O Regulamento Geral de Proteção de Dados (RGPD) vai entrar em vigor sem legislação Nacional que enquadre a sua aplicação na realidade portuguesa.

Em janeiro de 2012, a Comissão Europeia apresentou uma proposta de regulamento sobre a proteção de dados pessoais. Após um longo processo negocial, que se desenrolou com especial intensidade durante os anos de 2014 e 2015, aquela iniciativa legislativa veio a culminar na aprovação do Regulamento (UE) 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.

O documento de avaliação do impacto que acompanha a Proposta do RGPD do Parlamento Europeu, documento de trabalho da Comissão (ver aqui) considera, do ponto de vista das PME, como opção, a introdução de Medidas não legislativas («instrumentos jurídicos não vinculativos») isto é, fazer incluir orientações definidas pela Comissão, de encorajamento de iniciativas de autorregulação e outras medidas não vinculativas. Contudo, embora naquele documento se considere a opção para a descriminação positiva da aplicação do Regulamento às PME, esta opção não viria a ser considerada e, assim, o RGPD passa a aplicar-se do mesmo modo às micro empresas e às grandes multinacionais.

A Confederação Portuguesa das Micro, Pequenas e Médias Empresas (CPPME) manteve a expetativa de, em tempo útil, a legislação a aprovar pela Assembleia da República viesse a dar a necessária diferenciação, já que nos parece inadmissível exigir às PME procedimentos de grande complexidade, com exigências não compativeis com a estrutura (e até com a falta dela) desta classe empresarial e, pior, com a aplicação de um regime sancionatório totalmente desajustado à sua dimensão (após advertência escrita, em caso de primeiro incumprimento, de carácter involuntário, a multa poderá atingir 100 000 000 EUR ou, no caso de uma empresa, ir até 5 % do seu volume de negócios anual).

Tais expetativas correm o risco de serem traídas pela forma como o Governo veio a conduzir o processo. Com efeito, após aprovação pelo Governo, a Proposta de Lei n.º 120/XIII só veio a ter uma sua primeira discussão no Plenário da Assembleia da República no passado dia 3 de Maio, impondo aos deputados menos de 15 dias para a sua discussão e aprovação.

Sobre o que foi a discussão em plenário da Assembleia da República chamamos a especial atenção dos nossos associados para o vídeo abaixo comentando desde já o posicionamento das diversas forças políticas representadas na AR: Enquanto o BE, CDS, PSD se concentraram em questões processuais e sobre a não aplicabilidade do regime sancionatório aos organismos da Administração Pública, o PS tomou a posição de abertura à introdução de alterações de conteúdo em sede de discussão na especialidade, o PCP foi a bancada que em concreto se referiu à aplicação da lei, às PME, nestes termos (citamos a passagem, também referida no vídeo):

«O Regulamento foi pensado e construído para a proteção dos cidadãos face ao tratamento de dados pessoais em larga escala, por grandes empresas e serviços da sociedade da informação, procurando abranger as grandes multinacionais que gerem redes sociais ou aplicações informáticas em larga escala, envolvendo a recolha e utilização intensivas de dados pessoais. Assim sendo, as soluções dele constantes não consideram as características do tecido económico nacional e são desproporcionadas ou mesmo inadequadas para a generalidade das PME ou para a Administração Pública Portuguesa.

Por outro lado, no momento em que o tratamento massivo de dados pessoais exige garantias acrescidas dos direitos fundamentais dos cidadãos e uma intervenção acrescida do Estado para os garantir, o que é proposto é uma redução da intervenção do Estado em nome de uma suposta autorregulação que, como sempre, acaba por se traduzir em desregulação.

Acresce que, na margem de decisão que o próprio Regulamento remete para opções legislativas dos Estados membros, a proposta do Governo contém, segundo a CNPD, soluções de “teor vago e aberto, não logrando prever regras específicas para os aspetos do regime sobre que incide”.»