COMISSÃO NACIONAL DE PROTECÇÃO DE DADOS As dinâmicas de grupo e os perfis de consumo
O uso de perfis na empresa Os perfis são conjuntos de dados que caracterizam categorias de indivíduos destinados a serem aplicados a situações pessoais, por ex., perfis de investimento de clientes bancários construídos a partir de dados como o rendimento, a tolerância ao risco e os investimentos efectuados num determinado período de tempo A empresa típica utiliza apenas 2 a 4% dos dados que recolhe e armazena (Estudo IBM 2007) As grandes quantidades de dados recolhidos pela empresa nas suas bases transversais (datawarehouses) ou departamentais (datamarts) são processadas através de aplicações de exploração automatizada de dados adaptadas à sua área de negócios (embedded data mining) de modo a agregar os dados de vários indivíduos em perfis que podem ser usados para diferentes fins (marketing, gestão de investimentos, gestão de recursos humanos, prevenção de fraudes, etc.) O desenvolvimento das TIC permite que estas operações sejam executadas a um custo relativamente baixo
Dinâmicas dos grupo de empresas Nos grupos de empresas o marketing é uma actividade transversal e as decisões tanto podem ser adoptadas estrategicamente ao nível da direcção do grupo, depender da coordenação das filiais com a divisão internacional da empresa-mãe ou serem transmitidas de acordo com uma estrutura matricial A centralização ou descentralização destas decisões poderá reflectir-se na própria localização das bases de dados de marketing, condicionar o carácter local ou global das campanhas e influir sobre a localização dos respectivos tratamentos de dados Nestes grupos, dada a dimensão considerável dos recursos humanos, existe uma razão adicional para elaborar perfis aplicáveis aos colaboradores com vista ao marketing interno Palavras-chave nos grupos de empresas prestadoras de serviços financeiros: datawarehouse, database marketing, data mining, marketing relacional, marketing one-to-one, CRM, perfis de consumo e de investimento, circulação de dados no interior do grupo, transferências de dados pessoais
Problemas de protecção de dados Ao ligar entre si um largo número de indivíduos, os perfis distribuem-nos por um número limitado de categorias de gostos, tendências ou comportamentos, o que significa que efectuam, de algum modo, uma classificação social dessas pessoas Este tratamento é geralmente levado a cabo sem o conhecimento dos titulares dos dados Os dados tratados são eminentemente pessoais, interferindo com a privacidade, identidade e até com a dignidade dos seus titulares A utilização dos perfis pode resultar na restrição ilegítima do acesso das pessoas singulares a certos produtos e serviços, com violação do princípio da não discriminação Quando atribuídos ao titular dos dados, os perfis permitem criar novos dados pessoais sensíveis para além daqueles que o titular comunicou ao responsável pelo tratamento ou que presume serem do seu conhecimento
Fontes da regulamentação São textos fundamentais a Directiva 95/46/CE, de 24 de Outubro de 1995, a Lei nº 67/98, de 26 de Outubro, e o Decreto-Lei nº 7/2004, de 7 de Janeiro, alterado pelo Decreto-lei nº 62/2009, de 10 de Março O código de conduta da APMDRI sobre esta matéria carece de revisão e aprofundamento O código de conduta da FEMD sobre protecção de dados e o seu anexo sobre a protecção de dados no marketing feito por meio de comunicações electrónicas são particularmente úteis pelo grau de desenvolvimento e exemplificação que apresentam Nenhum destes textos apresenta soluções completas para o problema dos perfis de consumo
Lei aplicável ao tratamento A origem externa ou o alojamento das bases de dados em servidores situados no estrangeiro não afasta, só por si, a aplicação da lei portuguesa, o importante é saber se a empresa está implantada no país e se o seu estabelecimento desenvolve actividades locais utilizando perfis de consumo Se o grupo possui um estabelecimento em Portugal a LPD é aplicável às actividades desenvolvidas no contexto desse estabelecimento, com ou sem recurso à Internet para o tratamento Se uma empresa estabelecida noutro EM trata dados através de um subcontratante estabelecido em Portugal a LPD é aplicável mas só à segurança dos tratamentos A LPD é também aplicável a tratamentos de empresas estabelecidas apenas em países terceiros que recorram a meios situados em Portugal para tratar os dados designação de um representante junto da CNPD que substitui a empresa nos respectivos direitos e obrigações
