Pedidos de Titulares de Dados no GDPR: Direitos e Requisitos

O Regulamento Geral sobre a Proteção de Dados (GDPR) é uma lei da União Europeia que rege como as empresas podem coletar e usar os dados pessoais dos residentes da UE. Estabelece padrões que ajudam a garantir que esses dados não sejam armazenados, manipulados ou compartilhados de maneira que possa expor os indivíduos a riscos. A lei também especifica como as organizações devem responder em caso de uma data breach.

Uma característica fundamental do GDPR é que ele codifica um conjunto de direitos específicos do titular dos dados que capacitam os indivíduos a fazerem pedidos de acesso específicos às organizações. Este artigo detalha quais são esses pedidos e como sua organização é obrigada a tratá-los. Ele também oferece soluções que podem ajudá-lo a fornecer respostas prontas e precisas aos pedidos de dados do GDPR para que você possa evitar penalidades de dez milhões de euros ou mais.

Quais tipos de dados são cobertos pelo GDPR?

Sob o GDPR, os residentes da UE têm direitos específicos sobre os personal data que as organizações possuem a seu respeito. Exemplos chave de dados pessoais incluem:

• Informações básicas de identificação, como nomes e endereços
• Informações financeiras, como detalhes de contas bancárias
• Características pessoais, incluindo nacionalidade, data de nascimento e gênero
• Informações de saúde, incluindo detalhes sobre condições de saúde e deficiências
• Dados genéticos, incluindo resultados de testes de DNA e outras informações sobre a composição genética
• Informações de emprego, como números de funcionários e salários
• Identificadores online como nomes de usuário
• Dados comportamentais, incluindo detalhes sobre interesses ou atividades online
• Dados biométricos, como dados de reconhecimento facial
• Informações de localização

Quais são as etapas em uma solicitação de acesso a dados?

Quando um indivíduo faz uma solicitação de acesso a dados, o primeiro passo, claro, é a organização verificar se está armazenando ou processando quaisquer dados pessoais pertencentes a essa pessoa. Se não, eles precisam relatar essa descoberta negativa ao indivíduo, e seu trabalho está concluído.

Por outro lado, se a organização estiver armazenando ou processando dados para a pessoa, deve prosseguir para uma segunda etapa e processar o pedido específico do indivíduo. A próxima seção explica os tipos de pedidos e como lidar com eles.

Quais solicitações os indivíduos podem fazer às organizações sob o GDPR?

Aqui estão 6 tipos de solicitações que indivíduos exercendo seus direitos sob o GDPR podem fazer e o que eles significam para a sua organização.

1. Que informações vocês têm sobre mim e por quê?

Esta consulta está fundamentada em dois direitos:

• O direito de ser informado (Artigos 13 e 14). Os residentes da UE têm o direito a detalhes claros e precisos sobre quais informações pessoais uma organização coletou sobre eles, mesmo que isso signifique saber que a empresa não coletou nenhum dado sobre eles.
• O direito de acesso (Artigo 15). Eles também têm o direito de saber se e como seus dados pessoais estão sendo processados, incluindo as categorias de dados coletados, o propósito do processamento, métodos e políticas de retenção, para quem os dados são divulgados, por quanto tempo serão armazenados e de onde as informações foram obtidas.

2. Você tem informações incorretas sobre mim; eu quero que sejam corrigidas.

Este tipo de solicitação é fundamentado no direito de retificação (Artigo 16), que exige que as organizações garantam que todos os dados pessoais que armazenam sejam precisos e atualizados. Os titulares dos dados têm o direito de solicitar que dados pessoais imprecisos sejam corrigidos ou que dados incompletos sejam completados.

Para garantir a conformidade, você precisa de uma integração rigorosa em todos os seus sistemas e processos de dados, de modo que os dados atualizados em um sistema sejam automaticamente corrigidos em todos os outros locais.

Solicite uma demonstração individual: Alcançando e Comprovando a Conformidade com o GDPR

3. Não quero mais que vocês mantenham dados sobre mim. Por favor, apaguem-nos!

Este tipo de solicitação cobre dois direitos:

• O direito ao apagamento (direito de ser esquecido) (Artigo 17).Uma pessoa pode solicitar que uma organização remova suas informações pessoais de seus registros e recursos e cesse imediatamente a disseminação adicional dos dados. A empresa deve deletar todos os dados que atendam a qualquer um dos seguintes critérios:
• Foi coletado ilegalmente
• Não é mais necessário
• Foi coletado durante a infância da pessoa
• Aparece online

A organização pode negar o pedido de exclusão se isso violar qualquer um dos seguintes itens:

• O direito à liberdade e expressão
• Motivos de interesse público na área da saúde ou pesquisa científica ou histórica
• O estabelecimento, exercício ou defesa de reivindicações legais ou uma acusação legal

Note que mesmo que sua empresa tenha permissão para reter os dados de uma pessoa, você precisa obter o consentimento dela para o processamento adicional.

Leia o post do blog relacionado: O Direito de Ser Esquecido: Leis da UE e Preocupações dos EUA

• O direito à restrição do processamento (Artigo 18). Se não estiver claro se os dados de um indivíduo devem ser excluídos, a pessoa ainda pode solicitar uma restrição temporária no seu processamento até que a empresa resolva a questão, informe o indivíduo e obtenha consentimento. Cumprir com esse direito do GDPR exige uma análise caso a caso.

