Que documentos precisa para um pedido de acesso ou eliminação?
Quando alguém solicita acesso aos seus dados ou sua exclusão, você precisa de vários documentos para lidar adequadamente com esse pedido: um comprovante de recebimento com data, uma forma de verificar a identidade do solicitante, uma visão geral do que você realmente processa sobre essa pessoa, uma decisão escrita com fundamentação, e eventualmente uma notificação em que você estende o prazo. Juntos, esses documentos formam o dossiê com o qual você pode demonstrar o que foi solicitado e o que fez com isso.
A parte sobre a qual existe mais incerteza não é a própria lista, mas a verificação de identidade. Fazer poucas perguntas é um risco porque você pode acabar fornecendo dados à pessoa errada; fazer muitas perguntas também é um risco, porque o RGPD pede especificamente que você não solicite mais dados do que o necessário para verificar a identidade. Uma cópia completa de um documento de identidade geralmente não é necessária para isso e além disso introduz novos dados que você precisa proteger e destruir a tempo.
Verificar identidade sem pedir dados em excesso
Na prática, geralmente funciona com dados que você já possui: um número de cliente, um endereço de e-mail conhecido anteriormente, ou uma breve verificação por telefone. Apenas se houver dúvida sobre quem está fazendo a solicitação, uma verificação adicional é apropriada. A Autoridade Portuguesa de Proteção de Dados e as diretrizes do EDPB dedicam atenção explícita a isso, precisamente porque este é o ponto onde as organizações mais frequentemente exageram. Um procedimento fixo para verificação de identidade, que você estabelece uma vez e depois repete, evita que você tenha que reinventar isso a cada vez.
Que mais deve constar no dossiê
Além da verificação de identidade, o dossiê deve incluir uma visão geral dos próprios dados processados: de onde vêm, com quem foram compartilhados, e há quanto tempo você os possui. Na prática, você obtém essa visão geral a partir de seu registro de atividades de tratamento, se estiver em ordem. Sem um registro, você terá que descobrir isso manualmente em seus sistemas para cada solicitação, o que leva mais tempo e aumenta o risco de uma resposta incompleta. Na base de conhecimento você encontrará explicado por situação o que constitui uma resposta completa.
Em uma solicitação de exclusão, um documento adicional se aplica: a avaliação sobre se existe uma obrigação legal de retenção que impede (temporariamente) a exclusão, por exemplo com dados fiscais. Você registra essa avaliação por escrito, mesmo que o resultado seja que você não exclua (completamente). Esse documento é tão importante quanto a própria exclusão, porque mostra que uma escolha consciente foi feita e não um pedido esquecido.
Por que isso se relaciona com seu registro e suas ferramentas
Uma solicitação de acesso ou exclusão raramente afeta um único sistema. Os dados dos clientes geralmente estão em um CRM, um pacote contábil e um programa de e-mail ao mesmo tempo, e em cada um deles surge a questão de se e por quanto tempo a exclusão é possível. Quem mapeou antecipadamente quais ferramentas SaaS contêm quais dados não precisa descobrir isso novamente para cada solicitação. Se suas configurações correspondem ao que o regulamento exige, você pode verificar através da orientação sobre privacidade e proteção de dados.
A própria decisão também é um documento: uma carta ou e-mail breve em que consta o que foi solicitado, o que você fez e dentro de qual prazo. Esse prazo é estabelecido no regulamento e corre a partir do momento do recebimento, não a partir do momento em que você chega a lidar com isso. Uma visão geral de perguntas frequentes sobre esses prazos e exceções está em perguntas frequentes sobre pedidos de titulares de dados.
Documentar compensa, mesmo após o processamento
O dossiê que constrói quando recebe um pedido não se destina apenas àquele momento específico. Também demonstra, caso uma autoridade supervisora ou o titular dos dados o solicite posteriormente, que o pedido foi reconhecido, avaliado e tratado dentro do prazo estabelecido. Se a sua metodologia atual já o cobre é algo que poderá melhor discutir com um jurista ou com a Autoridade para a Proteção de Dados se tiver dúvidas sobre uma situação concreta.
Deseja ver em poucos minutos como isto se concretiza para a sua empresa, sem ter de descobrir tudo por si próprio? Faça a verificação rápida gratuita ou inicie uma conta comercial para manter o seu registo e pedidos de forma organizada.