Princípios gerais O tratamento de dados pessoais para a elaboração de perfis de consumo deve oferecer garantias de transparência, não discriminação e respeito pelos direitos e liberdades dos titulares dos dados, desiderato que pode ser obtido logo na fase da concepção e planeamento através do recurso a tecnologias que optimizem a protecção da privacidade O tratamento deve ser efectuado de forma lícita e com respeito pela boa fé Os dados devem ser recolhidos para finalidades de determinadas, explícitas e legítimas, não podendo ser posteriormente tratados de forma incompatível com essas finalidades (não vão ser usados todos os perfis que é possível obter com os dados disponíveis, mas apenas perfis específicos, de consumo, investimento, risco ou rendimento, úteis, por ex.,para as actividades de gestão comercial, gestão de RH e marketing) Os dados devem ser adequados, pertinentes e não excessivos relativamente às finalidades para que são recolhidos e posteriormente tratados (os dados de identificação dos perfis devem ser codificados ou conservados anónimos) Os dados utilizados devem ser exactos e actualizados, a empresa deve reavaliar periodicamente a qualidade dos dados e das inferências estatísticas feitas a partir deles Os dados usados devem ser conservados apenas durante o período necessário para a prossecução das finalidades da recolha ou tratamento posterior
Notificação dos tratamentos Os tratamentos implicados na elaboração e utilização de perfis de consumo devem ser notificadas à CNPD em função das finalidades que determinam o seu emprego (gestão comercial, marketing, prevenção de fraudes, etc.) Um único perfil pode servir várias finalidades interligadas e o contrário também pode acontecer, isto é, diferentes perfis de consumo, de investimento, de recursos humanos serem usados para uma única finalidade (marketing) Seja qual for a situação interna da informação na empresa (obtenção e tratamento da informação a partir de dados extraídos de uma base de dados transversal a toda a empresa, recurso a bases de dados departamentais), esta relação de meios (perfis) a fins deve estar muito clara nas notificações, de modo a permitir o controlo da proporcionalidade dos tratamentos
Consentimento e autorização O fundamento de legitimidade para o tratamento é, em geral, o consentimento livre, expresso, específico e informado do titular dos dados, verificado pela CNPD, mas também pode ser o consentimento dos representantes de menores, verificado pela CNPD, ou só a autorização da CNPD, no caso dos trabalhadores Os currículos e dados sobre gostos e preferências cedidos por grupos de empresas com vista à colocação dos trabalhadores com o consentimento dos mesmos não podem ser utilizados para constituição de perfis de consumo, com desvio de finalidade, sem autorização da CNPD Os dados constantes de ficheiros positivos e negativos de crédito notificados à CNPD não podem ser utilizados para a elaboração de perfis, com desvio de finalidade, sem autorização deste órgão
Recolha dos dados Recolha directa junto do titular dos dados antes, depois ou no momento da celebração do contrato, feita pelo responsável pelo tratamento ou por alguém por sua conta, presencial ou na Internet através do sítio da empresa, de plataformas para vendas ou contratação de serviços, de redes sociais, eventos interactivos, etc. Recolha indirecta a partir de listas e fontes públicas, por transmissão de outras empresas do grupo, de instituições financeiras, por compra ou aluguer dos dados, etc. A constituição de perfis, ao gerar novos dados, obriga a empresa a prestar de novo ao titular dos dados informações sobre a recolha dos dados, mesmo que os perfis tenham sido construídos a partir de dados anteriormente notificados à CNPD para as mesmas finalidades A recolha de dados em redes abertas obriga a empresa a informar o titular dos dados que os seus dados podem circular na rede sem condições de segurança, correndo o risco de serem vistos e utilizados por terceiros não autorizados A recolha de dados para a constituição de perfis através de software destinado à observação e monitorização do uso de um determinado equipamento terminal numa rede de comunicações electrónicas deve ser acompanhada de garantias de privacidade adequadas impostas por lei ( privacidade por defeito )
Recolha dos dados (cont.) Se os dados forem recolhidos junto do seu titular, a empresa deve prestar lhe as seguintes informações, salvo se já forem dele conhecidas: a) a sua identificação ou do seu representante no país b) que dados são recolhidos para a elaboração dos perfis c) As finalidades da constituição dos perfis d) As consequências que podem surgir da aplicação do perfil ao seu caso individual e) os destinatários ou categorias de destinatários dos dados, incluindo subcontratantes, prestadores de serviços e outras empresas do grupo f) o carácter facultativo ou obrigatório da resposta e as possíveis consequências de se não responder h) a existência e as condições dos direitos de acesso, rectificação e oposição, que são necessárias, nestes casos, para garantir ao titular dos dados um tratamento leal dos mesmos No caso de recolha indirecta, as mesmas informações devem ser prestadas no momento do registo ou, se estiver prevista a comunicação a terceiros (por ex., a outras empresas do grupo), o mais tardar aquando da primeira comunicação desses dados
