Autorização nº 50 /95

A E..., sociedade mútua de seguros, veio requerer Autorização para funcionamento dos ficheiros de Sinistrados, beneficiários daquela instituição.

As Mútuas revestem a forma de cooperativa de responsabilidade limitada, sendo constituídas por pessoas singulares e colectivas que, exercendo a mesma actividade produtiva ou profissional, pretendem garantir a cobertura dos riscos directamente decorrentes do exercício dessa actividade. (artigo 20º nºs 1 e 2 do Decreto-lei nº 188/84 de 5 de Junho). As Mútuas, fundadas com base num interesse específico, cuja finalidade é a protecção de riscos que decorrem do exercício de determinada função ou actividade, têm intervenção limitada no ramo segurador. Designadamente, está vedada às mútuas a exploração do ramo "Vida" e a celebração de contratos de seguro a não membros. ( nº 3 do artigo 20º do citado diploma legal). Quanto ao resto aplicam-se as demais normas que regem a actividade seguradora.

É neste âmbito que são geridos pela entidade requerente os ficheiros informatizados.

De acordo com a Declaração entregue e as informações prestadas verifica-se que são geridos os seguintes ficheiros cuja criação, independente das necessidades de gestão, resulta das normas gerais aplicáveis a toda a actividade seguradora :

- Ficheiro de Pessoas Seguras ;

- Ficheiro de Sinistrados;

- Ficheiro de processos graves;

A finalidade dos ficheiros é a seguinte :

Pessoas Seguras : Gerir a base de dados respeitante a todos os segurados da Mútua

Sinistrados : gestão das participações de acidente e dos sinistrados

Processos Graves : inclui as pessoas com direito a pensão.

No caso do primeiro ficheiro são registados informáticamente : o nome, morada, telefone, nº de contribuinte,data de nascimento, carteira profissional, profissão, estado civil, salário mensal e rendimento ilíquido.

O ficheiro dos Sinistrados é retirado da Declaração de Acidentes de Trabalho, onde para além dos dados nominais são recolhidos os dados do acidente, as circunstâncias do acidente e os detalhes da lesão.Não são tratados informaticamente os campos respeitantes a dados do acidente, com excepção da data, o tipo e ambiente de trabalho e as circunstâncias do acidente.

Neste caso e para o cálculo das pensões são ainda recolhidos em suporte papel os Boletins de Exame e de Alta , assinados por médico, cujos dados não têm registo informático.

Quanto aos dados de saúde é apenas registado a incapacidade resultante de determinada acidente, ou seja a percentagem, a natureza da lesão e a parte do corpo atingida, sendo registada através de uma codificação-tipo, numérica, comum a todas as companhias de seguros, elementos que são comunicados, em circunstâncias determinadas, aos Tribunais de Trabalho.

O ficheiro de processos graves : trata o nome , morada, e valor da pensão mensal.

Quanto ao mais verifica-se que importa definir, com maior rigor o tempo de conservação de dados pessoais e a adequação dos impressos de recolha de dados ao disposto no artigo 22º da lei nº 10/91 de 29 de Abril.

Outra questão decorre da obrigação legal de tratamento do tipo de lesão mesmo que codificado e da sua comunicação. Nos termos do decreto 360/71 de 21 de Agosto, as entidades patronais que tenham transferido a responsabilidade em acidentes de trabalho, devem participar à entidade seguradora a ocorrência do acidente - artigo 15º do decreto citado . Quanto à comunicação, as entidades seguradores devem comunicar a ocorrência do acidente, ao Tribunal de Trabalho, sempre que ocorra incapacidade permanente ou morte. ( artigo 18 º do decreto ). Nestes casos, o tratamento informático e a comunicação resultam directamente de obrigação legal.

Em todos os outros casos o titular deve prestar o seu consentimento, devendo a Empresa empregadora ou a empresa seguradora obter, no momento do contrato ou da inscrição na Mútua, a necessária autorização do titular.

Nos casos extremos de impossibilidade de manifestação de vontade do titular funcionará o disposto no artigo 17º nº 2, quando o tratamento automatizado, se destinar a defesa de interesse vital da pessoa.

Assim :

1. Responsável: E..., sede em ...

2. Características: Sistema Central,

3. Finalidade : gestão dos segurados, acidentes de trabalho e processos graves (pensões)

4. Serviços encarregados do processamento da informação: Departamento de Informática da empresa

5. Dados pessoais registados : nome, morada, telefone, fax,data de nascimento, nº de contribuinte, profissão, estado civil, carteira profissional, incapacidade resultante de acidente (tipo), por meio de codificação,data do acidente ,data da alta, rendimento ilíquido e mensal, nome da pessoa beneficiária da pensão, respectiva morada e montante desta.

6. Fundamento da recolha de dados: Obrigação legal e contratual

7. Recolha directa e indirecta : por comunicação dos segurados ou indirecta através dos boletins de participação de acidente

8. Forma de actualização dos dados: por comunicação dos segurados ou através dos boletins de exame ou de alta.

9. Há comunicação de dados aos Tribunais de Trabalho, nos casos previstos no Decreto nº 360/71 de 21 de Agosto

10. Não há relacionamento da informação .

11. Não há fluxos transfronteiras de dados.

12. Medidas de segurança: cópias de back-up

13. Tempo de conservação: 25 anos, sem prejuízo do cumprimento das obrigações legais ou contratuais.

14. Pessoas com acesso directo à informação:

- funcionários dos acidentes de trabalho e de informática.

15. Formas e condições de acesso e rectificação por parte das pessoas : directamente nas instalações da Mútua

Nestes termos a Comissão

1) Autoriza o funcionamento dos ficheiros Segurados, Acidentes de Trabalho e Processos Graves, nas condições que antecedem;

2) Os dados de saúde podem ser tratados informaticamente no cumprimento de disposição legal e contratual ou , nos casos extremos de interesse vital do titular, conforme resulta do Decreto nº 360/71 de 21 de Agosto.

3) Os dados respeitantes a acidentes podem ser comunicados aos Tribunais de Trabalho no caso previsto no artigo 18º do Decreto nº 360/71 de 21 de Agosto.

4) A Mútua, em todos os outros casos, deve assegurar o consentimento do titular para o tratamento dos seus dados de saúde.

5) os impressos ou modelos de recolha de dados para registo devem indicar que estes se destinam a ser informatizados e quais as formas de acesso ou rectificação por parte dos titulares. Estes devem ser alterados no prazo de seis meses.

6) A Mútua deve tomar medidas para melhorar o nível de segurança de informações, que na Declaração se revela insuficiente.

Lisboa, em 19 de Setembro de 1995

João Alfredo M. Labescat da Silva (Relator), Mário Manuel Varges Gomes, Amadeu Francisco Ribeiro Guerra, Joaquim Seabra Lopes, Nuno Albuquerque Morais Sarmento, Luís José Durão Barroso, Augusto Victor Coelho ( Presidente).