Ne me quitte pas, il faut oublier

A partir de 25 de Maio de 2018, com o início da aplicação do Regulamento Geral sobre a Protecção de Dados (“RGPD”) será possível apagar o passado, tendo em conta que se prevê expressamente o direito do titular ao apagamento dos seus dados?

Quem nunca desejou poder recorrer ao pequeno gadget que os Men in Black utilizavam para apagar a memória das pessoas que tinham visto mais do que era suposto? Acredito que a maioria de nós.

Ora, com a aplicação do RGPD, os titulares dos dados terão direito a que os seus dados pessoais sejam “apagados” e deixem de ser objecto de tratamento (i) se deixarem de ser necessários para a finalidade para a qual foram recolhidos ou tratados, (ii) se retirarem o seu consentimento ou se opuserem ao tratamento de dados pessoais que lhes digam respeito (iii) ou se o tratamento dos seus dados pessoais não respeitar o disposto no RGPD.

Ou seja, sempre que qualquer empresa responsável pelo tratamento de dados pessoais receba um pedido de esquecimento terá de fazer uma análise casuística por forma a aferir, por um lado, se a fundamentação do referido pedido é legítima e se, por outro, o exercício desse direito pelo titular compromete o cumprimento de obrigação legal ou interesse legítimo do responsável pelo tratamento. Esta análise sobretudo quando feita por parte de entidades que realizem um tratamento massivo de dados pessoais não será tão fácil de implementar como possa parecer aos mais desatentos.

Como implementar, então, o direito ao apagamento no contexto empresarial quando, de acordo com o RGPD, o direito ao apagamento pode nem sequer implicar a eliminação dos dados pelos responsáveis do tratamento? De facto, as decisões judiciais existentes sobre a matéria (num contexto aplicável aos motores de busca) não vão no sentido da eliminação definitiva dos dados do titular, impondo apenas que o caminho até essas fontes seja vedado. O mais defensável será, então, que após um pedido desta natureza, a referida empresa elimine os acessos a essa informação, conservando-a apenas como mera referência histórica, porventura numa camada quase inacessível das suas plataformas digitais internas.

Passando para um caso concreto: um ex-cliente de uma empresa exerce o seu direito exigindo o apagamento dos seus dados pessoais. Mesmo que já tenham sido ultrapassados os prazos de conservação legal pela empresa responsável pelo tratamento, não seria razoável que essa empresa mantivesse esses dados para fins históricos de modo a que, caso o ex-cliente volte a celebrar um contrato com a referida empresa passados 20 anos a empresa tenha conhecimento de que se trata de um ex-cliente?

De facto, o ex-cliente deverá ser efectivamente esquecido, mas o apagamento total da sua existência dificilmente ocorrerá quando ponderados todos os factores. Ou seja, o responsável pelo tratamento terá obrigatoriamente de adoptar medidas técnicas razoáveis, considerando a tecnologia e os meios disponíveis para suprimir quaisquer ligações a esses dados pessoais.

Apesar de faltarem poucas semanas para o início da aplicação do RGPD, existem ainda muitas questões por definir e esclarecer. Por exemplo, de que modo as empresas conseguirão comprovar perante o titular dos dados que procederam ao cumprimento do seu pedido? Quando o responsável pelo tratamento se trata de um motor de busca, a resposta é de fácil verificação pelo titular dos dados, mas a aplicação deste direito ao contexto empresarial não será tão líquida.

Assim, esperamos ansiosamente que esta e outras matérias sejam concretizadas, por forma a que, tanto os titulares de dados pessoais possam legitimamente exercer os seus direitos, como os responsáveis pelo respectivo tratamento zelar pelos seus interesses.

Nessa concretização, deverá ser tido em conta que desde o início do processo de adopção do RGPD (há alguns anos atrás) a tecnologia avançou drasticamente no campo da recolha de dados pessoais. Actualmente, a título de exemplo, a maioria das mais recentes câmaras de videovigilância, consegue rapidamente fazer correspondências e identificar se reconhece determinada pessoa ou se é a primeira vez que recolhe a sua imagem, sem necessidade de qualquer software adicional. Estes são efectivamente avanços tecnológicos importantíssimos, mas de difícil enquadramento, caso não se proceda à adaptação do RGPD à realidade tecnológica actual.

Dificilmente podemos considerar que a 25 de Maio de 2018 entraremos num estado de oblivion completo. No entanto, será sempre útil poder usar o direito a sermos esquecidos no contexto do marketing directo de empresas das quais não somos clientes. E assim, tal como uma relação antiga, a informação será esquecida, apesar de permanecer para sempre gravada nos confins mais profundos da memória.

Nota: O autor escreve segundo a ortografia anterior ao acordo de 1990.