Na sociedade moderna, os dados pessoais referem-se a qualquer informação que identifique direta ou potencialmente uma pessoa singular. Na Bielorrússia, os regulamentos legais classificam os dados pessoais de modo a incluir não só os identificadores padrão, tais como o nome completo, a data de nascimento e a morada, mas também informações biométricas (por exemplo, impressões digitais, leituras da íris) e dados genéticos.
Até novembro de 2021, a regulamentação dos dados pessoais na Bielorrússia era fragmentada. A nova lei então promulgada introduziu um enquadramento abrangente: estabeleceu os principais intervenientes na cadeia de tratamento de dados — titulares dos dados, operadores e pessoas autorizadas — e definiu princípios de tratamento, requisitos de segurança e mecanismos de proteção dos direitos dos indivíduos.
Atualmente, os operadores de dados pessoais (empresas e empresários em nome individual que tratam dados pessoais) aplicam uma abordagem baseada no risco ao tratamento de dados. Determinam de forma autónoma o nível de proteção adequado e implementam medidas jurídicas, técnicas e organizativas proporcionais à natureza e à escala do tratamento de dados. São também obrigados a designar encarregados da proteção de dados, a desenvolver políticas internas, a formar os colaboradores e a implementar salvaguardas criptográficas ou outras medidas técnicas.
O Centro Nacional de Proteção de Dados Pessoais (NCPDP) supervisiona o cumprimento da legislação sobre dados pessoais. De acordo com o seu plano para 2025, pelo menos nove operadores serão sujeitos a auditorias programadas, incluindo grandes empresas tecnológicas, bancos e instituições de ensino, estando igualmente previstas inspeções presenciais não programadas.
Os principais direitos dos titulares dos dados (ou seja, os indivíduos cujos dados estão a ser tratados) incluem o acesso aos respetivos dados, a retificação, a eliminação, o bloqueio, bem como o direito de apresentar reclamações e recorrer das ações do operador. Em muitos aspetos, a legislação bielorrussa espelha o RGPD europeu, promovendo a transparência, a minimização de riscos e a supervisão no tratamento de dados pessoais.
A compreensão da terminologia fundamental é essencial para o tratamento adequado de dados. Seguem-se os principais papéis e tipos de dados sujeitos a proteção jurídica.
Titular dos Dados
Um titular de dados é uma pessoa singular cujos dados pessoais são tratados. Isto inclui qualquer pessoa cujos dados sejam recolhidos, armazenados, utilizados ou de outro modo tratados, tais como um cliente, colaborador, prestador de serviços, subscritor de boletins informativos ou utilizador de um site. O critério fundamental é a presença de informações identificáveis: nome, morada, número de telefone, dados do passaporte, etc.
Operador de Dados
Um operador de dados é uma pessoa coletiva ou um empresário em nome individual que determina as finalidades e os meios do tratamento de dados pessoais. Os operadores são responsáveis por garantir que o tratamento de dados cumpre os requisitos legais e que os direitos dos titulares dos dados são respeitados. Exemplos comuns incluem empregadores, retalhistas online, bancos, companhias de seguros e instituições de ensino.
Os operadores podem delegar o tratamento noutros, mas mantêm-se integralmente responsáveis pelo cumprimento.
Pessoa Autorizada
Uma pessoa autorizada é um terceiro contratado pelo operador para tratar dados pessoais. Atua ao abrigo de um contrato ou mandato e deve aplicar as mesmas salvaguardas que o operador. Por exemplo, uma sociedade de contabilidade com acesso a dados de colaboradores ou um fornecedor de TI que gira um sistema CRM seriam considerados pessoas autorizadas.
O Que Constitui o Tratamento de Dados Pessoais
O tratamento refere-se a todo o ciclo de vida dos dados, incluindo:
Mesmo o armazenamento de dados pessoais no correio eletrónico corporativo ou numa folha de cálculo Excel qualifica-se como tratamento.
Os dados pessoais são classificados em várias categorias com base na respetiva sensibilidade:
Uma compreensão clara de quem intervém na cadeia de tratamento de dados e dos tipos de dados manuseados permite às organizações criar sistemas eficazes de proteção de dados pessoais e evitar riscos jurídicos.
