Findado o trabalho que respeitava a realização deste projeto de dissertação são várias as conclusões e reflexões a retirar.
Em primeiro lugar, reforçar os imensos benefícios dos modelos de processos no decurso das várias tarefas inerentes aos projetos, no que toca à capacidade que estes têm de representar visualmente os fluxos de informação e de atividades, tornando-se absolutamente vantajosos para estudar as tarefas, fluxos ou, simplesmente, ciclos de vida, permitindo o seu controlo e otimização. A linguagem usada, BPMN, é compreendida e conhecida a nível universal, um verdadeiro exemplo de uniformização nesta expressão de atividades por intermédio de modelos.
De seguida, mencionar a relevância da gestão e análise do risco direcionada para o RGPD como assunto emergente par a par com o atual Regulamento. O Plano de Gestão do Risco elaborado foi um verdadeiro desafio e embora esta prática mais formal só tenha começado a ser analisada e utilizada mais recentemente, serviu, precisamente, para consciencializar sobre a importância de pensar e repensar não só nos atuais cenários, mas também nos inesperados que podem contribuir para a consecução dos objetivos ou para a prorrogação dos mesmos.
A gestão do risco permite encaminhar e coordenar as atividades que direcionam e controlam os riscos, dado que os mesmos podem ocorrer em ambientes diversificados e em projetos longitudinais. Ao longo da elaboração do plano em que consiste a gestão do risco foi notório que, embora não haja um modelo orientador e uniformizado, há diferentes metodologias e métodos direcionados para o cumprimento dos diferentes pontos constituintes da gestão do risco. A metodologia usada e adotada pautou-se pelo ajuste às necessidades dos projetos em questão, visando corresponder às mesmas como um todo. No fundo, é preciso que haja uma grande envolvência de consistência e
109
monitorização contínua. Tornou-se cognoscível que a gestão do risco não consegue controlar a sua subjetividade e ambiguidade, por isso mesmo é que é crucial que esta tarefa seja iniciada e terminada pelo mesmo indivíduo que avaliou e observou o panorama geral dos riscos com uma determinada consistência, uma precisão única e característica. Optar por seguir normas relacionadas com a gestão do risco aliou-se ao intuito de criar uma metodologia consistente e precisa, com a grande particularidade de ser fiável, credível e fidedigna.
Relativamente às AIPD, estes documentos são verdadeiros instrumentos e ferramentas de gestão de dados pessoais aliadas à descrição do tratamento, avaliação e gestão dos riscos para os sujeitos alvo de atenção neste Regulamento, ou seja, os titulares dos dados. Na ótica dos demais, muitas vezes o RGPD é visto como complexo e intimidante, nomeadamente no que toca às coimas da CNPD. Como os projetos do i3S lidavam com dados pessoais, muito embora os mesmos não contribuíssem diretamente para o sucesso das investigações, mesmo detendo de um consentimento informado que englobava um processo de anonimização e pseudonimização - no caso do P1 e P3 -, houve preocupação dos investigadores conscientes de que haviam cenários que podiam agravar os riscos. Além de tudo, as AIPD são ferramentas que ampliam a segurança da informação e dos dados, a prevenção e prudência que contribuem para a visibilidade e confiabilidade, não só dos projetos, mas também da instituição que os representa.
Em quarto lugar, os PGD são ferramentas cruciais no campo da GDI, pois servem de suporte e apoio à mesma. Estes documentos concentram-se na análise, organização, descrição e partilha dos dados decorrentes das investigações do P1, P2 e P3. No caso dos projetos em questão, foi verificado que decorriam em linhas de tempo diferentes e independentemente desse facto a ausência dos PGD foi clara. Por isso mesmo, este trabalho prendeu-se desde logo na formulação de um PGD para cada um dos projetos, mas também, na vertente da consciencialização dos investigadores para, aquando da iniciação de um novo projeto, adotarem a criação do PGD na devida fase, isto é, no momento inicial dos projetos.
