O diploma foi aprovado pelo Parlamento Europeu a 14 de abril e aguarda publicação no jornal oficial, mas prevê um prazo de dois anos para os Estados-membros cumprirem as novas obrigações em matéria de proteção de dados.

"O regulamento não visa diretamente, nem tem como objetivo, impedir o comércio eletrónico, a concessão de créditos online ou plataformas de recrutamento online. Pretende é introduzir mecanismos que reforcem os direitos e garantias dos titulares dos dados", explicou à Lusa a advogada Leonor Chastre, especialista em proteção de dados.

Quando o diploma for aplicado em Portugal, daqui a dois anos, uma concessão de crédito com base apenas no que um trabalhador aufere mensalmente e nos créditos que tem ou no montante de impostos pago no IRS do ano anterior, passam a ser elementos que só podem servir de base a uma pré-aprovação de crédito.

A aprovação final deverá ter em conta aspetos que envolvam uma relação direta, entre a entidade que concede o crédito e quem pede o empréstimo, nomeadamente para que seja assegurado que quem pede o crédito é efetivamente o titular dos dados facultados e que autoriza expressamente esse tratamento de dados para fins financeiros.

Estas novas proibições pretendem ainda diminuir a cibercriminalidade e evitar os casos de pessoas que contratam serviços utilizando os dados de um terceiro que desconhece essa intenção de contratação, como acontece com frequência com contratos de operadoras telefónicas.

Também vai ser proibido o recrutamento de trabalhadores baseado apenas no envio de um currículo online, sem qualquer tipo de entrevista ou telefonema, pretendendo o regulamento que o online não possa substituir na íntegra uma intervenção humana direta, e evitando por exemplo crimes de usurpação de identidade através da internet.

Nos pedidos online de crédito ou de recrutamento por via eletrónica são definidos perfis mediante qualquer forma de tratamento automatizado de dados pessoais para avaliar aspetos relacionados com o desempenho profissional, a situação económica, saúde, preferências ou interesses pessoais, fiabilidade ou comportamento, localização ou deslocações do titular dos dados, quando produza efeitos jurídicos que lhe digam respeito ou a afetem significativamente de forma similar.

"No entanto, a tomada de decisões com base nesse tratamento, incluindo a definição de perfis, deverá ser permitida se expressamente autorizada pelo direito da União ou dos Estados-membros aplicável ao responsável pelo tratamento, incluindo para efeitos de controlo e prevenção de fraudes e da evasão fiscal (...) ou se for necessária para a celebração ou execução de um contrato entre o titular dos dados e o responsável pelo tratamento, ou mediante o consentimento explícito do titular", esclarece o regulamento.

Mas, em qualquer dos casos, esse tratamento deve ser acompanhado das "garantias adequadas", ressalva o diploma, entre as quais a informação específica ao titular dos dados e o direito de obter a intervenção humana, de manifestar o seu ponto de vista, de obter uma explicação sobre a decisão tomada na sequência dessa avaliação e de contestar a decisão.