Entrou em vigor o Regulamento Geral sobre Proteção de Dados (RGPD) - Regulamento nº 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, que estabelece as regras relativas à proteção, tratamento e livre circulação dos dados pessoais das pessoas singulares e que se aplica a todas as entidades que procedam ao tratamento desses dados em qualquer Estado membro da União Europeia, nomeadamente Portugal.
Surge um conceito importante ao nível do RGP é o da conformidade, têm de ser as organizações/empresas a garantir a conformidade e demonstrar essa conformidade no dia a dia, o que está ligado ao conceito de auto-regulação são as próprias empresas tem de se impor a si próprias regras, garantir e controlar todos os processos de recolha e de tratamento de dados que está a cumprir e segue à risca todas as obrigatoriedades do RGPD.
Deste modo, este manual tem como finalidade, implementar normativos para:
Inversão do ónus da prova, a organização tem de demonstrar e provar que cumpre o RGPD quando há uma acusação a dizer que esta não está a cumprir alguma regra do RGPD (data breach).
Minimização de dados, recolher o mínimo de dados que precisa na altura, recolher e usar só o que se precisa para a função. Usar os dados só para certa finalidade que foi indicado no momento da recolha. Estar preparadas para prevenir e detetar incidentes de dados.
Deste modo, temos por objetivo fazer cumprir um conjunto de direitos que os titulares vão poder exigir: Direito Acesso e Informação; direito à Retificação; Direito ao Esquecimento; Direito à Portabilidade.
O presente Manual visa disciplinar e sistematizar a Proteção de Dados Pessoais das pessoas singulares no âmbito desta empresa, bem como garantir, de forma complementar ao regime legal vigente, a proteção dos direitos dos titulares dos dados que interagem com HEALTH CARE SERVICES (HECS) - SERVIÇOS DE SAÚDE, LDA. As regras constantes do presente manual abrangem todo o tratamento de dados pessoais e a livre circulação desses dados, em defesa dos direitos e das liberdades fundamentais dos seus titulares, quando a responsabilidade do tratamento seja da HEALTH CARE SERVICES (HECS) - SERVIÇOS DE SAÚDE, LDA.
O presente manual aplica-se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados.
HEALTH CARE SERVICES (HECS) - SERVIÇOS DE SAÚDE, LDA., com sede na Rua Eduardo Viana, nº 7, na freguesia da Ramada e concelho de Odivelas, contribuinte Nº 510973957A empresa, pretende com este manual munir-se de procedimentos /documentos necessários para caso ocorram determinadas circunstâncias, para que as obrigações previstas no RGPD possam ser cumpridas de modo rápido e eficaz: Registo de atividades de tratamento; Realização de avaliações de impacto para a privacidade sempre que sejam necessárias; Dispor de um procedimento de atuação no prazo de 72h para notificar a CNPD em caso de violação de proteção de dados, assim como os titulares dos dados.
Todos os intervenientes da HEALTH CARE SERVICES (HECS) - SERVIÇOS DE SAÚDE, LDA, devem ter em conta que todos os dados são pessoais, sempre foram, agora requerem é mais atenção desde a sua obtenção, armazenamento e tratamento.
Designamos de segurança da informação, o processo de organização e estruturação que permita preservar a confidencialidade - assegurar que a informação é acessível somente por pessoas devidamente autorizadas, garantir a veracidade bem como os métodos de processamento, o conteúdo da informação e a disponibilidade, isto é assegurar o acesso à informação por quem devidamente autorizado, esta deve ser acessível sempre que necessária.
O presente manual de procedimentos desta empresa, visa ser um documento para conhecimento e de divulgação.
São normativos designados neste ponto nomeadamente de:
A Segurança da informação é um processo organizado e estruturado que permita preservar a confidencialidade - assegurar que a informação é acessível somente por pessoas devidamente autorizadas, integridade garantir a veracidade bem como os métodos de processamento, o conteúdo da informação não pode ser modificada de forma inesperada e a disponibilidade isto é assegurar o acesso à informação por quem devidamente autorizado, esta deve ser acessível sempre que necessária. Deste modo o código de conduta designa em si mesmo:
O correio eletrónico é uma ferramenta de trabalho e deve ser utilizada de forma profissional e cuidada, a sua utilização imprudente e inadequada pode dar origem a ataques aos nossos sistemas. Neste sentido:
Todos os correios eletrónicos de trabalho da organização estão armazenados no sistema Google Cloud - GSuite, que por sua vez está alojado G Suite ID: healthcareserviceshecs.com, sempre com password.
