Se não responder a um pedido do titular dos dados dentro do prazo legal, não é aplicada automaticamente uma multa. O RGPD funciona de forma diferente: o regulamento descreve um prazo para responder, e o que acontece se não o fizer depende das medidas que o titular dos dados tomar a seguir. Este pode apresentar uma reclamação à autoridade de proteção de dados ou recorrer aos tribunais civis. Ambas as vias coexistem e não se excluem mutuamente.
Portanto, não se trata de um valor fixo resultante do incumprimento da data, mas de uma situação em que não consegue demonstrar que cumpriu a sua obrigação. Esta é uma posição diferente de quando responde a tempo, mesmo que a resposta ao próprio pedido seja mais complexa.
O que o RGPD estabelece sobre o prazo
O regulamento confere ao titular dos dados o direito de receber uma resposta no prazo de um mês a um pedido de acesso, retificação ou eliminação de dados. Este mês começa a contar a partir do momento em que recebe o pedido, não a partir do momento em que o analisa substantivamente. Quem avalia o pedido, o que é necessário para verificar a identidade e quais os sistemas que devem ser consultados, tudo isto conta dentro desse prazo.
O texto da lei em si é a fonte a que pode recorrer se tiver dúvidas sobre a formulação exata; no banco de conhecimentos pode encontrar a resposta breve e a fonte por tema. Esta é deliberadamente uma funcionalidade gratuita: a rastreabilidade até à fonte faz parte de um sistema que afirma que deverá ser capaz de verificar a origem de qualquer informação.
O que acontece se o prazo expirar
Se o mês expira sem resposta, o titular dos dados pode considerar isto como um incumprimento independente, independentemente de ter o direito de rejeitar o pedido. A autoridade de proteção de dados trata de reclamações sobre este tipo de situações, e a autoridade decide por si como processa uma reclamação. Não podemos fazer qualquer pronunciamento sobre o seu caso específico; isso compete à autoridade de proteção de dados ou, se tiver dúvidas sobre a sua posição, a um jurista.
O que é certo: uma resposta tardia parece diferente de nenhuma resposta. Uma empresa que explica porque é que algo demora mais tempo está numa posição diferente de uma empresa que não responde. Esta distinção é relevante, mesmo que não exista uma fórmula para expressar a diferença em percentagem ou montante.
Prorrogação do prazo: quando é permitida
O RGPD oferece espaço para prorrogar o prazo se um pedido for complexo ou se forem recebidos muitos pedidos em simultâneo. Esta prorrogação não é automática: deve informar o titular dos dados durante o mês original de que precisa de mais tempo e indicar a razão. Quem o não fizer e apenas responder após o primeiro mês, não utilizou corretamente a prorrogação, mesmo que houvesse substancialmente razão para mais tempo.
Este é precisamente o ponto em que muitas empresas falham: não porque não queiram responder, mas porque ninguém registou a data em que o pedido foi recebido. Um pedido por e-mail que fica esquecido até alguém ter tempo é o cenário mais comum.
O que fazer se perceber que o prazo está em risco
Se está perto do prazo final ou o perdeu há pouco, o primeiro passo é ainda assim responder, com uma breve explicação sobre o que aconteceu. O silêncio é a situação que mais motiva o titular dos dados a apresentar uma reclamação ou recorrer aos tribunais. Uma resposta tardia mas completa, com um registo claro de quando o pedido foi recebido e do que foi feito, demonstra que algo foi de facto realizado.
Registre em todo caso: a data de receção, quem avaliou o pedido e qual foi a consideração feita. Se tiver dúvidas sobre se um pedido é legítimo ou o que exatamente deve fornecer, a página de perguntas frequentes é um primeiro ponto de referência, e para os casos mais complexos um jurista continua a ser o caminho mais adequado.
Como monitorar um prazo em curso
O mais difícil nesta obrigação não é o conteúdo da resposta, mas acompanhar o relógio assim que um pedido chega a algum lugar da organização: na receção, numa caixa de correio geral, ou diretamente a um colaborador. gdpria.eu deixa esse prazo de um mês funcionar automaticamente assim que um pedido é registado, com um aviso bem antes da data limite. Como esse sistema está estruturado e de onde vêm as regras subjacentes está explicado em a página que explica de onde vem a informação.
Se isso é um acréscimo que faz sentido para a sua empresa depende de quantos pedidos recebe e como já está a registá-los. Criar uma conta comercial é possível consultar sem compromisso; a base de conhecimento e a primeira avaliação mantêm-se gratuitamente acessíveis.
Quer primeiro ver onde está agora? As partes gratuitas de gdpria.eu dão por tópico a resposta breve e a referência na legislação, sem que tenha de criar uma conta para isso.