A sua organização lida bem com os pedidos de informação apresentados pelos titulares dos dados (DSAR)?

Todas as organizações têm de estar preparadas e aptas a responder aos pedidos de informação apresentados pelos titulares dos dados (DSARs); até que ponto está preparado para isso? 

Para todas as empresas e organizações, sejam elas privadas ou públicas, é de importância crucial compreender que todas as pessoas em causa têm, nos termos do artigo 15.º do Regulamento Geral sobre a Proteção de Dados (RGPD), direitos abrangentes de acesso aos dados pessoais que lhes dizem respeito e que se encontram armazenados.  Estes pedidos, designados por «pedidos de acesso dos titulares de dados» (Data Subject Access Requests, DSAR), podem ser apresentados pelos titulares de dados quer oralmente, quer por escrito, e estes têm, por sua vez, o direito legal a uma resposta imediata e exaustiva.  Neste artigo, explicamos as implicações dos DSAR no contexto das normas de proteção de dados e mostramos como as empresas podem garantir que estão preparadas para responder a tais pedidos.

O que diz exatamente o artigo 15.º do RGPD?

O artigo 15.º do RGPD regula o direito de acesso dos titulares dos dados. Nesse artigo, estipula-se concretamente:

«A pessoa em causa tem o direito de obter do responsável pelo tratamento a confirmação de que estão a ser tratados dados pessoais que lhe digam respeito e, caso tal seja o caso, de obter informações sobre esses dados pessoais.»

O artigo refere ainda que, para além de uma cópia dos dados armazenados sobre si, a pessoa em causa tem direito a obter informações (as chamadas «informações complementares») sobre a finalidade do tratamento de dados, as categorias de dados em causa, os destinatários, o período de conservação, à existência de direitos de retificação, limitação do tratamento, apagamento e oposição, bem como ao direito de apresentar uma reclamação, à fonte das informações e à existência de uma tomada de decisão automatizada (por exemplo, criação de perfis).

Caso os dados venham a ser transferidos para um país terceiro ou para uma organização internacional, a pessoa em causa tem o direito de obter informações sobre as medidas de proteção adotadas no âmbito dessa transferência.

Tratamento de um pedido DSAR em conformidade com a regulamentação

A implementação de uma diretriz escrita bem elaborada e abrangente para o tratamento de pedidos de acesso garante que a sua organização trate sempre todos os pedidos DSAR em estrita conformidade com as disposições legais aplicáveis.  Este processo tem início logo com a receção de um pedido. É importante compreender que um pedido DSAR difere de uma reclamação ou de um simples pedido de informação; um pedido DSAR destina-se expressamente a solicitar uma cópia dos dados pessoais que se encontram na posse de um responsável pelo tratamento de dados.  No entanto, o pedido não tem de conter expressamente os termos «pedido de acesso do titular dos dados» ou «pedido de acesso» para ser considerado um pedido formal de acesso aos dados pessoais; por isso, deve garantir que os seus colaboradores reconheçam essas solicitações como tal, independentemente de serem recebidas por escrito, por via eletrónica ou oralmente.

Se o pedido for apresentado oralmente, é importante refletir sobre a forma como este deve ser registado e documentado, bem como esclarecer os pormenores do pedido com o requerente.

Assim que for identificado um DSAR, é importante que o tratamento do pedido siga um procedimento padronizado, de acordo com as diretrizes da sua organização. Este deve incluir o seguinte:

1. a) Verificação da identidade do requerente (para evitar casos de roubo de dados pessoais e de fraude)
2. b) Saber em que circunstâncias um pedido deve ser recusado
3. c) Confirmação de receção de um pedido
4. d) Solicitar informações adicionais, se necessário, para concluir o processo de pedido de acesso
5. e) Os dados pessoais e quaisquer informações complementares (ver lista acima) que devam ser fornecidos em resposta a um pedido
6. f) Os prazos para a resposta (um mês a contar da data do pedido) e as condições para uma eventual prorrogação
7. g) Orientações relativas à compreensibilidade da linguagem (em especial na comunicação com uma criança)
8. h) Como lidar com pedidos relativos a outras pessoas

Assim que tiver um documento de identificação e todas as restantes informações necessárias para o tratamento do pedido, deverá reunir todos os dados pessoais relevantes que a sua organização tenha armazenado – independentemente de estes se encontrarem em formato eletrónico ou em papel.  Caso as informações sobre o requerente incluam dados relativos a outras pessoas, é necessário decidir se estes devem ser ocultados ou se a sua divulgação não suscita qualquer problema (isto deve ser explicado na diretiva interna relativa aos pedidos de acesso aos dados pessoais).

A resposta formal ao requerente deve ser dada dentro do prazo estabelecido de um mês, de forma clara e sem jargão técnico. Por outras palavras: todas as informações fornecidas devem ser compreensíveis para o cidadão comum (tendo em conta as necessidades das crianças).

O prazo para uma resposta formal pode ser prorrogado, se necessário (por um período máximo de mais dois meses); no entanto, a justificação para tal deve ser apresentada no prazo de um mês a contar da data de receção do pedido.

Para algumas organizações, pode ser mais eficiente criar um portal seguro de «autoatendimento», através do qual as pessoas possam, se necessário, encontrar por si próprias as informações que procuram.

E se a sua organização recorrer a um subcontratante externo?

É frequente haver incerteza quanto a quem deve tratar um pedido de acesso aos dados (DSAR) quando se recorre a um subcontratante externo. A situação jurídica é clara nesta matéria: independentemente de se externalizar uma tarefa de tratamento, o responsável pelo tratamento que encomendou o tratamento é responsável por responder a um pedido DSAR.  O Information Commissioner’s Office (ICO) esclarece que um responsável pelo tratamento deve celebrar um contrato suficientemente pormenorizado com o seu subcontratante, de modo a garantir que todos os pedidos de acesso apresentados pelos titulares dos dados sejam devidamente tratados e respondidos. Por outras palavras: a subcontratação não isenta uma organização das suas obrigações ao abrigo do RGPD no que diz respeito aos pedidos de acesso.

Em resumo, pode dizer-se que

O tratamento dos DSARs pode colocar qualquer organização sob uma pressão considerável em termos de recursos. Ao elaborar um documento de diretrizes claro, que descreva todo o processo de identificação, tratamento e resposta a todos os DSARs, pode garantir que a sua organização trate cada pedido de forma uniforme, com o mínimo de esforço e dentro dos prazos estabelecidos.  Caso tenha dúvidas sobre se a sua empresa está apta a responder a um DSAR, pode, recorrendo a especialistas na área da divulgação de informações e do RGPD, implementar rapidamente um sistema que satisfaça as suas necessidades ao longo dos anos e que o proteja de potenciais reclamações ou ações judiciais desnecessárias decorrentes de pedidos mal tratados.  No que diz respeito aos DSAR, a preparação, a formação e a revisão regular das suas obrigações legais em vigor são a chave para o sucesso.

A Lineal é um fornecedor líder a nível mundial de serviços de eDiscovery e DSAR. Se desejar saber mais sobre os nossos serviços, contacte-nos através do número +44 (0)20 7940 4799 ou envie um e-mail para info@linealservices.com.