O Regulamento geral de proteção de dados da UE e a Webfleet
O Regulamentos geral de proteção de dados (RGPD) da UE entrará em vigor a 25 de maio de 2018. O RGPD irá substituir as leis da privacidade nacionais existentes nos 28 Estados Membros da União Europeia. O RGPD pode ser considerado uma atualização de substituição a estas leis para incluir os mais recentes pareceres e juízos de vários reguladores da UE, bem como os elementos essenciais ao mundo online em que vivemos hoje. Efetivamente, isto significa que grande parte do que é necessário já existe nas leis atuais, pelo que acreditamos que o RGPD não irá causar interrupções ao negócio.*
Elementos essenciais do Regulamento geral de proteção de dados
Tal como as leis e os regulamentos de privacidade anteriores, o RGPD serve para proteger os interesses e os direitos dos indivíduos durante a utilização dos respetivos dados em várias finalidades que os servem e que servem os interesses de terceiros, para a obtenção de benefícios económicos ou para o bem comum. A consideração do RGPD deve, por isso, ter muita relevância em ambientes profissionais.
Apresentaremos aqui alguns dos elementos novos e importantes do RGPD que, na nossa opinião, requerem uma atenção especial dos clientes da Webfleet:
As principais alterações do novo Regulamentos a entrar em vigor:
- O indivíduo, também enquanto funcionário, está no centro das atenções
A capacitação das pessoas relativamente aos respetivos dados é essencial no RGPD. Afinal de contas, os dados de, ou sobre, um indivíduo são um reflexo da sua identidade, do seu comportamento e das suas preferências: refletem quem realmente somos. O RGPD determina que os indivíduos têm de ser inteira e antecipadamente informados sobre o que acontece aos respetivos dados: que dados são utilizados, por que motivo são utilizados, durante quanto tempo são utilizados e por quem são utilizados. Os indivíduos também têm de ter influência nestas considerações, por exemplo, ao concederem autorização, ao celebrarem um contrato e, com algumas restrições, ao serem capazes de impedir a utilização dos dados mediante pedido.
- Responsabilidade e abordagem baseada no risco
Se uma empresa decidir o que acontece aos dados dos indivíduos, tem de assumir essa responsabilidade e ter capacidade para demonstrar que o faz de forma adequada, em respeito dos direitos dos indivíduos e do RGPD. Os riscos inerentes aos indivíduos têm de ser considerados em todas as utilizações dos respetivos dados. Na nossa opinião, isto requer a necessidade de ter documentação relativa às atividades que utilizam dados e os motivos pelos quais considera o respetivo processamento. O RGPD confere a atribuição (temporária) de um Responsável pela proteção de dados para supervisionar e garantir que cumpre os limiares definidos no RGPD (por exemplo, se a sua atividade principal envolve a monitorização de pessoas em grande escala).
- Regulador único
Na nossa opinião, o RGPD foram criados para unificar as leis de privacidade anteriores e divergentes em toda a UE. Esta ação pode ser considerada benéfica para as empresas multinacionais que utilizam os nossos serviços, especialmente as que incluem veículos a atravessar fronteiras. Adicionalmente, se gerir uma empresa multinacional na UE, terá apenas de lidar com um regulador: o regulador do país onde se encontra a sede da sua empresa. Da mesma forma, os indivíduos podem interagir com o regulador dos respetivos países.
- Requisitos de segurança mais exigentes
O RGPD requere a proteção dos dados contra todos os tipos de utilizações não autorizadas, com base numa avaliação da privacidade dos dados. Os dados de localização são considerados privados pois podem revelar muita informação acerca de um indivíduo. Todas estas considerações requerem a implementação de medidas de segurança técnicas e organizacionais a fim de mitigar os riscos. Em caso de falha destas medidas, dependendo da ocorrência de um incidente de segurança e consoante a respetiva gravidade, o RGPD requer a notificação das autoridades competentes num período de 72 horas, bem como dos indivíduos a quem se referem os dados se existir um impacto significativo para estes.
- Multas
O RGPD confere aos reguladores de privacidade várias capacidades autoritárias. Uma destas capacidades é a possibilidade de impor multas em caso de não conformidade. O RGPD considera que estas penalizações podem perfazer até 4% da receita anual global por incidente, consoante a gravidade da infração real do RGPD.
Elementos mais abrangentes do Regulamento geral de proteção de dados que permanecem das leis anteriores.
O Regulamento geral de proteção de dados (RGPD) define os dados como informações pessoais de pessoas na UE e afeta a respetiva utilização em termos do "processamento", que inclui a recolha, o armazenamento, a transferência e a utilização.
