個人資料保護辦公室

Gabinete para a Protecção de Dados Pessoais

Office for Personal Data Protection

Resumo das Queixas
Print

No: 0092/2015/IP

Título: Pessoal de posto de abastecimento de combustíveis escreveu a matrícula do veículo do cliente no recibo de cartão de crédito

Razão: Denúncia

Breve:

    Segundo o queixoso, sem qualquer aviso prévio, o pessoal de um posto de abastecimento de combustíveis, A, escreveu a matrícula do veículo do cliente no recibo de cartão de crédito. O queixoso considerou que a tal actuação seria uma recolha excessiva de dados pessoais e, por isso, pediu a intervenção do GPDP.

Análise:

    Nos termos da alínea 1) do n.º 1 do artigo 4.º e do n.º 1 do artigo 3.º da Lei da Protecção de Dados Pessoais (Lei n.º 8/2005), o tratamento dos dados pessoais referidos neste caso é regulado pela mesma Lei.
  No decorrer da investigação, a empresa B, operadora do posto de abastecimento A, explicou ao GPDP que, para evitar a utilização fraudulenta de cartão de crédito e garantir assim os interesses dos seus clientes, determinou ao pessoal do posto A o seguinte: solicitar aos clientes que escrevam a matrícula do veículo no recibo de cartão de crédito; se os clientes se esquecessem de a escrever, o pessoal ajudá-los-ia a fazê-lo. Pelo exposto, em relação à forma e finalidade de tratamento dos dados, a empresa B tinha o poder de decisão e de controlo, pelo que é o responsável pelo tratamento nos termos da alínea 5) do n.º 1 do artigo 4.º da Lei n.º 8/2005.
  Em termos gerais, se os clientes escreverem voluntariamente no recibo de cartão de crédito a matrícula do veículo, a empresa B obterá assim o consentimento do titular dos dados, condição de legitimidade prevista pelo artigo 6.º da Lei acima referida. Para além disso, em relação à recolha de matrícula de veículo dos clientes que pagam através de cartão de crédito, a empresa B explicou que isso foi para evitar a utilização fraudulenta de cartão de crédito – neste sentido, os direitos ou interesses, liberdades e garantias dos clientes não prevalecem sobre os interesses legítimos da empresa B, pelo que a empresa B também tinha a condição de legitimidade para o tratamento de dados, prevista pela alínea 5) do artigo 6.º da Lei da Protecção de Dados Pessoais.
  No caso em análise, a prática da empresa B foi para evitar a utilização fraudulenta de cartão de crédito, a fim de não prejudicar os interesses da empresa. Assim, a recolha dos dados acima referidos pela empresa B tinha uma finalidade determinada, explícita e legítima e directamente relacionada com o exercício da sua actividade, correspondendo à alínea 2) do n.º 1 do artigo 5.º da Lei n.º 8/2005.
  No entanto, é de referir que o negócio efectuado em postos de abastecimento não envolve valores elevados e, em relação ao pagamento através de cartão de crédito, o pessoal de posto de abastecimento pode verificar in loco a identidade do titular de cartão de crédito e a autenticidade de cartão de crédito. Neste sentido, tem condições para recusar negócios duvidosos. Mesmo que a empresa precise de recolher mais dados pessoais junto dos clientes, deve apenas focar-se sobre os indivíduos de que haja indícios de utilização de cartão de crédito falso, em vez de sobre todos os clientes que pagam através de cartão de crédito. Considerando que a recolha de matrícula de veículo não afecta muito o titular dos dados e a actuação da empresa B só foi para proteger os seus interesses legítimos e transferir os dados de infractores às entidades competentes ou instituições de emissão de cartão de crédito, isso não viola o critério de proporcionalidade no âmbito da alínea 3) do n.º 1 do artigo 5.º da Lei n.º 8/2005. Todavia, com a intervenção do GPDP no presente caso, para melhor corresponder ao critério acima referido, a empresa B devia recolher dados pessoais com um grau mínimo de interferência e, portanto, já tomou medidas de aperfeiçoamento: não recolher a matrícula do veículo de todos os clientes que pagam através de cartão de crédito.
  Para além disso, no futuro, se houver situações especiais em que seja necessária a recolha de dados pessoais dos clientes, a empresa B poderá prestar ao titular dos dados informações claras, nos termos do n.º 1 do artigo 10.º da Lei n.º 8/2005. A par disso, a empresa B deve elaborar imediatamente a declaração de recolha de dados pessoais e a respectiva política, colocando-as no posto de abastecimento de combustível, para o eventual exercício de direito de acesso pelo titular dos dados.

Resultado:

    Considerando que a empresa B já cancelou a medida de recolha de matrícula do veículo dos clientes que pagam através de cartão de crédito, o GPDP decidiu arquivar o presente processo.

Referência:
Consulte a “Lei da Protecção de Dados Pessoais”, artigos 3.º, 4.º, 5.º, 6.º e 10.º.

Voltar

Avenida da Praia Grande, N.º 804, Edif. China Plaza, 17.º andar, Macau Tel:(853) 2871 6006 Fax:(853) 2871 6116