AUTORIZAÇÃO N.{ 3,4tfi019
Processo n." 321/2019
I
Transportes Interilhas de Cabo Verde - Binter Cabo Verde, com sede em Achada Grande, Cidade da Praia, notificou à Comissão Nacional de Protecção de Dados (CNPD) a regularização de um tratamento de dados pessoais com finalidade de gestão de clientes.
São tratados para a referida finalidade, conforme a notificação, os seguintes dados pessoais: Nome, idade, data de nascimento, número de documento identificação, Número de Identificação Bancária (NIB), número de telefone, email, morada, origem e destino do voo, dia do voo, horário e dados de saúde.
Os dados são recolhidos de forma direta, presencial, por telefone, internet e impresso.
Outrossim, há recolha de dados de forma indireta a partir das agências de viagem.
Não foi indicado o prazo de conservação dos dados, apesar da solicitação feita.
Declarou-se não haver comunicação nem interconexão de dados. Porém, há transferência de dados para a BinterSistemas Tenerife - Espanha para fins de armazenamento. Portanto, a BinterSistemas é o serviço externo responsável pelo processamento de informações.
Outrossim, há transferência de dados para a Binter Canárias e Gestión Aeronáutica Integral Canaria, empresa do Grupo, todas si tas nas Ilhas Canárias.
Os titulares dos dados podem exercer o direito de acesso de forma presencial e/ou por escrito, dirigindo à morada da Binter Cabo Verde. Estão asseguradas as medidas de segurança física e lógica.
Uma equipa da CNPD efetuou uma visita inspetiva nas instalações da Binter Cabo Verde.
11
Apreciando,
1- As supramencionadas informações recolhidas e registadas pela Binter Cabo Verde, no exercício da sua atividade comercial, dizem respeito a pessoas singulares e são suscetíveis
Contribuinte N°: 370636406, Av. Da China. Rampa da Terra Branca, Apartado 1002, C.P. 7600, Praia, Tel: (238) 5340390, cnpd@cnpd.cv, www.cnpd.cv
Comissão Nacional de
Protecção de Dados
de as identificar pelo que traduzem o conceito de dados pessoais I nos termos da alínea a), n.? 1, do artigo 5.° da Lei n." 133/V/2001 de 22 ele Janeiro, alterada pela Lei n."
41/VIlI/20 13 de 17 de Setembro, que estabelece o regime jurídico geral de proteção de dados pessoais das pessoas singulares, doravante designada por LPDP.
Por conseguinte, as operações, tais como recolha, registo, organização e transmissão, efetuadas sobre essas informações configuram tratamento/ de dados pessoais, nos termos da alínea b), n. ° 1, do artigo do artigo 5.° da LPD P.
2- Assim sendo, cumpre evidenciar, desde logo, que a Binter Cabo Verde deve tratar os dados dos seus clientes com transparência, estrito respeito pela reserva da intimidade da vida privada e familiar e de modo geral com respeito pelos direitos, liberdades e garantias fundamentais do cidadão, por força do artigo 4.° da LPDP.
Mais, os dados recolhidos devem ser tratados de forma legal, lícita e com respeito pela boa-fé, recolhidos para finalidades determinadas, explícitas e legítimas não podendo ser utilizados posteriormente para finalidades incompatíveis. Devem ainda ser adequados, pertinentes e não excessivos relativamente às finalidades para que são recolhidos e posteriormente tratados, cfr. as alíneas a), b) e c), n."l , do artigo 6.° da mesma lei.
3- Como é sabido a licitude e a legalidade do tratam e to estão intimamente ligadas às condições de legitimidade.
Dentre os dados tratados destacam-se os referentes ao itinerário da viagem por relacionar com a vida privada dos clientes e dados de saúde. Esses dados constituem dados pessoais sensíveis nos termos do n." 1 do artigo 8.° da LPDP.
o
tratamento desses dados, por poder colocar o seu titular numa situação de vulnerabilidade e/ou de potencial discriminação, apenas pode ser legitimado por lei ou autorização da CNPD, desde que para tanto exista consentimento expresso do titular de dados ou se destinem ao processamento de dados estatísticos não individualmente identificáveis, nos termos n." 2 do artigo 45.° da CRCV conjugado com o disposto no n."1 do artigo 8.° e na alínea a) do artigo 24.°, ambos da LPDP.
4- Os dados de itinerário da viagem, os quais respeitam basicamente ao ponto de partida e destino, podendo incluir as escalas, constituem informações que devem constar do contrato de transporte de passageiros - bilhete de passagem ou outro documento -, nos termos dos n.os 1 e 2 do artigo 143.° do Código Aeronáutico, aprovado pelo Decreto-
1 Qualquer informação, de qualquer natureza e independentemente do respetivo suporte, incluindo som e imagem relativa a uma pessoa singular identíficada e ou identificável «titular dos dados».
2 com ou sem meios automatizados, tais como recolha, registo, a organização, (. .. ). Qualquer operação ou conjunto de operações sobre os dados pessoais efetuadas, total ou
= .«
2 ..
