A lei da privacidade dá às pessoas direitos sobre os seus dados. Os utilizadores podem pedir para ver o que recolheste, corrigir dados incorretos, eliminá-los ou transferi-los para outro lado. Estes pedidos são comuns e juridicamente vinculativos. Tens de ter processos para os tratar de forma rápida e completa. Este capítulo trata dos principais direitos dos utilizadores e de como os aplicar na prática.
Os principais direitos dos utilizadores
Direito de acesso
Os utilizadores podem pedir uma cópia de todos os dados que guardas sobre eles. Tens 30 dias (RGPD) para a fornecer. Os dados têm de estar num formato comum e portátil (CSV, PDF). Tens de incluir todos os tipos de dados: eventos de análise, informação da conta, comunicações, histórico de transações.
Isto é complexo porque os dados costumam estar espalhados por vários sistemas. Tens de consultar todos os sistemas, reunir os dados, formatá-los de forma legível e enviá-los em segurança.
Direito de retificação (correção)
Os utilizadores podem pedir a correção de dados incorretos. Se o teu sistema mostra o nome de um utilizador como “Jhn” em vez de “John”, ele pode pedir a correção. Tens de a fazer depressa. Aplica-se a quaisquer dados que o utilizador conteste como incorretos.
Direito ao apagamento (eliminação)
Tratado no capítulo anterior. Os utilizadores podem pedir a eliminação dos seus dados. Tens 30 dias para cumprir (com exceções para obrigações legais).
Direito à limitação do tratamento
Os utilizadores podem pedir-te que limites a forma como usas os seus dados. Exemplo: “Não uses os meus dados para marketing, mas podes guardá-los para a gestão da conta.” Tens de respeitar esta limitação e marcar os dados como limitados nos teus sistemas.
Direito à portabilidade dos dados
Os utilizadores podem pedir os seus dados num formato que possam levar para outra empresa. É especialmente importante para quem muda de serviço. Tens de fornecer os dados num formato estruturado e de uso comum (JSON, CSV). Os dados têm de ser legíveis por máquina para poderem ser importados noutro lado.
Direito de oposição
Os utilizadores podem opor-se ao tratamento dos seus dados para certas finalidades. Se usas os dados para marketing, podem opor-se. Tens de parar, a não ser que tenhas um motivo legal imperioso para continuar.
Direitos relacionados com decisões automatizadas
Se usas algoritmos para tomar decisões sobre utilizadores (decisões de crédito, elegibilidade para serviços), os utilizadores têm direito a perceber como a decisão foi tomada e a pedir revisão por uma pessoa. Isto vai além da análise, mas vale a pena saber.
Criar um fluxo para pedidos de acesso a dados
Passo 1: criar um mecanismo de pedido
Dá aos utilizadores uma forma fácil de enviar pedidos. Opções: um formulário web, um endereço de email (data-requests@yourcompany.com) ou um portal de autosserviço nas definições da conta. Torna-o fácil de encontrar (ligação no rodapé, na política de privacidade e nas definições da conta).
Passo 2: verificar a identidade
Confirma que o pedido vem do utilizador real ou de um representante autorizado. Pede confirmação por email, verificação da palavra-passe ou verificação de documento de identificação oficial (conforme a sensibilidade). Não queres enviar dados pessoais a alguém que se faz passar por outra pessoa.
Passo 3: identificar que dados fornecer
Consulta todos os sistemas onde existem dados do utilizador: contas, análise, apoio, listas de email, CRM, cópias de segurança. Reúne tudo. Inclui: emails enviados ao utilizador, envios de formulários, pedidos de apoio, compras, eventos de rastreamento, preferências, histórico de comunicação.
Sê completo. Uma infração comum: fornecer alguns dados, mas não todos. Se uma autoridade investigar e encontrar dados que não divulgaste, é um problema.
Passo 4: formatar de forma legível
Fornece os dados num formato claro. Cópias em bruto da base de dados não são aceitáveis. Cria um documento estruturado: primeiro a informação da conta, depois os eventos, depois as comunicações. Usa tabelas e títulos claros. Se o utilizador precisar de portabilidade, fornece um formato que possa importar (JSON, CSV).
Passo 5: transmitir em segurança
Não envies dados pessoais por email sem encriptação. Usa um serviço seguro de transferência de ficheiros (ligação de descarga segura que expira, email encriptado, SFTP). Confirma a receção.
Passo 6: documentar
Regista o pedido: quando foi recebido, quando foi tratado, que dados foram fornecidos, como foram enviados. É a tua prova de conformidade se as autoridades investigarem.
Tratar pedidos em grande escala
Automático ou manual
Para empresas pequenas, tratar os pedidos à mão é viável. Para empresas com milhões de utilizadores, precisas de automação. Constrói um sistema que: recebe pedidos, verifica a identidade, consulta bases de dados, formata os dados e entrega-os, tudo com pouco trabalho manual.
Modelos e listas de verificação
Cria modelos de resposta: “Recebemos o teu pedido em [date]. Aqui estão os teus dados...” Cria listas de verificação: dados da conta, feito; análise, feito; apoio, feito. As listas de verificação evitam omitir tipos de dados por engano.
