A CNPD investigou e recolheu prova relativa aos avisos de manifestações, limitando a sua intervenção aos eventos que tinham dimensão internacional e que ocorreram a partir de julho de 2018, tendo em conta as regras de prescrição.
Tendo terminado a fase de instrução, acusou o Município de Lisboa de, ao comunicar os dados pessoais dos promotores de manifestações a entidades terceiras, ter violado o RGPD. Concluiu também pela violação do RGPD quanto às comunicações para diversos serviços do Município.
No primeiro caso, as infrações resultam da falta de licitude e, no segundo, da violação do princípio da necessidade. A lei só permite a comunicação da informação relativa ao objeto, data, hora, local e trajeto da manifestação, sem transmissão de dados pessoais.
Sendo dados especialmente sensíveis, porque revelam opiniões e convicções políticas, filosóficas ou religiosas, impunha-se ao Município, enquanto responsável pelo tratamento, um cuidado acrescido, nos termos da Constituição portuguesa e do RGPD.
A CNPD considerou que a proliferação de envios dos dados pessoais dos promotores de eventos, por várias entidades nacionais e estrangeiras, potencia a criação de perfis de pessoas em torno das suas ideias, opiniões ou convicções, de modo ilegal e cuja utilização posterior escapa completamente ao controlo do responsável pelo tratamento. O envio de dados pessoais dos promotores a representações diplomáticas e a outras entidades estrangeiras, além de ser uma violação do direito fundamental à proteção de dados, pode pôr em risco outros direitos fundamentais que a Constituição portuguesa consagra.
A CNPD concluiu ainda existirem outras infrações ao RGPD, aqui se destacando a decorrente da não prestação de informação aos promotores sobre o tratamento dos seus dados pessoais.
Com a apresentação da defesa pelo Município de Lisboa, a CNPD emitirá a sua deliberação final em sede de processo contraordenacional.
Considerando a ampla discussão pública que o assunto gerou, a CNPD entende ser relevante prestar a presente informação e disponibilizar a acusação, após a anonimização dos dados dos promotores de manifestações, bem como da parte dos endereços eletrónicos que corresponda a nomes de pessoas singulares.