“Perante a sucessão dos acontecimentos, (…) torna-se difícil, quando não mesmo impossível, ignorar uma coerência no desrespeito pelas normas de proteção de dados pessoais e uma postura de laxismo na gestão da matéria relacionada com os tratamentos de dados pessoais, as quais só podem redundar na existência de uma conduta consciente, reiterada e voluntária por parte do município e do órgão presidente da Câmara”, lê-se na deliberação da Comissão Nacional de Proteção de Dados (CNPD).

Depois de dar como provadas 225 contraordenações relativas a partilha de dados pessoais entre julho de 2018 e junho de 2021, quando a Câmara Municipal de Lisboa era liderada pelo socialista Fernando Medina, a Comissão Nacional de Proteção de Dados (CNPD) aplicou à autarquia coimas de 1,25 milhões de euros.

Mas a comissão realçou que, atendendo à gravidade daquilo que apurou com as suas investigações, também "a gravidade das coimas seria seguramente bastante mais elevada" se não fosse o impacto da pandemia nas contas da Câmara Municipal de Lisboa (CML).

"Entende-se não ser a coima aplicada impeditiva das atividades ou da viabilidade financeira" da CML, acrescentou a CNPD, depois de revelar que a autarquia pediu a dispensa de aplicação de coima justificando com "as dificuldades financeiras" provocadas pela covid-19.

A sucessão de acontecimentos invocada pela comissão estende-se desde 2013, quando o presidente da CML era o agora primeiro-ministro, António Costa, até junho de 2021, quando a autarquia alterou procedimentos depois de uma denúncia, em março do ano passado, relativa a partilha de dados com a Embaixada da Rússia.

Em 2013, um despacho de António Costa determinou que os avisos de manifestação, que incluíam os dados dos seus promotores, só deveriam ser partilhados com a PSP e o Ministério da Administração Interna (MAI), mas esta decisão nunca foi cumprida pela CML e as informações foram reiteradamente reencaminhadas para diversos serviços internos da autarquia, outras entidades municipais e entidades terceiras, num número que foi aumentando ao longo dos anos e que chegou a incluir instituições estrangeiras, como embaixadas, a Igreja Ortodoxa Russa ou mesmo o Ministério dos Negócios Estrangeiros da Rússia, segundo o apurado pela CNPD.

A partilha de dados continuou a ser feita com diversas entidades, municipais e externas, mesmo depois dessa denúncia, até junho de 2021.

A CNPD condenou a “despreocupação com a verificação do cumprimento do despacho de 2013”, mas não isentou de condenação o próprio despacho de António Costa, por considerar que também ele desrespeita a legislação que delegou nas câmaras municipais competências que eram dos extintos Governos Civis.

A CNPD escreveu que se pretendeu fazer das câmaras os únicos interlocutores de promotores de manifestações e que, por isso, as autarquias não devem partilhar com terceiros, como é o caso do MAI e da PSP, os dados pessoais de quem organiza um protesto.

“De forma livre, deliberada e consciente, o município, através do seu presidente, determinou o referido encaminhamento a entidades terceiras”, sublinhou a comissão.

Segundo o que apurou a investigação da CNPD, os avisos de manifestação, com os dados dos seus organizadores, chegaram a ser enviados para até dez entidades diferentes, dentro e fora da CML, com a comissão a condenar esta partilha “claramente desnecessária e excessiva”.

Em sua defesa, a CML argumentou que a partilha com entidades municipais como a Polícia Municipal ou serviços de limpeza, por exemplo, tinha como objetivo facilitar a comunicação num curto período de tempo e assim agilizar melhor a organização do protesto, mas a CNPD considerou não haver motivo para enviar a estas entidades, além do aviso da realização da manifestação, os dados pessoais de quem a estava a promover.

A CML também invocou que a responsabilidade deveria ser atribuída a funcionários da câmara, que desrespeitaram o despacho de 2013, e não à autarquia, que foram corrigidos procedimentos depois da denúncia de março de 2021 e que o município mobilizou recursos para aplicar o novo regime de proteção de dados que entrou em vigor em 2018.

A CNPD contestou que a responsabilidade deste caso não pode ser atribuída a um funcionário concreto, invocando estar em causa todos os elementos de um gabinete municipal (Gabinete de Apoio à Presidência) e que diversos responsáveis da câmara recebiam as informações com dados pessoais, incluindo, em alguns casos, um vereador, que nunca tomaram a iniciativa de acabar com estas partilhas de informação ou de as questionar.

A CNPD condenou, por outro lado, que só "no dia anterior" à aplicação do novo regime de proteção de dados a CML tenha iniciado os processos de verificação de adequação dos seus procedimentos e que essa avaliação nunca abrangeu os avisos de manifestação. Além disso, sublinhou que, mesmo depois da denúncia de março, as partilhas continuaram, até junho.

Além da partilha de dados pessoais, a CNPD condenou a CML por registar essas informações, por as conservar sem um prazo limite e por violar o direito dos seus titulares de serem informados sobre o reencaminhamento das suas informações pessoais.

Ao longo das 101 páginas de deliberação e respetiva fundamentação, a CNPD escreveu, por diversas vezes, que estão em causa “dados de categorias especiais”, sujeitos a normas de proteção específicas e extraordinárias e que, com a sua disseminação tão alargada, se pode ter posto em risco direitos fundamentais dos seus titulares.