Para um pedido de retificação ou uma objeção ao processamento, aplica-se o mesmo prazo que para um pedido de acesso ou eliminação: um mês após o recebimento. O RGPD permite prorrogar esse prazo em até dois meses se o pedido for complexo ou se forem recebidos muitos pedidos simultaneamente, mas nesse caso você deve informar o titular dos dados no primeiro mês que está prorrogando e o motivo.
O que frequentemente falha na prática não é o próprio prazo, mas o momento em que começa a correr. Na retificação e na objeção, há também uma questão substantiva que não se coloca num pedido de acesso: o pedido é justificado? Avaliar isso leva tempo, e esse tempo de avaliação está incluído no mesmo mês.
O que o prazo exatamente mede
O mês começa no momento em que o pedido chega até si, não no momento em que o reconhece como tal. Um e-mail para o serviço de atendimento dizendo "isto não está correto, corrija isto" já é um pedido de retificação, mesmo que ninguém o tenha registado dessa forma. O mesmo vale para uma objeção: um cliente que escreve "não quero mais que usem os meus dados para este fim" não precisa usar a palavra objeção. As autoridades de supervisão avaliam o processamento de um pedido com base no momento do recebimento, não no momento do reconhecimento. Quem não documentar esta distinção perde frequentemente dias antes de o pedido constar na agenda como pedido.
Retificação: frequentemente rápida, mas com uma condição
Uma correção de um endereço ou número de telefone é geralmente simples e rápida de processar. É mais difícil quando o titular dos dados afirma que uma avaliação, nota ou anotação no dossier está incorreta. Já não se trata de um erro factual, mas de um julgamento substantivo, que requer coordenação com a pessoa que fez a anotação. Esta coordenação deve ser concluída no prazo de um mês, e só é possível se o pedido chegar imediatamente à pessoa certa em vez de ficar esquecido com quem abriu o e-mail por acaso.
Objeção: avaliar, não automaticamente aceitar
Uma objeção ao processamento não precisa ser automaticamente aceita. O regulamento indica que uma organização pode avaliar se existem motivos legítimos imperiosos para continuar o processamento, por exemplo no caso de um contrato em vigor ou de uma obrigação legal. Esta avaliação deve ser comunicada de forma justificada ao titular dos dados, dentro do mesmo prazo. Muitas empresas subestimam quanto tempo essa justificação leva, porque esquecem que dizer "não" a uma objeção tem de ser tão bem fundamentado como dizer "sim".
Onde o prazo fica travado na prática
Na maioria dos casos, o prazo não fica travado no conteúdo, mas em três pontos reconhecíveis. O primeiro é o reconhecimento: o pedido não é identificado como tal e fica esquecido numa caixa de entrada. O segundo é a verificação: antes de modificar dados ou parar um processamento, deve estar razoavelmente seguro de que quem solicita é realmente o titular dos dados, e esta verificação leva tempo que nem sempre foi planeado. O terceiro é a coordenação dentro da própria organização: um dossier de RH ou uma avaliação de cliente frequentemente não está com uma única pessoa, e sem um ponto de contacto fixo a procura demora mais do que a decisão. Um banco de conhecimentos em que cada tipo de pedido é explicado separadamente ajuda a fazer esta distinção antecipadamente em vez de apenas quando chega o primeiro pedido.
O que conta como atempado
Responder dentro do prazo significa que o titular dos dados recebe uma resposta fundamentada no conteúdo, uma recusa justificada ou uma comunicação informando o prolongamento do prazo. Uma simples confirmação de recebimento sem conteúdo não conta como processamento. Precisamente porque a retificação e a objeção exigem frequentemente uma ponderação mais substancial do que um pedido de acesso, é sensato determinar logo no início do mês quem na organização fará essa ponderação e com base em que informações. perguntas frequentes sobre pedidos de titulares de dados respondem brevemente por situação o que está e o que não está abrangido por este prazo.
Se um pedido concreto é procedente e como fundamentar uma recusa é algo que varia conforme a situação e sobre o qual, em caso de dúvida, deve consultar um jurista ou a Autoridade de Proteção de Dados. O que gdpria.eu faz é monitorar o próprio prazo: assim que um pedido é registado, o prazo começa automaticamente a correr, incluindo o momento em que um prolongamento deve ser anunciado. Em como funciona encontra-se a lógica deste prazo e como é mantida.
Quer ver para a sua própria empresa como é que um pedido deste tipo funciona na prática e em que ponto se encontra? A verificação rápida gratuita em gdpria.eu dá uma primeira indicação em poucas perguntas, e com uma conta comercial regista o processamento de cada pedido com o prazo correspondente.