Bem-vindos à "Justiça Cega". Eu sou a Sara Antunes de Oliveira, hoje em substituição do Luís Soares. E neste episódio especial, eu e o Luís Rosa vamos olhar para o trabalho de investigação que o Observador publicou esta semana sobre o caso Spinum VIVA. O que revelam os documentos da empresa da família de Luís Montenegro e que dúvidas suscitam? Para responder a estas e outras perguntas, vamos contar com a ajuda preciosa dos advogados Tiago Cabanas Alves e Elsa Veloso. São os dois especialistas em serviços de consultadoria de proteção de dados. E também do João Paulo Godinho, jornalista do Observador, que assina com o Luís Rosa este trabalho de investigação que revela documentação interna da Spinum VIVA, até hoje desconhecida. Luís, vamos começar por recordar que trabalho foi este, que método usaste, tu e o João, para analisar toda a informação, mas começamos até mesmo logo pelo início. A que tipo de documentação tiveram acesso?

Bem, Sara, foram mais de mil páginas de documentação interna da Spinum VIVA. Estamos a falar de relatórios produzidos por dois colaboradores da empresa, pareceres jurídicos e técnicos e também outro tipo de correspondência trocada entre os colaboradores da Spinum VIVA e os seus clientes. Validamos toda essa informação com três advogados especialistas em proteção de dados. Dois estão aqui hoje conosco no nosso programa, o Tiago Cabanas Alves e a Elsa Veloso. E cruzamos a informação, não só da documentação, validamos o conteúdo da documentação com outros três especialistas, mas também cruzamos a informação com o que nos transmitiram sobre a realidade prática que é o mundo da proteção de dados. Eu confesso que não sabia minimamente como era o mundo da proteção de dados e aprendi muito nos últimos dois dias, nomeadamente com o Tiago Cabanas Alves e com a Elsa Veloso. E também contactámos Luís Montenegro. Contactámos Luís Montenegro em dois momentos diferentes. Enviámos um primeiro conjunto de perguntas, o primeiro-ministro respondeu. Nós enviamos um segundo conjunto de perguntas, o primeiro-ministro respondeu. Não respondeu a todas as perguntas, nomeadamente sobre o valor, por exemplo, da avença individual de cada cliente, não quis esclarecer essa matéria, porque entende que está no âmbito do seu segredo profissional, enquanto antigo sócio-gerente da Spinum VIVA, mas respondeu e deu algumas novidades sobre aquilo que já tinha esclarecido anteriormente. Portanto, grosso modo, fizemos aquilo que um jornalista deve fazer, que é: tivemos acesso a documentação e cruzamos a informação com pessoas que sabem do que estamos a falar quando analisamos aquela documentação.

Sendo que no trabalho deixam também muito claro que tiveram acesso a uma amostra de documentação e que diz respeito apenas aos clientes relativos à consultoria de proteção de dados. Outro trabalho, outros serviços da Spinum VIVA, outros clientes que possam eventualmente não ser conhecidos ainda, não está no âmbito deste trabalho que vocês fizeram, não tiveram acesso a esses documentos.

Não. E para ser mais claro e concreto, não tivemos acesso a documentação relativa aos clientes ocasionais. Foram colaborações ocasionais que a Spinum VIVA teve com clientes que ainda são desconhecidos e, mais importante até, com o chamado caso da gasolineira, ou seja, com a empresa de Braga a quem a Spinum VIVA, através de Luís Montenegro, prestou colaboração ou serviço de consultadoria econômica e não de proteção de dados. Sobre esta matéria, o trabalho é bastante claro. Em dois momentos diferentes do texto, nós dizemos que o trabalho não tem nada a ver com esse dossiê. Esse é um dossiê que ainda estamos a analisar, mas que para já ainda não chegamos a nenhuma conclusão.

João, eu sei que tu e o Luís percebem muito de muita coisa, mas imagino que proteção de dados não era exatamente a vossa área de maior especialidade. O que foi preciso para vocês passarem a dominar minimamente estes conceitos, primeiro até, numa primeira análise, para conseguirem perceber o que é que estavam a ler?

De tudo. Efetivamente, nenhum de nós era um especialista em proteção de dados e aplicação da RGPD.

E acho que continuamos a não ser.

