O RGPD dá a todas as pessoas direitos sobre os seus dados pessoais. Como trabalhador, também os tem, e pode ser a primeira pessoa a receber um pedido de um cliente ou de um colega.
Os direitos
- Informação (artigos 13.º e 14.º): ser informado sobre como os dados são usados.
- Acesso (artigo 15.º): saber se a organização usa dados sobre si, obter uma cópia e conhecer as finalidades, os destinatários e o prazo de conservação.
- Retificação (artigo 16.º): corrigir dados errados e completar dados incompletos.
- Apagamento (artigo 17.º, «direito a ser esquecido»): em casos determinados, por exemplo quando os dados já não são necessários ou o consentimento é retirado. Não é absoluto. Quando a lei exige que os dados sejam conservados, eles ficam.
- Limitação (artigo 18.º): que os dados sejam guardados mas não usados enquanto se resolve um litígio.
- Portabilidade (artigo 20.º): receber os dados que forneceu num formato comum e de leitura automática, quando a utilização se baseia no consentimento ou num contrato e é automatizada.
- Oposição (artigo 21.º): ao tratamento baseado em interesses legítimos ou em interesse público e sempre ao marketing direto.
- Decisões automatizadas (artigo 22.º): não ficar sujeito a uma decisão tomada exclusivamente com base em tratamento automatizado, incluindo a definição de perfis, que produza efeitos jurídicos ou o afete significativamente de forma semelhante, com exceções. As pessoas podem pedir uma revisão por um ser humano.
Pedidos de acesso do titular dos dados (SAR)
Um pedido não precisa de palavras especiais, de um formulário nem da expressão «subject access». Pode chegar por email, carta, telefone, redes sociais ou pessoalmente, e pode ser dirigido a qualquer membro do pessoal. «Posso ter tudo o que têm sobre mim?» é um SAR válido. Também é válido um pedido feito por um advogado ou por outra pessoa com autorização do titular.
O prazo: um mês
A organização tem de responder sem demora injustificada e, em qualquer caso, no prazo de um mês a contar da receção do pedido (artigo 12.º, n.º 3). O prazo pode ser prorrogado por até mais dois meses em pedidos complexos ou numerosos, mas a pessoa tem de ser informada no primeiro mês, com os motivos. O relógio começa a contar quando o pedido chega, não quando chega à secretária certa. Por isso tem de o encaminhar no mesmo dia.
O que fazer se receber um
- Não o ignore nem lhe responda pessoalmente, a menos que seja essa a sua função.
- Encaminhe-o de imediato para a pessoa ou equipa indicada no procedimento do empregador, como o EPD ou o responsável pela proteção de dados.
- Anote a data e a forma como foi recebido.
- Nunca apague nem altere registos depois de um pedido chegar, para evitar a divulgação. Isso anula o direito de acesso da pessoa, pode levar a ação disciplinar e piora sempre a situação.
Regras para a organização
- Um SAR é, normalmente, gratuito. Só pode ser cobrada uma taxa razoável por um pedido manifestamente infundado ou excessivo, ou por cópias adicionais, e a organização pode recusar esse pedido se explicar porquê.
- Pode pedir um comprovativo de identidade, se for razoável.
- Não pode entregar dados de outras pessoas sem fundamento de licitude, por isso o pessoal oculta ou retém o que for devido.
- Alguma informação pode ser retida ao abrigo de isenções da Data Protection Act 2018, por exemplo material protegido pelo segredo profissional dos advogados. Aplicá-las é uma decisão do EPD ou do consultor jurídico.
- Se recusar, tem de dizer porquê e informar a pessoa de que pode apresentar reclamação à DPC e recorrer ao tribunal.
Trabalhadores e SAR
O pessoal pode pedir o seu próprio processo individual, os emails que o mencionam e as notas sobre si. Pense antes de escrever sobre um colega ou um cliente num email ou numa nota: pode ter de ser divulgado. Escreva como se a pessoa o fosse ler.
Reclamações e meios de reparação
As pessoas podem apresentar reclamação à DPC (artigo 77.º). Podem também intentar uma ação de proteção de dados em tribunal, e a Data Protection Act 2018 (secção 117) permite ao tribunal atribuir uma indemnização por danos materiais ou imateriais, como o sofrimento causado.
O que deve recordar
- Um SAR pode ser feito a qualquer pessoa, de qualquer forma. Encaminhe-o no mesmo dia.
- O prazo é de um mês, prorrogável por dois meses em casos complexos.
- Normalmente é gratuito.
- Nunca destrua nem altere registos depois de um pedido ter chegado.