Por último, a realização deste projeto de dissertação revelou-se, vivamente, uma mais-valia para os projetos envolvidos, quer na perspetiva dos investigadores, quer na perspetiva dos projetos em si. A metodologia e ferramentas que fundamentaram este trabalho serão utilizadas em projetos futuros do i3S, que implementarão as mesmas aliando as boas práticas perante os dados de investigação e os dados pessoais. A metodologia adotada no início da realização desta dissertação foi o seu suporte máximo. O fluxograma da Figura 10 estabeleceu um método inovador no campo da temática aqui em estudo. Além de tudo, este método poderá ser um contributo para outros projetos de
110
investigação que procurem dar um rumo aos dois temas principais representados nesta dissertação, ou seja, não só no campo dos dados de investigação, mas também na essência dos dados pessoais. Assim, este fluxograma acabou por se revelar um possível modelo orientador para qualquer projeto de investigação que apresente conjunturas compatíveis com as do P1, P2 e P3.
A realização deste trabalho projetou-se num resumo e posterior aceitação de participação na conferência EDICIC, a realizar em julho de 2019 em Barcelona, com a concretização de um poster cujo tema é: “Data Management Research: an approach according to GDPR”. Futuramente, com o workflow desenhado e projetado para o desenvolvimento deste projeto, será realizado e publicado um artigo científico assente na metodologia utilizada nesta dissertação.
Em suma, os objetivos propostos na fase inicial desta dissertação foram alcançados, desde os objetivos mais específicos e práticos até ao objetivo de topo que visava contribuir para a Gestão de Dados de Investigação e para o Regulamento Geral de Proteção de Dados por intermédio da criação de ferramentas que visassem a sua monitorização. Finalmente, acredita-se que esta dissertação contribuiu para os projetos aqui envolvidos, bem como para os investigadores e investigações futuras, consciencializando e orientando para as boas práticas como era pretendido. Este foi, sem dúvida, um trabalho que acrescentou valor aos conteúdos estudados durante o mestrado em Ciência da Informação. Revelando-se, também, como um contributo na valorização das demais vertentes da Ciência da Informação, no caso, relacionado com uma faceta muito peculiar ligada ao RGPD.
111
Referências bibliográficas
Actiance. 2017. “GDPR Compliance and Its Impact on Security and Data Protection Programs”. IEEE Wireless Communications, (janeiro): 17. https://www.actiance.com/wp- content/uploads/2017/03/WP-GDPR-Compliance-and-Its-Impact-on-Security-and-Data- Protection-Programs.pdf.;
Alexandre, Pedro, and Brandão Mendes. 2018. “Análise de Risco No GDPR”. Dissertação de
Mestrado, Faculdade de Ciências, Universidade de Lisboa.
https://repositorio.ul.pt/bitstream/10451/35494/1/ulfc124806_tm_Pedro_Mendes.pdf.;
Article 29 Data Protection Working Party. 2017. “Guidelines on Data Protection Impact Assessment (DPIA) and Determining Whether Processing Is ‘Likely to Result in a High Risk’ for the Purposes of Regulation 2016/679”. 4 de abril de 2017.
https://ec.europa.eu/newsroom/document.cfm?doc_id=44137.;
Association of Business Process Management Professionals. 2013. BPM CBOK: Guia Para o
Gerenciamento de Processos de Negócio Corpo Comum de Conhecimento ABPMP BPM
CBOK. 1ª ed. Brasil: ABPMP.
https://cdn.ymaws.com/www.abpmp.org/resource/resmgr/Docs/ABPMP_CBOK_Guide__ Portuguese.pdf.;
Baeza-Yates, Ricardo, and Berthier Ribeiro-Neto. 2011. Modern Information Retrieval: The
Concepts and Technology behind Search. 2ªed.;
Batalha, Jorge Martinez. 2017. “Novos Desafios Sobre a Proteção de Dados”. Revista
Lusófona de Ciência Política, Segurança e Relações Internacionais, no. 16: 1-17.
http://hdl.handle.net/10437/8522.;
Blanchard, Simon. 2016. The General Data Protection Regulation (GDPR) A Practical Guide
for Businesses. https://www.dpnetwork.org.uk/wp-
content/uploads/2016/11/GDPR_eBook_NOV16_final.pdf.;
Borgman, Christine. 2012. “The Conundrum of Sharing Research Data”. Journal of the
American Society for Information Science and Technology. 1-20. https://doi.org/10.1002/asi.22634.;
Calder, Alan. 2016. EU GDPR: A Pocket Guide. United Kingdom: IT Governance Publishing.
https://sdf-curtains.co.uk/office1/GDPR/GDPR-Pocket-guide-English.pdf.;
Carmo, Hermano, and Manuela Malheiro Ferreira. 2015. Metodologia Da Investigação Guia
Para Auto-Aprendizagem. 3ªed. Portugal: Universidade Aberta.
