A resposta curta
Os próprios direitos não mudam este ano. O direito de acesso, retificação, eliminação, limitação, objeção e portabilidade constam da RGPD em si, e esse texto não é reescrito anualmente. O que muda é a forma como esses pedidos chegam às empresas e como as autoridades de supervisão e os supervisores europeus de proteção de dados (EDPB) explicam o tema. Para um diretor ou responsável de RH, isso faz diferença na prática, mesmo que o texto legal não se altere.
Isso não significa que não tenha de acompanhar nada. As orientações da Autoridade Nacional de Proteção de Dados e do EDPB são regularmente atualizadas, por exemplo sobre como verificar a identidade de um requerente ou como lidar com um pedido recebido através de um chat ou redes sociais. Essas atualizações não são uma lei nova, mas uma interpretação mais precisa de uma obrigação existente.
O que não muda na lei em si
O essencial mantém-se inalterado: um titular de dados pode questionar quais os seus dados que está a processar, pode corrigir dados inexatos, e pode pedir eliminação sob certas condições. O prazo em que deve responder consta da RGPD em si e não está sujeito a revisão anual. As empresas que pensam que este ano foi introduzido um novo prazo de resposta, mais curto ou mais longo, provavelmente estão a confundir com acordos internos ou com comunicações que não se referem ao texto legal em si.
As exceções, como uma obrigação legal de retenção que impede a eliminação, também são inalteradas. O que pode mudar é como as autoridades de supervisão interpretam essas exceções nas suas orientações. Não é uma alteração legal, mas pode significar que uma justificação que era adequada no ano passado tem de ser documentada de forma mais precisa este ano.
O que está realmente em movimento este ano
Três desenvolvimentos são relevantes para as PME, sem que a lei em si tenha sido alterada. Em primeiro lugar, os pedidos chegam cada vez mais frequentemente digitalmente, através de um formulário de contacto, um chatbot ou uma resposta nas redes sociais, em vez de por carta. Isso não muda a obrigação, mas muda a questão de se um pedido é reconhecido como um pedido formal e chega atempadamente à pessoa certa na organização.
Em segundo lugar, cresce a atenção sobre pedidos relacionados com o tratamento automatizado, por exemplo quando os dados foram utilizados para construir um perfil ou uma ferramenta de IA forneceu informações para uma decisão. O EDPB desenvolve regularmente este tema. As empresas que utilizam ferramentas de IA para contacto com clientes ou avaliação de pessoal devem, portanto, saber que dados aí se encontram, antes de um pedido chegar. Isso toca diretamente nas questões que surgem em torno de RGPD e ferramentas de IA na prática.
Em terceiro lugar, está em curso uma discussão mais ampla sobre a avaliação da RGPD como um todo, a nível europeu. Isso inclui verificar se as regras para organizações mais pequenas podem ser simplificadas, mas neste momento não há alterações legislativas concretas estabelecidas. O que ainda não está definido, comunicamos aqui como tal: não há uma data ou conteúdo definitivo conhecido, e especular sobre isso não ajuda um empresário.
A quem isto diz respeito
Essas mudanças afetam especialmente organizações que têm muitos pontos de contacto com clientes ou colaboradores: um escritório com um serviço de atendimento ao cliente, uma empresa de instalação com um formulário de orçamento no website, ou um departamento de RH que trata de dados de candidatos. Quanto mais canais através dos quais alguém contacta, maior a probabilidade de um pedido chegar a algum lado sem ser reconhecido como um pedido formal sob RGPD. Não é um risco jurídico que avaliamos aqui, mas é um ponto prático que vale a pena discutir internamente.
Também relevante é a relação com seus contratos de processamento: quando um cliente submete um pedido a você, mas os dados estão armazenados junto a um fornecedor SaaS externo, esse fornecedor deve conseguir cooperar no acesso ou exclusão. Se isso está adequadamente regulado contratualmente, pode verificar através da perguntas frequentes sobre contratos de processamento e ferramentas SaaS.
Como você acompanha isso sem ter que descobrir a cada vez
Como o texto da lei é estável mas sua interpretação muda, é principalmente importante saber de onde vem a posição atual e quando é alterada. gdpria.eu vincula cada tema à sua localização na RGPD e às diretrizes da EDPB e da Autoridade de Proteção de Dados, para que você não precise manter registro de se algo foi ajustado. Em caso de suspeita de vazamento de dados, por exemplo, pode primeiro verificar em algumas perguntas onde você se encontra, antes de empreender outras medidas.
Quer saber como esse tipo de informação é mantida e de onde vem a referência de fonte? Faça a verificação rápida gratuita ou leia através dos temas na base de conhecimento e decida por si mesmo se uma ação adicional é necessária.