O que é um pedido de acesso de pessoas com dados?

Um pedido de acesso a assuntos de dados (DSAR) é um pedido escrito formal de um indivíduo – o titular de dados – a uma organização, solicitando que essa organização forneça uma cópia dos dados pessoais que possui sobre eles. Os DSARs são uma pedra angular da lei de proteção de dados, dando aos indivíduos uma forma direta de ver quais informações estão sendo processadas e de verificar que estão sendo tratadas de forma legal, justa e transparente. No contexto irlandês, o direito de acesso está consagrado no artigo 15.o do Regulamento Geral de Proteção de Dados (RGPD) e clarificado pela Lei de Proteção de Dados 2018.

Os dados pessoais abrangem quase todas as informações relativas a uma pessoa singular identificada ou identificável. Isto inclui nomes, números de identificação, dados de localização, identificadores online e quaisquer fatores específicos da identidade física, fisiológica, genética, mental, econômica, cultural ou social dessa pessoa. Um DSAR pode ser feito por qualquer motivo – curiosidade, preocupação com a exatidão, preparação para litígio ou simplesmente para exercer um direito fundamental. Independentemente do motivo, as organizações devem tratar cada DSAR a sério e responder dentro de prazos rigorosos.

O Quadro Jurídico para os DSAR na Irlanda

O panorama da Irlanda em matéria de protecção de dados é constituído principalmente pelo RGPD (Regulamento (UE) 2016/679) e pela legislação nacional de aplicação, a Lei de Proteção de Dados 2018. A Comissão Irlandesa em matéria de Protecção de Dados (CPD) é a autoridade de supervisão independente responsável pela aplicação destas leis e pela emissão de orientações sobre o tratamento dos RAD.

Disposições-chave no âmbito do RGPD

O artigo 15.o do GDPR confere a cada titular de dados o direito de obter a partir de uma confirmação do responsável pelo tratamento sobre se os dados pessoais que lhes dizem respeito estão a ser tratados e, quando for o caso, o acesso a esses dados. O responsável pelo tratamento deve igualmente fornecer uma cópia dos dados que estão a ser tratados, juntamente com determinadas informações suplementares:

  • Os propósitos do processamento.
  • As categorias de dados pessoais em causa.
  • Os destinatários (ou categorias de destinatários) aos quais os dados pessoais foram ou serão divulgados, especialmente os destinatários em países terceiros ou organizações internacionais.
  • O período previsto para o armazenamento dos dados pessoais ou, se não for possível, os critérios utilizados para determinar esse período.
  • A existência do direito de solicitar retificação ou apagamento, restrição do processamento ou de oposição ao processamento.
  • O direito de apresentar uma queixa ao DPC.
  • Se os dados não tiverem sido recolhidos junto do titular dos dados, quaisquer informações disponíveis sobre a sua fonte.
  • A existência de tomada de decisão automatizada, incluindo a análise de perfil, e informações significativas sobre a lógica envolvida, bem como o significado e as consequências previstas.

A Lei de Proteção de Dados 2018 acrescenta algumas disposições específicas da Irlanda. Por exemplo, a Seção 61 da Lei permite que um controlador se recuse a cumprir um DSAR, quando o pedido envolveria a divulgação de informações relativas a outro indivíduo, a menos que esse indivíduo tenha consentido ou seja razoável cumprir sem o seu consentimento. A Lei também prevê isenções para certos tipos de processamento, como pesquisa, arquivo e prevenção de crimes, embora estas devem ser aplicadas de forma restrita.

O Direito a uma Cópia e a Maneira de Resposta

Nos termos do n.o 3 do artigo 15.o, o responsável pelo tratamento deve fornecer uma cópia dos dados pessoais em tratamento. A primeira cópia é gratuita; uma taxa razoável só pode ser cobrada para cópias subsequentes ou para pedidos manifestamente infundados ou excessivos. Os dados devem ser fornecidos de forma concisa, transparente, inteligível e facilmente acessível, utilizando linguagem clara e simples. Sempre que possível, os dados devem ser fornecidos eletronicamente em formato comumente utilizado, como um arquivo PDF, CSV ou JSON.

Como enviar um DSAR na Irlanda

Qualquer indivíduo pode fazer um DSAR diretamente para uma organização. Não há nenhuma forma específica ou frase mágica necessária – um e-mail simples ou carta escrita que indique claramente que o pedido é suficiente. No entanto, para garantir que o pedido seja processado de forma eficiente, é melhor:

  • Se for caso disso, dirija-se ao responsável pela proteção de dados da organização (DPO) ou à pessoa designada para o contacto com a proteção de dados.
  • Fornecer dados pessoais suficientes para que a organização possa verificar a identidade (por exemplo, nome completo, endereço de e-mail, número de conta ou número de referência).
  • Especificar o tipo de dados ou o período de tempo de interesse, especialmente se a organização tiver um grande volume de dados (por exemplo, “todos os dados pessoais tratados entre janeiro de 2023 e janeiro de 2024”).
  • Indicar um formato preferencial para a resposta (por exemplo, electrónica ou papel).

