Conformidade UE 5 min de leitura
GDPR data subject access request checklist: Guia Prático Para Responder Em 30 Dias
Um pedido de acesso do titular é o teste de stress mais visível de qualquer programa de privacidade. Este guia operacional organiza a resposta em oito passos, com prazos do GDPR, exceções aplicáveis e evidências que sustentam uma auditoria.
Um pedido de acesso do titular — DSAR, na sigla inglesa — é o teste de stress mais visível de qualquer programa de privacidade. Ao abrigo do artigo 15.º do GDPR, qualquer pessoa pode pedir confirmação sobre se os seus dados são tratados, obter uma cópia desses dados e receber informação sobre finalidades, categorias de dados, destinatários, prazos de conservação e origem da informação. A resposta tem de chegar em um mês, nos termos do artigo 12.º, n.º 3, e sem custos na maioria dos casos.
O problema raramente é jurídico. É operacional: encontrar os dados dispersos por CRM, ERP, correio eletrónico, backups e ficheiros departamentais, decidir o que pode ser entregue e provar depois, em auditoria, que o processo foi cumprido. Esta GDPR data subject access request checklist foi escrita para esse plano prático.
O que conta como pedido válido e quem responde
Não existe formulário obrigatório. Um e-mail, uma mensagem em redes sociais ou um pedido verbal registado podem iniciar o prazo. O relógio começa a contar no dia seguinte à receção, não quando o pedido chega ao departamento certo. O primeiro controlo é, por isso, de encaminhamento: todos os canais de entrada precisam de uma via definida para a equipa de privacidade, com data e hora registadas.
O responsável pelo tratamento responde; o subcontratante apenas assiste, conforme o artigo 28.º. Em grupos empresariais, é preciso decidir quem é responsável por cada sistema antes de o pedido chegar — não durante o prazo. Uma matriz de responsabilidades por aplicação evita a discussão mais comum: “esses dados estão na ferramenta da outra filial”.
GDPR data subject access request checklist: oito passos operacionais
A sequência abaixo funciona como ordem de trabalho. Cada passo produz uma evidência. Sem evidência, a conformidade não é demonstrável perante uma autoridade de controlo nem perante um auditor interno.
Passos 1 a 4: registo, identidade, âmbito e pesquisa
- Registar o pedido num livro único, com identificador, canal de entrada, data de receção e data-limite calculada.
- Verificar a identidade apenas quando existirem dúvidas fundamentadas, como prevê o artigo 12.º, n.º 6. Exigir cópia do documento de identificação por rotina é desproporcionado.
- Delimitar o âmbito: período temporal, sistemas, marcas ou filiais abrangidas. Um pedido vago não autoriza uma busca indefinida, mas também não justifica recusa automática — peça esclarecimentos por escrito e suspenda o prazo até obter resposta.
- Pesquisar em todas as fontes relevantes: CRM, ERP, bilhetes de suporte, caixas de correio, registos de acesso, gravações de chamadas e ficheiros locais. Documente os termos de pesquisa utilizados e as fontes consultadas.
Passos 5 a 8: revisão, redação, resposta e arquivo
- Revisar cada documento e aplicar as exceções do artigo 15.º, n.º 4, e do artigo 12.º, n.º 5.
- Redigir dados de terceiros, segredos comerciais e informação que prejudique investigações em curso. Cada redação tem de ficar justificada por escrito, com referência à norma aplicada.
- Responder num formato de fácil acesso — normalmente PDF ou exportação estruturada — acompanhado de nota explicativa sobre o que foi entregue e o que foi retido.
- Arquivar o dossiê completo: pedido, verificação de identidade, provas de pesquisa, decisões de redação e resposta enviada.
Exceções, terceiros e equilíbrio com outros direitos
O direito de acesso não é absoluto. O artigo 15.º, n.º 4, protege os direitos e liberdades de terceiros: nomes de outros clientes, avaliações internas sobre colegas e comunicações de denúncia ficam, em regra, fora da cópia entregue. O artigo 12.º, n.º 5, permite recusar ou cobrar uma taxa razoável quando o pedido é manifestamente infundado ou excessivo — por exemplo, pedidos repetitivos em intervalos curtos.
A recusa exige fundamentação concreta. “Pedido excessivo” sem números que o sustentem é uma posição frágil em reclamação. Registe o volume de pedidos anteriores, o período abrangido e o esforço estimado.
