Direito a ser esquecido. Até que ponto nos podemos apagar da internet?

O direito a ser esquecido é o direito do cidadão poder eliminar os seus dados pessoais da internet — uma tarefa que à partida pode parecer impossível. Mas não. Com o Regulamento Geral de Proteção de Dados (RGPD), que a partir de 25 de maio passa a ser aplicado, esse direito passa a ser uma realidade. A pouco mais de um mês de entrar em vigor, tentamos perceber os contornos desta nova diretiva polémica, os seus “efeitos secundários” e como afeta as empresas.

O RGPD veio dar novas luzes àquilo que significa proteção e tratamento de dados pessoais. Antes disso, estas matérias estavam apenas abrangidas por uma diretiva datada de 1995. Muita coisa mudou em mais de duas décadas — a realidade dos dias de hoje coloca o acento tónico na nossa identidade virtual. E uma questão importante emergiu: será possível apagar-se dados pessoais dos motores de busca como o Google?

Conversámos com dois estudantes da Faculdade Nova de Direito, Francisco Arga e Lima e António Novais, autores de um artigo de investigação sobre o tema, que mereceu uma menção honrosa do Prémio Pessoa Jorge, promovido pela SRS Advogados e pela Lexdebata. Em “Direito a ser esquecido — um conceito em construção”, explicam de que forma este direito tem sido debatido largamente pela Europa e como tem evoluído. “Partimos da decisão do Tribunal de Justiça da União Europeia (TJUE) quanto ao caso Google Spain, de 2014, analisámos decisões posteriores, se o direito a ser esquecido implica um apagamento total em todos os domínios da Google ou só nos do país em questão ou na Europa, ou se podemos usar outros meios de supressão de dados –como o geoblocking, por exemplo”, contam.

Foi precisamente a partir do caso Google Spain de 2014 que este direito emergiu: quando Mario Costeja González quis eliminar a ligação do seu nome a um anúncio publicado no jornal La Vanguardia, em 1998, pelo Ministério do Trabalho e dos Assuntos Sociais. A notícia dava conta de um leilão de imóveis para o pagamento de dívidas à Segurança Social, em que ele era um dos devedores.

O espanhol exigiu que se eliminasse a referência ao tal anúncio, que aparecia nos resultados de pesquisa no Google quando se procurava o seu nome, alegando que estava a ser infringido o direito à privacidade, algo com que o tribunal concordou. González também pretendia que o jornal eliminasse o anúncio, mas o tribunal não lhe deu razão nesse caso, defendendo a liberdade de imprensa.

Contudo, e como Francisco e António ressalvam, a decisão afeta os resultados obtidos nas pesquisas feitas mediante o nome da pessoa, não implica que a página deva ser eliminada no motor de busca nem da fonte original. Ou seja, o link apenas deixa de ser visível quando a pesquisa é realizada através do nome da pessoa que exerceu o seu direito, mas ele continua a ser acessível se se pesquisar por outros termos. “É difícil dizer que o direito a ser esquecido no regulamento seja o mesmo direito que foi invocado no caso da Google Spain. No nosso artigo chegámos à conclusão de que não era, porque aqui o Tribunal diz que o titular dos dados tem direito a que estes sejam suprimidos, ou seja, quando se pesquisa o nome do visado já não aparecem os resultados no primeiro ranking, é preciso pesquisar por outros termos para se lá chegar, mas eles continuam lá. No RGPD consagra-se que este direito envolve apagar mesmo os dados, vai um pouco mais além. Neste caso é só como um direito a ser suprimido”, explicam.

Imaginando uma situação em que um titular de dados na UE, vamos supor português, exerce o seu direito a ser esquecido, pedindo que os seus dados sejam removidos, o que a Google faz é eliminar esses dados do domínio da Google.pt. Estes mesmos dados continuam disponíveis se forem acedidos a partir de outro domínio, como o Google.com.

Outro ponto crucial prende-se com a extraterritorialidade: “imaginando uma situação em que um titular de dados na UE, vamos supor português, exerce o seu direito a ser esquecido, pedindo que os seus dados sejam removidos, o que a Google faz é eliminar esses dados do domínio da Google.pt”.

Ou seja, estes mesmos dados continuam disponíveis se forem acedidos a partir de outro domínio, como o Google.com, o que não solucionava o problema de quem recorre a este direito. Para chegar a consenso, a Google adotou um sistema de geolocalização: “dependendo do local onde se pesquisa os dados, a Google não permite que estejam disponíveis os que a ordem jurídica não permite”, por outras palavras, se ficarem eliminados do domínio europeu, nada impede que não sejam acedidos a partir dos EUA. “Assim, não se prejudicam os direitos da UE, neste caso o direito a ser esquecido, e portanto os cidadãos não acedem. Os cidadãos dos EUA, que não consagram esse direito, continuam a aceder livremente”, explicam os jovens.

Para chegar a consenso, a Google adotou um sistema de geolocalização. Dependendo do local onde se pesquisa os dados, a Google não permite que estejam disponíveis os que a ordem jurídica não permite. Por outras palavras, se ficarem eliminados do domínio europeu, nada impede que não sejam acedidos a partir dos EUA. Assim, não se prejudicam os direitos da UE, neste caso o direito a ser esquecido, e portanto os cidadãos não acedem. Os cidadãos dos EUA, que não consagram esse direito, continuam a aceder livremente.