A organização pode solicitar prova de identidade adicional antes de responder, o que é admissível enquanto o pedido for proporcional. Por exemplo, pedir uma cópia de passaporte é razoável; pedir um documento original que seja caro de obter pode ser considerado excessivo. A organização também deve confirmar o recebimento do DSAR e explicar os próximos passos, incluindo o calendário esperado.

O que as organizações devem fazer quando recebem um DSAR

Uma vez recebido um DSAR, a organização (o responsável pelo tratamento de dados) deve agir sem demora injustificada e, em qualquer caso, no prazo de um mês a contar da data de recepção. O relógio começa a marcar no dia em que o pedido chega – se a organização precisar de verificar a identidade, o calendário é pausado até que a verificação esteja concluída. O período de um mês pode ser prorrogado por mais dois meses, quando o pedido for complexo ou quando o titular dos dados tiver feito vários pedidos. Se for necessário uma extensão, a organização deve informar o titular dos dados no primeiro mês, explicando as razões do atraso.

Aqui estão as etapas essenciais para o manuseio de um DSAR na Irlanda:

  • Validar o pedido: Confirme que é de fato um DSAR e que o solicitante se identificou.
  • Verificar identidade: Use medidas razoáveis para garantir que a pessoa que faz o pedido seja quem ela afirma ser. Isto pode envolver verificar registros internos, pedir um passaporte ou usar autenticação de dois fatores.
  • Procurar os dados: Localizar todos os dados pessoais mantidos em toda a organização – não apenas no sistema de TI primário, mas também em e-mails, armazenamento em nuvem, arquivos, backups (se recuperável), arquivos de papel, imagens de CCTV e quaisquer sistemas de terceiros utilizados.
  • Revisão e redação: Antes de divulgar, reveja os dados para remover quaisquer dados pessoais de terceiros que não possam ser legalmente compartilhados, ou qualquer informação que possa prejudicar uma investigação criminal ou um processo judicial. A organização deve equilibrar o direito de acesso do titular dos dados contra os direitos de terceiros.
  • Fornecer a resposta: Enviar os dados em formato claro, juntamente com as informações suplementares exigidas pelo artigo 15.o Incluir uma carta de apresentação que explique o que foi fornecido e quaisquer isenções invocadas.
  • Documento tudo: Mantenha um registro interno do DSAR, os passos dados e a lógica para quaisquer decisões. Isso é vital para a responsabilização e para defender qualquer reclamação ao DPC.

Desafios na manipulação de DSARs

Os DSAR podem ser intensivos em recursos, especialmente para organizações com ecossistemas de dados em expansão, sistemas legados ou alta rotatividade de pessoal.

  • Descobrimento de dados: Os dados pessoais podem ser espalhados por várias bases de dados, unidades compartilhadas, contas de e-mail e até mesmo plataformas de chat internas. Sem o mapeamento adequado dos dados, localizar os dados relevantes pode levar semanas.
  • Volume e complexidade:] Um único DSAR pode envolver milhares de documentos. Revisão, redireccionamento e colagem deste material dentro de um mês é muitas vezes extremamente difícil.
  • Dados de terceiros: A divulgação dos dados de uma pessoa pode revelar inadvertidamente informações sobre outra pessoa (por exemplo, salário de um colega ou reclamação de um cliente). A organização deve decidir se deve redigir, reter ou solicitar consentimento.
  • Pedidos manufacturamente infundados ou excessivos: O GDPR permite que uma organização recuse ou recarregue uma taxa razoável para pedidos manifestamente infundados ou excessivos. No entanto, o ónus da prova recai sobre a organização, e a barra é elevada. O DPC espera que os controladores mostrem provas concretas de abuso, não apenas inconvenientes.
  • Requisitos transfronteiriços: Se o titular dos dados se basear noutro país da UE, a organização deve continuar a cumprir e pode ter de coordenar com outros controladores de dados ou processadores de dados.
  • Pedidos de empregados: Os funcionários podem fazer DSARs a qualquer momento, incluindo durante os processos disciplinares ou após deixar o emprego. Estes pedidos são muitas vezes sensíveis e sensíveis ao tempo, exigindo tratamento cuidadoso para evitar conflitos com a lei do emprego.

Melhores práticas para as organizações

Para gerir eficazmente os RAD e evitar a aplicação do DPC, as organizações irlandesas deverão adotar as seguintes práticas:

1. Manter um Inventário de Dados Pessoais

Um inventário de dados ou mapa de dados que regista os dados pessoais recolhidos, onde é armazenado, que tem acesso e por quanto tempo é conservado é a única ferramenta mais útil para responder aos DSARs. Sem isso, a procura de dados torna-se uma broca de incêndio. O inventário deve ser mantido atualizado e revisto regularmente.