Registos de produto, ficheiros técnicos e o elo com a conformidade UE
Em empresas industriais, muitas DSAR não chegam pelo marketing. Chegam por reclamações de produto, pedidos de assistência técnica ou litígios. Nesses casos, a pesquisa tem de cobrir o ficheiro técnico, os relatórios de ensaio e a correspondência com organismos notificados. O guia de envolvimento de organismos notificados e a respetiva checklist de envolvimento ajudam a mapear que documentos existem e quem os detém. Se a empresa coloca máquinas no mercado da UE, o guia do Regulamento (UE) 2023/1230 descreve o processo técnico que, por definição, entra no universo de pesquisa.
Atenção ao conflito aparente: entregar dados pessoais não significa entregar propriedade intelectual. Separe o que é dado pessoal do titular do que é documentação técnica da organização.
Prazos, extensões e custos
O prazo base é de um mês a contar da receção. O artigo 12.º, n.º 3, permite prorrogar por dois meses adicionais quando o pedido é complexo ou há vários pedidos em curso, mas a prorrogação tem de ser comunicada ao titular dentro do prazo inicial, com justificação. Não é admissível prorrogar em silêncio.
O incumprimento tem consequências financeiras. O artigo 83.º, n.º 5, fixa o limite superior em 20 milhões de euros ou 4% do volume de negócios anual mundial, consoante o valor mais elevado. Além da coima, existe o custo reputacional e o risco de indemnização por danos morais.
Evidências, auditoria e melhoria contínua
Uma GDPR data subject access request checklist só tem valor se estiver integrada no sistema de gestão. O controlo documental e as ações corretivas do ISO 9001 dão o esqueleto; o ISO 14001 e o ISO 45001 entram quando os pedidos tocam dados de saúde, segurança ou ambiente, categorias com regras adicionais de confidencialidade.
Indicadores úteis para revisão periódica: tempo médio de resposta, percentagem de pedidos concluídos dentro do prazo, número de prorrogações, número de recusas fundamentadas e reclamações apresentadas junto da autoridade de controlo. Revise a lista de sistemas pesquisáveis pelo menos uma vez por ano — novas ferramentas entram em produção sem passar pela privacidade com frequência incómoda.
Fatos principais
Afirmações legíveis por máquina extraídas das fontes acima. Cada fato mantém o mesmo identificador nas seis versões de idioma.
Article 15
The right of access is set out in Article 15 of the GDPR.
ID do fato:
legal_basis1 month
Controllers must respond without undue delay and in any event within one month.
ID do fato:
standard_deadline2 months
The response period can be extended by two further months for complex or numerous requests.
ID do fato:
extension_periodNo fee; reasonable fee for excessive requests
Responses are generally free, but a reasonable fee may apply for manifestly unfounded or excessive requests or additional copies.
ID do fato:
fee_ruleArticle 12(6)
Controllers may request additional information to confirm the requester's identity.
ID do fato:
identity_checkArticle 15(4)
The right to obtain a copy must not adversely affect the rights and freedoms of others.
ID do fato:
third_party_rights
Perguntas frequentes
Qual é o prazo legal para responder a um pedido de acesso do titular?
Um mês a contar da receção do pedido, conforme o artigo 12.º, n.º 3, do GDPR. Em casos complexos ou quando existem vários pedidos simultâneos, o prazo pode ser prorrogado por dois meses adicionais, desde que a prorrogação seja comunicada e justificada ao titular dentro do prazo inicial.
Posso cobrar pela resposta a uma DSAR?
Em regra, não. A resposta é gratuita. O artigo 12.º, n.º 5, permite cobrar uma taxa razoável ou recusar quando o pedido é manifestamente infundado ou excessivo, mas a decisão tem de ser fundamentada com elementos concretos, como repetição em curto intervalo ou volume desproporcionado.
É obrigatório pedir cópia do documento de identificação?
Não. O artigo 12.º, n.º 6, só autoriza pedir informação adicional para confirmar a identidade quando existirem dúvidas fundamentadas sobre quem faz o pedido. Exigir documento por rotina é considerado desproporcionado e já motivou decisões sancionatórias.
O que pode ser redigido antes de entregar os dados?
Dados pessoais de terceiros, segredos comerciais e informação que prejudique investigações, ações de fiscalização ou a defesa da organização em processos. Cada redação deve ficar registada no dossiê com a norma aplicada e a razão concreta.
Como ligar a DSAR ao ficheiro técnico de um produto?
Inclua o ficheiro técnico, relatórios de ensaio e correspondência com organismos notificados no universo de pesquisa quando o pedido estiver ligado a reclamações ou litígios de produto. Separe sempre o que é dado pessoal do titular do que é documentação técnica da organização.
Fontes e licenciamento
Cada afirmação deste artigo remete às fontes listadas abaixo. Os links abrem diretamente no editor.
