A Spinumviva, a empresa familiar criada por Luís Montenegro que esteve no epicentro do caso que levou à queda do Governo, não tinha quaisquer responsabilidades relativamente à comunicação do Encarregado de Proteção de Dados (EPD) dos seus clientes à Comissão Nacional de Proteção de Dados (CNPD) — e tal informação não tem qualquer prazo legal para ser feita.

Quem o diz é a própria CNPD numa deliberação aprovada na reunião de terça-feira e enviada ao Observador por fonte oficial do organismo.

“A constituição do EPD, por nomeação obrigatória ou a nomeação voluntária, a sua publicitação, tanto interna, como externa, e a sua comunicação à CNPD é um dever legal das entidades responsáveis pelo tratamento de dados e dos subcontratantes, mas não do EPD”, lê-se no documento da autoridade de controlo no domínio da proteção de dados.

https://observador.pt/especiais/investigacao-o-que-mostram-os-documentos-nunca-revelados-da-spinumviva/

Os esclarecimentos da CNPD, que são prestados a título “genérico” e não especificamente sobre a Spinumviva, surgem na sequência de notícias sobre os detalhes da prestação de serviços da empresa familiar do primeiro-ministro e os respetivos registos dos clientes na autoridade de controlo.

Com efeito, os colaboradores da Spinumviva Inês Varajão Borges e André Costa terão começado a trabalhar como EPD para os clientes Solverde, Rádio Popular, Ferpinta, Colégio Luso-Internacional do Porto (CLIP) e Grupo Sofarma (Lopes Barata, Consultoria e Gestão, Lda) em meados de 2021.

No entanto, quem esteve identificado junto da CNPD até final de 2022 como a entidade responsável pelo cumprimento do Regulamento Geral sobre a Proteção de Dados (RGPD) era a antiga sociedade de advogados SP&M, da qual Montenegro foi sócio, tal como fonte oficial da CNPD informou o Observador a 18 de março.

Por exemplo, fonte oficial da Solverde confirmou ao Observador que a relação profissional com a Spinumviva inciou-se em “julho de 2021” com o acordo do escritório SP&M mas nessa data era precisamente este escritório que estava registado como EPD nos arquivos da CNPD — e assim continuou até ao dia 16 de janeiro de 2023.

https://observador.pt/programas/justica-cega/montenegro-spinumviva-prestou-servicos-efetivos/

Situação semelhante aconteceu com a Rádio Popular e a Ferpinta, igualmente clientes da Spinumviva.

Segundo as datas fornecidas pela CNPD, Inês Varajão Borges passou a constar nos registos do organismo como EPD da Rádio Popular apenas a partir de 1 de janeiro de 2023, enquanto André Costa assumiu idêntico papel no mesmo dia para a Ferpinta e no dia 17 de janeiro para a Solverde.

O registo do CLIP nunca foi atualizado, continuando a figurar a SP&M como EPD daquele estabelecimento de ensino, e não existem indicações na CNPD sobre o grupo Sofarma.

[Já saiu o terceiro episódio de  “O Misterioso Engenheiro Jardim”, o novo Podcast Plus do Observador que conta a história de Jorge Jardim, o empresário que, na verdade, era um agente secreto que liderou missões perigosas em todo o mundo, tentou criar um país e deu início a um clã de mulheres aventureiras. Pode ouvir aqui, no Observador, e também na Apple Podcasts, no Spotify e no YoutubeMusic. E pode ouvir aqui o primeiro episódio e aqui o segundo]

CNPD confirma intepretação legal dos especialistas ouvidos pelo Observador

A CNPD vem agora clarificar que nem a lei portuguesa, nem o RGDP “fixou qualquer prazo para publicitação e comunicação do EPD à autoridade nacional de controlo” e também “não estabeleceu qualquer período temporal para o efeito nem tão pouco para a respetiva cessação de funções.”

A autoridade de controlo nacional confirma assim a interpretação unânime que os três advogados especialistas em proteção de dados (Tiago Cabanas Alves, Elsa Veloso e um jurista que solicitou anonimato) transmitiram ao Observador e que foram explicadas em vários programas da Rádio Observador.

Foi com base nessas interpretações legais, agora confirmadas, que o Observador entendeu que as datas dos registos na CNPD não eram fidedignos, logo não podiam ser valorizadas para provar uma alegada sobreposição temporal dos serviços prestados pela SP&M e pela Spinumviva.

https://observador.pt/especiais/a-spinumviva-era-um-trabalho-que-se-autogeria/

A deliberação aprovada na quarta-feira esclarece também que as instituições públicas são obrigadas a designar um EPD, enquanto entidades privadas só estão vinculadas a essa obrigação quando estejam em causa “situações de controlo regular e sistemático dos titulares dos dados em grande escala” ou o tratamento de dados considerados sensíveis, como dados genéticos, origens raciais ou étnicas, orientação sexual, etc.

Ou seja, é duvidoso que se possa enquadrar os clientes Solverde (que anunciou o fim da relação profissional com a Spinumviva após a polémica, apesar dos elogios à colaboração ao longo do tempo), Rádio Popular, CLIP, Ferpinta ou Sofarma no âmbito desta obrigação de nomeação de EPD.

“O RGPD e a LERGPD [lei sobre o RGPD] fixaram a regra de que as entidades públicas devem sempre constituir o seu EPD, enquanto as entidades privadas apenas têm essa injunção nos casos específicos e limitados de tratamento de dados pessoais”, reforça a CNPD.

E mesmo que estes clientes da Spinumviva estivessem abrangidos por uma obrigação de nomeação de EPD, a autoridade de controlo sublinha que a respetiva comunicação não está associada a qualquer prazo vinculativo: “Nos casos de nomeação obrigatória o RGPD não fixou qualquer prazo para publicitação e comunicação do EPD à autoridade nacional de controlo (artigo 37.o, n.o 7). A LERGPD também não estabeleceu qualquer período temporal para o efeito nem tão pouco para a respetiva cessação de funções”.