2. Aplicar uma Política e Procedimento DSAR

Formalizar o processo: designar um proprietário do DSAR (frequentemente o DPO), definir funções e responsabilidades, definir prazos internos (por exemplo, responder dentro de 20 dias para permitir um buffer), e criar cartas de modelo para reconhecimento, verificação de identidade, extensões e respostas finais. Treine toda a equipe que possa receber um DSAR – especialmente de linha de frente de atendimento ao cliente e equipes de RH – para que eles reconheçam um imediatamente e o enviem para a pessoa certa.

3. Use a tecnologia para automatizar as pesquisas

Ferramentas de e-descoberta de alavanca, plataformas de prevenção de perda de dados ou software de gerenciamento dedicado do DSAR para pesquisar em sistemas, sinalizar dados pessoais e automatizar a redefinição. Para organizações que usam uma moderna plataforma de dados como Directus, construir um fluxo de trabalho DSAR que consulta o banco de dados e exporta dados relevantes pode reduzir drasticamente o esforço manual. No entanto, qualquer solução automatizada deve ser testada para garantir que ele captura todos os campos relevantes.

4. Aplicar as isenções cuidadosamente

O GDPR e a Lei de Proteção de Dados de 2018 oferecem isenções limitadas ao direito de acesso – por exemplo, para proteger o privilégio profissional legal, evitar obstruir investigações criminais, ou quando os dados estão sujeitos a um acordo de confidencialidade juridicamente vinculativo. Não se baseie em isenções gerais; cada caso deve ser avaliado individualmente, e as razões para recusar ou limitar o acesso devem ser documentadas e comunicadas ao titular dos dados.

5. Comunicar Proactivamente

Se um DSAR demorar mais do que um mês, informe o titular dos dados no primeiro mês e explique porquê. Se alguns dados forem retidos, explique a base legal. Um sujeito de dados que se sinta mantido no circuito é muito menos provável que aumente uma queixa ao DPC. Por outro lado, silêncio ou não resposta é a forma mais segura de convidar o escrutínio regulatório.

6. Monitore e aprenda

Acompanhe volumes DSAR, tempos de retorno e tipos de solicitações. Use esses dados para identificar áreas de problemas recorrentes – por exemplo, se muitas solicitações se relacionam com dados de RH, considere melhorar a forma como os dados dos funcionários são organizados. Revise regularmente o processo DSAR e atualize-o de acordo com as orientações do DPC.

Desenvolvimentos recentes e Orientação do PCD

O DPC emitiu várias decisões de execução e observa que forma como os DSARs são tratados na Irlanda.

  • Orientação sobre a cobrança de taxas: O DPC afirmou que as taxas devem ser limitadas aos custos administrativos e só são permitidas para pedidos manifestamente infundados ou excessivos.Uma “taxa de administração” geral para todos os DSARs não é legal.
  • Orientação sobre a tomada de decisão automatizada: Quando um DSAR se relaciona com decisões automatizadas ou perfis, a organização deve fornecer informações significativas sobre a lógica subjacente à decisão, não apenas uma cópia dos dados. Isto é especialmente relevante para organizações que utilizam IA ou aprendizagem de máquina.
  • Acções de execução: O DPC impôs multas significativas às organizações que não responderam aos DSAR no período de um mês ou que forneceram respostas incompletas sem justificação adequada.Por exemplo, em 2023, uma grande companhia aérea irlandesa foi multada em 400 000 euros por não responderem adequadamente a múltiplos DSAR.
  • Interação com outros direitos: O DPC esclareceu que o direito de acesso não anula outras obrigações legais, tais como sigilo profissional ou pedidos de acesso de pessoas com dados feitos por outra pessoa. As organizações devem equilibrar os direitos e podem precisar de redigir ou solicitar o consentimento de terceiros.

Para as orientações mais actuais, as organizações devem consultar regularmente o sítio oficial do DPC no Dataprotection.ie e consultar as orientações da EDPB (European Data Protection Board) sobre o direito de acesso.O texto completo do GDPR está disponível no EUR-Lex[].Além disso, a Irish Data Protection Act 2018 pode ser consultada no Livro dos Estatutos da Irlanda no irishstatutebook.ie.

Por que os DSARs são importantes além da conformidade

Além da obrigação legal, um DSAR bem manejado reforça a confiança. Quando um indivíduo pergunta a uma organização “O que você sabe sobre mim?” e recebe uma resposta completa, clara e oportuna, demonstra que a organização leva a sério a privacidade. No mundo de hoje orientado por dados, essa confiança é uma vantagem competitiva. Para educadores e estudantes, entender DSARs não é apenas sobre conhecer a lei – é sobre capacitar os indivíduos a exercer seu direito fundamental de controlar suas próprias informações. Ao incorporar uma cultura de transparência e respeito aos dados pessoais, as organizações irlandesas podem construir relacionamentos mais fortes com clientes, funcionários e o público.