Do seu trabalho, concluem que o direito a ser esquecido “está ainda em construção, requerendo ainda alguns esforços legislativos e jurisprudenciais de modo a definir bem os seus contornos. Desde 2014 que se tentam colmatar algumas das suas incertezas, mas agora teremos de continuar atentos a futuros desenvolvimentos, com a aplicação do RGPD este ano”, comentam.

Direito à privacidade versus liberdade de expressão

Este tema levanta problemas como: “será que está a pôr em causa a liberdade de expressão? Será que a privacidade está morta? O direito a ser esquecido é baseado no direito à privacidade e do outro lado temos o direito de expressão e de informação: e os dois entram aqui em confito. O TJUE já afirmou várias vezes que existem mecanismos de conciliação entre os dois direitos, mas isto tem de ser feito de forma casuística, ou seja, depende de cada caso em concreto”. Os dois jovens explicam que um dos critérios é se a pessoa em questão é uma figura pública: “se for uma figura pública o direito à liberdade de expressão em princípio há-de prevalecer.

Se forem dados sensíveis da esfera pessoal de alguém em causa, é possível que o direito à privacidade prevaleça. Por exemplo, no caso da Google Spain os dados eram relevantes para explicar a situação da pessoa em causa, daí que não tenha feito sentido apagá-los”. Defendendo o ajuste de equilíbrio entre os dois direitos, fica certo que cada caso é um caso. “Não significa que se tenha de colocar completamente de parte a privacidade ou a liberdade de expressão. Porque o problema central no direito a ser esquecido é “o duelo entre proteção de dados e interesses económicos, e não entre a proteção de dados e a liberdade de expressão”, rematam.

As empresas e o novo RGPD: como ser-se “esquecido” do trabalho?

À Advocatus Simão Sant’Ana, associado da Abreu Advogados, explica que na prática a consagração legal do direito ao esquecimento “vai exigir que as empresas adotem procedimentos internos que assegurem que a informação de cariz pessoal e os dados pessoais que detêm sobre os seus trabalhadores, clientes e fornecedores (pessoas singulares) sejam apagados quando a finalidade para a qual os dados foram recolhidos se esgote”.

Com a cessação do contrato de trabalho esgota-se a finalidade para a qual o empregador até então processava os dados do trabalhador, mas deverá o empregador proceder ao apagamento imediato de tais dados? Não. Tendo em conta que o trabalhador tem até um ano para impugnar o seu despedimento, será da mais elementar prudência guardar tais dados pelo menos durante um ano após a cessação do contrato de trabalho.

O advogado da Abreu salienta que esta não será uma missão fácil, pois “o esgotamento da finalidade da recolha dos dados terá de ser articulado com o prazo legal aplicável ao cumprimento da obrigação de retenção de informação/documentação que recai sobre a empresa” e exemplifica: “com a cessação do contrato de trabalho esgota-se a finalidade para a qual o empregador até então processava os dados do trabalhador, mas deverá o empregador proceder ao apagamento imediato de tais dados? Não. Tendo em conta que o trabalhador tem até um ano para impugnar o seu despedimento, será da mais elementar prudência guardar tais dados pelo menos durante um ano após a cessação do contrato de trabalho — isto sem prejuízo de outros prazos particularmente aplicáveis a matérias concretas como o registo das horas de trabalho ou aos processos de seleção e recrutamento, casos em que a própria lei estipula um prazo de conservação de cinco anos”.

Já Daniel Reis, sócio da PLMJ, vem dizer que as empresas devem implementar várias medidas para proteger a privacidade das pessoas: trabalhadores, clientes e fornecedores. “Uma abordagem global que olha para a tecnologia, os processos e as pessoas é fundamental para conseguir cumprir as exigentes obrigações previstas no RGPD”. Reforça, contudo, que o direito ao esquecimento não é absoluto: “há importantes exceções onde a empresa tem a obrigação ou o direito de não apagar os dados do trabalhador”.

Apenas um número muito reduzido de empresas portuguesas está preparada para o novo RGPD e um número muito relevante ainda não percebeu o impacto das novas regras.

Desafios às leis e às empresas portuguesas

Segundo Daniel Reis, apenas um número muito reduzido de empresas portuguesas está preparada para o novo RGPD. “Várias estão a trabalhar nesse sentido e um número muito relevante ainda não percebeu o impacto das novas regras”. Um estudo da consultora KPMG, de março de 2017, dava conta de que, das 100 organizações portuguesas que participaram, apenas 23% cumpriam de forma integral os requisitos definidos pelo RGPD em matéria de consentimento de recolha de dados pessoais e apenas 15% instituíam práticas que asseguram o direito ao esquecimento.

Quanto à legislação portuguesa nesta matéria, Simão Sant’Ana diz que “não basta apenas remeter para a legislação de proteção de dados pessoais, como o Código do Trabalho o faz no n.º 4 do artigo 17.º, efetivamente falta clarificar o âmbito de aplicabilidade do direito ao esquecimento perante os diferentes tipos de titulares de dados: clientes, utentes e trabalhadores, sob pena de criarmos ainda mais dúvidas sobre uma matéria que per si já é complexa”, remata.