Continuamos a não ser, vamos assumir. As interações com este tema eram essencialmente como utilizador e tendo ainda na memória quando foi implementado o RGPD em 2018 e começámos a ser bombardeados, entre aspas, por e-mails das empresas para darmos autorização no tratamento dos nossos dados pessoais. Aqui, para este trabalho, foi essencial olhar com atenção para os documentos, designadamente os relatórios e os pareceres que consultámos. Foi preciso perceber algumas das funções realizadas por um encarregado de proteção de dados, as competências, os deveres que a lei atribui, o que é prática corrente, etc. E perante esta informação, nós cruzamos aquilo que lemos para ver se existia coerência de uns relatórios para os outros, perceber se esta informação fazia sentido. Tentámos também depois perceber se era compatível com as funções que a própria Spinum VIVA tinha anunciado publicamente no seu comunicado de 28 de fevereiro. Perceber se, de facto, aquilo que eles diziam estava vertido nos documentos a que tínhamos tido acesso. E depois, sobretudo, falar com os especialistas nesta matéria. Tanto eu como o Luís não somos especialistas, não vamos ser especialistas depois deste trabalho, mas Tiago Cabanas Alves e Elsa Veloso e um outro advogado que também falou conosco são efetivamente especialistas nesta matéria e foram muito importantes aqui para validar a informação que nós encontrámos, porque por muito que nós passássemos a compreender conceitos básicos e o trabalho prático na área, só indo ao mercado e aos especialistas é que foi possível comprovar a validade das informações que nós tínhamos encontrado nos documentos e perceber se, de facto, isto faz sentido, se é o que um especialista em proteção de dados faz regularmente e se estes serviços, de facto, estão a ser ou não prestados.

Nós já vamos ouvir precisamente esses especialistas, mas antes são mais duas perguntas sobre o trabalho. Luís, a grande questão que esteve na origem deste trabalho era se os serviços foram efetivamente prestados pela Spinum VIVA. Foi possível chegar a uma resposta clara?

Acho que foi possível chegar a uma resposta indiciariamente positiva de que os serviços foram efetivamente prestados. Não só por aquilo que o João acabou de dizer agora, pelo cruzamento de informação que fizemos. Os relatórios são relatórios que não são assinados, são relatórios que tiveram que ser enviados para os clientes e, portanto, nós tínhamos de ter também um comprovativo de que essa documentação foi enviada para os clientes. Não há dúvida nenhuma pelo que os especialistas nos transmitiram, de que todos aqueles relatórios eram, de facto, relatórios, que é uma amostra, como tu disseste há pouco, não é a documentação toda que a Spinoviva produziu, são relatórios relativos à proteção de dados. Até ouvimos alguns elogios a alguns desses relatórios, mas validamos essa informação que o conteúdo corresponde a um serviço de consultoria de proteção de dados. E depois também tivemos que ter uma confirmação de que isso teria sido enviado para os clientes. Tivemos essa confirmação, como também tivemos a confirmação da interação dos colaboradores da Spinoviva com os seus clientes, seja do ponto de vista dos clientes internos, uma perspectiva interna, seja também uma perspectiva externa. E portanto, isso permite-nos chegar a uma conclusão indiciária de que sim, os serviços terão sido efetivamente prestados.

João, havia também uma outra dúvida que tinha a ver com o preço, o valor das avenças com estes clientes. A resposta, neste caso, é tão taxativa como no caso anterior?

Tão taxativa, eu diria que não, por uma razão muito simples. Há valores para tudo no mercado e, como se costuma dizer, as coisas valem aquilo que as pessoas estão dispostas a pagar por elas. Portanto, usando aqui a expressão que o Luís usou, é indiciariamente positiva. Estes valores estão praticados.

Eu não disse nada, eu deixei passar o indiciariamente positivo.

É o defeito de consultar tantas coisas.

Não vamos perdoar essa expressão.

Nós vamos ter direito ao contraditório e diferente.

Não vão.

Relativamente a esse ponto, nós sabemos muito que são valores de mercado e vamos conseguir prová-lo, porque ao longo do tempo foram feitas muitas consultas públicas, nomeadamente por entidades como a Universidade de Lisboa, Câmara Municipal de Cascais, a Agência para a Coesão, o ISCTE, e que pagaram preços muito superiores a esses.

Mas nós já iremos a isso, não se preocupe. Já percebi que tem muita coisa para dizer sobre esse assunto, mas nós já vamos a isso.

Obrigada.

Eu só queria perceber aqui, da perspectiva dos jornalistas, se foi possível chegar a essa resposta. Já percebi que não de uma forma muito taxativa, porque é uma questão um bocadinho subjetiva, cada um faz os preços que bem entende, mas que há elementos que nos atiram para, pelo menos os especialistas, já percebemos, não ficaram chocados ou surpreendidos com aqueles valores.

