Com a crescente digitalização, a proteção dos dados pessoais tornou-se uma preocupação central para governos, organizações e cidadãos. Por isso, a União Europeia aprovou o Regulamento Geral sobre a Proteção de Dados (RGPD), aplicável desde 25 de maio de 2018. O RGPD estabelece regras destinadas a garantir a privacidade, a segurança dos dados pessoais e os direitos dos titulares de dados.
O que são os direitos dos titulares de dados
Entre os pilares fundamentais do RGPD estão os direitos dos titulares de dados. Graças a eles, os indivíduos podem proteger e gerir os seus próprios dados, por exemplo através do acesso, da retificação, do apagamento e da portabilidade. Estes direitos assentam nos princípios do tratamento, que explicamos no artigo sobre o direito à proteção de dados pessoais. Em conjunto, garantem que as organizações tratam os dados pessoais de forma transparente e, assim, promovem a confiança no ambiente digital.
Neste artigo, analisamos cada um destes direitos, a sua importância e o seu impacto nos indivíduos e nas organizações. Além disso, mostramos como as plataformas de gestão documental ajudam a responder aos pedidos dentro do prazo. Por fim, reunimos as boas práticas que asseguram a conformidade, sobretudo quando os titulares são trabalhadores próprios ou de prestadores.
Direito de acesso
Os titulares dos dados têm o direito de saber se uma organização trata os seus dados pessoais. Se for o caso, têm também o direito de aceder a esses dados. Este direito inclui o acesso a informação como:
As finalidades do tratamento.
As categorias de dados pessoais em questão.
Os destinatários a quem a organização divulgou ou divulgará os dados.
O período previsto de conservação dos dados ou os critérios usados para determinar esse período.
A existência do direito de solicitar a retificação, a eliminação ou a limitação do tratamento dos dados pessoais.
A fonte dos dados, caso a organização não os tenha recolhido diretamente junto do titular.
A existência de decisões automatizadas, incluindo a definição de perfis, e informação útil sobre a lógica subjacente, bem como a importância e as consequências previstas desse tratamento para o titular dos dados.
Direito de retificação
Os titulares dos dados podem pedir a retificação de dados pessoais inexatos e completar os dados incompletos. Por conseguinte, as organizações devem responder sem demora injustificada e manter os dados exatos e atualizados.
Direito ao apagamento («direito a ser esquecido»)
Este direito permite que os titulares dos dados solicitem a eliminação dos seus dados pessoais em certas circunstâncias, tais como:
Os dados pessoais deixaram de ser necessários para as finalidades que motivaram a sua recolha ou tratamento.
O titular retira o consentimento em que se baseia o tratamento e não existe outro fundamento jurídico para o tratamento.
O titular opõe-se ao tratamento e não existem interesses legítimos prevalecentes que justifiquem o tratamento.
A organização tratou os dados pessoais de forma ilícita.
A organização tem de apagar os dados pessoais para cumprir uma obrigação legal.
Direito à limitação do tratamento
Os titulares dos dados podem solicitar a limitação do tratamento dos seus dados pessoais em certas situações, como:
Quando contestam a exatidão dos dados, durante um período que permita à organização verificá-la.
Quando o tratamento é ilícito e o titular se opõe à eliminação dos dados, solicitando, em vez disso, a limitação da sua utilização.
Quando a organização já não precisa dos dados, mas o titular necessita deles para declarar, exercer ou defender um direito num processo judicial.
Quando o titular se opôs ao tratamento, até se verificar se os motivos legítimos da organização prevalecem sobre os do titular.
Direito de oposição
Os titulares dos dados podem opor-se, a qualquer momento, ao tratamento dos seus dados por motivos relacionados com a sua situação particular. Este direito é relevante sobretudo quando a organização trata os dados para fins de marketing direto.
Direito à portabilidade dos dados
Os titulares dos dados têm o direito de receber os dados pessoais que forneceram a uma organização. A entrega faz-se num formato estruturado, de uso corrente e de leitura automática. Além disso, têm o direito de transmitir esses dados a outra organização sem impedimentos. Contudo, este direito só se aplica quando o tratamento se baseia no consentimento ou num contrato e é realizado por meios automatizados.
Direito de não ficar sujeito a decisões automatizadas
Os titulares dos dados têm o direito de não ficar sujeitos a decisões baseadas exclusivamente no tratamento automatizado, incluindo a definição de perfis. Isto aplica-se às decisões que produzam efeitos jurídicos ou que os afetem significativamente. Assim, este direito assegura que nenhuma decisão importante sobre uma pessoa dispensa a intervenção humana.
Direito à informação
Os titulares dos dados têm o direito de receber informação sobre a recolha e a utilização dos seus dados pessoais. Por isso, as organizações devem explicar de forma clara e transparente como vão utilizar os dados. Por exemplo, devem indicar a identidade do responsável pelo tratamento, as finalidades do tratamento e quaisquer outros aspetos relevantes.