112
Carvalho, Ana. 2018. “Metrics for Risk Assessment in Data Protection Impact Assessments”. Dissertação de Mestrado, Faculdade de Ciências, Universidade do Porto.
https://hdl.handle.net/10216/116275.;
Carvalho, José, Filipe Furtado, and Pedro Príncipe. 2017. “Kit Sobre Dados de Investigação”.
RCAAP, (abril): 1-34;
Centre for Information Policy Leadership. 2016. “Risk, High Risk, Risk Assessments and Data Protection Impact Assessments under the GDPR”. (dezembro): 1-44.
https://www.informationpolicycentre.com/uploads/5/7/1/0/57104281/cipl_gdpr_project_
risk_white_paper_21_december_2016.pdf.;
Clarke, Roger. 2009. “Privacy Impact Assessment: Its Origins and Development”. Computer
Law and Security Review 25, 2 (abril): 35-123. https://doi.org/10.1016/j.clsr.2009.02.002.;
CNIL. 2018. “Privacy Impact Assessment (PIA) Knowledge Bases”. (fevereiro): 1-109.; Comissão Europeia. 2014. HORIZON 2020 Em Breves Palavras. Luxemburgo: Serviço das Publicações Oficiais das Comunidades Europeias. https://doi.org/10.2777/82557.;
Commission European. 2017. “Guidelines on Open Access to Scientific Publications and
Research Data in Horizon 2020”. (março): 1-11.
http://ec.europa.eu/research/participants/data/ref/h2020/grants_manual/hi/oa_pilot/h2 020-hi-oa-pilot-guide_en.pdf.;
Commission Nationale de l’Informatique et des Libertés. 2018. “PIA, Templates”. (fevereiro): 26-1. https://www.cnil.fr/sites/default/files/atoms/files/cnil-pia-2-en-templates.pdf.; Couto, Marta. 2016. “O E-Commerce à Luz Do Direito – Análise Do Regulamento Geral Da Proteção de Dados – A Uniformização Na União Europeia”. Tese de Mestrado, Faculdade de Direito, Universidade do Porto.;
Digital Curation Centre, and Joint Information Systems Committee. 2011. “Data Management in Perspective: The Career Profile of Data Managers”.;
Directorate for Engineering. 2018. “Directorate for Engineering Data Management Plans Guidance for Principal Investigators”. (novembro): 1-5.;
European Research Council. 2017. “European Research Council (ERC) Guidelines on Implementation of Open Access to Scientific Publications and Research Data in Projects Supported by the European Research Council under Horizon 2020”. (abril): 1-7.;
Fonseca, Alexandra, Alexandra Lourenço, and Hélio Balinha. 2018. “O RGPD: A Articulação Entre a Gestão Da Informação e a Gestão Da Segurança Da Informação”. Cadernos de
113
Gerald, Levin. 2000. “No Title”. 2000.
http://www.quotehd.com/imagequotes/authors64/gerald-levin-quote-the-issue-of-privacy- is-not-for-us-simply-as-a.jpg.;
Grupo de Proteção de Dados do Artigo 29.o. 2012. “Orientações Sobre os Encarregados da
Proteção de Dados (EPD),” 1-27.;
ICPSR. 2012. “Guidelines for Effective Data Management Plans.” Institute for Social
Research University of Michigan.
https://ouweb.tntech.edu/research/pdf/resources/proposaldevelopmentresources/DataMa nagementPlans_All.pdf.;
ISO (International Organization for Standardization). 2013. Tecnologia de informação -
Técnicas de segurança - Sistemas de gestão de segurança da informação – Requisitos. NP
ISO/IEC 27001:2013. Portugal: ISO.;
ISO (International Organization for Standardization). 2018. Gestão do risco - Linhas de
orientação, issued 2018. NP ISO 31000:2018. Portugal: ISO.;
ISO (International Organization for Standardization). 2018. Information Technology —
Security Techniques — Information Security Risk Management. ISO/IEC 27005:2018.
