Source: https://www.gpdp.gov.mo/index.php?m=content&c=index&a=print_news&catid=172&id=1078&showname=case
Timestamp: 2018-08-14 23:49:28+00:00

Document:
Centro comercial não adoptou medidas suficientes para a protecção de dados pessoais dos participantes em sorteios - Resumo das Queixas - 個人資料保護辦公室
編號： 0222/2016/IP
標題： Centro comercial não adoptou medidas suficientes para a protecção de dados pessoais dos participantes em sorteios
Segundo o queixoso, no âmbito da actividade de sorteios organizada pelo centro comercial, da empresa A, o pessoal de A solicitou a clientes que participaram em sorteios a apresentação do original do documento de identificação, a fim de os respectivos dados pessoais poderem ser introduzidos no sistema informático. No entanto, os ecrãs de computadores estavam em frente à fila dos clientes que esperavam pelo registo dos dados e, assim, terceiros podiam ler ou até tirar fotos dos dados pessoais exibidos nos ecrãs. Além disso, o queixoso ficou insatisfeito por, após a assinatura na declaração da participação em sorteios, o pessoal do centro comercial não facultou aos participantes cópia da declaração.
Segundo a investigação, a empresa A utilizou computadores para recolher e registar o nome, a data de nascimento, o sexo, o n.º do documento de identificação, a região de endereço e os dados de contacto dos participantes em sorteios. Nos termos da alínea 1) do n.º 1 do artigo 4.º e do n.º 1 do artigo 3.º da Lei da Protecção de Dados Pessoais, o tratamento dos dados acima referidos pela empresa A está sujeito à mesma lei.
A empresa A referiu que os participantes em sorteios disponibilizaram voluntariamente os seus dados pessoais para o efeito da actividade. Neste sentido, A dispunha de uma das condições de legitimidade previstas no artigo 6.º da Lei da Protecção de Dados Pessoais, isto é, o consentimento inequívoco do titular dos dados.
Considerando que os prémios da actividade tinham um certo valor económico, a empresa A recolheu os dados pessoais dos participantes, para verificar a identidade dos participantes vencedores e garantir o cumprimento das regras da actividade (incluindo as seguintes: durante o período da actividade, os participantes só podem participar numa única vez em sorteios; os indivíduos menores de 18 anos não podem participar em sorteios; os funcionários da empresa A e das suas subsidiárias não podem participar). Para estas finalidades, as categorias de dados pessoais dos participantes, recolhidos pela empresa A, são adequadas, não violando o princípio de proporcionalidade consagrado na alínea 3) do n.º 1 do artigo 5.º da Lei da Protecção de Dados Pessoais. No entanto, tendo em conta que o número do documento de identificação é um dado pessoal único, deve-se evitar a utilização simultânea deste número com o nome e a data de nascimento do portador do documento. Assim, o Gabinete oficiou à empresa A, recomendando que, aquando da realização futura do mesmo tipo de actividade, considere com prudência quais as categorias de dados a recolher, isto é, a recolha do menor âmbito possível de dados, por exemplo, apenas uma parte do número do documento de identificação.
Nos termos do n.º 1 do artigo 10.º da Lei da Protecção de Dados Pessoais, o titular dos dados tem o direito de informação consagrado pela lei. Na recolha de dados pessoais do titular dos dados, o responsável pelo tratamento deve disponibilizar ao titular dos dados as informações legalmente previstas (por exemplo, a identidade da entidade responsável, as finalidades de tratamento de dados, a existência ou não dos destinatários a quem são comunicados os dados, etc.). A lei não define a forma que o responsável pelo tratamento deve seguir para disponibilizar tais informações, exigindo apenas que assegure o conhecimento das mesmas pelo titular dos dados. No presente caso, o pessoal da empresa A deu a declaração aos participantes em sorteios para lerem e assinarem e as cláusulas da declaração indicaram a identidade da entidade organizadora da actividade, as categorias de dados a recolher, as finalidades de tratamento e o destinatário a quem são comunicados os dados, etc., pelo que a empresa A adoptou a forma escrita para o titular dos dados tomar conhecimento das tais informações. É de referir que o titular dos dados deve aperceber-se bem das cláusulas antes da assinatura e, neste sentido, a não disponibilização da cópia da declaração pela empresa A não viola o n.º 1 do artigo 10.º da Lei da Protecção de Dados Pessoais. No entanto, com base no princípio de boas práticas, na opinião do GPDP, ainda há margem de aperfeiçoamento para a actuação da empresa, pelo que o GPDP oficiou à empresa A para considerar disponibilizar outros meios, permitindo aos participantes a consulta das cláusulas no âmbito da actividade (por exemplo, na página electrónica).
Além disso, em relação à acusação do queixoso de que os ecrãs de computadores estavam em frente à fila e todas as pessoas podiam facilmente ver ou tirar fotos dos ecrãs, a empresa A referiu que a finalidade da colocação dos ecrãs foi para os participantes confirmarem a exactidão dos dados introduzidos pelos seus funcionários. A empresa explicou igualmente que os ecrãs apenas estavam em frente do participante e não do público, e todos os ecrãs tinham um filtro protector, impedindo que os indivíduos situados ao lado dos ecrãs vissem claramente os mesmos. Na explicação, a empresa A ainda referiu que havia uma certa distância entre a fila dos clientes à espera de registo em sorteios e o balcão e que os seus funcionários mantiveram a ordem da fila para que os clientes não se aproximassem muito do balcão, pelo que a empresa considerou que não era fácil para os clientes na fila verem os ecrãs de computadores. Visto que o queixoso não apresentou outras provas ao GPDP, as informações actualmente disponíveis não são suficientes para provar que os dados dos participantes tenham sido consultados por terceiros devido à organização inadequada da empresa. Para além disso, para eliminar as preocupações dos clientes, a empresa retirou os ecrãs de computadores do balcão, adoptando outras medidas para a confirmação dos participantes sobre os dados introduzidos pelos funcionários.
O GPDP comunicou o resultado ao queixoso e à empresa A, recomendando que as categorias de dados a recolher sejam proporcionais e disponibilizasse mais meios para os participantes consultarem as cláusulas da actividade. O caso foi assim arquivado.
Pode ser consultada a Lei da Protecção de Dados Pessoais, nomeadamente, os artigos 3.º, 4.º, 5.º, 6.º e 10.º

References: artigo 4
 artigo 3
 artigo 6
 artigo 5
 artigo 10
 artigo 10