A nossa opinião relativamente a alguns dos princípios essenciais ao abrigo do RGPD, que permanecem das leis anteriores:
- Dados pessoais
A noção de dados pessoais é essencial no RGPD. Essencialmente, refere-se a quaisquer dados que estejam, ou possam ter estado, relacionados com um ser humano identificável. Isto inclui os dados que podem ser recolhidos com identificadores únicos, como matrículas, um NIV (número de identificação do veículo) e/ou outros identificadores de dispositivos. Na nossa opinião, é importante saber que, ao abrigo do RGPD, não importa quem tem capacidade para identificar. Se alguém pode identificar um indivíduo com os dados, estes têm de ser considerados dados pessoais, mesmo que não seja realizada qualquer identificação. Na nossa opinião, não é necessário saber o nome de alguém para que os respetivos dados sejam considerados dados pessoais. É importante notar que a detenção de dados pessoais não significa a impossibilidade de os utilizar, apenas significa que o RGPD se aplica e que determinadas condições têm de ser cumpridas.
- Apenas finalidades específicas e predefinidas
O RGPD permite que os dados pessoais sejam utilizados em uma ou mais finalidades predefinidas. Estas finalidades têm de ser especificadas e claramente descritas. O significado de uma finalidade tem de ser compreensível para o indivíduo. Um indivíduo deve ser capaz de responder à questão: esta utilização específica adequa-se realmente à finalidade?
- Adequado à finalidade e às limitações de tipo, de volume e de tempo
O RGPD permite o ajuste de adequação dos dados pessoais em termos de tipo, de volume e do tempo durante o qual serão armazenados, com base na finalidade definida. O ajuste de adequação significa que apenas o estritamente necessário será processado, e não mais nem por mais tempo.
- Explicação compreensível e antecipada
Na nossa opinião, o processamento de dados pessoais requer uma explicação bem escrita e intuitiva. Tal como um manual e não um contrato. Evidentemente, a explicação tem de ser prestada aos indivíduos antes de iniciar a utilização dos respetivos dados, e deve permanecer disponível.
- É necessário cumprir as condições de um processamento legalmente aceite
O RGPD requer uma base legal válida para o processamento legalmente aceite dos dados pessoais. Existem seis bases legais disponíveis para o processamento.
- O consentimento, onde é concedida uma autorização explícita relativamente a um assunto em particular
- A execução de um contrato
- O cumprimento de obrigações legais
- A proteção dos interesses vitais do sujeito ou de outra pessoa
- Necessidade derivada de uma tarefa a ser realizada em nome do interesse comum ou por uma autoridade oficial
- O processamento é necessário para as finalidades dos interesses legítimos do controlador.
Na nossa opinião, quatro das seis bases legais são relevantes para as empresas; uma base legal para o processamento de dados por parte da Webfleet poderá ser, por exemplo, a autorização explícita. Tenha em atenção que o RGPD não requer autorizações em todos os eventos, nem tal é desejável, particularmente em relações de empregabilidade. O RGPD permite a utilização de dados pessoais sem consentimento, desde que isso seja necessário para cumprir um contrato com o outro outorgante. Podem também existir leis específicas que requerem a utilização de dados pessoais. Nestes casos, o pedido de autorização não é necessário.
De acordo com o ponto 6 acima, o RGPD também permite o processamento de dados pessoais sem necessidade de consentimento quando existe um interesse legítimo para tal. Normalmente, este processamento está relacionado com a deteção de fraude, as utilizações indevidas, os problemas de segurança e as análises comerciais. Pode também aplicar-se ao ambiente profissional e estar relacionado com situações não abrangidas pelo contrato de trabalho, como as várias finalidades para as quais se utilizam os dados telemáticos dos veículos. No entanto, nestes casos, acreditamos que apenas devem ser recolhidos os dados mínimos necessários para a finalidade (para minimizar o impacto nos direitos à privacidade do indivíduo) e deve assegurar-se claramente que a recolha destes dados está em conformidade com o RGPD.
- Direito dos indivíduos a ver, corrigir, contestar, eliminar e transferir dados
O RGPD concede direitos aos indivíduos quanto ao processamento dos respetivos dados. O RGPD permite aos sujeitos dos dados aceder, consultar e obter uma cópia dos mesmos. Se os dados estiverem incorretos, os sujeitos podem solicitar uma correção. Esses indivíduos têm também o direito a receber uma cópia dos dados legível por máquina, bem como a eliminar os respetivos dados caso tenham sido obtidos e utilizados com consentimento ou estejam associados à execução de um contrato.
- Proteger a confidencialidade, a integridade e a disponibilidade com boas medidas de segurança
O RGPD exige que a segurança dos dados pessoais seja mantida. Isto traduz-se numa proteção adequada contra o acesso, a utilização e a perda não autorizados e ilegais. De acordo com o RGPD, esta segurança tem de ser mantida com base numa avaliação dos riscos que resulte em medidas técnicas e organizacionais adequadas e permanentes. Estas são as medidas técnicas e organizacionais que têm de ser implementadas para cumprir esta finalidade.
As funções do processador de dados e do controlador de dados ao abrigo do Regulamento geral de proteção de dados.
Na Webfleet,, ajudamos os nossos clientes a ficarem mais próximos dos seus condutores.
Enquanto processadores de dados, agimos de acordo com as instruções dos nossos clientes na recolha de informações relacionadas com os veículos e os condutores durante o fornecimento dos nossos serviços de gestão de frotas através do nosso hardware, e processamos estes dados que apresentamos através das nossas aplicações, das interfaces de funcionamento na web e das API.
