As pessoas cujos dados são conservados têm direitos ao abrigo do UK GDPR. O pessoal tem de reconhecer um pedido quando chega, porque pode chegar a qualquer pessoa, em qualquer secretária e por qualquer via.
Os principais direitos
- A ser informado. As organizações têm de explicar como usam os dados, normalmente num aviso de privacidade.
- De acesso. Uma pessoa pode pedir uma cópia dos seus dados pessoais e informação sobre como são usados. É um pedido de acesso do titular dos dados (subject access request, SAR).
- De retificação. Os dados inexatos ou incompletos têm de ser corrigidos.
- Ao apagamento. Em alguns casos os dados têm de ser apagados. Não é um direito absoluto.
- À limitação do tratamento. Em alguns casos o uso dos dados fica suspenso.
- À portabilidade dos dados. Em alguns casos uma pessoa pode receber os dados que forneceu num formato reutilizável.
- De oposição. Uma pessoa pode opor-se a alguns usos, como o que se baseia em interesses legítimos. O direito de oposição ao marketing direto é absoluto: quando alguém diz para parar, tem de parar.
- Relativos a decisões automatizadas. Existem garantias para as decisões importantes tomadas apenas por meios automatizados. A lei de 2025 mudou algumas regras, mas as pessoas mantêm proteções essenciais, como o direito de pedir uma revisão humana.
Como é um pedido de acesso
Um SAR não precisa de formulário especial nem das palavras «subject access». Pode ser:
- escrito ou oral, por exemplo num email, numa carta, numa mensagem nas redes sociais ou num telefonema;
- enviado a qualquer parte da organização, e não só ao encarregado da proteção de dados;
- formulado de forma simples: «Enviem-me tudo o que têm sobre mim.»
A ICO afirma que uma organização não deve insistir num formulário. Um pedido enviado à pessoa errada continua a ser um pedido.
O prazo
A organização tem de responder sem demora injustificada e no prazo de um mês a contar da receção do pedido. O prazo começa no dia em que o pedido é recebido, e não no dia em que chega à pessoa certa. Por isso, tem de o encaminhar de imediato.
O prazo pode ser prorrogado por mais dois meses se o pedido for complexo ou se a pessoa tiver feito vários pedidos. A organização tem de informar a pessoa no primeiro mês e explicar porquê. A Data (Use and Access) Act 2025 permite ainda suspender o prazo enquanto a organização pede à pessoa que esclareça o que quer, quando precisar mesmo disso para responder.
Outros pontos
- A primeira cópia é normalmente gratuita. Só se pode cobrar uma taxa, ou recusar o pedido, se for manifestamente infundado ou excessivo.
- A organização pode ter de verificar a identidade. Não deve pedir mais do que o necessário.
- A pessoa tem direito aos seus dados após uma pesquisa razoável e proporcionada. A lei de 2025 passou esta expressão para a norma. Não permite dispensar a pesquisa.
- Os dados sobre outras pessoas podem ter de ser retirados ou protegidos. Esta decisão cabe a quem trata o pedido.
- Alguns dados estão isentos, por exemplo certo aconselhamento jurídico. Não decida isso por si.
- É crime apagar, ocultar ou alterar dados para impedir que sejam divulgados depois de feito o pedido (secção 173 da DPA 2018).
O que fazer se receber um pedido
- Não o ignore e não lhe responda por si.
- Anote a data e quem o fez, e guarde a mensagem.
- Encaminhe-o no mesmo dia para a pessoa indicada no seu procedimento.
- Não apague nem edite os registos relacionados.
Se o pedido for para corrigir, apagar ou deixar de usar dados, siga os mesmos passos. As organizações também têm de tratar as reclamações. Desde 19 de junho de 2026 (uma alteração da lei de 2025), o responsável tem de dar às pessoas uma forma de reclamar sobre o uso dos seus dados, confirmar a receção da reclamação em 30 dias, tratá-la sem demora injustificada e informar a pessoa do resultado. As pessoas continuam a poder reclamar à ICO.