Março 2020

ProteÇÃo de dados pessoais

PROTEÇÃO DE DADOS PESSOAIS NO CONTEXTO DO ESTADO DE ALERTA MOTIVADO PELO CORONAVIRUS COVID-19

No contexto do estado de alerta causado pela propagação do vírus COVID-19, a Comissão Nacional de Proteção de Dados (CNPD) emitiu, no passado dia 16 de março, a Deliberação 2020/170 onde decide interromper, com efeitos imediatos, a contagem dos prazos de resposta aos seus projetos de deliberação no âmbito de processos contraordenacionais que se encontrem pendentes. Como tal, os mesmos apenas começarão a ser contados, de novo, no primeiro dia útil seguinte ao fim do estado de alerta. De acordo com a Deliberação, esta medida em nada afeta o facto de, nos termos do artigo 14.º do Decreto-Lei n.º 10-A/2020, de 13 de março, a declaração médica de necessidade de quarentena motivada por risco de contágio pelo COVID-19 consubstanciar um justo impedimento à prática de quaisquer atos processuais no âmbito de processos contraordenacionais.

A Deliberação da CNPD pode ser consultada aqui.

Para além disso, também o Comité Europeu para a Proteção de Dados (CEPD) emitiu um Comunicado quanto ao tratamento de dados pessoais no contexto de uma epidemia. O CEPD destaca que os tratamentos de dados pessoais levados a cabo no contexto do COVID-19 devem levar sempre em linha de conta os princípios e regras gerais constantes do Regulamento Geral de Proteção de Dados (RGPD). Assim, afirma que os artigos 6.º e 9.º do RGPD acautelam a possibilidade de tratamento de dados pessoais no contexto de epidemias, por parte dos empregadores e das autoridades de saúde pública, sem o consentimento dos seus titulares, por motivos de saúde pública, de proteção de interesses vitais ou do cumprimento de outras obrigações legais. Por outro lado, o CEPD destaca ainda que em relação a tratamentos de dados no contexto das comunicações eletrónicas, tais como dados de localização de telemóveis, aplicam-se regras adicionais (já que, de acordo com as leis dos Estados Membros que transpuseram a Diretiva sobre Privacidade nas Comunicações Eletrónicas, esta informação apenas pode ser tratada pelos operadores de telecomunicações se forem anonimizados ou se existir consentimento dos utilizadores). Assim, as autoridades públicas devem, mesmo em situações de emergência motivadas pelo COVID-19, privilegiar a anonimização daquela informação, ou, não sendo isso possível, prever o seu tratamento em legislação nacional que revista uma finalidade de segurança nacional e/ou pública (tal como se compreende pela salvaguarda da saúde pública). Para além disso, os Estados Membros estão obrigados a assegurar garantias adequadas, designadamente o direito individual a reparação judicial.

O Comunicado do CEPD, em inglês, pode ser consultado aqui.

March 2020

DATA PROTECTION

PROTECTION OF PERSONAL DATA DUE TO THE STATE OF ALERT CAUSED BY THE COVID-19 VIRUS

Due to the state of alert caused by the spread of the COVID-19 virus, the Portuguese Data Protection Authority (CNPD) issued last March 16, Resolution 2020/170 where it decides to suspend, with immediate effects, the deadlines of reply to its draft decisions in the context of administrative proceedings which are currently pending. This interruption will cease on the first working day following the end of the state of alert. According to the Resolution, this measure will in no way affect the fact that, under the terms of article 14 of Law Decree 10-A/2020, of 13 March, the medical declaration of quarantine due to the risk of infection by COVID-19 constitutes a just cause to the practice of any procedural acts within the scope of administrative proceedings.

The CNPD Resolution, in Portuguese, can be consulted here.

In addition to this, the European Data Protection Board (EDPB) also issued a Statement on the processing of personal data in the context of an epidemic. The EDPB underlines that the processing of personal data carried out in the context of COVID-19 must take into account the general rules and principles from the General Data Protection Regulation (GDPR). In this context, articles 6 and 9 of the GDPR foresee the possibility of processing personal data in the context of an epidemic, by employers and public health authorities, without the consent of the data subject, for reasons of public health, protection of vital interests or compliance with other legal obligations. The EDPB also highlights the possibility of processing of data in the context of electronic communications, such as mobile location data, as long as some additional rules are complied with (since, according the laws of the Member States implementing the E-Privacy Directive, such information can only be processed by the operators if duly anonymized or with the data subjects’ consent). Therefore, even in the context of emergency situations originated by the COVID-19, public authorities must favour anonymized data or, when that is not possible, introduce legislative measures pursuing national and/or public security (such as safeguarding public health). Further to this, Member States are obliged to ensure appropriate safeguards, such as granting individuals the right to judicial remedy.

The EDPB's Statement can be consulted here.

Para qualquer dúvida ou comentário que possa surgir, por favor, contactar com
In case of any doubts or comments, please do not hesitate to contact

La información contenida en esta circular es de carácter general y no constituye asesoramiento jurídico
The information contained in this Newsletter is of a general nature and does not constitute legal advice