O tratamento eficaz e lícito de dados pessoais só é possível quando são respeitados os princípios fundamentais de tratamento. Estes princípios refletem a abordagem aceite de forma geral para a proteção de informações e constituem a base das políticas internas de dados de uma organização.
Licitude e Lealdade
Os dados pessoais devem ser tratados com base em fundamentos claros, leais e transparentes. Isto significa que a organização deve dispor de uma finalidade legítima e de um fundamento jurídico para a recolha de informações pessoais de alguém. Os dados não devem ser recolhidos «apenas por precaução» ou sem notificar o titular dos dados. A lealdade implica o respeito pelos interesses do indivíduo e exclui a manipulação ou práticas ocultas.
Limitação das Finalidades e Minimização dos Dados
As organizações devem recolher apenas os dados estritamente necessários para uma finalidade específica. Se a finalidade puder ser alcançada sem determinadas categorias de dados, estas não devem ser recolhidas nem armazenadas. Por exemplo, a entrega de um produto não exige dados de passaporte nem informações sobre o estado civil. O princípio da minimização ajuda a reduzir os riscos de violação de dados, a otimizar os processos internos e a reforçar a confiança dos clientes.
Exatidão e Atualização
Os dados pessoais devem ser exatos e atualizados. O responsável pelo tratamento é obrigado a tomar medidas razoáveis para retificar informações inexatas ou desatualizadas. Por exemplo, se um colaborador alterar a sua morada ou número de telefone, os dados devem ser prontamente atualizados. Informações inexatas podem dar origem a perdas financeiras, erros de entrega, incorreções de cálculo e outras consequências negativas.
Limitação da Conservação e Eliminação
Os dados não devem ser armazenados indefinidamente. O período de conservação deve limitar-se ao necessário para a finalidade do tratamento. Uma vez cumprida a finalidade, os dados devem ser eliminados ou anonimizados. Por exemplo, após a saída de um colaborador, os respetivos dados pessoais devem ser armazenados apenas durante os períodos legalmente exigidos relativos a arquivos, salários ou auditorias, após os quais devem ser eliminados de forma segura.
Segurança e Confidencialidade
O tratamento de dados deve incluir medidas para proteger as informações contra o acesso não autorizado, a perda, a alteração ou a divulgação. Isto aplica-se tanto a medidas técnicas (encriptação, controlo de acessos, cópias de segurança) como a abordagens organizativas (formação de colaboradores, regulamentos internos, supervisão de prestadores de serviços). Apenas os colaboradores cujas funções exijam o acesso a dados pessoais devem obtê-lo.
O responsável pelo tratamento de dados pessoais é a figura central no ciclo de vida do tratamento de dados. Incumbe-lhe assegurar o cumprimento dos princípios e requisitos legais. Independentemente da dimensão da organização, o responsável deve estabelecer um sistema de proteção de dados, monitorizar o seu desempenho e viabilizar o exercício dos direitos dos titulares dos dados.
Designação de um Encarregado da Proteção de Dados (EPD)
O primeiro passo na organização do tratamento de dados pessoais consiste em designar um colaborador ou departamento autorizado encarregue de gerir a proteção e a segurança dos dados. Esta pessoa coordena as políticas internas, articula-se com as autoridades de controlo e aconselha a gestão em matérias de proteção de dados. Este papel reveste-se de especial importância para organizações que tratam grandes volumes de dados ou operam em setores como a saúde, a educação ou os serviços online.
Elaboração de Documentação Interna
As operações de dados pessoais devem ser regidas por políticas e procedimentos internos. O responsável é obrigado a desenvolver e implementar documentos regulamentares internos que definam:
Estes documentos devem refletir os processos comerciais reais e ser regularmente atualizados sempre que ocorram alterações.
Formação de Colaboradores
Os colaboradores com acesso a dados pessoais devem estar familiarizados com as respetivas regras de tratamento. Tais colaboradores são obrigados a cumprir as medidas de proteção. A formação pode incluir ações de acolhimento iniciais, verificações regulares de conhecimentos, workshops e a distribuição de atualizações. A falta de sensibilização dos colaboradores constitui uma das principais causas de incidentes relacionados com fugas de dados ou divulgação não autorizada.
