários canadianos, como algumas administrações provinciais, verifique as garantias aplicáveis.

Fax enviado ao destinatário errado: como proceder

Uma página com dados pessoais que chega a um terceiro constitui uma violação de dados pessoais na aceção do artigo 4.º, ponto 12, mesmo que o erro seja involuntário e o terceiro esteja de boa-fé. Estes são os passos, por esta ordem.

1. 1

   Conter o incidente

   Contacte quem recebeu o fax por engano, peça a destruição das páginas e, se possível, uma confirmação escrita. Estas diligências reduzem o risco e devem constar da sua documentação.

2. 2

   Registar a violação internamente

   O artigo 33.º, n.º 5, exige que cada violação seja documentada: factos, efeitos e medidas de correção adotadas. Esta obrigação aplica-se mesmo quando não há lugar a notificação.

3. 3

   Alertar a CNPD em até 72 horas, quando exigível

   Salvo se não for suscetível de implicar risco para as pessoas visadas, a violação é notificada à autoridade de controlo (a CNPD em Portugal) sem demora injustificada e, sempre que possível, até 72 horas após dela ter tido conhecimento (artigo 33.º, n.º 1). Depois desse prazo, a notificação deve justificar o atraso.

4. 4

   Avisar os titulares dos dados quando o risco é elevado

   Se o risco for elevado (dados de saúde, dados bancários, informação que permita usurpação de identidade), as pessoas em causa são informadas sem demora injustificada, em linguagem clara (artigo 34.º). Um subcontratante, por seu lado, tem de alertar o responsável pelo tratamento sem demora injustificada (artigo 33.º, n.º 2).

Medidas a implementar na sua organização

Uma lista de números verificados

Os contactos habituais (subsistema de saúde, laboratório, secretaria judicial, seguradora) constam de uma lista verificada e datada. Marca-se a partir dessa lista, nunca de memória.

Dupla verificação nos envios sensíveis

Num processo clínico ou financeiro, um colega revê o número e o conteúdo antes do envio. Dois minutos que evitam a maioria dos erros.

Um modelo de folha de rosto

Destinatário identificado, número de páginas, contactos do remetente e instruções em caso de receção por engano. Colocado no início de cada transmissão, orienta de imediato quem encontra o fax.

Aparelhos de fax controlados

Na receção, coloque o aparelho numa sala fechada ou ative a receção em memória protegida por código, se o modelo o permitir. Apague o disco ou a memória antes de devolver qualquer equipamento alugado.

Uma entrada no registo das atividades de tratamento

Se o fax faz parte dos seus fluxos habituais, descreva-o no registo previsto no artigo 30.º: finalidade, categorias de dados e de destinatários, eventuais transferências, prazos de conservação, medidas de segurança.

As suas perguntas

É permitido transmitir dados de saúde por fax?

Sim, o RGPD não o proíbe. Estes dados pertencem às categorias especiais do artigo 9.º: o seu tratamento exige uma das exceções aí previstas, por exemplo a prestação de cuidados de saúde, e um nível de cuidado reforçado. Regras nacionais como o sigilo médico e os códigos deontológicos acrescem. O seu EPD ou a sua ordem profissional podem indicar o que se aplica à sua atividade.

Preciso de um acordo com um prestador de fax?

Quando um prestador atua por sua conta sobre dados pessoais, o artigo 28.º exige um contrato que fixe as suas obrigações: instruções, confidencialidade, segurança, devolução ou eliminação dos dados no fim do serviço. Se pretende usar a FaxTelecom regularmente numa organização, escreva para contact@faxtelecom.com para analisar este enquadramento.

Durante quanto tempo são conservados os meus documentos?

Na FaxTelecom, o PDF carregado serve apenas para o envio e é apagado automaticamente a seguir; o pagamento com cartão, quando existe, é processado pela Stripe. Do seu lado, defina um prazo de conservação para as cópias e comprovativos que guardar (princípio da limitação da conservação, art. 5.º/1/e). No destinatário, a conservação segue a política dele.

Uma pessoa mencionada num fax pode exercer os seus direitos?

Sim. Acesso, retificação, apagamento, oposição: os direitos dos artigos 15.º a 22.º exercem-se junto do responsável pelo tratamento, ou seja, a organização que decidiu enviar o documento. A resposta tem de ser dada no prazo de um mês, prorrogável por mais dois meses em pedidos complexos ou numerosos (artigo 12.º, n.º 3).