Direitos no RGPD: como aceder, corrigir, limitar ou pedir os seus dados

Direito de portabilidade dos dados

O direito de portabilidade, previsto no artigo 20.º do RGPD, permite receber os dados pessoais num formato estruturado, de uso corrente e de leitura automática, ou pedir que sejam transmitidos diretamente para outra entidade, quando tal seja tecnicamente possível.

Mas este direito só se aplica quando estão reunidas três condições: o tratamento baseia-se no consentimento ou num contrato, é realizado por meios automatizados e diz respeito a dados fornecidos pelo próprio titular. Não abrange, em regra, dados criados pela entidade a partir de análises próprias, como avaliações internas, perfis de risco ou conclusões comerciais.

Direito de oposição RGPD

O direito de oposição, previsto no artigo 21.º do RGPD, permite que uma pessoa se oponha ao tratamento dos seus dados quando este se baseia no interesse público, no exercício de autoridade pública ou no interesse legítimo do responsável pelo tratamento ou de terceiro.

Nestes casos, a entidade deve deixar de tratar os dados, a menos que demonstre razões legítimas imperiosas que prevaleçam sobre os direitos e liberdades do titular, ou que o tratamento seja necessário para exercer ou defender direitos num processo judicial.

Quando estão em causa fins de marketing direto, a regra é mais simples: o titular pode opor-se a qualquer momento e sem ter de justificar o pedido.

Direito a não ficar sujeito a decisões totalmente automatizadas

O RGPD, no seu artigo 22.º, também protege as pessoas contra decisões baseadas exclusivamente em tratamento automatizado, incluindo definição de perfis, quando essas decisões produzam efeitos jurídicos ou afetem significativamente o titular.

Podem estar em causa, por exemplo, decisões automáticas sobre acesso a crédito, contratação, preços personalizados, elegibilidade para serviços ou recusa automática de uma candidatura. Em certas situações, estas decisões podem ser permitidas, mas devem existir garantias adequadas, como intervenção humana, possibilidade de contestação e direito a apresentar o seu ponto de vista.

Quem garante os direitos do RGPD em Portugal?

Em primeiro lugar, quem deve garantir o exercício dos direitos é o responsável pelo tratamento, ou seja, a entidade que decide por que motivo e de que forma os dados pessoais são tratados.

Em Portugal, a autoridade nacional de controlo é a Comissão Nacional de Proteção de Dados (CNPD). Cabe-lhe fiscalizar o cumprimento do RGPD e da legislação nacional em matéria de proteção de dados, bem como corrigir e sancionar incumprimentos quando aplicável.

O titular pode recorrer à CNPD quando não recebe resposta dentro do prazo legal, quando o pedido é recusado sem justificação adequada ou quando considera que os seus direitos não foram devidamente garantidos.

Como exercer cada um dos direitos: passo a passo

Exercer um direito RGPD não tem de ser complicado, mas convém fazê-lo com algum cuidado para evitar atrasos ou respostas incompletas.

1. Identificar a entidade responsável pelo tratamento. O pedido deve ser enviado à empresa, organismo público, associação, condomínio, plataforma ou outra entidade que trata os dados
2. Consultar a política de privacidade. Muitas entidades indicam um email, formulário ou contacto específico para pedidos de proteção de dados. Quando existe um Encarregado da Proteção de Dados, também pode ser indicado esse contacto
3. Indicar claramente o direito que pretende exercer. Cada direito tem uma finalidade diferente. Por isso, é melhor pedir separadamente acesso, retificação, apagamento, oposição, portabilidade ou limitação, explicando o que se pretende
4. Identificar-se de forma suficiente, sem enviar dados em excesso. A entidade pode pedir elementos para confirmar a identidade, sobretudo se tiver dúvidas razoáveis. Mas não deve exigir mais dados do que os necessários para confirmar quem está a fazer o pedido
5. Guardar prova do pedido. É aconselhável guardar o email enviado, comprovativo do formulário, carta registada ou qualquer resposta recebida. A própria CNPD recomenda conservar prova do pedido e da correspondência trocada
6. Aguardar resposta no prazo legal. Em regra, a resposta deve ser dada no prazo de um mês a contar da receção do pedido. Esse prazo pode ser prorrogado por mais dois meses em casos de maior complexidade, mas a entidade deve informar o titular dentro do primeiro mês e explicar o motivo da prorrogação
7. Avaliar a resposta recebida. Se a entidade recusar o pedido, deve explicar porquê. A recusa pode acontecer, por exemplo, quando o pedido é manifestamente infundado ou excessivo, nomeadamente pelo seu caráter repetitivo. Nestes casos, a entidade pode também cobrar uma taxa razoável para cobrir custos administrativos.

O que posso fazer se o meu pedido for ignorado ou recusado?

Se a entidade não responder, recusar o pedido sem justificação adequada ou não garantir devidamente o direito exercido, o titular pode apresentar queixa junto da CNPD. O pedido deve ser acompanhado da informação relevante e, sempre que possível, de prova do contacto feito com a entidade responsável.

Também existe a possibilidade de recorrer aos tribunais, sobretudo quando a situação envolve prejuízos, tratamento ilícito de dados ou conflito mais complexo.

No caso de uma reclamação apresentada a uma autoridade de proteção de dados, o Comité Europeu para a Proteção de Dados refere que a autoridade deve dar seguimento à queixa no prazo de três meses, incluindo a atualização do queixoso sobre o andamento ou o resultado. Isto não significa, necessariamente, que todos os processos tenham decisão final nesse prazo, já que a duração pode depender da complexidade do caso.

O que acontece após a morte do titular?

O RGPD protege dados pessoais de pessoas singulares vivas. No entanto, a Lei n.º 58/2019, de 08 de agosto, prevê regras específicas para dados pessoais de pessoas falecidas em Portugal, quando estejam em causa categorias especiais de dados, dados relativos à intimidade da vida privada, à imagem ou a comunicações.

Nestas situações, os direitos podem ser exercidos por quem tenha sido designado pelo titular ou, na falta dessa designação, pelos herdeiros. A lei também permite que a pessoa deixe determinado que terceiros não possam exercer direitos sobre os seus dados pessoais após a morte.

Ainda assim, quando estão em causa relações bancárias, seguros, heranças, contratos ou processos judiciais, podem existir regras próprias sobre legitimidade, sigilo, documentação e prova da qualidade de herdeiro. Por isso, cada pedido deve ser analisado em função do contexto concreto.

Os conteúdos apresentados não dispensam a consulta das entidades públicas ou privadas especialistas em cada matéria.