Proteção de dados — Luxemburgo

O quadro legal

O regulamento geral sobre a proteção de dados (RGPD, regulamento (UE) 2016/679) aplica-se diretamente no Luxemburgo desde 25 de maio de 2018; a lei de 1 de agosto de 2018 só o adapta nos pontos que o regulamento deixa em aberto e organiza a autoridade de controlo, a Commission nationale pour la protection des données (CNPD, comissão nacional para a proteção de dados). Os direitos de acesso, retificação, apagamento, limitação, portabilidade, oposição e recusa de uma decisão inteiramente automatizada exercem-se junto do responsável pelo tratamento, que responde em um mês, prazo prorrogável por dois meses para os pedidos complexos; o exercício é gratuito, salvo pedidos manifestamente excessivos. O direito de oposição à prospeção comercial é absoluto. Os dados sensíveis — saúde, vida sexual, orientação sexual, convicções — são de tratamento proibido salvo consentimento explícito ou exceção legal, o que diz diretamente respeito às aplicações de encontros e de saúde. Os cookies e os rastreadores obedecem a regras específicas: a recusa deve ser tão simples como a aceitação. As violações de dados notificam-se à autoridade em 72 horas, e às pessoas em caso de risco elevado. As coimas podem chegar a 20 milhões de euros ou 4 % do volume de negócios mundial. O RGPD aplica-se assim que um serviço visa pessoas residentes no país, mesmo que esteja estabelecido fora da União. A particularidade luxemburguesa é a presença das sedes europeias de numerosas empresas financeiras e tecnológicas, incluindo grandes plataformas: a CNPD é por isso autoridade de controlo principal (autorité chef de file) em processos transfronteiriços com efeitos em toda a Europa, e já aplicou coimas muito elevadas: para o residente, uma autoridade bem equipada, mas também processos que duram anos. A CNPD aconselha em várias línguas, publica guias práticos destinados também aos particulares e aceita pedidos em francês, em alemão ou em luxemburguês. Para os portugueses, a homonímia engana: a CNPD luxemburguesa e a Comissão Nacional de Proteção de Dados portuguesa, também CNPD, são duas autoridades distintas, que cooperam no quadro do RGPD.

Os pontos-chave

Na prática

• Escrever primeiro ao responsável pelo tratamento — ao encarregado da proteção de dados (DPO), cujos contactos figuram na política de confidencialidade —, por e-mail ou por carta, invocando o artigo 15 do RGPD, e dizer claramente o que pretende: cópia dos dados, apagamento ou fim da publicidade.
• Conservar a prova do envio e a data: o prazo de um mês corre a partir da receção. Pedir um aviso de receção com número de processo e citá-lo em cada insistência.
• Sem resposta, ou perante uma resposta incompleta ou uma recusa, a queixa em linha na CNPD leva alguns minutos e é gratuita; junte a correspondência trocada.
• Mesmo que a empresa tenha a sua sede europeia no Luxemburgo, quem vive noutro país pode queixar-se à autoridade do seu país de residência, que transmite a queixa; inversamente, um residente no Luxemburgo queixa-se à CNPD luxemburguesa mesmo contra uma empresa estabelecida noutro Estado-Membro, Portugal incluído. Um familiar que vive em Portugal queixa-se à Comissão Nacional de Proteção de Dados portuguesa, em português e gratuitamente.
• Para as aplicações de encontros e de saúde, perguntar expressamente pela lista dos destinatários e pelas transferências para fora da União Europeia, e pedir o apagamento ao fechar a conta.
• Perante uma imagem íntima divulgada sem consentimento ou uma chantagem (sextortion): não pagar, guardar as provas, apresentar queixa na Police grand-ducale (Polícia grã-ducal), pedir a retirada à plataforma e sinalizar os factos à BEE SECURE, o portal nacional de educação para os media.
• Menores: a idade a partir da qual um menor consente sozinho num serviço em linha varia entre os Estados-Membros, de 13 a 16 anos — 13 em Portugal; abaixo dessa idade, o consentimento é dado ou autorizado pelos pais, e o RGPD prevê expressamente o apagamento dos dados recolhidos quando a pessoa era criança.
• Um dano moral pode ser indemnizado pelo juiz cível, em paralelo à queixa; uma ação coletiva é possível através de associações aprovadas.

Custos e cobertura

O pedido de acesso e a queixa à CNPD são gratuitos. Uma ação de reparação perante o juiz cível é possível em paralelo, com honorários de advogado e custas judiciais; a assistência judiciária (assistance judiciaire) cobre-os quando os rendimentos são baixos. Em Portugal, a queixa à Comissão Nacional de Proteção de Dados também é gratuita.

A quem recorrer

• Commission nationale pour la protection des données (CNPD): queixa em linha, guias práticos.
• Encarregado da proteção de dados (DPO) do organismo em causa, indicado na política de confidencialidade.
• Police grand-ducale e BEE SECURE: imagens íntimas, chantagem, factos cometidos na Internet.
• Centro Europeu do Consumidor, para os casos transfronteiriços; associações de defesa dos direitos digitais, para as ações coletivas.
• Em Portugal: Comissão Nacional de Proteção de Dados (CNPD), para quem vive em Portugal e para as empresas portuguesas.

Fontes e ligações oficiais

• Guichet.lu — portal oficial das formalidades administrativas
• Légilux — jornal oficial e textos coordenados
• CNPD — Comissão Nacional de Proteção de Dados (Portugal) — queixas contra empresas portuguesas

Ligações verificadas para fontes oficiais ou de referência. Abrem num novo separador.

Todas as fichas deste país →