A Autoridade da Espanha, Agencia Española Protección Datos (AEPD), aplicou sanção em empresa de instalação de aquecedores e ares condicionados G. L. P. Instalaciones 86, S. L. por desrespeito aos princípios da GDPR e por tratamento em inobservância às bases legais.
Entenda o caso:
Em 28/06/2019 o titular dos dados entrou em contato com o departamento comercial da empresa Naturgy com o objetivo de pedir um orçamento para a instalação de um ar-condicionado em seu domicílio.
A Naturgy, então, coletou dados pessoais do titular e ficou de colocar em contato com o titular uma de suas empresas colaboradoras. Em seguida, entraram em contato com o titular duas empresas, ambas se apresentando como colaboradora da Naturgy, se prontificando à prestação dos serviços de instalação.
É aí que entra a empresa que recebeu a multa - G. L. P. Instalaciones 86, S. L. – instaladora do ar-condicionado no domicílio do titular e que, neste caso em específico, não prestou um bom serviço ao consumidor, visto ele ter reclamado à Naturgy sobre a colaboradora que, em resposta, alegou que a G.L.P. não tinha sua autorização, veja o trecho no original:
“Al tener numerosos problemas con la reclamada por la instalación, interpuso reclamación ante Naturgy, su respuesta fue que ellos no le habían enviado y que no era instalador autorizado suyo”.
A questão é: Como a G. L. P. Instalaciones 86, S. L. obteve os dados pessoais do titular, para ter condição de entrar em contato para se apresentar como empresa colaboradora?
Abertura de procedimiento sancionador.
A Naturgyinformou, em 27/12/2019, à Agencia que a referida empresa não era sua autorizada, tampouco compartilhou dados pessoais com a mesma:
“Con fecha 27 de diciembre de 2019, Naturgy manifiesta a esta Agencia que la entidad reclamada no es una empresa colaboradora de esta compañía y por tanto Naturgy no le comunicó ningún dato del cliente.”
Em 08/06/2020 a ANPD iniciou o procedimento sancionador contra a G.L.P. Instalaciones 86, S.L., que foi notificada no dia 20 do mesmo mês, não tendo sequer respondido à notificação da Agencia.
Tratamento de dados contrários aos princípios e em inobservância às bases legais da GDPR.
A Autoridade Espanhola considerou o tratamento havido não respeitou os princípios previstos no artigo 5, parágrafo 1, alínea “a)”:
“1. Os dados pessoais são: a) Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados (licitude, lealdade e transparência)”
Além disso, o tratamento também não se enquadra nas bases legais que seriam possíveis, previstas no artigo 6, parágrafo 1, alíneas “a” e “b”, da GDPR:
“1. O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações: a) O titular dos dados tiver dado o seu consentimento para o tratamento de seus dados pessoais para uma ou mais finalidades específicas; b) O tratamento for necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré-contratuais a pedido do titular dos dados; (...)”
Assim, foi considerado grave a inobservância geral dos princípios, bases legais e sobre as condições que regem o consentimento, o que é uma infração considerada muito grave na Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD).
Quais dados pessoais estão envolvidos neste caso da G.L.P. Instalaciones 86, S.L.?
Nome e sobrenome
Telefone
Endereço da residência
Endereço indicado como postal
Conta bancária
Como a Agencia estimou o valor de €60.000?
A Autoridade de Proteção de Dados da Espanha considerou a natureza dos dados vazados, a natureza grave da infração, além da inércia da empresa em responder a notificação enviada também ter agravado, tendo o órgão sopesado com a atenuante de que a empresa tinha um baixo faturamento anual.
E se fosse no Brasil, também infringiria a LGPD?
A resposta é positiva. Fazendo um exercício de transposição da mesma situação para cá, temos que os fatos se mostram contrários ao princípio da transparência (art. 6º VI), isto é o controlador está obtendo dados sem informar isso ao titular, além da falta de base legal (art. 7º) para o tratamento, falta do consentimento, não preenchimento dos requisitos para justificar a execução de um contrato.
Ainda que inexista nesta data a Autoridade Nacional de Proteção de Dados plenamente instalada e em funcionamento, é possível que outros órgãos exercitem a fiscalização: Procon, Ministério Público, Idec, etc.
Embora a parte da LGPD referente à multa ainda não esteja vigendo, o titular de dados pode recorrer direto ao Poder Judiciário, que poderá aplicar sanções outras previstas na legislação processual, por exemplo.
Com a LGPD em vigor, empresas grandes, médias, pequenas, dos mais diversos setores de atividade, deverão se adequar para evitar prejuízos futuros.
Comments