A finalidade do processamento de dados, conforme exigida pelo Regulamento geral de proteção de dados.
- Os nossos clientes utilizam os nossos produtos para otimizar as respetivas frotas. Seguem-se exemplos de utilizações/finalidades:
- Seguimento de veículos
- Estilo de condução e poupança de combustível
- Comunicação com os condutores
- Informações de tacógrafo e de tempo de condução restante
- Relatórios de gestão abrangentes para otimização empresarial
- Integração de soluções de terceiros
- Que dados recolhemos e processamos em nome dos nossos clientes?
- Dados transacionais: dados que são criados através da utilização dos nossos produtos, especialmente os dispositivos.
- Dados geridos e conteúdo criado pelo utilizador: dados que são criados pelos utilizadores dos produtos da Webfleet.
- Dados agregados: dados resultantes de dados transacionais através da aplicação de análises estatísticas.
Nas interações com os nossos clientes, por exemplo, recolhemos dados pessoais no nosso website. A Webfleet é o controlador destes dados.
Proteção de dados da Webfleet, e o RGPD.
Na Webfleet, estudamos o impacto do RGPD desde 2012, quando foram publicados os primeiros rascunhos. Integrámo-los na forma como desenvolvemos e evoluímos as opções de telemática que disponibilizamos aos nossos clientes nos últimos anos. Para nós, o RGPD é uma evolução e não uma revolução. Para ajudar a agir corretamente, estabelecemos 5 princípios fundamentais de design:
Princípios de design do processamento de dados da Webfleet:
- O controlo constante do cliente Webfleet
A Webfleet opera sempre de acordo com as instruções do cliente Webfleet. Os dados estão relacionados apenas com o cliente, o qual detém o controlo. Isto permite-nos oferecer ao cliente uma solução altamente configurável. Embora possamos propor várias finalidades de utilização, o cliente Webfleet tem sempre a decisão final sobre as finalidades e o detalhe da configuração e da utilização do sistema.
- Respeitar os interesses das outras partes interessadas
O nosso sistema pode ser configurado para reconhecer várias partes interessadas com diferentes funções, responsabilidade e capacidades em diferentes situações. Os clientes Webfleet, por exemplo, podem permitir que os condutores façam a distinção entre viagens profissionais e privadas, e é possível restringir o que os supervisores dos condutores podem ver e fazer. Também apoiamos o cliente Webfleet no respeito pelos direitos dos indivíduos, por exemplo, relativamente ao acesso e à eliminação dos respetivos dados.
- Dados, adequação a finalidade – nada mais, nada menos
Os clientes Webfleet podem configurar de várias formas os dados que são recolhidos e por quanto tempo são mantidos. Para facilitar o trabalho dos clientes Webfleet, incluímos predefinições razoáveis relacionadas com vários casos de utilização normalmente selecionados pelos nossos clientes de frota, mas os clientes Webfleet são livres de se afastarem destas predefinições.
- Se não o puder explicar, não o faça
Defendemos que todos devem estar informados sobre a forma como os respetivos dados são utilizados através da disponibilização de materiais descritivos, incluindo manuais online e material de formação, em linguagem simples e fácil de entender.
- Detetar e proteger contra a utilização indevida
Na Webfleet,, a segurança das informações é essencial e é verificada e certificada anualmente por entidades externas. Obviamente que a melhor forma de lidar com uma violação da proteção de dados é não incorrer na mesma. No entanto, podem ocorrer os acidentes. Assim sendo, a Webfleet esforça-se por manter medidas robustas para responder a incidentes, as quais incluem notificar imediatamente os afetados e trabalhar com estes para encontrar uma resolução.
Efetuar o download do Guia de melhores práticas do RGPD para telemática
O seu guia especializado com as melhores práticas relativamente ao Regulamento Geral sobre a Proteção de Dados e Telemática, incluindo um plano de ação útil que o ajudará a tomar as medidas para estar em conformidade.
Mais informações sobre o Regulamento geral de proteção de dados.
Caso tenha alguma questão relativamente ao Regulamento geral de proteção de dados, não hesite em contactar-nos aqui.
Saiba mais sobre o Regulamento geral de proteção de dados da Comissão Europeia e do Gabinete do Comissário para a Informação (ICO, Information Commissioner's Office) através das ligações abaixo:
Mais informações sobre a proteção de dados, a segurança e a privacidade da Webfleet,.
Na Webfleet,, assumimos um compromisso com a segurança das informações e a privacidade dos dados. Investimos continuamente na nossa engenharia, tecnologias com provas dadas, processos e pessoas, de forma a garantir que lhe podemos fornecer sempre os serviços de telemática mais fiáveis do mercado.
Como um dos maiores fornecedores de serviços de telemática do mundo, um investimento permanente no nosso serviço é fundamental. Estamos sempre a melhorar para nos certificarmos de que somos o melhor parceiro para a sua empresa – hoje e no futuro. Para obter mais informações sobre a segurança e a privacidade dos dados da plataforma de serviços da Webfleet, aceda aqui.
