Passwords de nove carateres tornam-se obrigatórias em novembro

Leon Neal

Artigo de Hugo Séneca para a Exame Informática em 5 de março de 2018.

Apps, redes sociais, serviços públicos ou sites de comércio eletrónico vão ter de adotar sistemas de autenticação com nove carateres que combinem letras, algarismos e carateres especiais. A proposta consta nos requisitos técnicos de transposição do Regulamento de Proteção de Dados (RGPD).

Hoje, uma parte considerável dos serviços online ainda dá margem de manobra à imaginação de cada utilizador para a escolha da password, mas, até de 25 de novembro, os serviços online que operam em Portugal vão ter de adotar ou configurar os respetivos sistemas de autenticação para que passem a operar com um mínimo de nove carateres de diferentes tipologias (letras maiúsculas e minúsculas, algarismos, e carateres especiais). A aplicação de sistemas de autenticação mais robustos consta na lista de requisitos que o Governo pretende aprovar em Conselho de Ministro e na Assembleia da República a fim de garantir a entrada em vigor do Regulamento Geral de Proteção de Dados (RGPD) a 25 de maio. Apps, redes sociais, serviços públicos ou sites de comércio eletrónico vão ter de proceder às alterações nos seis meses que se seguem à entrada em vigor do novo Regulamento. O que significa que os sistemas com passwords «complexas» de nove carateres terão de estar implementados até ao dia 25 de novembro.

O Governo ainda não tornou públicos os documentos, mas já começou a distribuir pelos diferentes intervenientes no mercado as versões dos requisitos técnicos e da nova legislação. A Exame Informática teve acesso à proposta de lei e aos requisitos técnicos da transposição do RGPD. As propostas ainda poderão vir a sofrer algumas alterações em Conselho de Ministros e no Parlamento, mas tendo em conta que se trata da transposição de um Regulamento comunitário, tudo leva a crer que as eventuais modificações terão sempre um efeito limitado.

Se na proposta de lei os maiores destaques incidiam sobre a isenção de coimas para entidades estatais e a definição dos 13 anos como limite mínimo para o tratamento de dados, nos requisitos técnicos as atenções centram-se no contrarrelógio de seis meses e na obrigatoriedade de passwords de nove carateres – que passam para os 13 carateres, no caso dos profissionais que asseguram a gestão dos diferentes sistemas informáticos.

«Sempre que aplicável, a palavra-passe deve ter no mínimo 9 carateres (13 carateres para utilizadores com acesso privilegiado) e ser complexa. A sua composição deverá exigir a inclusão de 3 dos 4 seguintes conjuntos de carateres: letras minúsculas (a…z), letras maiúsculas (A…Z), números (0…9) e caracteres especiais (~! @ # $ % ^ & * () _ + | `- = \ {} []:"; '<>?,. /). Poderá, em alternativa, ser constituída por frases ou excertos de texto longo conhecidos pelo utilizador, sem carater de “espaço”», determina a lista de requisitos técnicos que o Governo pretende aprovar nos próximos tempos para proceder à transposição do RGPD.

O documento elenca um total de 98 requisitos técnicos. Uma parte desses requisitos é obrigatória; e outra parte não vai além do caráter de recomendação. Conheça mais requisitos técnicos previstos pela proposta de lei para a transposição do RGPD no artigo, de acesso livre, que foi publicado na Exame Informática Semanal.

Conselho de Ministros: aprovada proposta de lei sobre o regulamento da proteção de dados

Fábio Augusto

Notícia de Rita Marques Costa para o Público, em 22 de Março de 2018.

O Regulamento Geral da Protecção de Dados entra em vigor a 25 de Maio.

A proposta de lei que assegura a execução a nível nacional do Regulamento Geral da Protecção de Dados (RGPD) foi aprovada esta quinta-feira em Conselho de Ministros. "O regulamento entra em vigor independentemente de qualquer acto dos Estados-membros, mas era bom que o RGPD e a proposta de lei pudessem estar disponíveis em simultâneo", disse a ministra da Modernização Administrativa, Maria Manuel Leitão Marques, em conferência de imprensa. Mas para isso ainda é necessária a aprovação do documento no Parlamento. 

O RGPD entra em vigor a 25 de Maio de 2018, prazo a partir do qual as entidades devem cumprir as novas regras. Na quinta-feira, podia ler-se no site do Governo que "as entidades responsáveis terão um prazo máximo de 18 meses para implementação após a data de entrada em vigor da resolução". Contudo, a informação foi entretanto eliminada por estar "incorrecta", disse fonte do Ministério da Modernização Administrativa ao PÚBLICO. 

As regras específicas propostas pelo Governo – detalhadas num comunicado da Presidência do Conselho de Ministros – estão em linha com o que já tinha sido noticiado sobre o tema. As empresas responsáveis por serviços online dirigidos às crianças, só vão poder tratar os dados de menores de 13 anos caso exista consentimento dos pais ou representantes legais. A utilização de sistemas de videovigilância vai ter de respeitar as "zonas de digitação de códigos de caixas multibanco, instalações sanitárias, zonas de espera e provadores de vestuário e o interior de áreas reservadas a trabalhadores". E sublinha-se que "a protecção de dados pessoais não prejudica o exercício da liberdade de expressão, informação e imprensa". 

Segundo o comunicado do Conselho de Ministros, este regulamento visa "proteger o cidadão face ao tratamento de dados de pessoas em larga escala por grandes empresas e serviços da sociedade de informação".

Na proposta são também definidos valores mínimos para as coimas (entre os 500 e os 5000 euros) e valores máximos, que podem chegar aos 20 milhões de euros, ou 4% do volume de negócios anual para contra-ordenações muito graves.

Questionada sobre a ausência de coimas para a administração pública, Maria Manuel Leitão Marques detalhou que "o RGPD permite que as coimas não se apliquem" a estas entidades. E acrescentou: "a nossa proposta é que isso aconteça por três anos e que depois seja reapreciado". O RGPD "foi sobretudo pensado – mas não é esse o resultado final – tendo em conta grandes empresas multinacionais para quem os dados, e muitas vezes os dados pessoais, são o seu negócio ou aquilo em que assenta a sua actividade, e não para as administrações públicas dos Estados-membros que têm também a obrigação de os proteger, mas não usam os dados pessoais como negócios", afirmou a governante.

Por isso, "também criámos coimas o mais reduzidas possível para as PME", explicou a ministra.

No alinhamento da proposta, o Governo seguiu "uma orientação que foi a do mínimo de perturbação institucional", explicou a responsável.