Investigação e Proteção de Dados

Responsabilidade em relação ao impacto da investigação: nos participantes, respeitando a autodeterminação e tomando medidas para minimizar eventuais riscos para a saúde e bem-estar físico e/ou psicológico; na sociedade, privilegiando atividades com elevado potencial de relevância social e científica; e no ambiente, minimizando impactos nocivos e promovendo a gestão sustentável dos recursos.

Honestidade em relação ao processo de investigação, assegurando a transparência e veracidade dos procedimentos, dos dados, dos resultados, das interpretações e de eventuais implicações, reconhecendo os contributos de terceiros, e não utilizando nem ocultando más práticas de investigação.

Fiabilidade e rigor ao realizar atividades de investigação, agindo de forma meticulosa, cuidadosa e com atenção aos detalhes; e na comunicação de resultados, reportando-os de forma correta, integral e imparcial.

Objetividade nas interpretações e conclusões, ancorando-as em dados e evidências disponibilizáveis e comprováveis, obtidas através de procedimentos replicáveis.

Integridade na identificação e manifestação de conflitos de interesse, reais e/ou potenciais, e no cumprimento de todos os requisitos éticos e legais em relação à respetiva área de investigação.

Caso não se consiga assegurar a confidencialidade ou o anonimato dos dados (cf. aqui, diferença entre recolher dados pessoias ou anónimos, o processo de pseudonimização e de aninimização e, a garantia do anonimato), os participantes devem ser informados disso mesmo aquando do consentimento informado.

Se o estudo envolve tratamento de dados pessoais e, numa fase posterior à sua recolha é fetuada a sua anonimização (p.e. quando o investigador remove informações de identificação pessoal de uma transcrição áudio de uma entrevista, ou quando transfere os dados pessoais recolhidos para outra base de dados), deve considerar-se que até à destruição dos dados em bruto, quem detreminou a recolha dos dados continua a ser responsável pelo tratamento desses mesmos dados. Ao invés, outra pessoa ou entidade que receba esses mesmos dados anonimizados, não faz sobre o mesmos tratamento de dados pessoais. Do mesmo modo, o facto de um estudo não reportar respostas individuais de participantes, não é, por si só, indicador de não haver tratamento de dados pessoais, ou seja, só se pode considerar que um estudo não trata dados pessoais se o investigador não tiver acesso a qualquer suporte de registos de dados pessoais durante a recolha e posteriores tratamentos.

Neste contexto, devem recolher-se apenas os dados pessoais estritamente necessários à realização do estudo (cf. aqui, princípios do tratamento de dados - minimização). A informação que identifique de forma única os participantes deve manter-se apenas enquanto for necessária, convertendo-se logo que possível em dados anónimos. Para o caso, será necessário considerar como dados pessoais (cf. aqui, dados pessoais) a informação relativa a uma pessoa singular identificada ou identificável, direta ou indiretamente, em especial por referência a um identificador.

Se são tratados dados pessoais no estudo, para além da descrição de todos os procedimentos para a recolha e registo desses dados, deve ser fornecido aos participantes informação em linguagem clara e simples, sobre:

Quando das operações de tratamento possa resultar um elevado risco para os direitos e liberdades das pessoas singulares, nomeadamente quando houver tratamento automatizado de dados, incluindo a definição de perfis, ou tratamento em grande escala de categorias especiais de dados pessoais, é necessário fazer uma AIPD (cf. aqui, Avaliação de Impacto sobre a Proteção de Dados - A realização de uma AIPD é uma obrigação legal prevista no artigo 35.º do RGPD, p.e. quando forem tratados em larga escala os dados pessoais previstos no artigo 9.º ou no artigo 10.º do RGPD; quando houver um controlo sistemático de zonas acessíveis ao público em larga escala (por exemplo, através de sistemas de videovigilância); ou, quando forem feitas definições de perfis (profiling) e, subsequentemente, forem tomadas decisões automatizadas que afetem significativamente a pessoa singular.

Se dessa AIPD se concluir que existe elevado risco para os direitos e liberdades das pessoas, e na ausência de medidas para mitigar esse risco, for essencial proceguir com o tratamento de dados, deve ser consultada a Comissão Nacional de Proteção de Dados (CNPD) para aferir se o tratamento previsto é permitido.

Se as atividades de investigação implicarem questões éticas múltiplas que não possam ser resolvidas previamente ou, posteriormente, através de uma AIPD, deve existir uma avaliação de impacto ético mais ampla sujeita a revisão pela Comissão de Ética.

Na vasta amplitude do direito fundamental à proteção de dados, que se relaciona diretamente com os valores da sociedade democrática, a proteção de dados pessoais exige salvaguardas especiais também sobre os tratamentos não relacionados com um único indivíduo, mas que ainda assim podem ter um impacto na sua privacidade. É nesta perspetiva que nasceu a corrente que pondera não só os dados pessoais, como também os “dados relevantes para a privacidade”. De facto, quantas vezes no momento da recolha a informação não se afigura como pessoal, e, numa fase posterior, essa mesma informação despoleta um risco para a privacidade das pessoas.

