As pessoas têm direitos sobre os seus dados, e pode receber um pedido sem o esperar: numa loja, numa escola, nos recursos humanos ou por email. Saber reconhecê-lo e encaminhá-lo a tempo evita sanções.
Os direitos
- Acesso (artigo 15.º do RGPD): saber se os seus dados são tratados e obter uma cópia, além de informação sobre o tratamento.
- Retificação (artigo 16.º): corrigir dados inexatos ou completar os incompletos.
- Apagamento (artigo 17.º): pedir que os dados sejam apagados quando já não são necessários, quando retira o consentimento ou quando foram tratados de forma ilícita. Não é um direito absoluto: a empresa pode guardar dados que uma lei a obrigue a conservar.
- Oposição (artigo 21.º): opor-se a um tratamento baseado no interesse legítimo ou numa função de interesse público e, em qualquer momento, à publicidade (marketing direto).
- Portabilidade (artigo 20.º): receber os seus dados num formato estruturado e de uso corrente, quando o tratamento se baseia no consentimento ou num contrato e é automatizado.
- Limitação (artigo 18.º): pedir que os dados sejam conservados mas não usados, por exemplo enquanto se verifica se são exatos.
Existe também o direito de não ficar sujeito a decisões tomadas exclusivamente com base num tratamento automatizado com efeitos importantes (artigo 22.º).
O prazo: um mês
O responsável tem de responder no prazo máximo de um mês a contar da receção do pedido (artigo 12.º, n.º 3, do RGPD). Se o pedido for complexo ou houver muitos, o prazo pode ser prorrogado por mais dois meses, mas é preciso informar a pessoa do atraso e dos seus motivos dentro do primeiro mês.
Satisfazer o direito é gratuito. Só se pode cobrar uma taxa razoável ou recusar-se a dar seguimento se os pedidos forem manifestamente infundados ou excessivos, e a empresa tem de o poder justificar.
O que fazer se receber um pedido
- Reconheça-o. Não é preciso que mencione uma lei nem que use um formulário. Frases como «quero saber que dados têm sobre mim» ou «apaguem os meus dados» já são um pedido.
- Não o ignore nem o deixe na sua caixa de entrada. O prazo começa a contar desde que a empresa o recebe, mesmo que tenha sido recebido por si.
- Encaminhe-o de imediato para a pessoa ou o departamento que a sua empresa tenha designado, ou para o encarregado da proteção de dados, se existir.
- Não responda por conta própria nem entregue dados a quem os peça por telefone sem que a identidade tenha sido verificada.
Verificar a identidade
Antes de entregar dados, é preciso ter a certeza de que quem os pede é realmente o titular. Se houver dúvidas razoáveis, a empresa pode pedir informações adicionais para o confirmar (artigo 12.º, n.º 6). É uma das formas mais habituais de fuga: alguém faz-se passar por outra pessoa e pede os seus dados.
A reclamação junto da AEPD
Se a empresa não responder, responder mal ou fora de prazo, a pessoa pode apresentar uma reclamação junto da Agencia Española de Protección de Datos (artigo 77.º do RGPD e LOPDGDD) e recorrer aos tribunais. A AEPD pode ordenar que o direito seja satisfeito e sancionar quem não o fez.
Lembre-se: em matéria de direitos, o relógio corre desde que alguém da empresa recebe o pedido. Reencaminhe-o no mesmo dia.