Quem tem dados tratados tem direitos. O trabalhador é titular dos seus próprios dados, e é também quem recebe, muitas vezes, os pedidos de clientes, utentes ou colegas. Por isso interessa conhecer os direitos e saber o que fazer quando alguém os exerce.
Os direitos principais
- Informação (artigos 13.º e 14.º do RGPD): saber quem trata os dados, para quê, durante quanto tempo e a quem são comunicados.
- Acesso (artigo 15.º): saber se há dados seus em tratamento e obter cópia deles e informação sobre o tratamento.
- Retificação (artigo 16.º): corrigir dados inexatos ou completar dados incompletos.
- Apagamento (artigo 17.º): pedir que os dados sejam apagados em certas situações, por exemplo quando já não são necessários.
- Limitação do tratamento (artigo 18.º): suspender o uso dos dados enquanto se resolve uma contestação.
- Portabilidade (artigo 20.º): receber os dados que forneceu em formato estruturado e, se quiser, transmiti-los a outro responsável. A Lei n.º 58/2019 (artigo 18.º) limita-a aos dados fornecidos pelo titular.
- Oposição (artigo 21.º): opor-se ao tratamento em certas condições, por exemplo ao marketing direto.
- Direito de não ficar sujeito a decisões automatizadas com efeitos significativos (artigo 22.º).
Alguns direitos têm limites. Se uma lei impõe um prazo de conservação, o apagamento só pode ser exercido depois dele (artigo 21.º, n.º 5, da Lei n.º 58/2019).
Prazos e custos
- O responsável responde sem demora injustificada e, no máximo, no prazo de um mês a contar da receção do pedido (artigo 12.º, n.º 3, do RGPD).
- Esse prazo pode ser prorrogado por mais dois meses, se o pedido for complexo ou houver muitos pedidos. O titular é informado da prorrogação e dos motivos dentro do primeiro mês.
- Em regra, o exercício dos direitos é gratuito. Só pode cobrar-se uma taxa razoável, ou recusar-se o pedido, quando é manifestamente infundado ou excessivo, e o responsável tem de o demonstrar (artigo 12.º, n.º 5).
- O responsável pode pedir informações adicionais para confirmar a identidade de quem pede.
O que deve fazer quem recebe um pedido
- Reconheça o pedido, mesmo que venha por e-mail, carta, telefone ou de forma oral. Não é preciso citar o RGPD.
- Passe-o de imediato a quem o trata na empresa, como o EPD, a direção ou a pessoa indicada nas instruções. O prazo conta desde a receção, e não desde o momento em que alguém o abre.
- Não responda sozinho com dados, sem instrução. Antes de dar qualquer informação, é preciso confirmar a identidade.
- Não apague nem altere dados para "resolver o problema" antes de a empresa decidir. Apagar à pressa pode ser ilícito.
Pessoas falecidas
Os dados de pessoas falecidas continuam protegidos em certos casos, como os dados de saúde. Os direitos são exercidos por quem a pessoa tiver designado para o efeito ou, na falta, pelos herdeiros (artigo 17.º da Lei n.º 58/2019).
Queixas e indemnização
Quem considera que os seus direitos foram violados pode apresentar queixa à CNPD (artigo 77.º do RGPD), recorrer aos tribunais e pedir indemnização pelos danos sofridos (artigo 82.º do RGPD e artigo 33.º da Lei n.º 58/2019). As empresas devem ter um procedimento interno para tratar estes pedidos.
Resumo: reconhecer, encaminhar depressa, confirmar a identidade e não improvisar.