Um pedido do interessado é qualquer pedido de uma pessoa cujos dados pessoais você processa, através do qual essa pessoa exerce um dos direitos que o RGPD lhe confere. Vai além das duas formas mais conhecidas, acesso e eliminação. O regulamento também reconhece o direito à retificação, à limitação do processamento, à portabilidade dos dados e ao direito de objeção a um processamento específico. Todos estes pedidos enquadram-se sob a mesma categoria e suscitam a mesma obrigação: deve responder.
O detalhe que é mais frequentemente negligenciado neste tópico é que um pedido não precisa de uma forma fixa. Um cliente que escreve num e-mail comum "quero saber o que vocês têm de mim" ou um antigo colaborador que diz à receção "pode remover meu nome do seu sistema" já faz um pedido dessa forma, mesmo sem formulário, sem usar a palavra RGPD e sem que chegue através de uma pessoa de contacto designada. É precisamente essa chegada informal que é frequentemente o problema: não na execução do pedido, mas no seu reconhecimento.
Que direitos se enquadram num pedido do interessado
O RGPD confere a uma pessoa cujos dados você processa uma série de direitos inter-relacionados. Acesso significa que alguém pode saber quais dados você tem dele e para quê. Retificação significa que dados incorretos devem poder ser corrigidos. Eliminação, também chamado direito ao esquecimento, significa que dados devem ser apagados em determinadas situações. Limitação significa que dados não podem ser utilizados temporariamente, por exemplo durante uma discussão sobre a sua exatidão. Portabilidade dá a alguém o direito de receber dados que ele próprio forneceu num formato comum. E objeção dá a alguém a possibilidade de se opor a um processamento específico, por exemplo ao uso dos seus dados para marketing.
Nenhum destes direitos é incondicional. O RGPD associa a cada direito as suas próprias condições e exceções, e se um pedido deve realmente ser concedido depende da situação. É também exatamente por isso que uma explicação geral aqui nunca pode substituir uma decisão sobre um caso individual.
Por que o reconhecimento é mais difícil do que o cumprimento
Muitas empresas concentram a sua atenção no processo após um pedido: quem responde, dentro de que prazo, com que documento. Isso é correto, mas não é o primeiro obstáculo. O primeiro obstáculo é que um pedido raramente chega através do canal que você tinha preparado para o efeito. Chega ao colaborador que atende o telefone, ao colega que gere a caixa de e-mail de atendimento ao cliente, ou ao gestor administrativo que está casualmente no saguão. Se ninguém na organização souber que uma frase como essa já constitui um pedido, o relógio começa a funcionar para você sem que saiba.
É também por isso que as autoridades de supervisão nas suas orientações enfatizam que um pedido não está vinculado a um canal específico ou a uma formulação específica. A organização responsável, não o interessado, tem o ónus de reconhecer um pedido assim que é feito. o banco de conhecimento com explicações por direito do interessado aprofunda o que conta como um pedido válido para cada um destes direitos e o que não conta.
O que isto significa para a sua organização
Na prática, funciona melhor se todas as pessoas que têm contacto com clientes souberem que frases como "remova-me da sua base de dados" ou "envie-me tudo o que têm sobre mim" são um sinal para encaminhar para quem trata os pedidos. Não é formação jurídica, é reconhecimento de um padrão. Apenas quando o pedido é identificado e encaminhado é que surge a questão de como o identificar, o que exatamente deve fornecer e em que prazo.
O próprio RGPD estabelece um prazo de um mês para responder a um pedido, com a possibilidade de prorrogação em casos mais complexos. Esse prazo começa a contar a partir do momento em que o pedido é feito, não a partir do momento em que chega à pessoa certa. Quem quiser monitorizar esse momento sem ter de o fazer manualmente pode deixar isso correr através de um sistema que inicia automaticamente o relógio. como gdpria.eu monitora esse prazo mostra em que se baseia essa automatização.
O que pode fazer se tiver dúvidas
Nem todas as mensagens que parecem um pedido o são, e nem todos os pedidos têm de ser integralmente satisfeitos. As dúvidas sobre isto fazem parte da execução, não do reconhecimento: assim que alguém deixa claro que quer exercer um dos seus direitos, cabe-lhe a si tratá-lo a sério e avaliar, se necessário com um jurista ou a Autoridade Nacional de Proteção de Dados, o que exatamente deve ser feito. respostas a perguntas que as empresas costumam fazer sobre este assunto aborda alguns desses casos limite.
Quer saber como está a sua organização antes de um pedido chegar efetivamente? A verificação rápida gratuita em tornar nítidos vazamentos de dados e pedidos em algumas perguntas dá uma primeira indicação, e a base de conhecimento explica por cada direito o que o RGPD diz a esse respeito, com a referência incluída.