4. Quero transferir as informações que vocês têm sobre mim para outro provedor de serviços.

O direito à portabilidade de dados (Artigo 20) permite que residentes da UE exijam que uma empresa transfira seus dados pessoais para outro provedor de serviços. Esse direito promove a interoperabilidade ao facilitar a transferência de dados do usuário entre controladores de dados. Também incentiva a concorrência entre serviços digitais, pois os usuários podem mudar de provedores sem perder seus dados pessoais.

Cumprir com esta disposição envolve fornecer os dados em um formato estruturado e legível por máquina que você pode transmitir diretamente à outra parte.

5. Pare de me ligar!

Os indivíduos têm o direito de se opor a atividades de processamento de dados (Artigo 21), como o uso de seus dados pessoais para marketing ou outros fins. Razões válidas para negar esse tipo de solicitação incluem demonstrar qualquer um dos seguintes:

• Existe uma necessidade legítima para o processamento.
• O pedido é excessivo ou infundado.
• Os dados solicitados são utilizados para fins públicos, históricos ou estatísticos.
• Os dados solicitados foram usados ou fornecidos para o exercício de reivindicações legais.

6. Pare de permitir que seu sistema automatizado tome decisões que afetam meus interesses legais.

O GDPR também confere direitos em relação à tomada de decisão automatizada e ao perfilamento (Artigo 22). Se você possui tomada de decisão automatizada e perfilamento em vigor para dados pessoais, tem que fornecer “informações significativas sobre a lógica envolvida, bem como a importância e as consequências previstas de tal processamento para o titular dos dados.”

Os três motivos válidos para realizar processamento automático e perfilamento são:

• A pessoa deu seu consentimento.
• O processamento é necessário para a celebração ou execução de um contrato.
• O processamento é autorizado por uma lei da união ou do estado membro aplicável ao controlador.

Para evitar violações que possam resultar em multas custosas, certifique-se de que os funcionários não processem informações por meio de recursos automatizados sem verificar se há um motivo válido para isso.

Leia o post do blog relacionado: O que é GDPR: 10 Perguntas Frequentes

Como a Netwrix pode ajudá-lo a responder a solicitações do GDPR?

O software de conformidade com o GDPR da Netwrix pode garantir que você consiga lidar com todos esses tipos de solicitações de dados de forma tranquila, descobrindo todas as informações que você armazena sobre um indivíduo em apenas alguns cliques.

De forma mais ampla, as soluções da Netwrix podem ajudar sua organização a proteger todos os seus dados sensíveis e regulamentados. Você pode estabelecer uma forte governança de data governance, remover acessos inadequados, impor políticas de segurança e detectar ameaças avançadas de maneira oportuna para evitar os altos custos de violações de segurança e infrações de conformidade.

Nossa equipe de especialistas possui um sólido entendimento não apenas do GDPR, mas também do California Consumer Privacy Act (CCPA) e de muitas outras regulamentações de segurança de dados. Eles fornecem às organizações conselhos personalizados e focados para atender às suas necessidades de conformidade. Para saber mais, inscreva-se para uma demonstração ou faça o download de um mapeamento dos requisitos do GDPR e funcionalidades da Netwrix.

Perguntas Frequentes

O que é um pedido GDPR?

Pedido de acesso do titular dos dados Os requisitos do GDPR permitem que indivíduos solicitem a uma organização que forneça uma cópia dos dados pessoais que armazena sobre eles, apague seus dados, transfira os dados para outro provedor, e assim por diante. Organizações que não cumprirem esses pedidos dentro do período de tempo especificado enfrentam multas elevadas.

O que é o pedido de direito de acesso sob o GDPR?

Um right of access também é conhecido como “subject access”. Este é o direito que os indivíduos têm de acessar cópias de suas próprias informações pessoais e dados, bem como dados suplementares, sob a regulamentação de proteção GDPR. O direito é projetado para capacitar os indivíduos a saberem como e por que as organizações estão utilizando seus dados.

O que o direito de acesso inclui sob o GDPR?

As informações que os titulares dos dados têm o direito de acessar sob o GDPR incluem:

• As categorias de dados pessoais que estão sendo processados
• Por quanto tempo a organização planeja armazenar suas informações pessoais
• Os destinatários ou categorias de destinatários dos dados pessoais
• Informações sobre a origem dos dados
• A existência de qualquer processo de tomada de decisão automatizado

Se algum dado pessoal for transferido para um terceiro país sem proteção adequada, os titulares dos dados precisam ser informados sobre as salvaguardas utilizadas para proteger seus dados.

Quais são os direitos dos titulares dos dados sob o GDPR?

Nos termos do GDPR, data subjects têm certos direitos que podem exercer em relação aos seus dados pessoais. Estes direitos incluem:

• O direito de receber todas as informações coletadas sobre eles
• O direito à retificação de dados errôneos ou incompletos
• O direito de restringir o processamento dos seus dados
• O direito à portabilidade dos dados para que possam trocar de fornecedores facilmente
• O direito de não ser submetido a decisões tomadas apenas por processamento automatizado
• O direito de se opor à maneira como seus dados são armazenados ou processados
• O direito ao apagamento dos dados

As empresas precisam cumprir o GDPR?

Toda organização que armazena ou processa dados de residentes da UE deve cumprir o GDPR. O não cumprimento pode resultar em multas de até 2% do faturamento global total da empresa do ano fiscal anterior ou 10 milhões de euros, o que for maior.