Terceira maior multa do RGPD a entidades públicas europeias foi em Portugal

Países Baixos, Bulgária e Portugal ocupam, por esta ordem, o pódio das maiores multas a entidades públicas na União Europeia (UE) ao abrigo do Regulamento Geral de Proteção de Dados (RGPD), de acordo com dados recolhidos pelo ECO na plataforma Enforcement Tracker, do grupo de advocacia CMS. No caso português, o alvo foi a Câmara Municipal de Lisboa, sancionada com uma coima de 1,25 milhões de euros no âmbito da polémica que ficou conhecida por “Russiagate”.

Foi em 14 de janeiro deste ano que a Comissão Nacional de Proteção de Dados (CNPD) anunciou a aplicação de uma coima única de 1,25 milhões de euros ao município da capital, então presidido por Fernando Medina (PS). A deliberação envolveu um total de 225 coimas parcelares por violação de múltiplas normas do RGPD, depois de se ter descoberto que a autarquia terá enviado dados pessoais sensíveis de manifestantes a embaixadas como a da Rússia, Israel, Angola, China, Irão, entre outras.

Desde que o RGPD entrou em vigor, apenas dois outros casos valeram multas superiores a esta no setor público. Nos Países Baixos, em 25 de novembro de 2021, a autoridade de proteção de dados local multou o Ministério das Finanças holandês em 2,75 milhões de euros, acusando-o de ter processado dados pessoais sem fundamento no contexto de subsídios de assistência a crianças, de acordo com a mesma fonte. Antes disso, em 28 de agosto de 2019, a autoridade búlgara tinha multado a autoridade tributária local em 2,6 milhões de euros, na sequência de uma fuga de dados pessoais de seis milhões de pessoas após um ciberataque.

Mas este é apenas o pódio de multas do RGPD a entidades públicas. Alargando o espetro de análise ao setor privado, os valores dão um salto de gigante. Em 16 de julho do ano passado, a Amazon revelou num documento regulatório ter sido multada em 746 milhões de euros no Luxemburgo, o recorde atual na UE. Pouco depois, na Irlanda, o WhatsApp, do grupo Meta, era multado em 225 milhões de euros. Ainda no ano passado, em 31 de dezembro, a Google era presentada com duas multas de 150 milhões no total, em França, depois de, em 2019, a autoridade francesa ter multado a mesma empresa em 50 milhões. Grande parte destas coimas está a ser alvo de recursos.

Multas notórias ao abrigo do RGPD:

^{Casos selecionados | Multas de 2021 à Google agregadas | Hospital do Barreiro: 400 mil euros | Fonte: CMS}

Multas do RGPD multiplicam-se por seis

O mais recente relatório da CMS sobre o RGPD, publicado esta semana, mostra que a atividade dos reguladores europeus acelerou de forma significativa em 2021 e, depois, já neste ano de 2022, levando ao surgimento de casos notórios como o da Amazon. Só olhando para o ano que passou, as coimas, no global, ascenderam a 1,58 mil milhões de euros (seis vezes mais do que em 2020), num total de 1.031 casos conhecidos (+96%).

Essa aceleração também aconteceu em Portugal, com a multa à autarquia lisboeta a surpreender até os especialistas no princípio do ano. Não só pelo valor, mas também pela celeridade com que foi anunciada.

“Se tivesse sido noutro país, não tinha sido do montante em que foi”, arriscou dizer João Leitão Figueiredo, sócio de TMC (telecomunicações e media) da CMS Portugal. “A gravidade e a importância da temática motivaram a CNPD a atuar de forma bastante célere e decisiva para passar uma mensagem ao mercado”, acrescentou o advogado, dando como “pouco provável” que surja outra coima de “montante idêntico ou superior” aos 1,25 milhões aplicados à autarquia agora liderada pelo social-democrata Carlos Moedas.

De acordo com João Leitão Figueiredo, a coima veio alertar principalmente as entidades públicas — câmaras, juntas de freguesia, hospitais… — para a necessidade de tratarem devidamente tudo o que sejam dados pessoais dos cidadãos. O RGPD obriga à nomeação de um Encarregado de Proteção de Dados (DPO), mas o advogado joga a retórica: “Quantos municípios cativam do seu orçamento montantes adequados para que estes profissionais possam exercer condignamente estas funções?”

No ano passado, o ECO tinha noticiado que a CNPD não aplicara qualquer multa em 2020, com base em dados da mesma plataforma. Ora, em maio de 2021, Filipa Calvão, presidente da comissão, disse numa entrevista que foi, na verdade, aplicada uma coima derivada do RGPD nesse ano de pandemia. Questionada acerca das declarações da responsável, o responsável da CMS respondeu não ter sido encontrada informação oficial — tornada pública pela CNPD — sobre esse eventual processo, pelo que esse caso não foi incluído na base de dados da empresa.