Como as plataformas de gestão documental ajudam a cumprir estes direitos
Com efeito, os direitos previstos no RGPD só funcionam se a organização localizar a informação de cada titular e responder a tempo. Por esse motivo, as plataformas de gestão documental têm um papel prático muito relevante:
| Direito ou obrigação | Como a plataforma ajuda |
|---|---|
| Direito de acesso | Pesquisa de todos os documentos associados a uma pessoa e exportação organizada |
| Direito de retificação | Atualização dos dados com histórico de alterações |
| Direito ao apagamento | Eliminação controlada, com registo e respeito pelos prazos legais de conservação |
| Direito à portabilidade | Exportação em formatos estruturados e de leitura automática |
| Limitação da conservação | Regras automáticas de eliminação ou anonimização |
| Segurança | Controlo de acessos, cifragem e registos de atividade |
Como se exercem os direitos na prática
O exercício dos direitos é, em regra, gratuito. O responsável pelo tratamento deve responder no prazo de um mês, prorrogável por mais dois meses em casos complexos. Pode também pedir informação adicional para confirmar a identidade do requerente, sobretudo quando o pedido envolve documentos sensíveis.
Se considerar que a organização não respeitou os seus direitos, o titular pode apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD). Pode, igualmente, recorrer aos tribunais. Por isso, as organizações devem tratar estes pedidos com rigor.
Boas práticas para responder aos pedidos dos titulares
Para cumprir os prazos sem improvisos, convém ter um procedimento interno simples:
- Um canal único para receber os pedidos.
- Um responsável pela análise de cada pedido, como o encarregado de proteção de dados.
- A confirmação da identidade do requerente antes de entregar dados pessoais, para evitar que terceiros obtenham informação indevida.
- Um modelo de resposta para cada tipo de direito.
- Um registo de todos os pedidos tratados, com datas e decisões.
Os direitos no contexto laboral
Nas plataformas de gestão documental, muitos titulares são trabalhadores, próprios ou de prestadores de serviços. Neste contexto, alguns direitos têm limites. Por exemplo, um trabalhador não pode exigir o apagamento de documentos que a lei obriga a empresa a conservar, como os registos de formação ou de acidentes. Do mesmo modo, a oposição ao tratamento não se aplica quando este resulta de uma obrigação legal.
Assim, a organização deve explicar claramente, no momento da recolha, que documentos pede, porquê e durante quanto tempo os conserva. Deve, igualmente, garantir que só as pessoas autorizadas acedem a esses documentos.
Exemplos práticos
Pedido de acesso de um antigo trabalhador
Imagine que um antigo trabalhador de um prestador de serviços pede à empresa cliente acesso a todos os dados que esta tem sobre ele. Sem uma plataforma, a resposta exigiria procurar em mensagens de correio eletrónico, pastas partilhadas e arquivos em papel.
Com a plataforma, porém, o encarregado de proteção de dados pesquisa pelo identificador do trabalhador. Em minutos, obtém a lista de documentos, as datas de carregamento e os acessos registados. Em seguida, confirma a identidade do requerente e prepara a resposta dentro do prazo. Como resultado, a organização cumpre o RGPD com menos esforço e maior rigor.
Pedido de retificação de um trabalhador de um subempreiteiro
Noutro caso, um trabalhador de um subempreiteiro verifica que a plataforma do cliente tem a sua data de nascimento errada. Como esse erro impede a validação do seu certificado de formação, pede a retificação através do canal indicado.
O responsável confirma a identidade do trabalhador, corrige o dado e regista a alteração. Por fim, informa o subempreiteiro e o trabalhador. Consequentemente, a validação do certificado avança e o histórico da plataforma demonstra que a organização tratou o pedido dentro do prazo.
Perguntas frequentes
A organização pode cobrar pela resposta a um pedido de acesso?
Em regra, não. Só pode cobrar uma taxa razoável pelas cópias adicionais ou quando os pedidos são manifestamente infundados ou excessivos, por exemplo, por serem repetitivos.
A organização tem sempre de apagar os dados quando o titular pede?
Não. O direito ao apagamento tem exceções, por exemplo quando a conservação é necessária para cumprir uma obrigação legal ou para a defesa num processo judicial.
Quanto tempo tem a organização para responder?
Em regra, um mês a contar da receção do pedido. Este prazo pode ser prorrogado por mais dois meses em casos complexos, desde que o titular seja informado dentro do primeiro mês.
Os documentos de trabalhadores externos também estão abrangidos?
Sim. Os trabalhadores de prestadores de serviços são titulares de dados como quaisquer outros. Por isso, a empresa cliente deve informá-los sobre o tratamento, limitar os documentos pedidos ao necessário e definir prazos de conservação.
Conclusão sobre os direitos dos titulares de dados
O RGPD mudou de forma significativa a maneira como as organizações tratam os dados pessoais. Com efeito, colocou os direitos dos titulares no centro das práticas de proteção de dados. Através do acesso, da retificação, do apagamento e da portabilidade, o RGPD dá aos indivíduos maior controlo sobre os seus dados. Além disso, exige maior transparência e responsabilidade por parte das organizações.
Como garantir os direitos dos titulares de dados
Para as empresas, a conformidade com o RGPD é uma obrigação legal, mas também uma oportunidade de construir confiança com clientes, trabalhadores e prestadores. Garantir estes direitos exige, sobretudo, tecnologias apropriadas, políticas claras e processos bem definidos. Exige, igualmente, formação contínua dos colaboradores e uma cultura de privacidade dentro da organização.
Neste contexto, as plataformas de gestão documental tornam estes direitos efetivos, porque permitem responder aos pedidos dentro do prazo, com rigor e rastreabilidade. Em suma, as organizações que respeitam os direitos dos titulares evitam sanções e reforçam a confiança de quem lhes entrega os seus dados.
Leia também: Adaptação das plataformas de gestão documental às diretrizes do RGPD e Importância da criptografia na proteção de dados.
Para mais informação sobre o exercício destes direitos em Portugal, consulte a Comissão Nacional de Proteção de Dados (CNPD).