Um titular de dados que solicita acesso, retificação ou eliminação dos seus dados tem direito a uma resposta no prazo de um mês após o recebimento do pedido. Esta é a regra principal do RGPD. Se se tratar de um pedido de âmbito complexo ou se receber vários pedidos em simultâneo, o regulamento oferece margem para prolongar esse prazo por um máximo de dois meses — desde que informe o titular de dados dentro do primeiro mês e justifique o motivo.
Na prática, o prazo legal raramente é o problema. Onde as empresas têm dificuldades é no processo anterior: determinar exatamente quem está a solicitar quais dados, identificar em que sistemas esses dados se encontram e avaliar se existem exceções antes de eliminar ou fornecer algo. Quem não tiver organizado este processo verá que o relógio já começou a correr uma semana antes de alguém internamente ter olhado para o pedido.
Quando é que o prazo começa a contar
O prazo inicia-se no momento em que o pedido o alcança, não no momento em que o trata substantivamente. Um pedido por correio eletrónico para um endereço geral, através da receção ou a um colaborador individual conta igualmente. Isto significa que uma empresa onde estas mensagens não são rapidamente encaminhadas para a pessoa certa perde tempo que não pode ser recuperado. Quem sabe exatamente o que é um pedido válido e para onde deve ser enviado ganha aqui os primeiros e mais importantes dias.
O que a prorrogação significa na prática
A possibilidade de prorrogação não é uma carta branca para esperar até que seja conveniente. O RGPD vincula a prorrogação à complexidade do próprio pedido — por exemplo, porque os dados estão dispersos por vários sistemas ou períodos, ou porque é necessário primeiro determinar se a divulgação afeta os direitos de terceiros. Um pedido que simplesmente foi deixado a repousar não se enquadra nesta categoria. As autoridades de supervisão e os tribunais analisam a natureza do pedido, não a carga de trabalho do caso.
Onde o prazo causa problemas na prática
Três pontos surgem repetidamente. Primeiro, a verificação de identidade: tem de estar razoavelmente certo de que está a fornecer dados à pessoa interessada, sem solicitar informações adicionais desnecessárias. Segundo, a dispersão de dados por diferentes ferramentas SaaS — um CRM, um pacote de contabilidade, um programa de correio eletrónico — pelo que um pedido rapidamente afeta vários locais em simultâneo. Terceiro, a questão de saber se os dados que realmente deveriam ter sido eliminados ainda se encontram em alguma cópia de segurança ou ficheiro antigo. Este último está intimamente ligado a períodos de retenção que não foram claramente definidos.
Uma empresa que sabe antecipadamente quais dados pessoais processa e onde, não precisa de procurar quando recebe um pedido, mas pode verificar imediatamente. É precisamente por isso que um registo atualizado de atividades de tratamento é mais do que uma formalidade: é a referência com a qual cumpre um pedido dentro do prazo em vez de o procurar. Na base de conhecimentos os tópicos estão explicados por situação, incluindo a referência no texto oficial.
O que pode fazer para cumprir o prazo
Defina quem reconhece um pedido e para onde vai. Certifique-se de que está claro quais dados se encontram em qual ferramenta, para não ter de descobrir novamente onde procurar a cada pedido. E estabeleça antecipadamente uma rotina para a verificação de identidade, para que não seja improvisa no momento em que o relógio já está a contar. Se dúvida sobre se um pedido específico se enquadra na regra principal ou na prorrogação, é melhor apresentá-lo a um jurista ou verificar junto da Autoridade para a Proteção de Dados.
Se um evento relacionado com dados é obrigatoriamente notificável é uma questão diferente do prazo para um pedido de um titular de dados — aplicam-se regras diferentes e um relógio mais curto. Se dúvida se algo se enquadra nessa categoria, pode verificar com uma indicação em poucas perguntas. Como gdpria.eu liga os prazos, modelos e lembretes por obrigação ao seu próprio registo, leia em a página que explica de onde vêm as informações.
Quer saber como sua empresa está agora, sem custos imediatos? Faça a verificação rápida gratuita ou leia os tópicos que mais se aplicam à sua situação em perguntas frequentes sobre pedidos de titulares de dados.