GDPR Data Subject Access Request Guide: Como Responder Em 30 Dias

O direito de acesso é um dos pilares do GDPR. O Art. 15 permite que o titular saiba se os seus dados pessoais são tratados e obtenha uma cópia, além de informações sobre finalidades, categorias, destinatários, prazos e direitos. Este GDPR data subject access request guide reúne o essencial para equipas de conformidade, jurídico e operações responderem sem atrasos e com rasto documental.

O que conta como pedido de acesso ao abrigo do Art. 15

Um pedido de acesso não exige formulário específico. Pode chegar por email, carta, telefone ou redes sociais, desde que o titular seja identificável. O controlador deve facilitar o exercício do direito (Art. 12(2)). A resposta deve ser concisa, transparente, inteligível e num formato acessível (Art. 12(1)).

O pedido pode ser dirigido a qualquer canal da organização. Por isso, defina um ponto único de entrada e treine equipas de atendimento. O Art. 15(1) exige confirmar se há tratamento e fornecer: finalidades; categorias de dados; destinatários ou categorias; prazo de conservação; direitos de retificação, apagamento, limitação, oposição; direito de reclamação; origem dos dados; existência de decisões automatizadas. O Art. 15(2) acrescenta informações sobre transferências internacionais e garantias.

Se o pedido for ambíguo, pode pedir esclarecimentos, mas não use isso para atrasar. O ónus de demonstrar que o pedido é manifestamente infundado ou excessivo é do controlador (Art. 12(5)). Se não conseguir identificar o titular, pode informá-lo nos termos do Art. 11(2), desde que demonstre essa impossibilidade.

Prazos: um mês, com extensão possível

O prazo geral é de um mês a contar da receção do pedido (Art. 12(3)). Pode ser prorrogado por mais dois meses quando o pedido for complexo ou houver vários pedidos. A prorrogação exige notificação ao titular dentro do primeiro mês, com explicação dos motivos.

Como contar o prazo na prática

Conte a partir do dia seguinte à receção. Se o pedido chegou fora do horário, registe a data do primeiro dia útil seguinte. Se precisar de verificar identidade, o prazo pode começar após a receção das informações necessárias? Na prática, a EDPB entende que o controlador deve pedir apenas dados adicionais quando tiver dúvidas fundadas. Não reinicie o prazo sem base. Mantenha registo de datas, responsáveis e prorrogações.

A prorrogação não é automática. Documente a complexidade: volume de dados, envolvimento de vários departamentos, necessidade de consultar terceiros ou analisar isenções. Notifique antes de terminar o primeiro mês. Se não responder, o titular pode reclamar à autoridade de controlo e pedir indemnização (Art. 82). Coimas por violação do Art. 15 podem atingir 20 milhões de euros ou 4% do volume de negócios anual global (Art. 83(5)).

Conteúdo mínimo e formato da resposta

A resposta deve incluir uma cópia dos dados pessoais em tratamento (Art. 15(3)). A primeira cópia é gratuita. Para cópias adicionais, pode cobrar taxa razoável baseada em custos administrativos. Se o pedido for feito por meios eletrónicos, responda em formato eletrónico comum, salvo pedido em contrário.

Redija uma carta de resposta com: identificação do pedido; data; base legal; informações do Art. 15(1) e (2); cópia dos dados; eventuais redações; direitos do titular; contacto do encarregado de proteção de dados (DPO). Evite linguagem técnica. Use tabelas ou anexos quando ajudar.

Inclua informações sobre transferências para países terceiros e cópia das cláusulas contratuais-tipo ou referência à decisão de adequação. Se houver decisões automatizadas, explique a lógica e as consequências. Se houver dados de terceiros, pode ocultar ou omitir essas partes, salvo consentimento (Art. 15(4)). O direito de acesso não é absoluto: pode ser limitado por direitos de outros, segredos comerciais, investigação criminal ou defesa jurídica, conforme lei nacional.

Isenções, pedidos abusivos e verificação de identidade

O controlador pode recusar pedidos manifestamente infundados ou excessivos, mas deve justificar. Exemplos: pedidos repetitivos em curto espaço de tempo, pedidos que visam causar perturbação. Ainda assim, analise caso a caso. Não recuse automaticamente por volume.

Verifique a identidade com proporcionalidade. Não peça cópia de documento com dados excessivos se bastar confirmar um dado que já tem. Se não conseguir identificar o titular, pode solicitar informação adicional (Art. 12(6)). Se não responder, explique por que não consegue.

O direito de acesso não confere direito a documentos internos, apenas a dados pessoais. Pode fornecer extratos ou resumos, desde que a informação seja completa. Se o pedido for excessivo, pode cobrar taxa ou recusar, mas o ónus de prova é do controlador.

Para organizações com várias certificações, integre o fluxo de DSAR ao sistema de gestão. Um processo documentado ajuda em auditorias de ISO 9001, ISO 14001 e ISO 45001. Se atua em produtos regulados, veja o guia de envolvimento de organismos notificados da UE e os requisitos de envolvimento de organismos notificados da UE. Para máquinas com marcação CE, consulte o guia do Regulamento de Máquinas da UE 2023/1230 e o checklist de envolvimento de organismos notificados da UE.

Segurança, registos e violações

O acesso deve ser seguro. Aplique controlos do Art. 32: cifragem, controlo de acessos, registos de auditoria. Evite enviar cópias para endereços não verificados. Se ocorrer uma violação de dados pessoais, notifique a autoridade de controlo em até 72 horas quando aplicável (Art. 33). Se houver risco elevado, informe o titular (Art. 34).

Documente cada pedido: data de receção, canal, verificação de identidade, decisão, resposta, prorrogação e fundamentos de recusa. Guarde provas de envio. Este registo é útil para demonstrar responsabilidade (Art. 5(2)) e para responder a auditorias. Envolva o DPO e mantenha um livro de registos de violações.

Um GDPR data subject access request guide eficaz não termina na resposta. Revise indicadores: tempo médio de resposta, taxa de prorrogação, pedidos recusados, reclamações. Treine equipas trimestralmente. Atualize modelos quando a EDPB ou autoridades nacionais publicarem orientações.

Checklist operacional e modelo de resposta

Checklist: 1) registar pedido; 2) confirmar identidade; 3) verificar se é DSAR; 4) mapear dados; 5) avaliar isenções; 6) preparar cópia; 7) redigir resposta; 8) aprovar juridicamente; 9) enviar em formato seguro; 10) arquivar.

Modelo: Assunto: Resposta ao seu pedido de acesso (Art. 15 GDPR). Exmos. Senhores, confirmamos que tratamos os seus dados pessoais. Em anexo, enviamos cópia dos dados e as informações exigidas. Finalidades: ... Categorias: ... Destinatários: ... Conservação: ... Direitos: ... Pode contactar o DPO em ... Se não estiver satisfeito, pode reclamar à autoridade de controlo.

Use este GDPR data subject access request guide como base, mas adapte ao setor. Saúde, finanças e recursos humanos têm regras específicas. Em caso de dúvida, prevaleça a interpretação que protege o titular, sem ignorar exceções legais.