Geneva: ISO.;
Johnson, Consuelo, Keith Wilson, and William Floria. 2014. “Privacy Impact Assessment For
Debt Management and Collection System (DMCS)”. (junho): 1-11.
https://www2.ed.gov/notices/pia/dmcs.pdf.;
Lewis, Martin. 2010. “Libraries and the Management of Research Data”. Em Envisioning
Future Academic Library Services, 68-145. London: Facet Publishing.
http://eprints.whiterose.ac.uk/11171/1/.;
Libório, Alexandre, and Dias Pereira. 2016. “Big Data, E-Health e «Autodeterminação Informativa»: A Lei 67/98, a Jurisprudência e o Regulamento 2016/679 (GDPR)”. FDUC -
Artigos em Revistas Nacionais. 1-28. http://hdl.handle.net/10316/48094.;
Lopes, Isabel Maria, and Pedro Oliveira. 2018. “Aplicabilidade Do Regulamento Geral Sobre Proteção de Dados Em Clínicas de Saúde”. Revista Ibérica de Sistemas e Tecnologias de
Informação. (abril): 118-129.;
Malheiro, Luíza. 2017. “O Consentimento Na Proteção de Dados Pessoais Na Internet: Uma Análise Comparada Do Regulamento Geral de Proteção de Dados Europeu e Do Projeto de Lei 5.276/2016”. Dissertação de Mestrado, Faculdade de Direito, Universidade de Brasília.
114
Mendes, Pedro. 2018. “Análise de Risco No GDPR”. Dissertação de Mestrado, Faculdade de Ciências, Universidade de Lisboa. http://hdl.handle.net/10451/35494.;
OECD. 2007. “Principles and Guidelines for Access to Research Data from Public Funding”. 1-24.;
OECD. 2015. “Making Open Science a Reality”. OECD Science, Technology and Industry
Policy Papers, no. 25 (agosto): 1-108. https://doi.org/https://doi.org/10.1787/23074957.;
Oliveira, Hugo, and Maria Manuela Pinto. 2017. “Da Preservação da Informação ao Repositório Confiável”. Em Seminário de Saberes Arquivísticos: SESA Intercâmbio Cooperação Acadêmica e Mediações Interdisciplinares, 1-22. Brasil: Editora da Universidade
Estadual da Paraíba.
https://repositorio-aberto.up.pt/handle/10216/111389.;
Oliveira, Maria, and José Calixto. 1999. “A Proteção de Dados Pessoais na Nova Era Tecnológica”. Actas do Congresso Nacional de Bibliotecários, Arquivistas e
Documentalistas, no. 11: 1-9;
Parlamento Europeu. "Regulamento 2016/679 de 27 de Abril de 2016 relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) L119". Jornal Oficial das Comunidades Europeias, (2016):1-88. https://eur- lex.europa.eu/legal-content/PT/TXT/PDF/?uri=CELEX:32016R0679&from=PT.;
Parlamento Europeu. “Directiva 95/46/CE do Parlamento Europeu e do Conselho de24 de outubro de 1995 relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados”. Jornal Oficial das Comunidades
Europeias, (1995):31-50. http://eur-lex.europa.eu/legal-
content/PT/TXT/PDF/?uri=CELEX:31995L0046&from=en.;
Pennock, Maureen. 2006. “Digital Curation and the Management of Digital Library Cultural Heritage Resources”. Local Studies Group of the Chartered Institute of Library and
Information Professionals (CILIP) 25, no. 2 (dezembro): 1-6.
http://www.ukoln.ac.uk/ukoln/staff/m.pennock/publications/docs/lsl-curation_mep.pdf.; Pinho, Frederico. 2017. “Anonimização de Bases de Dados Empresariais de Acordo Com a Nova Regulamentação Europeia de Proteção de Dados”. Dissertação de Mestrado, Faculdade
de Ciências, Universidade do Porto.
