Portugal passou zero multas ao abrigo do RGPD no “ano perdido” de 2020

Portugal não aplicou qualquer coima em 2020 ao abrigo do Regulamento Geral de Proteção de Dados (RGPD). O cenário nacional contrasta com o de outros países da União Europeia (UE), como é o caso de Espanha, onde foram aplicadas 134 coimas a empresas e organizações ao abrigo dessa lei europeia.

A conclusão resulta da análise dos dados recolhidos pela sociedade de advogados CMS, que criou uma plataforma pública, de acesso gratuito, para centralizar este tipo de informação. O RGPD entrou em vigor em 2018 para proteger os dados pessoais dos cidadãos europeus, conferindo-lhes novos direitos, como o direito ao consentimento para tratamento dos seus dados pessoais por terceiros, e impondo regras apertadas para os dados sensíveis.

Coimas do RGPD aplicadas em 2020:

^{Eslovénia, Eslováquia e Luxemburgo sem dados. Fonte: GDPR Enforcement Tracker (CMS)}

Para o advogado João Leitão Figueiredo, sócio da CMS, “2020 foi um ano perdido” em Portugal em matéria de proteção de dados. “A ausência de enforcement no nosso país é gritante e pode facilitar a entrada de agentes estrangeiros que veem [Portugal como] um território seguro, onde o laxismo pode compensar”, comenta o especialista ao ECO.

Os dados da plataforma permitem aferir que, sendo Espanha o país líder destacado no número de coimas aplicadas a entidades por causa do RGPD, é seguido de longe pela Roménia (26 coimas) e Hungria (16). Já Portugal surge no fundo da tabela, acompanhado por dois outros Estados-membros sem qualquer coima registada em 2020: Malta e República Checa.

Ainda assim, para João Leitão Figueiredo, ainda é cedo para dizer que o RGPD é ineficaz, ou que as ameaças de pesadas multas que eram feitas antes da entrada em vigor foram manifestamente exageradas. Pelo contrário: o advogado alerta que “é muito cedo”, pois “basta sair uma decisão” mais pesada para “inverter esta lógica”.

Aliás, o certo é que, noutros países, decisões desse tipo já começaram a surgir. A 21 de janeiro de 2019, França multou a Google em 50 milhões de euros. Já em meados de novembro de 2020, o Carrefour foi alvo de uma multa de 2,25 milhões de euros por alegadas violações ao RGPD. Na Alemanha, em outubro, a H&M foi multada em quase 35,26 milhões e, já este ano, uma loja online de venda de portáteis foi alvo de uma multa de 10,4 milhões de euros.

A ausência de enforcement no nosso país é gritante e pode facilitar a entrada de agentes estrangeiros que veem [Portugal como] um território seguro, onde o laxismo pode compensar.

Em Portugal, a aplicação do RGPD está a cargo da Comissão Nacional de Proteção de Dados (CNPD), que aplicou três coimas em 2019 e uma em 2018. O advogado explica que a CNPD não publica a identidade das organizações alvo das multas, mas é público que a maior coima foi aplicada ao Centro Hospitalar Barreiro-Montijo, no valor de 400 mil euros.

“Pode ter constituído um statement da CNPD, por ser uma entidade pública [e envolver] uma total ausência de cuidado no tratamento de dados de saúde. Há uma componente política nessa decisão, de disciplinar o setor público”, considera o especialista.

Para João Leitão Figueiredo, a ausência de coimas em Portugal, que não estará relacionada com uma maior conformidade das empresas portuguesas, gera dois tipos de problemas. O primeiro é ilustrado pela multa de França à Google, em que, como “Irlanda não se ia mexer” contra a multinacional, “França avocou o processo, julgou-o e aplicou a coima”. “Há um risco de outras autoridades avoquem competência por CNPD não fazer nada. E podem haver sanções ou alertas contra Portugal, para que reforce [a aplicabilidade da lei europeia]”, aponta.

O segundo prende-se com o facto de algumas empresas portuguesas estarem em risco noutros mercados, como acontece em Espanha. É o caso da EDP. No ano passado, a empresa portuguesa foi alvo de duas coimas de 75 mil euros cada uma no país vizinho, por alegadas violações do RGPD, de acordo com a ferramenta da CMS. Uma foi aplicada diretamente à EDP España e outra à EDP Comercializadora.

A CNPD é a autoridade responsável pela aplicabilidade do RGPD em Portugal e é presidida por Filipa Calvão. A entidade responde à Assembleia da República (AR) e já se queixou no passado de falta de meios e recursos para fazer cumprir a lei. Em maio de 2019, um ano após a entrada em vigor da legislação europeia, a presidente, em entrevista ao ECO, disse que a dotação do Parlamento “não é suficiente”. “Nós, com sete especialistas, não vamos conseguir garantir uma aplicação efetiva do regulamento”, avisou Filipa Calvão na altura.

O ECO enviou um conjunto de questões à CNPD sobre o enforcement do RGPD em Portugal, assim como acerca da ausência de coimas aplicadas pela entidade em 2020. Não obteve resposta até ao fecho deste artigo.