Âmbito do GDPR: proteção de dados pessoais, não cibersegurança

O GDPR diz respeito, antes de mais, à proteção dos dados pessoais e dos direitos que as pessoas singulares (titulares dos dados) têm sobre esses dados. Abrange a forma como as organizações recolhem, conservam, tratam e partilham dados pessoais e confere às pessoas direitos como o acesso, a retificação e o apagamento. Um contraste concreto: o GDPR não é uma legislação geral em matéria de cibersegurança — não impõe a utilização de firewalls nem de software antivírus — embora exija medidas de segurança adequadas para proteger os dados pessoais. Do mesmo modo, não é uma legislação sobre conteúdos das plataformas como o Regulamento dos Serviços Digitais (DSA), que se centra nos conteúdos ilegais e na responsabilização das plataformas. Assim, se um cenário de exame mencionar pirataria informática ou moderação de conteúdos, verifique se a questão central diz respeito à utilização indevida de dados pessoais ou a outro problema.

Para evitar armadilhas, lembre-se de três técnicas de eliminação. Em primeiro lugar, se a pergunta falar da proteção dos segredos comerciais ou da propriedade intelectual de uma empresa, o GDPR não se aplica — trata-se de um domínio diferente. Em segundo lugar, se o cenário envolver uma violação de dados, o GDPR só entra em jogo se estiverem comprometidos dados pessoais (por exemplo, nomes, endereços de correio eletrónico ou informações de saúde); uma violação de dados anonimizados ou de dados não pessoais fica fora do seu âmbito de aplicação. Em terceiro lugar, o GDPR aplica-se a qualquer organização que trate dados pessoais de residentes da UE, independentemente do local onde esteja estabelecida — pelo que uma empresa dos EUA que vise utilizadores da UE está abrangida. Quando vir uma pergunta com «dados pessoais» e «direitos das pessoas», essa é a sua indicação para pensar no GDPR; se vir «cibersegurança» ou «conteúdos das plataformas», procure noutro diploma.

Uma forma rápida de testar a sua compreensão: pergunte a si próprio: «A principal preocupação diz respeito às informações pessoais de alguém e ao controlo que essa pessoa exerce sobre elas?» Em caso afirmativo, pense no GDPR. Se a preocupação for a segurança dos sistemas ou os conteúdos nocivos, pense noutras leis. Uma mnemónica: GDPR = «Garantir Direitos de Proteção Relativos aos dados» — concentre-se nas partes «pessoais» e «direitos», não nos pormenores técnicos de segurança.