https://cracs.fc.up.pt/sites/default/files/MSI_Dissertacao_FINAL.pdf.;
Pinto, Manuela. 2016. “Gestão de Serviços de Informação”. PowerPoint de apoio à disciplina de Gestão de Serviços de Informação, lecionada na FLUP, LCI.;
115
Pinto, Maria Manuela. 2013. “Gestão de Documentos e Meio Digital: Um Posicionamento Urgente e Estratégico”. Em Gestão do conhecimento, da informação e de documentos em contextos informacionais, 1-31. 1ªed. Portugal: Programa de Pós-Graduação Stricto Sensu em Ciência da Informação, Universidade Federal Fluminense.;
Pinto, Maria Manuela. 2014. “Da Preservação de Documentos à Preservação Da Informação”. Em A conservação e a restauração de documentos na era pós-custodial, 127–196. Portugal: EDUFBA – Editora da Universidade Federal da Bahia. https://repositorio- aberto.up.pt/bitstream/10216/70843/2/77027.pdf.;
Príncipe, Pedro, and Diana Silva. 2018. “Gestão de Dados de Investigação: O Papel Das Bibliotecas em Portugal – Estratégias, Serviços e Competências”. Cadernos de
Biblioteconomia, Arquivística e Documentação. 1-5.;
Ribeiro, Cristina, João Rocha da Silva, João Aguiar Castro, Ricardo Carvalho Amorim, and João Correia Lopes. 2016. “Projeto TAIL — Gestão de Dados de Investigação da Produção ao Depósito e à Partilha (Resultados Preliminares)”. Cadernos de Biblioteconomia, Arquivística
e Documentação. 1-14.
http://www.bad.pt/publicacoes/index.php/cadernos/article/viewFile/1603/pdf.;
Ribeiro, Fernanda. 2005. “Organizar e Representar Informação: Apenas Um Meio Para Viabilizar o Acesso?”. Revista Da Faculdade de Letras Ciências e Técnicas do Património 4, no. 1: 83-100. http://hdl.handle.net/10216/9019.;
Ribeiro, Fernanda. 2012. “Organização e Uso Da Informação: Conhecer Bem Para Bem Representar”. IRIS - Revista de Informação, Memória e Tecnologia 1, no. 1 (julho/dezembro): 7-16. http://hdl.handle.net/10216/66267.;
Rodrigues, Eloy, Ricardo Saraiva, Cristina Ribeiro, and Eugénia Matos Fernandes. 2010. “Os Repositórios de Dados Científicos: Estado Da Arte”. RCAAP. (julho): 1-55.
http://hdl.handle.net/1822/10830.;
Sayão, Luis, and Luana Sales. 2015. Guia de Gestão de Dados de Pesquisa para Bibliotecários
e Pesquisadores. Rio de Janeiro: CNEN/IEN.;
Smart Grid Task Force. 2014. “Data Protection Impact Assessment Template for Smart Grid and Smart Metering Systems”. (março): 1-74.;
Sousa, Mariana. 2017. “OpenEHR Como Solução Para o Regulamento Geral de Proteção de Dados Na Área Da Saúde”. Dissertação de Mestrado, Faculdade de Engenharia, Universidade do Porto.;
116
Souza, Jacqueline A., and Olívia Pestana. 2017. “Elos Interdisciplinares Para Estruturação Semântica Com Vistas à Organização Da Informação”. Páginas A&b: Arquivos e Bibliotecas. 57-245. https://doi.org/10.21747/21836671/pag2017a15.;
Tenopir, Carol, Suzie Allard, Kimberly Douglass, Arsev Umur Aydinoglu, Lei Wu, Eleanor Read, Maribeth Manoff, and Mike Frame. 2011. “Data Sharing by Scientists: Practices and
Perceptions”. PLoS ONE 6, (junho): 1-21.
https://doi.org/https://doi.org/10.1371/journal.pone.0021101.;
Ventura, Miriam, and Cláudia Medina Coeli. 2018. “Para Além Da Privacidade: Direito à Informação Na Saúde, Proteção de Dados Pessoais e Governança”. Cadernos de Saúde
Pública 34, (julho): 7-10. https://doi.org/10.1590/0102-311x00106818.;
Whyte, Angus, and Jonathan Tedds. 2011. “Making the Case for Research Data Management”.