Erros comuns no tratamento de pedidos de dados
Não responder a tempo: O limite de 30 dias não é opcional. Falhá-lo é uma infração. Define lembretes e acompanha os prazos.
Fornecer dados incompletos: Se forneces alguns dados mas não todos, não estás em conformidade. Garante que a tua consulta abrange todos os sistemas.
Má formatação: Fornecer dados em bruto da base de dados não cumpre as regras. Formata os dados de forma legível.
Não verificar a identidade: Enviar dados pessoais a quem se faz passar por outra pessoa cria responsabilidade. Verifica sempre.
Ignorar pedidos posteriores: Se o mesmo utilizador fizer vários pedidos, trata cada um. Não presumas que os pedidos anteriores cobrem o novo.
Cobrar taxas: O RGPD só permite cobrar se os pedidos forem manifestamente infundados ou excessivos. Não uses taxas para desencorajar pedidos legítimos.
Direitos dos utilizadores e operações do negócio
Tratar pedidos de dados é uma carga operacional. Mas as empresas que respeitam os direitos dos utilizadores criam confiança, evitam coimas, atraem clientes preocupados com a privacidade e atraem talento (os funcionários valorizam trabalhar para empresas éticas). O custo operacional é um investimento em cultura e conformidade.
Incluir os direitos dos utilizadores no desenho do produto
A abordagem mais inteligente: incluir os direitos dos utilizadores no produto desde o início. Dá aos utilizadores um portal de autosserviço onde possam: ver os seus dados, descarregá-los, eliminá-los e alterar preferências. Isto reduz a carga de apoio e dá poder aos utilizadores. A maioria das aplicações modernas tem isto (definições da conta, exportação de dados, botões de eliminar a conta).
Qual é uma lista de verificação sistemática para garantir que incluo todos os dados de um utilizador na minha resposta?
Cria um inventário: (1) Sistemas de contas (email, nome, telefone, preferências). (2) Análise (eventos, datas e horas, informação do dispositivo, localização). (3) Comunicações (emails enviados, pedidos de apoio, registos de conversas). (4) Transações (compras, reembolsos, pagamentos falhados). (5) Dados de terceiros (dados partilhados com fornecedores). Consulta cada sistema pelo ID do utilizador. Não dependas de pesquisas manuais; automatiza. Documenta o que consultaste e quando.
Qual é a melhor forma de formatar e entregar uma resposta a um pedido de acesso a dados?
Cria um documento PDF ou HTML com secções: «As tuas informações de conta», «A tua atividade», «Comunicações». Usa tabelas para os eventos (data, ação, detalhes). Nos pedidos de portabilidade, fornece também CSV ou JSON. Usa entrega segura: ligação de descarga protegida por palavra-passe (expira em 14 dias), email encriptado ou serviço seguro de transferência de ficheiros. Confirma a receção com o utilizador. Guarda uma cópia do método de entrega para os registos de conformidade.
Quando posso cobrar a um utilizador um pedido de acesso a dados e quanto?
RGPD: só podes cobrar se o pedido for «manifestamente infundado ou excessivo» (muito raro). Em geral é grátis. CCPA: apenas taxas razoáveis. Na prática: não cobres o primeiro pedido; cobra só pedidos repetidos do mesmo utilizador num curto espaço de tempo (acima do limite de pedidos frívolos). Responde sempre ao primeiro pedido sem custos. Comunica a política com antecedência na política de privacidade.
Como trato dados que realmente não consigo localizar e preciso de continuar a procurar?
Pesquisa razoável: consulta todos os sistemas em uso que controlas e verifica as cópias de segurança, se estiverem acessíveis. Se os dados não existirem nos teus sistemas principais, estás em conformidade. Se encontrares dados parciais (há análise, mas não informação da conta), documenta que sistemas verificaste. Envia ao utilizador: «Pesquisámos [lista de sistemas] e encontrámos [X]. Não encontrámos dados em [sistemas Y] porque [motivo].»
Qual é o processo legal para tratar pedidos feitos por alguém em nome de um utilizador?
Passo 1: pede à pessoa autorizada uma autorização escrita do utilizador (documento de identificação autenticado para menores ou incapacidade). Passo 2: confirma que o signatário é quem diz ser (compara com o documento de identificação). Passo 3: confirma que a autorização cobre o tipo de pedido (acesso, eliminação, etc.). Passo 4: responde à pessoa autorizada ou ao utilizador (verifica a jurisdição: algumas exigem cópia para o utilizador). Guarda a autorização no teu processo.
Qual é o meu plano de ação se neste momento não estou a cumprir os prazos dos pedidos de dados?
De imediato: (1) Encontra todos os pedidos pendentes e prolonga o prazo em 30 dias, com explicação. (2) Cria um sistema de acompanhamento de pedidos (uma folha de cálculo, no mínimo; uma ferramenta de pedidos de privacidade, em escala). (3) Atribui um responsável (uma pessoa responsável). (4) Define um prazo interno de 20 dias (10 dias de margem antes do prazo legal de 30 dias). (5) Documenta o processo: pedido recebido → pesquisa nos sistemas → formatar a resposta → entregar. Testa primeiro com um pedido simulado.