Para um pedido de exclusão, também conhecido como direito ao esquecimento, o RGPD concede um prazo de um mês. Esse mês começa a contar a partir do momento em que recebe o pedido, não a partir do momento em que identifica que se trata de um pedido oficial do RGPD. Se um pedido é complicado ou se recebe vários em pouco tempo, pode prorrogar o prazo por dois meses. Deve, no entanto, informar o titular dos dados dentro do primeiro mês, indicando o motivo do adiamento.
Na prática, um mês é mais curto do que parece. Um pedido de exclusão muitas vezes não chega como um documento formal, mas como um e-mail, uma chamada telefónica ou uma mensagem através do formulário de contacto no website. Até que alguém na organização o identifique como um pedido do RGPD e o encaminhe para a pessoa certa, já passou tempo que não é contabilizado no prazo.
O que faz o relógio começar
O prazo começa no momento do recebimento, independentemente do canal através do qual o pedido chega. Isto significa que um pedido recebido pelo serviço de atendimento ao cliente, um vendedor ou uma rececionista faz o relógio começar, tal como um pedido que chega directamente à direcção ou ao departamento de RH. Muitas empresas descobrem posteriormente que uma mensagem que esteve três semanas numa caixa de entrada era simplesmente um pedido de exclusão. Quem quiser limitar este risco deve esclarecer dentro da organização como essas mensagens são identificadas e para onde devem ir imediatamente.
Onde o prazo costuma ser perdido na prática
A maior parte do atraso não ocorre na decisão de eliminar, mas em encontrar todos os locais onde os dados estão armazenados. Um nome e endereço de e-mail podem aparecer simultaneamente num sistema CRM, num pacote de faturação, numa lista de distribuição, numa cópia de segurança e junto de um terceiro que processa dados em seu nome, como um contador ou uma ferramenta de marketing. Todos esses locais devem ser verificados e, para cada terceiro que processa dados em seu nome, deve verificar como e se a exclusão é efectuada. Um resumo das ferramentas que contêm quais dados poupa muito trabalho de pesquisa neste processo. Em a base de conhecimentos explica-se por situação o que o RGPD lhe exige e em que se baseia.
Uma segunda fonte de atraso é a questão de saber se a exclusão é mesmo devida. Nem todo o pedido resulta automaticamente em exclusão. Os dados que deve manter por força de lei, como certos elementos dos registos financeiros ou dossiês de pessoal dentro de um prazo legal de retenção, não estão sujeitos à obrigação de exclusão enquanto essa obrigação vigorar. Os dados que são necessários para estabelecer, exercer ou fundamentar um direito ou ação legal podem também constituir uma excepção. Cabe à organização avaliar qual excepção se aplica num caso concreto, eventualmente com assessoria jurídica, e em caso de dúvida, a Autoridade da Protecção de Dados pode fornecer mais esclarecimentos.
Quando a prorrogação é permitida e quando não é
A prorrogação de dois meses não é automática e não pode ser invocada livremente. O RGPD relaciona essa possibilidade com a complexidade do pedido ou com o número de pedidos que deve processar simultaneamente. Um único e simples pedido para remover um endereço de uma lista de distribuição dificilmente é suficientemente complexo para levar três meses. Um pedido em que os dados estão espalhados por vários sistemas e vários anos pode ser. O importante é informar o titular dos dados dentro do primeiro mês de que está a prorrogar e porquê; se não o fizer, o prazo original de um mês simplesmente continua a contar.
Na prática: manter o prazo manejável
A maioria dos atrasos pode ser evitada sabendo com antecedência onde os dados estão localizados, em vez de ter de investigar isso novamente a cada pedido. Um registro fixo dos sistemas utilizados, quem processa quais dados em cada um deles e que acordos existem com terceiros, faz a diferença entre um pedido que é processado dentro de uma semana e um que leva o mês completo. Quem mantém esse registro sincronizado com um sistema que monitora o prazo automaticamente não precisa mais confiar no calendário. Mais informações sobre como essa abordagem funciona na prática e em que fontes de informação se baseia estão em a página que explica de onde vêm as informações.
Os pedidos de eliminação raramente chegam num momento fixo, e justamente por isso é fácil deixar os primeiros dias do prazo passarem sem serem utilizados. Quem quiser que o prazo comece a correr assim que um pedido chega pode configurar isso através de uma conta comercial. Para dúvidas semelhantes sobre pedidos de titulares de dados também existe um resumo com respostas mais breves.
Se tem dúvidas se um pedido concreto de eliminação que lhe chega se enquadra na obrigação de eliminação, ou que exceção se poderia aplicar? Esta é uma avaliação que difere de situação para situação, e que é melhor discutir com um jurista ou com a Autoridade Nacional de Proteção de Dados. Se primeiro quer ver rapidamente onde se encontra aproximadamente, pode fazer a verificação rápida gratuita ou consultar os tópicos na base de conhecimentos.