GDPR Data Subject Access Request Requirements: Guia Prático de Conformidade na UE

O que o Art. 15 do GDPR exige na prática

O direito de acesso é o direito dos titulares mais invocado na União Europeia. O Art. 15 do GDPR impõe ao responsável pelo tratamento confirmar se trata dados pessoais do requerente e, em caso afirmativo, entregar uma cópia desses dados. Não é cortesia comercial: é obrigação legal, com prazo e formato definidos. O âmbito cobre clientes, colaboradores, candidatos e simples contactos de prospeção.

Na prática, "GDPR data subject access request requirements" resume-se a quatro entregas concretas: confirmação do tratamento, finalidades, categorias de dados e destinatários, prazos de conservação e a cópia dos dados. O Art. 15(1) enumera as alíneas (a) a (h); o Art. 15(2) acrescenta informação sobre transferências para países terceiros e garantias aplicáveis; o Art. 15(3) consagra o direito a uma cópia gratuita. O Considerando 63 esclarece que o titular deve poder compreender a lógica do tratamento, sem que isso revele segredos comerciais ou propriedade intelectual.

Prazos, formato e limites

O Art. 12(3) fixa o prazo: um mês a contar da receção do pedido, prorrogável por mais dois meses quando o pedido for complexo ou numeroso. A prorrogação exige notificação ao titular dentro do primeiro mês, com justificação. Não existe período de tolerância nem prazo informal.

O Art. 12(5) permite cobrar taxa apenas em pedidos manifestamente infundados ou excessivos, sobretudo repetitivos. Se houver cobrança, deve ser razoável e fundamentada. O Art. 12(6) permite recusar nesses mesmos casos, mas o ónus da prova recai sobre o responsável. Na dúvida, responder é mais barato do que litigar.

Quanto ao formato, o EDPB, nas Orientações 01/2022, admite entrega por via eletrónica quando o pedido foi feito por esse meio, salvo indicação em contrário do titular. PDF pesquisável, CSV ou exportação estruturada são aceitáveis; capturas de ecrã soltas raramente cumprem o requisito de «cópia». O Art. 15(3) acrescenta que o direito à cópia não pode afetar negativamente direitos e liberdades de terceiros.

Como calcular o prazo de um mês

O prazo corre a partir do dia seguinte à receção, em qualquer canal: formulário web, e-mail, correio postal ou pedido verbal registado. Se o pedido chegar a várias entidades do mesmo grupo, cada responsável conta o seu próprio prazo. Um pedido de identificação adicional, ao abrigo do Art. 12(6), suspende o prazo apenas quando existem dúvidas fundadas sobre a identidade do requerente — nunca para ganhar tempo.

Fluxo operacional para atender ao pedido

Um procedimento repetível reduz o risco de falha. Sequência mínima:

1. Registar a entrada com data, hora e canal.
2. Confirmar identidade com o mínimo de dados necessário.
3. Localizar dados em CRM, ERP, RH, bilhética, registos de acesso e backups.
4. Redigir a resposta cobrindo as alíneas do Art. 15(1) e (2).
5. Anexar a cópia e aplicar redações de dados de terceiros.
6. Enviar e arquivar prova de entrega.

A fase 3 é a que falha mais. Dados em sistemas legados, anexos de e-mail, notas de apoio ao cliente e cópias de segurança ficam fora do radar. Uma rotina de descoberta de dados, alinhada com o registo de atividades de tratamento do Art. 30, evita respostas incompletas.

A ligação com sistemas de gestão ajuda. Um procedimento documentado segundo a ISO 9001 traz controlo de versões e registos; a ISO 14001 e a ISO 45001 não regulam dados pessoais, mas partilham a lógica de auditoria interna e ação corretiva que sustenta a conformidade contínua.

Isenções, recusas e dados de terceiros

O Art. 15(4) protege direitos e liberdades de terceiros: dados de outros clientes, colegas ou denunciantes devem ser ocultados, não eliminados. O Art. 11 limita o dever quando o responsável não consegue identificar o titular. Recusas totais exigem base legal e comunicação ao titular, que pode reclamar à autoridade de controlo e intentar ação judicial.

Pedidos de colaboradores são os mais delicados: cruzam avaliações de desempenho, comunicações com managers e registos disciplinares. Redija com apoio jurídico e documente cada ocultação.

As coimas são dissuasoras: o Art. 83(5)(b) prevê até 20 milhões de euros ou 4% do volume de negócios anual mundial, o valor mais elevado da escala.

Registo, auditoria e prova

Mantenha um registo de pedidos com métricas: tempo médio de resposta, taxa de prorrogação, motivos de recusa e número de reclamações. Esses indicadores são a melhor defesa em inspeção e alimentam a revisão anual do procedimento.

Para produtos com marca CE, o rasto documental é igualmente exigido. Vale a pena cruzar o procedimento de acesso com os requisitos setoriais descritos no EU Notified Body Involvement Guide, na EU Notified Body Involvement Checklist e no EU Machinery Regulation 2023 1230 Guide.

Erros frequentes

Confundir «cópia dos dados» com «resumo». Ignorar dados em backups ou sistemas legados. Responder fora do prazo sem notificar prorrogação. Esquecer o Art. 15(2) sobre transferências internacionais. Não documentar a análise de dados de terceiros. Tratar "GDPR data subject access request requirements" como exercício jurídico isolado, quando é sobretudo um processo operacional com prazos medidos e prova arquivada.