Pishing, vírus e ranomware
Pishing é crime informático baseado no envio de um email fraudulento com o objetivo de obter dados pessoais ou do negócio, é um email falso normalmente emitido em nome de uma entidade credível tal como um Banco, Facebook, Microsoft, Vodafone, etc. Vírus são programas maliciosos- malware que se espalham a outros computadores com o objetivo de permitir acessos ou danificar dados e serviços; existem diferentes tipos de vírus o spyware regista a atividade do utilizador e envia para o atacante;adware ataca o tulizador com publicidade; scareware é um falso alerta de vírus ou problemas informáticos que levam o utilizador a fazer o que lhe pedem como por exemplo instalar um programa; Ransomware é uma estratégia de resgate suportada por um software de encriptação que bloqueia o acesso aos ficheiros ou aos computadores, até que se pague o resgate. Este software encripta os dados com uma chave secreta. Deste modo:
Neste sentido os computadores desta organização utilizam o programa Kaspersky Total Security (https://my.kaspersky.com/), com a Versão completa e data de ativação nov/16/2018, 9:12:21 (UTC), com os seguintes componentes: Kaspersky Total Security; Kaspersky Internet Security; Kaspersky Password Manager.
A HEALTH CARE SERVICES (HECS) - SERVIÇOS DE SAÚDE, LDA adquiriu a Google Cloud - GSuite que permite o rastreio de quem acedeu a que entidades e quais as que contém dados pessoais, bem como as operações que foram executadas, permitindo a despistagem de incidentes de violação de dados seus e das bases de dados dos seus clientes.
Na entidade HEALTH CARE SERVICES (HECS) - SERVIÇOS DE SAÚDE, LDA, foi nomeado em 25 de junho de 2018, como Encarregado de Proteção de Dados, com os seguintes contatos do conhecimento dos stakeholders:
É RESPONSÁVEL PELOS SEGUINTES PONTOS:
O ENCARREGADO DA PROTEÇÃO DE DADOS da HEALTH CARE SERVICES (HECS) - SERVIÇOS DE SAÚDE, LDA, no cumprimento das obrigações previstas no artigo 33.º do RGPD, deve recolher os seguintes dados a fim de submeter na CNPD a notificação de violação de dados pessoais, em: https://www.cnpd.pt/bin/notifica_rgpd/data_breach.htm
Assim e segundo o Artigo 33.º, do REGULAMENTO (UE) 2016/679 DO PARLAMENTO EUROPEU E DO CONSELHO de 27 de abril de 2016, a Notificação de uma violação de dados pessoais à autoridade de controlo, sempre que (citamos):
“1. Em caso de violação de dados pessoais, o responsável pelo tratamento notifica desse facto a autoridade de controlo competente nos termos do artigo 55.o, sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da mesma, a menos que a violação dos dados pessoais não seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares. Se a notificação à autoridade de controlo não for transmitida no prazo de 72 horas, é acompanhada dos motivos do atraso.
2. O subcontratante notifica o responsável pelo tratamento sem demora injustificada após ter conhecimento de uma violação de dados pessoais.
3. A notificação referida no n.o 1 deve, pelo menos:
a)Descrever a natureza da violação dos dados pessoais incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados, bem como as categorias e o número aproximado de registos de dados pessoais em causa;
b)Comunicar o nome e os contactos do encarregado da proteção de dados ou de outro ponto de contacto onde possam ser obtidas mais informações;
c)Descrever as consequências prováveis da violação de dados pessoais;
d)Descrever as medidas adotadas ou propostas pelo responsável pelo tratamento para reparar a violação de dados pessoais, inclusive, se for caso disso, medidas para atenuar os seus eventuais efeitos negativos;
4. Caso, e na medida em que não seja possível fornecer todas as informações ao mesmo tempo, estas podem ser fornecidas por fases, sem demora injustificada.
5. O responsável pelo tratamento documenta quaisquer violações de dados pessoais, compreendendo os factos relacionados com as mesmas, os respetivos efeitos e a medida de reparação adotada. Essa documentação deve permitir à autoridade de controlo verificar o cumprimento do disposto no presente artigo.”(Fim citação)
Modelo de registo das atividades de tratamento (Art. 30.º), é considerado o modelo proposto pela CNPD, em:
Em ficheiro anexo a este documento em formato livro excel, conforme indicações de preenchimento e campos designados pela CNPD.
Todos os colaboradores da HEALTH CARE SERVICES (HECS) - SERVIÇOS DE SAÚDE, LDA têm a obrigação de conhecer o conteúdo do presente manual e das suas atualizações posteriores. Os colaboradores estão obrigados a cumprir o presente manual e colaborar na sua aplicação. O não cumprimento das presentes regras pode conduzir à instauração de ação disciplinar. O desconhecimento da presente Política não justifica qualquer tipo de incumprimento. Os colaboradores deverão abster-se de qualquer comportamento sobre o qual tenham dúvidas, podendo solicitar ao Encarregado de Proteção de Dados, gestaodeprestadores@healthcareserviceshecs.com , para qualquer esclarecimento.
O presente manual será revisto periodicamente ou sempre que, por força das necessidades decorrentes das atribuições fatos, ou alterações legislativas, assim o obriguem.
Após aprovação, procede-se à divulgação do presente Manual aos colaboradores desta empresa.
O presente Manual é de aplicação imediata.
As atualizações ao manual constante do presente documento serão válidas a partir da data da respetiva aprovação.