個人資料保護辦公室

Gabinete para a Protecção de Dados Pessoais

Office for Personal Data Protection

Resumo das Queixas
Print

No: 0222/2016/IP

Título: Centro comercial não adoptou medidas suficientes para a protecção de dados pessoais dos participantes em sorteios

Razão: queixa

Breve:

      Segundo o queixoso, no âmbito da actividade de sorteios organizada pelo centro comercial, da empresa A, o pessoal de A solicitou a clientes que participaram em sorteios a apresentação do original do documento de identificação, a fim de os respectivos dados pessoais poderem ser introduzidos no sistema informático. No entanto, os ecrãs de computadores estavam em frente à fila dos clientes que esperavam pelo registo dos dados e, assim, terceiros podiam ler ou até tirar fotos dos dados pessoais exibidos nos ecrãs. Além disso, o queixoso ficou insatisfeito por, após a assinatura na declaração da participação em sorteios, o pessoal do centro comercial não facultou aos participantes cópia da declaração.

Análise:

      Segundo a investigação, a empresa A utilizou computadores para recolher e registar o nome, a data de nascimento, o sexo, o n.º do documento de identificação, a região de endereço e os dados de contacto dos participantes em sorteios. Nos termos da alínea 1) do n.º 1 do artigo 4.º e do n.º 1 do artigo 3.º da Lei da Protecção de Dados Pessoais, o tratamento dos dados acima referidos pela empresa A está sujeito à mesma lei.
    A empresa A referiu que os participantes em sorteios disponibilizaram voluntariamente os seus dados pessoais para o efeito da actividade. Neste sentido, A dispunha de uma das condições de legitimidade previstas no artigo 6.º da Lei da Protecção de Dados Pessoais, isto é, o consentimento inequívoco do titular dos dados.
    Considerando que os prémios da actividade tinham um certo valor económico, a empresa A recolheu os dados pessoais dos participantes, para verificar a identidade dos participantes vencedores e garantir o cumprimento das regras da actividade (incluindo as seguintes: durante o período da actividade, os participantes só podem participar numa única vez em sorteios; os indivíduos menores de 18 anos não podem participar em sorteios; os funcionários da empresa A e das suas subsidiárias não podem participar). Para estas finalidades, as categorias de dados pessoais dos participantes, recolhidos pela empresa A, são adequadas, não violando o princípio de proporcionalidade consagrado na alínea 3) do n.º 1 do artigo 5.º da Lei da Protecção de Dados Pessoais. No entanto, tendo em conta que o número do documento de identificação é um dado pessoal único, deve-se evitar a utilização simultânea deste número com o nome e a data de nascimento do portador do documento. Assim, o Gabinete oficiou à empresa A, recomendando que, aquando da realização futura do mesmo tipo de actividade, considere com prudência quais as categorias de dados a recolher, isto é, a recolha do menor âmbito possível de dados, por exemplo, apenas uma parte do número do documento de identificação.     
    Nos termos do n.º 1 do artigo 10.º da Lei da Protecção de Dados Pessoais, o titular dos dados tem o direito de informação consagrado pela lei. Na recolha de dados pessoais do titular dos dados, o responsável pelo tratamento deve disponibilizar ao titular dos dados as informações legalmente previstas (por exemplo, a identidade da entidade responsável, as finalidades de tratamento de dados, a existência ou não dos destinatários a quem são comunicados os dados, etc.). A lei não define a forma que o responsável pelo tratamento deve seguir para disponibilizar tais informações, exigindo apenas que assegure o conhecimento das mesmas pelo titular dos dados. No presente caso, o pessoal da empresa A deu a declaração aos participantes em sorteios para lerem e assinarem e as cláusulas da declaração indicaram a identidade da entidade organizadora da actividade, as categorias de dados a recolher, as finalidades de tratamento e o destinatário a quem são comunicados os dados, etc., pelo que a empresa A adoptou a forma escrita para o titular dos dados tomar conhecimento das tais informações. É de referir que o titular dos dados deve aperceber-se bem das cláusulas antes da assinatura e, neste sentido, a não disponibilização da cópia da declaração pela empresa A não viola o n.º 1 do artigo 10.º da Lei da Protecção de Dados Pessoais. No entanto, com base no princípio de boas práticas, na opinião do GPDP, ainda há margem de aperfeiçoamento para a actuação da empresa, pelo que o GPDP oficiou à empresa A para considerar disponibilizar outros meios, permitindo aos participantes a consulta das cláusulas no âmbito da actividade (por exemplo, na página electrónica).  
    Além disso, em relação à acusação do queixoso de que os ecrãs de computadores estavam em frente à fila e todas as pessoas podiam facilmente ver ou tirar fotos dos ecrãs, a empresa A referiu que a finalidade da colocação dos ecrãs foi para os participantes confirmarem a exactidão dos dados introduzidos pelos seus funcionários. A empresa explicou igualmente que os ecrãs apenas estavam em frente do participante e não do público, e todos os ecrãs tinham um filtro protector, impedindo que os indivíduos situados ao lado dos ecrãs vissem claramente os mesmos. Na explicação, a empresa A ainda referiu que havia uma certa distância entre a fila dos clientes à espera de registo em sorteios e o balcão e que os seus funcionários mantiveram a ordem da fila para que os clientes não se aproximassem muito do balcão, pelo que a empresa considerou que não era fácil para os clientes na fila verem os ecrãs de computadores. Visto que o queixoso não apresentou outras provas ao GPDP, as informações actualmente disponíveis não são suficientes para provar que os dados dos participantes tenham sido consultados por terceiros devido à organização inadequada da empresa. Para além disso, para eliminar as preocupações dos clientes, a empresa retirou os ecrãs de computadores do balcão, adoptando outras medidas para a confirmação dos participantes sobre os dados introduzidos pelos funcionários.

Resultado:

 

    O GPDP comunicou o resultado ao queixoso e à empresa A, recomendando que as categorias de dados a recolher sejam proporcionais e disponibilizasse mais meios para os participantes consultarem as cláusulas da actividade. O caso foi assim arquivado.

Referência:
Pode ser consultada a Lei da Protecção de Dados Pessoais, nomeadamente, os artigos 3.º, 4.º, 5.º, 6.º e 10.º

Voltar

Avenida da Praia Grande, N.º 804, Edif. China Plaza, 17.º andar, Macau Tel:(853) 2871 6006 Fax:(853) 2871 6116