Exatamente, usando a expressão do indiciariamente positivo, é porque o mercado tem valores muito abrangentes e nós tivemos o trabalho de ir pesquisar contratos públicos sobre esta matéria com diferentes entidades, de diferentes dimensões, a responder a diferentes públicos e necessidades. Temos desde câmaras pequenas, que respondem para um pequeno número de munícipes, como temos universidades que têm milhares e milhares de alunos, todos eles têm que fazer contratos de proteção de dados. E aqui os valores são, de facto, muito divergentes. Tanto tínhamos valores que iam de cerca de €500 a valores que iam a mais de €10 mil por mês. E isto ao longo do tempo, os valores também foram mudando um pouco. Inicialmente, quando o RGPD apareceu, obviamente, os valores praticados eram mais altos, porque havia menos concorrência no mercado a disponibilizar a prestação destes serviços. E agora, com o aumento da concorrência e com a generalização da aplicação do RGPD, naturalmente, as empresas tiveram que dar resposta. E aqui os valores que nós temos da Spinoviva, entre 1000 a €4500, de certa forma enquadram-se naquilo que está praticado e os especialistas também validaram a informação que fomos encontrando sobre este tipo de contratos.

Vamos então ouvir os especialistas, dois dos que colaboraram neste trabalho nos ajudaram a analisar toda esta informação. Tiago Cabanas Alves é especialista nesta área e colabora com a Comissão Nacional de Proteção de Dados desde 2021. De acordo com a informação do Portal dos Contratos Públicos, é mandatário, precisamente, da Comissão Nacional de Proteção de Dados em diversos processos, como o caso do Russia Gate, relativo à fuga de dados na Câmara de Lisboa. Explique-nos, por favor, bem-vindo ao "Justiça Cega", o que é que faz uma consultora de proteção de dados e um encarregado de proteção de dados, um EPD ou um DPO, se preferirmos a sigla em inglês.

Muito obrigado pelo convite. Um obrigado a todos pela paciência de me ouvirem explicar estes temas, que nem sempre são fáceis e nem sempre são agradáveis de ouvir, porque são demasiado técnicos. E antes de responder à pergunta, só uma nota para o que foi dito antes de mim pelo João Godinho, que é exatamente, acredito que o preço de uma consultora, de uma avença, e o preço que cobra aos seus clientes tenderá a aumentar. Não é pela concorrência, é pela necessidade do cliente que está cada vez mais ciente dos seus direitos digitais. E, portanto, quanto mais direitos digitais os particulares exercerem, maior será a necessidade de uma consultora ou de um DPO dar correspondência a esses pedidos e, naturalmente, despender mais tempo junto do seu cliente avençado e, portanto, dependendo mais tempo, naturalmente, também terá um aumento deste valor.

Mas vamos primeiro a isso. Que tempo é esse? O que é que faz um DPO, um EPD?

Muito bem. Eu ia lá chegar, mas ainda assim.

É só porque ainda vamos tocar nesse tema outra vez.

Muito bem. Então, a consultora, há que distinguir aqui duas funções essenciais. Uma é dar consultoria em matéria de RGPD, que não tem necessariamente a ver com os serviços de encarregado de proteção de dados Uma coisa é consultoria em RGPD, que pode passar por processos de implementação, uma auditoria em matéria de RGPD para perceber processos internos, como é que estão a ser tratados os dados pessoais nas operações de tratamento, e outra questão é assumir a função, efetivamente, de encarregado de proteção de dados ou "data protection officer", no termo anglo-saxónico. E aqui diverge muito daquilo que a empresa está a contratar. No caso concreto que nos traz aqui, não conseguimos perceber, necessariamente, porque nos falta um contrato de base, que é que serviços foram contratados. Já lá chegaremos.

Já vamos falar disso.

Mas ainda assim, o que é que isto significa? O que é que faz? Se for uma mera consultoria, à partida não assume e nem pode assumir as funções de encarregado de proteção de dados, por uma questão de conflito de interesses. Quem implementa, não fiscaliza a implementação. E o encarregado de proteção de dados deve ser independente para sugerir melhorias do tratamento de dados pessoais. Portanto, quem implementa não deve, nem pode, à luz do RGPD, fiscalizar isto, que compete ao DPO e ao encarregado de proteção de dados. Assumindo, perante os documentos que eu consultei e que tive acesso, e isto é assumido, inclusive é na peça que saiu hoje no Observador, houve, efetivamente, a assunção da posição de encarregado de proteção de dados. Então, o que é que este faz? É a pergunta que me parece que me foi suscitada.