Também para antecipar estes riscos, a UE adotou a privacy by designand and by default, numa proposta em que utiliza como sinónimos os termos privacy e data protection. Nesta perspetiva, a União apresenta o art.º 25.º do RGPD (Proteção de dados desde a conceção e por defeito), nos seguintes termos:

• “Tendo em conta as técnicas mais avançadas, os custos da sua aplicação, e a natureza, o âmbito, o contexto e as finalidades do tratamento dos dados, bem como os riscos decorrentes do tratamento para os direitos e liberdades das pessoas singulares, cuja probabilidade e gravidade podem ser variáveis, o responsável pelo tratamento aplica, tanto no momento de definição dos meios de tratamento como no momento do próprio tratamento, as medidas técnicas e organizativas adequadas, como a pseudonimização, destinadas a aplicar com eficácia os princípios da proteção de dados, tais como a minimização, e a incluir as garantias necessárias no tratamento, de uma forma que este cumpra os requisitos do presente regulamento e proteja os direitos dos titulares dos dados.”
• “O responsável pelo tratamento aplica medidas técnicas e organizativas para assegurar que, por defeito, só sejam tratados os dados pessoais que forem necessários para cada finalidade específica do tratamento. Essa obrigação aplica-se à quantidade de dados pessoais recolhidos, à extensão do seu tratamento, ao seu prazo de conservação e à sua acessibilidade.”

No mesmo sentido, é oportuno referir a European Union Agency for Network and Information Security (ENISA), em Privacy and Data Protection by Design – from policy to engineering, em auxílio da privacidade desde a conceção, através do resumo das oito estratégias de conceção de privacidade, de Jaap-Henk Hoepman.

Primeira estratégia: MINIMIZAR

Verificar se,

• o tratamento de dados pessoais é proporcional (em relação à finalidade) e se não existem outros meios, menos invasivos, para atingir a mesma finalidade;

• é necessária a realização de uma Avaliação de Impacto sobre a Proteção de Dados, de modo a definir as necessidades exatas do tratamento de dados.

• a quantidade de dados pessoais tratados é restrita ao mínimo possível (“apenas sejam tratados os dados pessoais necessários para cada uma das finalidades específicas do tratamento”);

• nenhum dado desnecessário é recolhido.

Segunda estratégia: SEPARAR

Verificar se,

• os dados pessoais são tratados de forma distribuída e em divisões separadas (em particular, os dados provenientes de fontes distintas deverão ser armazenados em bases de dados separadas e estas bases de dados não deverão estar interligadas);

• as tabelas do banco de dados estão divididas e são difíceis de vincular entre si (p.e., através da remoção de identificadores pessoais ou usando técnicas como a pseudonimização.

Terceira estratégia: AGREGAR

Verificar se,

• a recolha de dados pessoais é mesmo precisa ou se a recolha pode ser anónima;

• é possível fazer a “anonimização local”, através da remoção de toda e qualquer informação que possa identificar ou vir a identificar o titular dos dados pessoais;

• é preservada a privacidade através da aplicação de técnicas de mineração de dados (data mining), incluindo a mineração de regras de associação, classificação e agrupamento;

• os dados pessoais são tratados no mais alto nível de agregação e com o mínimo de detalhes possível em que (ainda) sejam úteis (estes dados tornam-se menos sensíveis se a informação for suficientemente granular e o tamanho do grupo, sobre o qual é agregado, for suficientemente grande).

Quinta estratégia: INFORMAR

Verificar se,

• os titulares são adequadamente informados sempre que sejam tratados os seus dados pessoais (princípio da transparência - o momento de recolha é uma mais etapa importante para o titular, considerando que é aí que é tomada a decisão sobre o tratamento de seus dados);

• estão disponíveis avisos apropriados e outros mecanismos de transparência do tratamento.

Sétima estratégia: APLICAR

Verificar se,

• no mínimo, é aplicada uma política de privacidade compatível com os requisitos legais;

• existem mecanismos técnicos de proteção adequados que impeçam violações da política de privacidade.

Quarta estratégia: OCULTAR

Verificar se,

• estão implementados mecanismos de controle de acesso e autenticação no acesso ao armazenamento de dados;

• os dados pessoais e as suas inter-relações, legitimamente tratados por uma parte, ficam ocultas de qualquer outra parte (garantia de confidencialidade);

• não é possível relacionar entre si dois eventos que incluam os mesmos titulares de dados (introdução de ferramentas de anti-tracking, mascaramento ou criptografia).

Sexta estratégia: CONTROLAR

Verificar se,

• os titulares dos dados têm poder de decisão sobre o tratamento dos seus dados pessoais (direitos dos titulares dos dados);

• é possível implementar meios que permitam aos titulares decidir sobre a utilização de um determinado sistema e os mesmos conseguem controlar o tipo de informação que é tratada (configurações de privacidade ou ferramentas de Opt In/out).

Oitava estratégia: DEMONSTRAR

Verificar se,

• o tratamento de dados pessoais não implica para as pessoas em causa um enfraquecimento dos direitos dos indivíduos, mas, pelo contrário, incorpora novos instrumentos de garantia desses direitos (cf. considerando 75 e 76 do RGPD);

• o responsável pelo tratamento de dados é capaz de demonstrar, se necessário, a conformidade com a política de privacidade e quaisquer requisitos legais aplicáveis (princípio da responsabilização proativa - o responsável pelo tratamento de dados é responsável pelo cumprimento dos princípios relativos ao tratamento e tem de ser capaz de o demonstrar), nomeadamente de que implementou as medidas adequadas e eficazes para implementar os princípios de proteção de dados.