Contribuinte W: 370636406, Av. Da China, Rampa da Terra Branca, Apartado 1002, C.P. 7600, Praia, Tel: (238) 5340390, cnpd@cnpd.cv, www.cnpd.cv
Legislativo n." 4/2009, de 7 de setembro e alínea d), n.? 1, do artigo 10.° do Regulamento n." 1/2014, de 20 de junho, da Agência da Aviação Civil (AAC).
Portanto, resulta claro que a Binter Cabo Verde está legalmente autorizada a tratar tais dados pessoais, porém o diploma legal e o regulamento antes referidos não dispõem das todas as indicações obrigatórias previstas no n." 1 do artigo 26.° da LPDP. Assim sendo, o tratamento desses dados está sujeito ao controlo prévio e a competente emissão de autorização por parte da CNPD.
5- No caso em apreço, verifica-se que o tratamento de dados pessoais referentes a saúde ocorre no âmbito de evacuação de passageiros em situação de doença.
As pessoas em situação de doença podem, dependendo do estado de evolução desta, padecer de dificuldades de mobilidade e outras derivadas da sua condição. Ciente disso, enquadrou-se essas pessoas no conceito de "Pessoa com mobilidade reduzida (PMR) ", nos termos da alínea f) do artigo 3.° do Decreto-lei n." 27/2015, de 6 de maio:'.
Conforme se verifica do n." 1 do artigo 14.° do Decreto-lei cito logo acima, as PMR, que desejam ser assistidas, devem notificar à transportadora aérea das suas necessidades.
Portanto, será bastante, ciente do disposto na alínea c), n.? 1 do artigo 6.° da LPDP, para o cumprimento do disposto no referido diploma legal por parte da Binter Cabo Verde, a comunicação de tais necessidades sem especificar a doença de que o passageiro padece, sem prejuízo da necessidade de informar sobre as eventuais deficiências de ordem motora, visual ou auditiva.
6- Constitui mesmo dever da transportadora aérea, sem prejuízo do descrito acima, questionar os passageiros se carecem de necessidades especiais, as quais devem ser registadas por códigos descritos 110 anexo do diploma em causa, cfr. 011.° 1 do artigo 15.°.
Tais informações, as quais podem revelar o estado de saúde" dos passageiros, são tratadas pela Binter Cabo Verde no cumprimento de uma obrigação legal e destinam a prestação de cuidados, inclusive médicos, dos mesmos. Deve e tretanto esse tratamento de dados ser feito por um profissional de saúde ou outra pessoa obrigada ao segredo profissional equivalente, nos termos da alínea b) do n." 1 conjugado n.? 4 do artigo 8.° da LPDP.
Tais informações são ainda tratadas para fins de produção de estatísticas, conforme o artigo 32.° do mencionado Decreto-lei n.? 27/2015, de 6 de maio.
3 Estabelece as regras e princípios para garantir a proteção e a prestação de assistência às pessoas com mobilidade reduzida que tenham acesso ou pretendam ter acesso ao transporte aéreo.
4 Sobre conceito de "Saúde", veja a alínea a) do artigo 2.° da Lei 4I/VI/2004, de 5 de abril, que estabelece ~
as Bases do Sistema Nacional de Saúde.
2
3---(jk .
Contribuinte N": 370636406, Av. Da China, Rampa da Terra Branca, Apartado 1002, C.P. 7600, Praia, Tel: (238) 5340390, cnpd!âlcnpd.cv, www.cnpcl.cv
Comissão Nacional de
Protecção de Dados
7- Os restantes dados pessoais, os quais, por exclusão de parte, constituem dados "não sensíveis", porque o seu tratamento decorrer do diploma legal e regulamentar acima mencionados e por revelarem-se necessários para a execução do contrato em causa, resulta claro que as condições de legitimidade para o efeito baseiam nas alíneas a) e b) do artigo 7.0 da LPDP.
8- Conforme acima aludido, há transferência de dados para a BinterSistema para fins de armazenamento de dados, bem como para a Binter Canárias e Gestión Aeronáutica Integral Canaria, empresas do Grupo, todas sitas nas Ilhas Canárias.
Em relação a transferência de dados para a BinterSistemas está-se perante uma subcontratação no âmbito do tratamento de dados em causa, a mesma deve ser celebrada por escrito ou por qualquer ato jurídico que a vincule ao BinterSistemas (subcontratante) à Binter Cabo Verde, designadamente, em termos de adoção de medidas de segurança, nos termos dos n. os 3 e 4 do artigo 15.0 da LPD P.
Em ambas as situações, tratando-se de empresas do mesmo grupo há interesse legítimo em transmitir dados pessoais para fins administrativos internos.
A Espanha é um país da União Europeia, logo se lhe aplica o Regulamento Geral de Proteção de Dados, e têm uma autoridade independente de proteção de dados, por conseguinte assegura um nível de proteção adequado: nos termos dos artigos 20.0 de LPDP.
