Governo não leva IVAucher à Proteção de Dados. Especialistas discordam

O Governo não pediu, mas deveria ter pedido um parecer à Comissão Nacional de Proteção de Dados sobre as medidas de segurança a adotar no âmbito do programa IVAucher, que entrou em vigor esta terça-feira. De acordo com os advogados ouvidos pelo ECO, a quantidade de informação em causa, o caráter pessoal da mesma e uma questão de pura prudência deveriam ter levado o Executivo a solicitar esse parecer, até porque existe uma autoridade nacional com competências específicas nessa matéria.

“Parece prematuro a priori dizer que o risco de violação dos dados não existe”, defende Cláudia Martins. A advogada da Macedo Vitorino admite que também não pode dizer que “há o risco”, mas “tendo em conta o volume de dados e o cariz pessoal dos mesmos”, “faria sentido que o Governo tivesse pedido um parecer à Comissão Nacional de Proteção de Dados”.

Mas não pediu, porque “na prestação de serviços contratada, na sequência de concurso público, assegurou-se a escrupulosa proteção dos dados pessoais dos contribuintes que adiram ao programa IVAucher” e nem a Autoridade Tributária, nem qualquer entidade privada terão acesso aos consumos concretos dos consumidores, explica ao ECO fonte oficial do Ministério das Finanças. O secretário de Estado dos Assuntos Fiscais, António Mendonça Mendes, na apresentação do programa, já tinha frisado que a Autoridade Tributária e Aduaneira (AT) não terá acesso a nenhum dado dos contribuintes que adiram ao IVAucher para além daqueles que constam do e-fatura.

“Do ponto de vista teórico, se temos uma autoridade nacional com competências especializadas nesta matéria de proteção de dados e de privacidade faria todo o sentido que fosse solicitado um parecer prévio à CNPD”, sublinha João Leitão Figueiredo. “Vamos tratar massivamente dados de milhões de pessoas, interconexões de bases de dados, e depois não ouvir a CNPD com competência nesta matéria, não parece ser o caminho mais lógico”, diz o advogado da CMS, lembrando que estão em causa “direitos que já estavam protegidos pela Constituição ainda antes de ser adotado o RGPD”.

“Mais tarde podem surgir questões, ou ser solicitado um parecer por um particular que se sinta incomodado por estas matérias”, admitiu João Leitão Figueiredo.

“Seria sempre conveniente ouvir a CNPD tendo em conta que o programa vai gerar um tratamento massivo de dados pessoais, com alguma sensibilidade”, defende também Tiago Félix da Costa. “O IVAucher tem riscos evidentes”, diz. O advogado da Morais Leitão defende ainda que o “mais importante é que o responsável pelo tratamento dos dados pessoais cumpra os deveres estabelecidos no RGPD e informa com transparência que garantias os cidadãos vão ter de que os seus dados não poderão mais tarde vir a ser utilizados para perseguir, por exemplo, ilícitos fiscais ou outros”.

Ora, o Ministério das Finanças garante que foi “prontamente acautelado que a Autoridade Tributária não terá acesso a quaisquer outras informações pessoais obtidas no âmbito do programa” e que esta “optou por robustecer tal proteção tendo conduzido um processo de privacy impact assessement, o qual é auditável por todas as autoridades competentes a posteriori”.

Mas para Cláudia Martins “agora já não vamos a tempo”. “Claro que a CNPD pode supervisionar a posteriori e encontrar algo que possa ser corrigido, mas o pedido de avaliação deveria ter sido feito antes”, defende a advogada da Macedo Vitorino.

Por seu turno, João Leitão Figueiredo lembra que a CNPD “não serve apenas para aplicar coimas, mas para emitir pareceres em matérias estruturantes”. Pedir previamente um parecer é “uma opção que deveria surgir sempre que se tratem de matérias estruturantes que considerem o tratamento de dados pessoais dos cidadãos à semelhança do que já aconteceu”. A opinião da CNPD já “ajudou a controlar excessos ou corrigir defeitos dos mecanismos que estavam a ser desenvolvidos”, lembra o advogado da CMS, considerando que esta opção do Executivo acaba por “esvaziar” de alguma forma esta “competências da CNPD”.

A CNPD confirmou ao ECO que não deu qualquer parecer sobre esta matéria, mas também não quis fazer comentários sobre se teria ou não de se pronunciar.

IVAucher não vai recorrer à Cloudflare

O Ministério das Finanças sublinha ainda que, nesta fase do programa, “o site www.ivaucher.pt é estático e meramente informativo, não contemplando qualquer possibilidade de registo e recolha de dados pessoais”. Isto porque, a possibilidade de adesão ao programa através do site www.ivaucher.pt só está prevista a partir de dia 15.

Além disso, “neste momento, o site não faz recolha de qualquer cookie“, por isso considera que não é “necessária atualmente – nem, por maioria de razão, está disponível – uma política de cookies”, precisou ainda fonte oficial do Ministério liderado por João Leão.

E depois das dúvidas levantadas no âmbito do Censos de “teriam sido enviados dados dos censos para os EUA” e que levaram o Instituto Nacional de Estatística a suspender “totalmente” a subscrição dos serviços da tecnológica norte-americana Cloudflare, o Ministério das Finanças garante que “o site www.ivaucher.pt não disporá nem recorrerá à Cloudflare”, a partir de 15 de junho, data a partir da qual deixará de ser estático.

“A app «IVAucher» apenas será disponibilizada para download” e a sua utilização será feita apenas “a partir de setembro”, cumprindo “as mesmas regras de segurança adotadas para o site www.ivaucher.pt”, ou seja, “não recorrerá a Cloudflare”.

O presidente do INE sempre garantiu que “não foram enviados quaisquer dados dos censos para os EUA” e que a Cloudflare não teve acesso à informação dos inquéritos. Mas isso não impediu a presidente da CNPD de criticar o INE pelo uso de serviços da Cloudflare no tratamento dos dados dos Censos. “O que está em causa é que os dados circularam em servidores que o INE não sabe dizer quais foram e em que países estão colocados”, afirmou a presidente da CNPD, Filipa Calvão, na comissão de Assuntos Constitucionais.