Ou seja, os colaboradores da Spinoviva são todos encarregados de proteção de dados daqueles clientes.

Portanto, o que faziam ou o que é que deviam fazer à luz? Desde logo dizer que o RGPD e a Lei 58 de 2019, que transporta para a nossa ordem jurídica nacional o RGPD, não tem um elenco taxativo. Diz que ao encarregado de proteção de dados compete e põe entre vírgulas, "pelo menos". O que significa que aquele é um quadro minimamente de: estas funções têm de ser exercidas. Pode haver outras. E eu definia como: compete-lhe propor políticas de privacidade, compete-lhe formação e ser o ponto de contato com a autoridade de controle. Nomeadamente, estas políticas o que é que são? Políticas de operações de tratamento, como é que elas devem ser executadas quando incluem dados pessoais. Compete-lhe formar os quadros da entidade para uma cultura de respeito pela proteção de dados, inclusive ser o ponto de contato com a autoridade de controle. Agora, não há aqui um termo concreto de o encarregado de proteção de dados faz taxativamente estas funções. Nos termos, quer do regulamento, quer da lei nacional, as funções são meramente enunciativas. Eu costumo brincar com isto, e desculpem a expressão, mas é um bocadinho como ao taxista que nós contratamos, apenas contratamos o serviço de nos levar do ponto A ao ponto B, mas se tivermos uma garrafinha com água, agradecemos imenso. Pois o encarregado de proteção de dados também pode fazer muitas das funções que não estão previstas nos regulamentos para agradar ao seu cliente. E isto é um mercado e todos nós queremos é clientes que nos paguem e agradá-los.

Elsa Veloso, os dois colaboradores da Spinoviva, Inês Varejão Borges e André Costa, eram os encarregados de proteção de dados dos clientes Solverde, Rádio Popular, Ferpinta, Sofarma e Colégio Clipe, como agora o Tiago Cabanas Alves acabou de dizer. E como tal, geriam a caixa de correio eletrónico oficial do encarregado de proteção de dados desses clientes. O que significa isso?

Significa que a caixa de correio é o ponto de contato com todos os titulares de dados pessoais, que são direitos de personalidade, são os direitos de cada um de nós. E as pessoas podem exercer os seus direitos relativamente ao responsável pelo tratamento, em relação ao Clipe, à Solverde, o que seja, através desta interação com o EPD ou o DPO. E o que isso significa? Significa que eles podem exercer os seus direitos ARCO, os seus direitos de acesso, retificação, cancelamento, apagamento e oposição, além de pedirem a portabilidade dos seus direitos, a limitação de tratamento e oposição ao tratamento automatizado de dados pessoais. Isto significa muito trabalho. Basta dizer que se me pedirem o exercício de direito ao apagamento, temos que dizer: "Que dados é que vamos apagar? Onde é que estão localizados esses dados? Em que sistemas é que esses dados estão?" Tenho o direito ao apagamento em qualquer circunstância? Não. Se eu tiver uma dívida para com uma determinada entidade, não posso pedir o direito ao apagamento. Portanto, temos que fazer um enquadramento do ponto de vista jurídico. E como é que se apagam esses dados pessoais? Vamos apagar nos backups? Onde é que nós apagamos esses dados?

Ou seja, há uma interação, seja com o cliente, ou seja, com os departamentos da empresa que, por exemplo, a Spinoviva ou outra empresa de consultoria presta um serviço, mas também uma interação externa com os clientes dessas empresas também.

Sim, com o chamado responsável pelo tratamento, com quem nos contrata, nós temos que articular as propostas. Nós temos autonomia e independência para propor, mas nós vivemos num ecossistema, numa organização, e vamos naturalmente ver quais são as limitações para essa organização. Se eu sou DPO de um colégio grande Se algum pai vier pedir o direito ao apagamento, nós temos que ver se não há dívidas, se não há expectativa que se guardem as notas dos seus alunos. Os direitos não são absolutos, são direitos relativos e, portanto, têm que ser analisados e cada pedido tem que ser analisado e tem prazos de cumprimento. Portanto, tem prescrição do prazo de cumprimento, tem o enquadramento com a organização e tem a necessidade de dar uma resposta cabal, não só técnica ou jurídica, mas de execução nos sistemas das empresas, nos backups, nos softwares, nos sítios onde os dados estão guardados. Portanto, implica muito trabalho.

