O direito a sermos esquecidos

O direito ao apagamento dos dados (<<o direito a ser esquecido>>) previsto no Artigo 17º do Regulamento Europeu N.º 2016/794, de 11 de maio de 2016, dá ao titular dos dados o direito de obter do responsável pelo tratamento o apagamento dos seus dados pessoais, sem demora injustificada, e este tem a obrigação de apagar os dados pessoais, sem demora injustificada desde que não prevaleça alguma obrigação de força maior que obrigue o responsável a reter e a continuar a tratar esses dados tal como previsto nesse artigo.

Por imposições legais anteriores a este regulamento, a Google disponibilizou este serviço aos utilizadores das suas aplicações, contudo achou que só deveria “esquecer” aquilo que estava relacionado com o titular dentro do seu país e dentro do enquadramento legal desse país, não sendo neste caso um “esquecimento” universal. Esta decisão acabou por desencadear uma batalha legal sobretudo com França. A dada altura a Google só tinha aceite cerca de metade das centenas de milhares de pedidos que recebeu.

As empresas com uma actividade mais localizada, menos universais, terão aqui aparentemente o trabalho facilitado, contudo não deixará de ser complexo o tratamento de pedidos destes para organizações que não têm recursos suficientes e com as competências adequadas para avaliar o pedido, analisar tudo o que está em causa, decidir a aceitação ou não aceitação do pedido, comunicar a decisão devidamente fundamentada ao titular de dados e defender essa fundamentação caso o titular não aceite a decisão por parte do responsável pelo tratamento.

Ainda que aceite o pedido, como vai o responsável pelo tratamento de facto “esquecer” o titular de dados? Terá que remover e destruir todas as referências a este titular no seu sistema de informação (seja físico, seja lógico) ou no mínimo anonimizar os dados que permitam de certa forma identificar esse titular e deverá parar com qualquer tratamento de dados que envolva esse titular.

Para que este processo seja mais ágil é importante que cada empresa e organização tenha um registo de todos os dados pessoais que usa no âmbito das suas actividades, da localização desses dados dentro e fora da organização, da sua finalidade e dos tratamentos que efectua com esses dados e por quanto tempo é que essa retenção e esses tratamentos serão lícitos.