O erro mais comum ao lidar com um pedido de um titular de dados não está no prazo em que você responde, mas no conteúdo da sua resposta. As empresas frequentemente enviam dados demais em um pedido de acesso ou eliminam dados que deveriam ter mantido em um pedido de eliminação. Ambos os erros ocorrem porque o pedido é tratado como uma ação simples, quando na verdade primeiro é necessário responder a uma série de perguntas.
O cerne do erro é este: um pedido de acesso ou eliminação requer uma avaliação por dado, não uma operação que você executa com um clique. Quem elimina um dossiê completo de pessoal porque um ex-funcionário pede isso pode facilmente eliminar dados que devem ser retidos por outra obrigação legal, como prazos de retenção fiscal ou trabalhista. Quem em um pedido de acesso envia apenas uma exportação de um sistema, frequentemente perde dados que estão em outro lugar, por exemplo em uma planilha separada ou na caixa de correio de um gerente.
Por que este erro ocorre com tanta frequência
A RGPD concede aos titulares de dados o direito de acesso e, sob certas condições, o direito de eliminação. Ambos os direitos não são ilimitados. O direito de eliminação não se aplica, por exemplo, quando existe uma obrigação legal de retenção ou quando os dados são necessários para estabelecer, exercer ou defender uma ação judicial. Essa distinção não está em uma simples lista de verificação, e é por isso que é difícil para alguém que trata disso pela primeira vez.
Uma segunda razão é que os dados em uma empresa típica de PME estão dispersos: no CRM, na contabilidade, no e-mail, às vezes em um aplicativo de bate-papo. Um pedido é frequentemente respondido a partir de um sistema, enquanto o titular de dados tem direito a uma visão completa. É exatamente aqui que um registro de processamento atualizado faz a diferença: se você já estabeleceu antecipadamente quais sistemas contêm dados pessoais e de quem, não precisa descobrir isso sob pressão de tempo quando um pedido chegar.
O segundo erro: não verificar a identidade
Além da avaliação substantiva, muitas vezes os problemas surgem no primeiro passo: determinar quem faz o pedido. Um pedido de acesso ou supressão de dados frequentemente contém informações sensíveis, e essas informações só devem chegar ao interessado. Processar um pedido muito rapidamente sem verificar a identidade pode fazer com que dados de uma pessoa cheguem à pessoa errada. Ao mesmo tempo: uma verificação de identidade desnecessariamente rigorosa atrasa o processamento e pode ser percebida como uma barreira desproporcionada em relação ao pedido.
Como evitar este erro
O primeiro passo é registrar adequadamente o próprio pedido: o que exatamente está sendo solicitado, por quem, e em que data foi recebido. A partir desse momento, o prazo legal começa a correr, e esse prazo se aplica independentemente de o pedido ser recebido por e-mail, telefone ou carta.
O segundo passo é verificar em quais sistemas existem dados desta pessoa. Um registro de atividades de tratamento que esteja atualizado acelera isto significativamente, porque então já sabe quais ferramentas e fornecedores tratam dados de colaboradores ou clientes. Quem ainda não tem isto centralizado pode consultar na banco de conhecimentos com explicações por situação o que exatamente deve constar num registro antes de um pedido ser recebido.
O terceiro passo é avaliar para cada dado se a supressão ou a divulgação são permitidas, em vez de processar todo o dossiê de uma vez. Em caso de dúvida sobre uma obrigação legal de conservação que se opõe ao pedido, é aconselhável obter orientação jurídica sobre isto; a autoridade supervisora identifica esta distinção nas suas orientações, mas o resultado depende da situação específica.
Por fim, é útil ter um processo fixo e antecipado para este tipo de pedidos, para que não seja necessário reinventar a roda a cada pedido sobre quem é responsável pelo quê. As respostas às perguntas mais frequentes sobre este assunto estão compiladas de forma clara em coleção de perguntas frequentes, e quem quiser ver como gdpria.eu indica a fonte de cada resposta lê isso na página explicação sobre como a informação é compilada.
Um registo bem mantido e um processo fixo não impedem que chegue um pedido, mas impedem que corra mal sob pressão de tempo. Quem prefere regular isto estruturalmente em vez de resolver caso a caso pode orientar-se gratuitamente numa conta comercial e assim colocar em ordem a visão geral por sistema e por pedido.
Tem curiosidade sobre como é a sua própria situação? A verificação rápida gratuita oferece, em algumas questões, uma primeira indicação, sem que precise de uma conta para isso.