Bom dia   ,

Bem-vindo(a) à newsletter n.º 79 da DPO Consulting, o nosso meio informativo sobre o mundo da Privacidade, Proteção de Dados e Segurança da Informação.

Elsa Veloso, CEO da DPO Consulting prestou no dia de hoje declarações à radio Renascença (Noticiário das 12h) sobre o ataque informático ao Grupo Sonae. Pese embora ainda não tinha sido confirmado pelo Grupo o comprometimento dos dados pessoais, Elsa Veloso chamou a atenção para um dos prontos críticos relacionados com a violação da confidencialidade, integridade e disponibilidade dos dados pessoais dos titulares associados ao cartão “Continente”. Segundo o comentário de Elsa Veloso estamos perante uma base de dados com milhares de dados associados cuja penetração na mesma poderia comprometer seriamente a sua segurança e proteção.

Fonte: https://ec.europa.eu/

Foi na passada sexta-feira que o Presidente dos Estados Unidos Joe Biden juntamente com a Presidente da Comissão Europeia, Ursula von der Leyen, anunciaram à Europa terem “em princípio” chegado a um acordo sobre as transferências de dados do Espaço Económico Europeu para os Estados Unidos da América.

Apesar de ainda não serem conhecidos os detalhes do novo “Trans-Atlantic Data Privacy Framework”, este quadro referente ao tratamento dos dados pessoais prevê um mecanismo de resolução vinculativa dos direitos dos cidadãos europeus e ainda, a consagração dos princípios da necessidade e da proporcionalidade no tratamento de dados pelos Estados Unidos.

Este “princípio” de acordo positiva princípios-chave transmutados em regras destinadas a limitar o acesso aos dados pelos serviços de vigilância dos Estados Unidos, restringindo-se o seu acesso ao mínimo e indispensável quando estiver em causa a segurança nacional norte americana; adoção de procedimentos por parte das agências de inteligência para uma supervisão eficaz da conformidade e respeito pelas regras sobre os direitos e liberdades dos titulares dos dados; criação de um novo sistema de resolução vinculativa quer ao nível da investigação e das queixas apresentadas pelos cidadãos europeus, aquando do tratamento dos dados pelas entidades e autoridades de informação dos Estados Unidos; manutenção da exigência de auto-certificação pelas entidades no que diz respeito à implementação e execução das regras e princípios referentes à proteção de dados e segurança da informação.

As linhas orientadoras deste princípio preveem também outros mecanismos específicos de controlo e revisão, fluxos de dados seguros e protegidos, uma base jurídica consistente e permanente em nome de uma economia digital competitiva, assente na cooperação entre os Estados Unidos e a União Europeia.

Recordemos que este novo quadro vem no seguimento da decisão de invalidade do  Privacy Shield (acordo de proteção dos dados entre os EUA e a UE) pelo Tribunal de Justiça da União Europeia, em 2020, já no seguimento da decisão anterior pelo mesmo tribunal sobre a invalidade do Safe Harbor (acordo inicial sobre a proteção de dados entre ambas as entidades).

O fluxo de dados transatlântico representa cerca de 7,3 biliões de dólares em relações económicas entre os Estados Unidos e a União Europeia e o setor já mostrou sinais otimistas quanto a este novo passo. Por outro lado, Max Schrems (autor da queixa junto do TJUE sobre a ausência de garantias por parte dos Estados Unidos no âmbito do tratamento dos dados dos europeus, que deu origem à decisão (C-311/18DO TJUE que invalidou o Privacy Shield, conhecida por Schrems II) afirmou que procederá a uma análise profunda do que vier a ser aprovado, submetendo-o de seguida (e novamente) ao escrutínio do TJUE.

Pese embora estejamos perante um princípio de acordo, ambas as partes continuarão agora a trabalhar num documento normativo que espelhe os princípios e as regras quanto ao tratamento e segurança dos dados, garantindo a menor intrusão possível por parte dos serviços de segurança e inteligência norte-americanos, tendo como objeto final, a decisão de adequação pela Comissão Europeia.