Já voltamos pra segunda parte do Justiça Cega. Vamos tentar perceber, por exemplo, se é normal prestar um serviço de consultadoria sem haver um contrato escrito. Segunda parte do Justiça Cega, hoje sobre o trabalho de investigação do Observador ao caso Spinum Viva. Além do Luís Rosa, claro, que assina o trabalho com o jornalista João Paulo Godinho, são convidados deste Justiça Cega os advogados Tiago Cabanas Alves e Elsa Veloso.

Tiago Cabanas Alves, uma das novidades deste trabalho de investigação é que não existiam contratos de prestação de serviços entre a Spinum Viva e os clientes. O próprio Luís Montenegro confirmou ao Observador isso mesmo e explicou que apresentou propostas escritas, tendo negociado presencialmente os valores finais e os serviços prestados. Esta é uma prática corrente? O que diz a lei sobre isso?

A lei, o que diz claramente, e à partida, é que todas as formas de contratualização são válidas, à exceção de quando a lei exige uma forma específica de celebração daquele contrato. Caso contrário, vale a liberdade de forma. Sendo que o RGPD não exige nenhuma, nem a própria Lei 58/2019, porque mais uma vez temos que fazer aqui sempre a descida do nível europeu para o nível nacional até chegarmos ao contrato. Portanto, temos três níveis diferentes.

Mas a lei europeia exige?

Não, a lei europeia não exige, a lei nacional não exige. Ou seja, estamos no âmbito da liberdade de forma, vamos ao artigo do Código Civil, que é o 405, que é a liberdade de forma pra celebração de um contrato. Até aí, é válido, juridicamente falando. Agora, por norma, na prática comercial, na prática do exercício destes serviços, é comum, corriqueiro e usual.

E desejável?

Depende. Para o prestador pode ser, eu acho que é. Eu, enquanto prestador, creio que pra mim é perceber até quando é que aquela avença, ou até quando é que aquela prestação de serviços dura e de que forma é que é paga. Se calhar sou mais eu, prestador, a uma entidade que quer estabelecer essas regras, do que propriamente a entidade. Porque pra entidade é melhor que isso não seja sequer estabelecido, paga quando paga, exige o que exige, quando exige, e por aí em diante. Portanto, se calhar sou mais eu que me quero acautelar do que propriamente a entidade. E, portanto, eu diria: o prestador de serviços normalmente quer, junto da entidade a quem presta, estabelecer essas regras, de modo que, por exemplo, vamos supor, o fim deste contrato de avença não possa ser porque choveu, como choveu no dia de ontem. E, portanto, tenha regras.

Bem, num dia 5 de março, não sei se choveu ou não.

Não falo do caso em concreto, estou a falar ao dia de hoje, que é: ainda que tenha caído uma chuva muito forte na noite anterior, não me permite, por essa razão, dizer: "Terminam este contrato". Ou se terminou, tem regras para sim, termina, mas há aqui uma compensação, porque nós tínhamos adjudicado um determinado prazo. Estranha-se que assim não aconteça. No entanto, isto não é ilegal. Não tem nada de ilegal. Se as partes concordaram celebrar um contrato de mera voz, por mero acordo, não há nenhuma exigência legal.

Se torna efetivo, aliás, pela mera prestação de serviço e o pagamento por esse serviço.

E a emissão das faturas.

Certo.

Mais uma vez.

Mas normalmente, se me permitem.

Força.

E só para explicar, eu sou advogada, estou escrita na Ordem e se virem as minhas rugas, é desde 1992 e, portanto, sou advogada de pleno direito, com tudo em ordem. Acontece que eu exerço a minha atividade de consultoria através de uma empresa comercial estruturada e essa empresa comercial faz propostas aos seus clientes e as propostas, como o doutor Tiago Cabanas Alves sabe, são propostas bastante estruturadas, em que está naturalmente a apresentação dos consultores, quem é que vai fazer o trabalho, qual é o âmbito do trabalho, qual é o prazo de duração do trabalho, e a forma de remuneração e como é que ele é pago.

A aceitação dessas condições era como se tivesse um contrato feito, é isso?