Medidas Técnicas e Organizativas
O responsável pelo tratamento é obrigado a garantir a segurança dos dados pessoais através da implementação de medidas técnicas e organizativas. Estas incluem:
As medidas organizativas envolvem igualmente a supervisão de prestadores de serviços, auditorias de segurança da informação e a introdução de regras para o manuseamento de documentos físicos (em papel).
Registo e Conservação de Registos
O responsável deve manter registos das operações que envolvam dados pessoais. Isto inclui:
Tal documentação ajuda a demonstrar a conformidade com a legislação, a reconstituir o tratamento de dados em caso de litígios ou inspeções, e assegura a transparência dos processos.
Uma abordagem abrangente ao cumprimento dos deveres de um responsável pelo tratamento reduz os riscos jurídicos e demonstra a maturidade da organização em termos de responsabilidade digital e cultura de governação da informação.
Um dos principais objetivos da legislação de proteção de dados pessoais consiste em conferir aos indivíduos o controlo sobre as informações que lhes dizem respeito. Cada titular de dados tem direito a um conjunto de direitos que lhe permitem compreender, influenciar e gerir a forma como os seus dados são utilizados. O responsável deve não só cumprir estes direitos, como também disponibilizar mecanismos práticos para o seu exercício.
Direito à Informação sobre Dados Pessoais
Os indivíduos têm o direito de saber quem trata os respetivos dados, para que finalidades, com que fundamentos jurídicos, que categorias de dados são utilizadas e a quem os dados são divulgados. A pedido, o titular deve receber informações completas e claras, incluindo pormenores sobre os períodos de conservação e as medidas de segurança.
É importante que o responsável não oculte informações sob o pretexto de «política interna» e preste respostas num prazo razoável. Não pode ser cobrada qualquer taxa por esses pedidos quando se trate de um primeiro pedido ou de um pedido normalizado.
Direito de Acesso, Retificação, Bloqueio ou Apagamento de Dados
Um titular pode contactar o responsável para:
Por exemplo, se um cliente já não pretender que o seu número de telefone seja utilizado para mensagens de marketing, pode solicitar a respetiva eliminação da base de dados do responsável. O responsável deve dar cumprimento ao pedido ou apresentar uma justificação lícita para a recusa (por exemplo, se os dados forem necessários para cumprir obrigações contratuais ou exigências legais).
Direito de Retirar o Consentimento
Se os dados pessoais forem tratados com base no consentimento do titular, este pode retirar o referido consentimento a qualquer momento, sem necessidade de fundamentação. Uma vez retirado o consentimento, o responsável deve cessar o tratamento dos dados, salvo se existir outro fundamento jurídico (tais como exigências do direito do trabalho ou fiscal).
O responsável deve disponibilizar um método simples e claro para a retirada do consentimento através de um formulário online, área de cliente, pedido escrito, etc. Dificultar o processo de retirada ou ignorar esses pedidos constitui uma violação dos direitos do titular.
Apresentação de Reclamações e Impugnação das Ações do Responsável
Se um titular de dados considerar que os seus direitos foram violados — por exemplo, se os seus dados foram partilhados sem consentimento ou o responsável recusou o respetivo apagamento —, pode apresentar uma reclamação. Esta pode ser submetida diretamente à empresa (responsável) ou ao organismo público competente responsável pela proteção de dados. Na Bielorrússia, trata-se do Centro Nacional de Proteção de Dados Pessoais (NCPDP).
Adicionalmente, o titular pode recorrer aos tribunais, incluindo para reclamar indemnizações por danos morais.
A aplicação dos direitos dos titulares dos dados não constitui uma mera formalidade, mas sim um aspeto crítico da segurança jurídica e da confiança pública. Para os responsáveis, respeitar estes direitos constitui não só um requisito legal, mas também um sinal de maturidade corporativa, foco no cliente e transparência operacional.
O sistema de proteção de dados pessoais na Bielorrússia baseia-se no princípio da supervisão estatal. A principal autoridade de controlo neste domínio é o Centro Nacional de Proteção de Dados Pessoais (NCPDP). Para além de monitorizar o cumprimento da lei, o Centro desempenha também um importante papel consultivo e preventivo.