Digital Curation Centre, (setembro): 1-8. http://www.dcc.ac.uk/resources/briefing- papers/making-case-rdm.;
Willis, Craig, Jane Greenberg, and Hollie White. 2012. “Analysis and Synthesis of Metadata Goals for Scientific Data”. Journal of the American Society for Information Science and
117
Anexo A: Guião de Entrevista ao Encarregado de Proteção de Dados
da Reitoria e do INESC TEC
GUIÃO
Maria Nunes
Projetos:
1. Bem-Estar Animal (relação dono cão)
Objetivo: avaliar o bem-estar de animais de laboratório, de produção e de companhia.
Dados: provenientes de entrevistas aos donos dos animais (dados quantitativos e qualitativos).
Risco: os dados permitem alcançar os donos dos animais, ou seja, dados de cariz pessoal.
2. Alive Pup Projeto (reprodução de ratinhos)
Objetivo: visa determinar as causas de perda de ninhadas de ratinhos e diz respeito ao estudo da reprodução de animais, mais propriamente sobrevivência de ratinhos através de estratégias que visam a prevenção deste panorama, mapeamento da mortalidade de filhotes, identificação e avaliação de fatores de risco.
Dados: provenientes de questionários a investigadores e gestores laboratoriais neste âmbito.
Risco: dados históricos sobre a mortalidade de ratinhos, colocam em causa a imagem, visibilidade e bom nome das três instituições que pertencem ao projeto. Riscos de apropriação indevida de dados.
3. IMGENE (edição de genes)
Objetivo: estabelecer ferramentas e protocolos para melhorar a tecnologia CRISPR face à edição eficiente do genoma que trará benefícios para a investigação nos campos da ciência da vida e da saúde, da indústria farmacêutica e da aplicação da terapia genética.
Dados: provenientes de questionários e entrevistas aos investigadores principais do projeto, com processamento das entrevistas.
Risco: abordagens de questões de ética relacionadas com as questões da tecnologia de edição de genomas em animais, plantas e seres humanos.
118
Dados Pessoais
1. O que são dados pessoais?
1.1. Um dos projetos lida com dados de animais que permitem alcançar os dados do dono do animal. Ou seja, são dados pessoais de cariz direto? 2. Dados de cariz coletivo podem ser denominados dados pessoais?
2.1. Pode-me dar exemplos de dados pessoais de cariz coletivo?
2.1.1. Por outro lado, no que diz respeito aos Dados de Investigação (Projeto Alive Pup) também é possível encará-los como dados pessoais?
Dados Sensíveis
1. O que são dados sensíveis?
2. Como é que os dados sensíveis se relacionam com os dados pessoais? (Há dados sensíveis que não são pessoais? O quê que nos dados pessoais os tornam sensíveis?)
3. O que são categorias especiais de dados, apontadas pelo RGPD?
Regulamento Geral Proteção de Dados
1. No caso de estarmos a tratar dados coletivos o que o RGPD quer garantir são os direitos e liberdades das instituições?
2. Quê que o RGPD prevê face aos dados de investigação? (particularidades a ter em atenção no âmbito das investigações e gestão de dados)
2.1. Que questões de confidencialidade devem ser tidas em conta no âmbito da investigação?
2.2. Por questões de ética e transparência devem ser esclarecidas as finalidades para as quais se processa e trata dados sobre animais?
119
Avaliação do Impacto sobre Proteção de Dados ou Privacy Impact
Assessment
1. Em que cenário se torna crucial a realização de uma AIPD? 1.1. O que determina os riscos?
1.2. Quais as circunstâncias que determinam esses cenários?
Outras:
1. Considerando o cenário do projeto Alive Pup onde os dados tratados não se inserem na categoria de dados pessoais, porém põem em causa a reputação das três instituições envolvidas há alguma condição que deve ser seguida nos termos da lei? 1.1. Não se tratam de dados sensíveis, porém revelam algumas questões de sensibilidade face à imagem das instituições. Existem métodos de conduta específicos a seguir nestes casos?
120
Anexo B: Fluxograma que examinava os cenários das perguntas da
reunião
121
122
Anexo D: Entrevista à investigadora do Projeto 1
Guião de entrevista Projeto 1 - i3S
(Questões por projeto)
Entrevistador(a): Maria Nunes
Entrevistado/a: CC (investigador/ra principal)
1. Em que projeto de investigação está envolvido(a)?