É o contrato de prestação de serviços que fala o regulamento. O contrato de prestação de serviços não está sujeito à forma, estamos de acordo. Não é exigível a celebração de um contrato escrito, mas isso não significa que não sejam trocados documentos escritos. E cada vez mais, as empresas só começam a pagar com uma PO, com uma ordem de compra Porque de outra forma não tem a relação completamente transparente. São duas partes completamente distintas. Uma coisa é nós estabelecermos uma relação que é clara, transparente, com o conteúdo, com o preço, com os cobradores e com o prazo de duração, e os nossos clientes confirmam essa adjudicação e enviam normalmente uma ordem de compra ou um e-mail de confirmação da adjudicação.

E sobre os valores, já falámos um bocadinho sobre isso na primeira parte, mas sobre estes valores. O primeiro valor de que se falou foi a avença mensal de 4500 € da Solverde. Tendo em conta o perfil de uma empresa como esta, de um grupo empresarial como este, podemos dizer que este valor está de acordo com o preço do mercado? Está muito fora, muito abaixo, muito acima?

Este preço é um preço de mercado, porque a complexidade do negócio é extremamente elevada. Nós estamos a aquecer que além do negócio físico, como o Tiago dizia, existe aquele negócio digital e, portanto, o jogo online, além de ter imensos players e ter muitos titulares de dados, tem muitas particularidades, nomeadamente a idade para jogar, como é que as pessoas se identificam, como é que saem daquele negócio. Quer o volume de dados, quer a quantidade de titulares de dados, quer a sensibilidade do negócio, quer a grande regulamentação, e eu trabalhei no negócio do jogo, noutra encarnação, e é um negócio altissimamente regulado, que os inspetores do jogo estão sempre presentes. A complexidade destes negócios exige uma presença constante e respostas constantes. E não é só respostas constantes, é a responsabilidade de dar determinados pareceres. Nós estamos em processos, por exemplo, de fusão de entidades, e entidades muito grandes, a coima será pelo volume de negócio a nível mundial e um parecer errado pode implicar coimas que superam muito os tais 20 milhões de euros, porque são 4% do volume de negócios anual a nível mundial. A responsabilidade dos nossos pareceres técnicos, até que ponto é que são jurídicos.

Conclua, Elsa, só para cortarmos aqui o questionamento.

Valores. Eu também fiz um levantamento e temos a Universidade de Lisboa com 13.320 € por mês, a Câmara Municipal de Cascais tem IVA com 6212, a Agência para a Coesão, 15.000 € por mês.

Nós temos esses valores na nossa peça, precisamente.

Estamos a confirmar que esses são valores de mercado, são valores corretos. Depois, existem players que nada tinham a ver com este mercado, e aí sim, a Ordem dos Advogados podia tomar efetivamente medidas.

Era precisamente isso que eu lhe ia perguntar, Elsa. Desculpe estar a interrompê-la, mas era aí que eu queria chegar. É que tem havido muita informação e contrainformação no espaço público sobre a questão de uma empresa de consultadoria prestar este tipo de serviços de proteção de dados que implicam portais jurídicos, por exemplo, e não só. Que tipo de empresas funcionam neste mercado de serviços de proteção de dados?

São muitas perguntas numa só. Vamos separar em temas.

Aqui tem que apelar ao seu sentido simples.

Certo. O que diz o artigo 37, número 5, do RGPD, porque nós temos a Ordem dos Advogados a pronunciar, temos advogados a falar, nós temos que falar o mínimo de juridiquês aqui, temos que usar os termos do regulamento.

Não vale a pena invocar o artigo.

Diz que o encarregado de proteção de dados é designado com base nas suas qualidades profissionais e, em especial, nos seus conhecimentos especializados no domínio do direito e das práticas de proteção de dados. Especializados no domínio do direito. Nós temos que ser pessoas que são, no mínimo, conhecedoras do direito. Agora, quando um DPO, um encarregado de proteção de dados, dá um parecer, temos aqui um fio da navalha. Ele está a dar um parecer técnico no domínio do direito consagrado no RGPD, que é o regulamento que está em vigor no ordenamento jurídico nacional, que se aplica direta e imediatamente no ordenamento jurídico nacional? Está nessa situação? Eu julgo que sim.

Como era o caso da Supino Viva. Mas, por exemplo, vou lhe dar um exemplo concreto. Um operador como a MEO, que está a prestar serviços de consultoria nesta área do RGPD, tem ganho vários concursos públicos. Isso verifica-se com a MEO, por exemplo, ou pode verificar?