Competências do NCPDP
O NCPDP está dotado de amplos poderes destinados a assegurar o tratamento lícito e seguro de dados pessoais. Em concreto, o Centro:
O Centro tem o direito de solicitar documentos, analisar sistemas de informação e entrevistar colaboradores das organizações. As suas ordens são vinculativas.
Inspeções Programadas e Não Programadas
O NCPDP realiza inspeções tanto programadas como não programadas:
Durante uma inspeção, o Centro pode analisar documentos, entrevistar pessoal responsável, examinar sistemas informáticos e rever políticas internas. As organizações são obrigadas a cooperar com os representantes do Centro.
Consequências de Infrações Identificadas
Caso sejam detetadas infrações durante uma inspeção, o NCPDP pode:
As infrações não intencionais resultam habitualmente numa advertência e numa ordem de conformidade. Contudo, infrações repetidas ou graves, em especial as que envolvam fugas de dados ou o desrespeito pelos direitos dos titulares dos dados, podem conduzir a consequências mais severas, tais como coimas, suspensão temporária de atividades e danos reputacionais.
Orientações e Esclarecimentos do NCPDP
O NCPDP publica ativamente materiais de orientação, respostas a perguntas frequentes, minutas, formulários de consentimento e instruções sobre o manuseamento seguro de dados. Estes recursos revelam-se valiosos para profissionais do direito, líderes empresariais, especialistas em TI e colaboradores que lidam com dados pessoais.
As organizações podem contactar o NCPDP para obter consultas, submeter pedidos de esclarecimento relativos à conformidade legal e solicitar apoio na implementação de medidas de proteção de dados. Este diálogo com o regulador ajuda a mitigar riscos e fomenta uma cultura de gestão responsável de dados.
Os dados pessoais não são apenas informações sobre uma pessoa. Constituem um ativo sensível que deve ser gerido com a máxima responsabilidade. As empresas que atuam como responsáveis pelo tratamento devem não só compreender as regras de tratamento de dados, como também construir um sistema de proteção resiliente que consagre os princípios da legalidade, transparência e respeito pelos direitos dos titulares dos dados.
Os requisitos governamentais no domínio da proteção de dados pessoais continuam a evoluir. Negligenciar estas questões pode acarretar consequências jurídicas e reputacionais. Em simultâneo, uma abordagem bem estruturada ao tratamento de dados pessoais fomenta a confiança entre clientes, parceiros e colaboradores, reduzindo os riscos empresariais.
Se a sua organização necessita de uma auditoria aos processos atuais, de assistência na elaboração de políticas internas, de formação de colaboradores ou de apoio jurídico na articulação com o NCPDP, os especialistas da AMBY Legal estão prontos para fornecer soluções práticas e apoio integral em todas as fases.
Se tiver alguma dúvida relacionada com dados pessoais na Bielorrússia, teremos todo o gosto em ajudar! A nossa vasta experiência ajudá-lo-á a escolher um advogado para representar os seus interesses.
O mais tardar até 15 de janeiro de 2024, os operadores de dados pessoais estavam obrigados a transmitir informações para o Registo de Operadores de Dados Pessoais. Caso o recurso (sistema) de informação seja criado após 1 de janeiro de 2024, os dados destinados à inclusão no Registo de Operadores devem ser transmitidos no prazo […]
Na era digital, a proteção de dados pessoais está a tornar-se numa das principais tarefas para as empresas que lidam com inúmeros particulares e com os dados pessoais de candidatos a emprego e colaboradores. O controlo interno do tratamento de dados pessoais refere-se às funções críticas do Encarregado da Proteção de Dados (DPO). Neste artigo, […]
A proteção de dados pessoais tornou-se um dos temas centrais do mundo atual, em particular no espaço digital em rápida evolução. Nos últimos anos, governos e organizações de todo o mundo têm dedicado cada vez mais atenção ao tratamento seguro de informações pessoais. Um dos passos mais significativos nesta área foi a adoção do Regulamento […]
Error: Contact form not found.
