Caso de uso · Caso de uso · EPD
Pedidos de acesso a dados: entregar a cópia e proteger terceiros
Equipa Anonimatum
Em resumo
O artigo 15.º do RGPD obriga a entregar ao titular uma cópia dos seus dados no prazo de um mês, sem prejudicar os direitos de terceiros (art. 15.º, n.º 4). A solução: entregar tudo e ocultar apenas o que pertence a outros.
Um antigo trabalhador pede «todos os dados que têm sobre mim». Uma utente quer cópia do seu processo clínico. Um cliente em litígio solicita os e-mails em que se falou dele. Para o responsável pelo tratamento, cada um destes pedidos é um exercício do direito de acesso do artigo 15.º do RGPD, com prazo legal e um risco menos evidente: os dados do requerente quase nunca aparecem sozinhos. Estão misturados com nomes de colegas, outros utentes, fornecedores ou testemunhas.
Esta página explica o que a lei exige, como organizar a resposta dentro do prazo e como preparar uma cópia útil sem revelar dados de terceiros. É um guia prático e não aconselhamento jurídico: em casos duvidosos, consulte o seu encarregado da proteção de dados.
O que o artigo 15.º do RGPD obriga a entregar
O direito de acesso tem três camadas: a confirmação de que os dados são tratados, o acesso aos dados através de uma cópia e as informações sobre o tratamento (finalidades, categorias, destinatários, prazo de conservação, origem, decisões automatizadas e direito de apresentar reclamação à CNPD). A primeira cópia é gratuita; só por cópias adicionais pode ser cobrada uma taxa razoável.
As Diretrizes 01/2022 do Comité Europeu para a Proteção de Dados esclarecem que a cópia deve ser completa, salvo se o titular limitar o pedido, e que não se pode exigir justificação. O Tribunal de Justiça da UE, no processo C-307/22 (acórdão de 26 de outubro de 2023), decidiu que o paciente tem direito a uma primeira cópia gratuita do seu processo clínico, mesmo que a pretenda usar para fins alheios à proteção de dados.
Prazos: um mês, prorrogável por dois
O artigo 12.º, n.º 3, fixa um mês a contar da receção. O prazo pode ser prorrogado por mais dois meses em pedidos complexos ou numerosos, informando o titular no primeiro mês e indicando os motivos. Atenção à distinção: o acesso a documentos administrativos por terceiros rege-se pela Lei 26/2016 (LADA) e pode ser apreciado pela CADA; o pedido do próprio titular sobre os seus dados segue o RGPD e a Lei 58/2019, com a CNPD como autoridade de controlo.
O limite do artigo 15.º, n.º 4: os direitos de outras pessoas
Segundo o artigo 15.º, n.º 4, o direito de obter cópia não prejudica os direitos e liberdades de terceiros. O Comité Europeu sublinha que este limite não justifica uma recusa em bloco: é preciso ponderar caso a caso e, sempre que possível, entregar o documento ocultando apenas o que prejudicaria outras pessoas.
- E-mails internos: nomes, endereços e assinaturas de colegas que não são o requerente.
- Processos clínicos: informações prestadas por familiares e dados de outros utentes.
- Processos disciplinares ou denúncias: identidade de denunciantes e testemunhas.
- Apoio ao cliente: dados de outros clientes em reencaminhamentos ou capturas de ecrã.
- Segredos comerciais e propriedade intelectual, referidos no considerando 63.
Um fluxo de trabalho para cumprir o prazo
Do registo do pedido à entrega
- Registar a data de receção e calcular o fim do prazo de um mês.
- Verificar a identidade apenas em caso de dúvida razoável, sem pedir dados excessivos.
- Identificar as fontes: recursos humanos, CRM, processo clínico, caixas de correio, pastas partilhadas, arquivo em papel.
- Extrair os documentos e e-mails relevantes com os respetivos anexos.
- Assinalar os dados de terceiros e aplicar a ponderação do artigo 15.º, n.º 4, registando o critério.