Tudo aponta que a polícia da City of London tenha detido 7 pessoas alegadamente membros do grupo de hackers “Lapsus$”. Ainda sem confirmação expressa da ligação destes 7 suspeitos à “Lapsus$”, a polícia britânica encontra-se a conduzir, em parceria e colaboração com outros parceiros, uma investigação sobre estes alegados membros, não avançando mais pormenores. Os suspeitos com idades compreendidas entre os 16 e 21 anos foram libertados sob investigação.

O grupo “Lapsus$,” além de ser suspeito do ataque e publicação de informação interna de gigantes como a Microsoft e o grupo Nvidia, é também suspeito de ter atacado o grupo de comunicação social português Impresa, dono da SIC e de outros órgãos da comunicação social do mesmo grupo, a 2 de janeiro deste ano.

Até novos desenvolvimentos, reforçamos novamente a necessidade das empresas criarem políticas e procedimentos ao nível da implementação de medidas técnicas e organizativas, destinadas à salvaguarda da proteção de dados e segurança da informação para garantia da confidencialidade, integridade, disponibilidade e resiliência dos dados, por forma a impedir quaisquer incidentes relacionados com a destruição, perda e alteração acidental ou ilícita, a divulgação ou o acesso não autorizados a dados.

Foi no passado dia 24 de março que decorreu mais um webinar no âmbito da II edição dos DPO PRIVACY LABS, com a chancela da DPO Consulting e a da AEP – Associação Empresarial de Portugal. Este webinar teve como tema a análise das figuras do Compliance Officer e do Data Protection Officer. O painel moderado por Elsa Veloso, CEO da DPO Consulting, contou com as intervenções de Leonor Carvalho, Compliance Officer da Makro, Anabela Pais, DPO da Ascendi, Alexandra Nobre, DPO da GNB - Gestão de Ativos, e Izabel Albuquerque Pereira, Head of da Behavioral Compliance na CLOO Behavioral Unit. Entre uma agradável conversa e um tema tão importante como atual, foram abordados os aspetos que unem e distinguem estas duas figuras, a natureza e obrigações funcionais de ambas.

O terceiro e último webinar terá lugar já no próximo dia 8 de abril das 12h00 às 13h00 e terá como tema a segurança da informação no âmbito dos Sistemas de Denúncia (Whistleblowing). A conversa terá como ímpeto a criação e implementação de medidas de controlo interno; a confidencialidade de todos os envolvidos ao longo do processo; e os mecanismos destinados à manutenção e eliminação dos dados pessoais. Novamente com moderação de Elsa Veloso, este webinar terá a presença de Patrick Pitta Simões, Consultor em Compliance, Safety & Security (Whistleblowing System), Luís Fonseca, Coordenador de Segurança Económica e Encarregado da Proteção de Dados da Auchan Retail Portugal, e por fim, Lara Reis, Managing Director, Chief Compliance Officer, DPO da Haitong Bank Group.

A propósito deste tema, chamamos uma vez mais a atenção para a implementação dos canais de denúncia enquanto tema atual e obrigatório para empresas com mais de 50 trabalhadores, nos termos da Lei n.º 93/2021, de 20 de dezembro (que estabelece o regime geral de proteção aos denunciantes de infrações, que transpõe a Diretiva (UE) 2019/1937 do Parlamento Europeu e do Conselho, de 23 de outubro de 2019, relativa à proteção das pessoas que denunciem violações do direito da União).

A DPO Consulting, em conjunto com a AEP, está a organizar o Curso “Compliance – Canais de Denúncia e Proteção dos Denunciantes”, a iniciar já no próximo dia 19 de abril, destinado a todos aqueles que queiram dotar-se de competências nesta área, ao nível da criação, estruturação, implementação, execução, acompanhamento dos canais de denúncia e seguimento das respetivas denúncias.

Não perca esta oportunidade de aprender com os especialistas nesta área e manter-se a par das novas exigências legais!  

Partilhe, querendo, a newsletter da DPO Consulting.

Ficamos ao dispor para qualquer esclarecimento que haja por conveniente e voltamos ao contacto na próxima newsletter, com mais novidades e informações de relevo.

Com os melhores cumprimentos,

Elsa Veloso
CEO da DPO Consulting

Siga-nos nas redes sociais:

DPO Consulting

Contacte-nos

A DPO Consulting tratará os seus dados pessoais,
nos termos da sua Política de Privacidade,
cuja leitura recomendamos.