MondialFax

Fax e RGPD

O que o regulamento exige e o que não diz em lado nenhum.

O RGPD não proíbe o fax nem o autoriza: não fala de canais, fala de riscos. Enviar um documento com dados pessoais é um tratamento, seja qual for o meio, e as obrigações são as mesmas de um e-mail — minimizar o que é transmitido, proteger a transmissão de forma proporcional ao risco e saber reagir quando algo segue para o sítio errado. A particularidade do fax é apenas que a cifragem não está disponível, o que desloca o esforço para as medidas organizativas.

Quatro pontos que resolvem o essencial

Nenhum deles é específico do fax, e é justamente isso que importa perceber primeiro.

  • Enviar um fax é um tratamento

    Transmitir dados pessoais é uma operação de tratamento nos termos do regulamento, tal como recolhê-los ou conservá-los. A escolha do canal não retira a operação do âmbito de aplicação: apenas muda quais as medidas que a tornam aceitável.

  • O regulamento não classifica canais

    Não encontrará em lado nenhum uma lista de meios permitidos ou proibidos. O texto exige medidas «adequadas ao risco», o que significa que a apreciação depende da sensibilidade dos dados, do volume e das consequências de uma divulgação — e não de um rótulo colado à tecnologia.

  • A minimização aplica-se à própria página

    O princípio da minimização abrange os dados que transmite, não só os que guarda. Uma página com um número de segurança social completo onde bastariam uma inicial e a referência do processo é excessiva, mesmo que a transmissão corra na perfeição.

  • Um destinatário fora do Espaço Económico Europeu é uma transferência

    Enviar um fax para um país terceiro fica sujeito às regras sobre transferências internacionais, tal como um envio eletrónico. O facto de o dado viajar numa linha telefónica não muda nada.

A ausência de cifragem e o que ela implica

O regulamento exige medidas técnicas e organizativas adequadas e cita a cifragem entre os exemplos — como exemplo, não como obrigação geral. Num fax a questão está decidida à partida: o protocolo não a prevê e o último troço até ao aparelho circula em claro na rede telefónica. Nenhum prestador o pode remediar.

Isso não torna o fax não conforme; desloca o esforço. O que resta disponível são as medidas organizativas: verificar o número segundo um procedimento escrito em vez de o fazer de memória, avisar o destinatário para que a página não fique num aparelho acessível, reduzir o que consta da página e guardar o relatório de transmissão como prova do que saiu e para onde. São essas medidas que documentam a sua apreciação do risco.

O raciocínio inverso vale do mesmo modo: se os dados são de tal forma sensíveis que só um canal cifrado e autenticado serviria, e o destinatário aceita algum, então o fax não é a escolha certa — ainda que ninguém o proíba.

O fax enviado para o número errado

É o cenário RGPD mais comum no fax e aquele em que os reflexos contam. A divulgação a um terceiro não autorizado é uma violação de dados pessoais, mesmo sem intenção e mesmo que quem recebeu esteja de boa-fé.

  1. Documentar, em todos os casos

    O regulamento obriga a registar internamente qualquer violação — os factos, os efeitos e as medidas tomadas — independentemente de ter ou não de ser notificada. É esse registo que a autoridade de controlo pede primeiro.

  2. Avaliar o risco para as pessoas

    O critério não é a gravidade do erro mas o risco para os titulares: que dados, quantas pessoas, que consequências possíveis e quem recebeu efetivamente a página.

  3. Notificar a autoridade em 72 horas se houver risco

    A notificação à autoridade de controlo é feita sem demora injustificada e, se possível, no prazo de 72 horas após o conhecimento da violação — salvo se for pouco provável que resulte num risco para os direitos e liberdades das pessoas.

  4. Informar as pessoas se o risco for elevado

    Quando for provável que a violação implique um risco elevado, os titulares têm também de ser informados, em termos claros e com as medidas que podem tomar.

O que uma organização pode implementar

Um procedimento de verificação do número
Escrito, e aplicado por outra pessoa que não quem marca, quando o envio é sensível. É a medida que ataca a causa mais frequente das violações ligadas ao fax.
Uma folha de rosto padronizada
Com o destinatário identificado e uma indicação sobre como proceder em caso de receção indevida. Não obriga ninguém, mas é lida e limita a leitura acidental do resto.
Um ponto de receção vigiado
Um aparelho de fax numa zona de acesso restrito em vez de num corredor. Do lado da receção, é a medida que mais muda as coisas.
Limpeza dos aparelhos
As multifunções guardam páginas em memória e imprimem um registo. Preveja o apagamento antes de qualquer revenda, reparação ou abate.
O tratamento inscrito no registo
Se o envio de faxes faz parte dos seus processos correntes, consta do registo das atividades de tratamento como qualquer outro fluxo, com a finalidade, os destinatários e o prazo de conservação.

Perguntas frequentes

O RGPD proíbe enviar dados de saúde por fax?
Não, nenhuma disposição o proíbe. Os dados de saúde pertencem, isso sim, às categorias especiais, cujo tratamento obedece a condições mais estritas e cuja divulgação representa um risco mais elevado: a exigência quanto às medidas de acompanhamento sobe, e muitas vezes o destinatário é a própria instituição que impõe este canal. O que a sua estrutura pode fazer decide-se com o encarregado da proteção de dados.
Um fax enviado para o número errado é uma violação de dados?
Sim, desde que contenha dados pessoais: é uma divulgação não autorizada. Deve ser registada internamente em todos os casos, notificada à autoridade de controlo se houver risco para as pessoas e comunicada aos titulares se esse risco for elevado.
É preciso um contrato com o serviço de fax em linha utilizado?
Quando um prestador trata dados pessoais por sua conta, a relação fica sujeita às regras aplicáveis aos subcontratantes e exige enquadramento contratual. É um ponto a verificar com o serviço que utiliza antes de fazer dele uma ferramenta profissional regular.
O que guarda o MondialFax dos meus envios?
O documento é apagado dos nossos servidores assim que a transmissão termina: não é arquivado, nem indexado, nem analisado. O serviço não pede qualquer registo, pelo que não existe uma área pessoal com os seus envios anteriores. O que resta depois do envio está do lado do destinatário, fora do nosso alcance.

Para ir mais longe

As páginas mais úteis para continuar o envio do seu fax.