- Produzir a cópia com os dados de terceiros ocultados ou pseudonimizados e sem metadados desnecessários.
- Juntar as informações do artigo 15.º, n.º 1.
- Enviar por um canal seguro e conservar prova da resposta.
E-mails e anexos
O correio eletrónico é normalmente a fonte mais trabalhosa: cabeçalhos com dezenas de destinatários, cadeias reencaminhadas e anexos em PDF, Word ou Excel. Imprimir e riscar cada mensagem à mão demora dias e deixa falhas, sobretudo nos cabeçalhos. É mais rápido exportar as mensagens em .eml ou Outlook .msg e tratá-las em lote; veja o guia para anonimizar e-mails e anexos.
Ocultar ou pseudonimizar: manter a cópia compreensível
Se uma cadeia de vinte e-mails chega com todos os nomes alheios tapados a negro, o requerente não percebe se duas mensagens foram escritas pela mesma pessoa. A pseudonimização coerente resolve isto: cada terceiro recebe sempre o mesmo substituto («Pessoa A», «Pessoa B»). A diferença face à anonimização está explicada na entrada pseudonimização.
| Técnica | Quando usar | Risco a vigiar |
|---|---|---|
| Ocultação irreversível | Dados sem interesse para o requerente (telefones, moradas, NIF de terceiros) | Texto que continua por baixo da caixa negra no PDF |
| Substituição coerente | Cadeias de e-mail e processos com vários intervenientes | Contexto que permite deduzir quem é quem |
| Exclusão de documento | Documentos só com dados de terceiros | Fundamentar e registar a decisão |
Como o Anonimatum ajuda
O Anonimatum deteta com IA própria, executada em servidores na União Europeia, nomes, organizações, moradas, datas e montantes e, através de padrões, e-mails, telefones, IBAN e números de identificação. Num pedido de acesso, a função decisiva é a lista branca: acrescenta-se o nome, o e-mail e o NIF do requerente para que os seus dados permaneçam visíveis enquanto os dos outros são ocultados. Tudo é pré-visualizado e revisto antes de aplicar.
- Desde a versão 1.9.0 trata e-mails .eml e Outlook .msg: cabeçalhos, assunto, corpo e anexos compatíveis, com o mesmo substituto para o mesmo dado. Os anexos que não podem ser anonimizados nunca são incluídos.
- A pseudonimização substitui cada terceiro de forma coerente e guarda a tabela de correspondência cifrada.
- Os documentos digitalizados passam por OCR; Word, Excel e PDF saem no formato original, sem metadados residuais.
- Os processos com histórico de versões reúnem tudo o que foi entregue num pedido.
Na saúde, o mesmo fluxo permite entregar cópia do processo clínico sem dados de familiares ou de outros utentes; veja anonimizar processos clínicos.
Perguntas frequentes
Posso recusar um documento por conter dados de terceiros?
Não automaticamente. O artigo 15.º, n.º 4, exige ponderação e, se possível, a entrega do documento com ocultação apenas das informações que prejudicariam outros.
Qual é o prazo de resposta?
Um mês a contar da receção, prorrogável por dois meses em pedidos complexos ou numerosos, informando o titular no primeiro mês (artigo 12.º, n.º 3, do RGPD).
Posso cobrar pela cópia?
Não pela primeira cópia. Só as cópias adicionais podem ter uma taxa razoável. O Tribunal de Justiça confirmou no processo C-307/22 que a primeira cópia do processo clínico é gratuita.
Tenho de entregar os e-mails em que se fala do requerente?
Os dados do requerente nesses e-mails estão abrangidos pelo direito de acesso. Normalmente entregam-se as mensagens ou excertos relevantes, ocultando os dados de terceiros.
Muitos pedidos de acesso para tratar?
Veja os planos e comece a preparar cópias de e-mails e processos com os dados de terceiros protegidos e os do requerente legíveis.