Direito de oposição No caso dos perfis de consumo, a revogação do consentimento vale como oposição ao tratamento O trabalhador ou qualquer outro titular dos dados pode opor-se em qualquer momento a que os seus dados sejam usados pela empresa para marketing directo ou qualquer outra forma de prospecção O titular dos dados deve ser informado antes de os seus dados pessoais serem comunicados pela primeira vez a terceiros para fins de marketing directo ou utilizados por conta de terceiros, podendo exercer o seu direito de oposição mesmo que tais comunicações ou utilizações tenham como destinatários outras empresas do grupo
Direito de acesso e rectificação O titular dos dados tem o direito de obter da empresa: a) A confirmação de serem tratados dados que lhes digam respeito, informação sobre a finalidade da constituição dos perfis, categorias de dados sobre que incide o tratamento (especialmente relevante no caso de aplicações concebidas para agregar automaticamente certas categorias de dados), destinatários e categorias de destinatários a quem são comunicados os dados (outras empresas do grupo, subcontratantes, prestadores de serviços, outras instituições financeiras, etc.) b) A comunicação, sob forma inteligível, dos seus dados sujeitos a tratamento e de informações disponíveis sobre a respectiva origem c) O conhecimento da lógica subjacente ao tratamento automatizado dos dados que lhe digam respeito, de forma a perceber por ex. como a aplicação dos perfis ao seu caso pode indiciar tendências e fundar previsões, sem que, no entanto, este conhecimento ponha em causa os segredos comerciais ou da vida interna da empresa e os seus direitos exclusivos sobre programas de computador e aplicações informáticas
Direito de acesso e rectificação (cont.) d) A rectificação, apagamento ou bloqueio dos dados, nomeadamente devido ao seu carácter incompleto ou inexacto e) a notificação a terceiros a quem os dados tenham sido comunicados incluindo outras empresas do grupo de qualquer rectificação, apagamento ou bloqueio, salvo se isso for comprovadamente impossível
Decisões automatizadas No caso de a aplicação do perfil a uma situação individual resultar na oferta ou na não oferta automatizada de produtos ou serviços ao titular dos dados isso deverá resultar do âmbito da celebração ou da execução de um contrato com a empresa solicitado pela pessoa em causa Caso contrário, essa decisão não pode ser adoptada sem que seja garantido o direito de representação e expressão da pessoa afectada ou, em alternativa, mediante autorização da CNPD que defina medidas de defesa dos interesses legítimos do titular dos dados
Transferência dos dados A transferências dos dados sobre perfis de consumo de uma empresa do grupo estabelecida em Portugal para outras empresas do grupo, instituições financeiras ou entidades estabelecidas em Estados que não assegurem um nível adequado de protecção dos dados pode fazer-se: a) Com o consentimento do titular dos dados; b) Se for necessária para a execução de um contrato entre o titular e o responsável pelo tratamento ou de diligências prévias à formação do contrato decididas a pedido do titular dos dados; c) For necessária para a execução ou celebração de um contrato celebrado ou a celebrar, no interesse do titular dos dados, entre o responsável pelo tratamento e um terceiro d) For necessária ou legalmente exigida para a protecção de um interesse público importante, ou para a declaração, o exercício ou a defesa de direitos num processo judicial; e) For autorizada pela CNPD mediante garantias adequadas, por ex. uso de cláusulas contratuais de transferência dos dados.
Transferência dos dados (cont.) Uma forma expedita de o responsável pelo tratamento estabelecido em Portugal respeitar as garantias adequadas exigidas para a transferência de dados para responsáveis pelo tratamento, incluindo outras empresas do grupo, ou para subcontratantes estabelecidos em países terceiros é a de utilizar as cláusulas contratuais aprovadas para esse efeito por decisão da Comissão Europeia
Segurança das informações Às empresas com estrutura de grupo parece estar reservada uma posição dinamizadora da implementação do cargo de responsável pela protecção dos dados pessoais Na vertente interna é este actor, em contacto com os designers e fornecedores de software, os designers de perfis, os responsáveis pelos sistemas de informação e os responsáveis pelo marketing digital da empresa, que deve certificar-se que não há um tratamento desnecessário e excessivo de dados pessoais na utilização dos perfis e assegurar que são postas em prática medidas adequadas para proteger os dados pessoais Na vertente externa compete-lhe transmitir instruções aos subcontratantes em matéria de segurança das informações e assegurar a ligação permanente com as autoridades nacionais de protecção de dados Em particular, é importante que a comunicação de dados sobre perfis de consumo através da Internet seja acompanhada de medidas de segurança adequadas (utilização de um protocolo seguro, transmissão anónima ou codificada dos perfis)
Obrigado pela vossa atenção Vasco Almeida (CNPD)