Infelizmente, a MEO resolveu entrar neste mercado causando uma baixa de preços e não sei qual é a qualidade dos serviços prestados. A MEO tem 16 CAEs, Código de Atividade Econômica. Para quem dizia que algumas empresas eram um albergue espanhol, então a MEO não sei o que é, porque tem 16 códigos para abranger tudo. Consultoria de todo o gênero. Parece-me que não faz sentido que a M.EL venha entrar no mercado em que se diz existir o risco, falar de consultoria jurídica e de procuradoria ilícita, e vir fazer o serviço de DPO para municípios arrasando os preços de mercado. O preço normal para um contrato destes era €45 mil, o que significaria já um preço bastante reduzido, e a M.EL vem dar menos da metade, vem dar €19.565. Portanto, a M.EL vem desregular por completo e entrar com preços anormalmente baixos, que existe esse conceito jurídico e principalmente em concursos públicos, praticando e arrasando toda a sua concorrência, sendo que aquilo para eles é com certeza uma milésima, da milésima do volume de negócios anual, e entra em áreas de negócios em que pode perder dinheiro, arrasando o mercado e provocando realmente uma confusão generalizada ao nível dos preços.

Tiago Cabanas Alves, ouvimos aqui uma referência à procuradoria ilícita. Neste caso da Spinum Viva, também há este tema de uma alegada procuradoria ilícita. O Observador revela neste trabalho que todos os clientes nesta área da proteção de dados transitaram para a Spinum Viva, vindo do escritório de advogados Sousa Pinheiro e Montenegro, do qual o primeiro-ministro era sócio, para a Spinum Viva. É igualmente certo que os dois colaboradores são licenciados em Direito, uma é advogada, o outro é jurista. Que visão é que tem?

Eu aqui vou divergir um bocadinho da colega dra. Elça Veloso. No sentido em que entendo verdadeiramente que o RGPD, o que exige, é uma liberdade total na nomeação da pessoa que é encarregada de proteção de dados.

Não necessariamente com capacidades na área do Direito.

Nomeadamente, pode ser designado um colaborador interno. E isto legalmente é possível. Ou seja, vamos imaginar que eu tenho uma estrutura empresarial em que eu escolho um administrativo para nomear como encarregado de proteção de dados.

Sr. Dr., eu não queria interrompê-lo.

Eu não a interrompi, agradeço que não me interrompa. E ouvia com toda a paciência, se me permite. Portanto, isto é possível, isto é legalmente admissível. Agora, se esta pessoa vai ser capaz de prestar efetivamente um bom serviço e de se responsabilizar pelos pareceres que vai dar, como dizia, e bem, a dra. Elça Veloso, e o dano proveniente de um parecer errado, isso é um tema da própria estrutura. Agora, procuradoria ilícita parece-me que inexiste no caso concreto que estamos aqui a analisar no âmbito deste podcast. Por quê? Porque, em concreto, temos uma empresa, tal como para entidades públicas que constam no Portal Base, e portanto, é mais que público que foram contratadas. É uma empresa de telecomunicações, portanto, não me consta que a M.EL nunca tivesse sido uma sociedade de advogados. Enquanto aqui, a Spinum Viva, de facto...

Mas só porque está no Portal Base não significa que seja legal.

Não. O que eu estou a dizer é o contrário, que é: se aquele contrato nunca foi sugestionado nem classificado como um problema, a M.EL claramente não é uma sociedade de advogados. Então se o tema é para fazer os serviços de proteção de dados ou de cumprimento da RGPD, têm de ser advogados, pois que a M.EL não poderia. E isto é público, e o contrato já tem uns anos e nunca ninguém sugestionou isso. E, portanto, não é a Spinum Viva, claramente, que faz aqui um diferencial. E são advogados.

Já só para perceber a sua ideia, e antes de ir à Elça Veloso. Portanto, na sua opinião, não há procuradoria ilícita aqui?

Não há, nem pode haver.

Muito bem. Elça, ainda há pouco, pelo que eu percebi, parecia, se calhar fui eu que interpretei mal, mas a Elça está a defender que neste caso existe aqui procuradoria ilícita.

Não. Estou a defender que não existe procuradoria ilícita, mas estou a tentar ser um bocadinho mais abrangente e dizer: eu tenho aqui os atos próprios de advogados, como não podia deixar de ser, porque eu sou advogada, mas os meus serviços são prestados, os meus da minha empresa, DPO Consult, são prestados através de uma sociedade comercial, que é possível. O que a minha sociedade comercial não pode é praticar atos próprios, atos exclusivos dos advogados e solicitadores.

E ser encarregado de proteção de dados não é um ato exclusivo de advogado.