9- Os dados devem ser exatos e, se necessário, atualizados, bem como conservados de forma a identificar os seus titulares por tempo necessário a prossecução da finalidade da recolha, nos termos das alíneas d) e e), n." 1, do artigo 6.0 da LPDP.
Assim sendo, entende a CNPD os dados pessoais devem ser conservados pelo prazo máximo de 10 (dez) anos, sem prejuízo da sua conservação para além daquele prazo, nos casos de qualquer litígio com limite máximo de 3 (três) meses após trânsito em julgado da decisão.
10- A Binter Cabo Verde deve permitir que os titulares dos dados exerçam os direitos de acesso, retificação, apagamento, nos termos do artigo 12.0 da LPDP, e ainda, em qualquer altura, opor ao tratamento de dados, nos termos estabelecido no artigo 13.0 da LPDP.
O direito de acesso aos dados suscetíveis de relacionar com saúde dos clientes deve ser exercido por intermédio de um médico escolhido pelo titular dos dados, nos termos do n."
5 do artigo 12.0 da LPDP.
Contribuinte N°: 370636406, Av. Da China, Rampa da Terra Branca, Apartado 1002, c.P. 7600, Praia, Tel: (238) 5340390, cnpd@cnpd.cv, www.cnpd.cv
Acresce a esses direitos, o direito de informação previsto no artigo 11.° da LPDP. Em relação aos dados recolhidos junto das agências de viagem, a Binter Cabo Verde deve respeitar o disposto no n." 3 do mesmo artigo.
Deve ainda ser inserida na plataforma BinterMais as informações constantes do n." 1 do ainda artigo 11.°, inclusive que os dados recolhidos em rede aberta podem circular sem condições de segurança adequada, cfr. n.? 4 do mesmo artigo.
11- Considerando a categoria de dados pessoais em causa, a Binter Cabo Verde deve pôr em prática medidas adequadas e acrescidas de segurança de informação nos termos do n."
1 do artigo 16.° da LPDP.
Deve ser garantida a separação lógica dos dados suscetíveis de relacionar com saúde dos restantes dados, conforme o disposto no n." 3 do artigo 16.° da LPDP.
Estabelece o n." 7 do artigo 45.° da Constituição que os dados constantes dos ficheiros manuais gozam da mesma proteção em relação aos constantes dos ficheiros informáticos.
Assim sendo, as medidas de segurança a implementar devem ser adequadas às particularidades de cada realidade.
111
Nestes termos, ao abrigo das disposições conjugadas do proémio e alíneas a), b) e e) do artigo 7.°, alínea a) do n.? 1 e n." 4 do artigo 8.°, artigo 19.°, n." 1 do artigo 23.°, alínea a) do 11.° 1 do artigo 24.° e n.? 1 do artigo 26.°, todos da LPDP, alíneas a) e d) do n." 1 do artigo 10.° da Lei n." 42/VIlI/2013, de 17 de setembro e com as recomendações acimas expostas, a CNPD autoriza o tratamento notificado, nos termos seguintes:
Responsável pelo tratamento Transportes Interilhas de Cabo Verde - Binter Cabo Verde
Finalidade Gestão de clientes
Nome, idade, data de nascimento, número de documento identificação, Número de Identificação Categoria de dados pessoais Bancária (NIB), número de telefone, email, morada, tratados origem e destino do voo, dia do voo, horário e dados sobre as necessidades dos passageiros nos termos acima descritos
Comunicação de dados Não há
Contribuinte N°: 370636406, Av. Da China, Rampa da Terra Branca, Apartado 1002, C.P. 7600, Praia, Tel: (238) 5340390, cnpd@cnpd.cv, www.cnpd.cv
Comissão Nacional de
Protecção de Dados
Os titulares dos dados podem exercer o direito de acesso presencialmente e/ou por escrito dirigido à Forma de exercício do direito morada da notificante. O direito de acesso aos dados de acesso suscetíveis de relacionar com saúde dos clientes deve ser exercido por intermedio de um médico escolhido pelo titular dos dados;
Interconexão Não há
Transferência de dados para Espanaha
-
Tenerife- BinterSistemas, Binter outros países Canarias e Gestión Aeronáutica Integral Canaria10 (dez) anos, sem prejuízo da sua conservação para Tempo de conservação de além daquele prazo, nos casos de qualquer litígio com dados limite máximo de 3 (três) meses após trânsito em
julgado da decisão
Medidas de segurança Manter as medidas já adotadas e implementar as previstas nesta autorização e na lei
o
notificante deve proceder as alterações na plataforma BinterMais indicadas e provar à CNPD das diligências feitas, no prazo de 90 dias.Registe e notifique.
Praia, 29 de novembro de 2019
Faustino Varela Monteiro (Presidente)
~
6
Contribuinte N°: 370636406, Av. Da China, Rampa da Terra Branca, Apartado 1 002, CP. 7600, Praia, Tel: (23R) 5340390, cnpd@cnpd.cv, www.cnpd.cv