Claro que não. Mas é que está dito no Regulamento Geral de Proteção de Dados, que toda a gente sabe imenso sobre isso, exceto o Luís e o João não há ninguém neste país que não saiba tudo da RGPD e tudo de proteção de dados e de privacidade.

Aí estamos de acordo, doutora.

Estamos de acordo.

Elsa, deixa-me fazer uma pergunta muito específica só para terminarmos, que é o seguinte: em declarações ao Observador, na altura em que foi conhecida uma comunicação da senhora bastonária da Ordem dos Advogados, Fernanda Almeida Pinheiro, para o presidente do Conselho Regional do Porto, para que fosse analisada essa questão da procuradoria ilícita, o presidente do Conselho Regional do Porto, em declarações ao Observador, colocava a hipótese de que poderia, eventualmente, haver um problema só com a pessoa coletiva. Ou seja, a Spinuviva não tinha o seu objeto social, a prestação de serviços jurídicos, e poderia haver um problema para a pessoa coletiva. Que comentário é que isso merece?

O comentário que me merece, com o devido respeito pelo meu estimadíssimo colega, é que a Ordem dos Advogados neste momento está em eleições. As eleições não são as mais pacíficas do mundo e diz-se que o presidente do Conselho Regional de Lisboa já teve dois processos disciplinares por ter desobedecido à senhora bastonária. Ora, o meu querido colega do Porto não quer ter um processo disciplinar, por isso vai, de acordo com as instruções recebidas e dentro das suas competências, averiguar se existe ou não procuradoria ilícita. Ele vai cumprir instruções. Esse é um primeiro ponto. No cumprimento de instruções, dá o que lhe foi entregue. Depois, estamos em eleições, pois as eleições não estão a ser fáceis.

Significa que a Elsa acha que não há procuradoria ilícita nem nesta questão relativa à própria Spinuviva?

Não há procuradoria ilícita, porque o único fio da navalha que poderia aqui existir era se, em cumprimento daquilo que é o RGPD e a lei de execução nacional, um DPO, ao dar um parecer técnico enquanto DPO à sua empresa, estaria a dar aquilo que se chama um parecer jurídico e que constitui um ato próprio de advogado. Isso é que é um fio da navalha lá no fundo, porque os principais atos exclusivos dos advogados são os que resultam do exercício do direito dos cidadãos se fazerem acompanhar por advogado perante qualquer autoridade, aqueles em que o arguido deva ser assistido por defensor nos termos da lei processual penal. Estes são os atos próprios exclusivos de advogados, segundo a lei que está em vigor. Relativamente à consulta jurídica, que diz que os advogados e associadores têm ainda competência para exercer as seguintes atividades: cobrança, crédito, etc, que nada disso se opõe, porfia eventualmente o tema da consulta jurídica. No entanto, se o RGPD permite a consulta por especialistas juristas aos seus clientes, onde é que está aqui o fio da navalha? No final do jogo, a Ordem, ponderadamente, e pedimos que muito rapidamente, venha esclarecer em definitivo qual é a sua posição e que não tarde quatro meses, porque esta matéria é da máxima urgência.

Já agora, se me permite só dar aqui uma nota.

Muito rapidamente.

Muito sucintamente, que é o seguinte, e estou certo que aqui a doutora Elsa me acompanhará, que é: estamos a falar de um regulamento, não estamos a falar de uma diretiva, estamos a falar de um regulamento que tem aplicabilidade direta em Portugal. E portanto, se ele não exige que sejam os advogados a exercer as funções de DPO ou de encarregado de proteção de dados, ainda que a lei nacional o exigisse, ela seria afastada à luz daquilo que é a jurisprudência do Tribunal de Justiça da União Europeia. E, portanto, não necessitam de ser advogados. No caso concreto, pasme-se, até foram pessoas com conhecimento em direito, tenham sido um advogado com a ordem ativa, uma advogada com a ordem ativa e um jurista, que à partida é um licenciado em direito. E, portanto, o RGPD foi cumprido.

Elsa Veloso, Tiago Cabanas Alves, obrigada a ambos por terem vindo ao "Justiça Cega". Obrigada também ao João Paulo Gudinho. Já sabe que pode ouvir-nos sempre no site do Observador e em todas as plataformas de podcast. No próximo episódio, prometo, já cá estará o Luís Soares. O "Justiça Cega" volta na próxima semana.

Muito obrigada, muito boa tarde. Obrigada.

Muito obrigado por teres vindo e regressa sempre. Até para a semana.

Combinado.