Responde a pedidos de acesso e apagamento em todos os teus formulários

O capítulo III do RGPD confere às pessoas que preenchem os teus formulários um conjunto de direitos. Os dois que vais ver com mais frequência:

• Acesso (artigo 15.º). Confirmação sobre se tens os dados da pessoa, uma cópia dos mesmos e informações como as finalidades, os destinatários e o período de conservação.
• Apagamento (artigo 17.º). Eliminação quando, entre outros fundamentos, os dados deixam de ser necessários, o consentimento é retirado ou a pessoa se opõe e não existe um motivo prevalecente para os manter. O artigo 17.º, n.º 3, enumera exceções, como os dados que tens de conservar para cumprir uma obrigação legal.

As pessoas podem também pedir a retificação (artigo 16.º) ou a limitação (artigo 18.º), obter uma cópia portável dos dados que forneceram quando o tratamento se baseia no consentimento ou num contrato (artigo 20.º), e opor-se ao tratamento baseado em interesses legítimos (artigo 21.º), que só pode então continuar por razões legítimas imperiosas.

O artigo 12.º, n.º 3, define o prazo: responder sem demora injustificada e no prazo de um mês a contar da receção, prorrogável por mais dois meses em pedidos complexos ou numerosos, desde que informes a pessoa no primeiro mês. A resposta é normalmente gratuita (artigo 12.º, n.º 5).

Se tiveres dúvidas razoáveis sobre quem pede, podes solicitar informações para confirmar a identidade (artigo 12.º, n.º 6). Nos dados de formulários, uma verificação proporcionada é muitas vezes uma resposta a partir do endereço de email que aparece nas submissões. Evita pedir mais dados, como a digitalização de um documento de identificação, do que o pedido justifica. As Diretrizes 01/2022 sobre o direito de acesso do Comité Europeu para a Proteção de Dados abordam em pormenor as verificações de identidade e o âmbito de uma cópia.

Tu és o responsável pelo tratamento, por isso cabe-te a ti responder ao pedido. A Formward é a tua subcontratante e, nos termos do artigo 28.º, n.º 3, alínea e), e da secção 8 do DPA, presta assistência através de ferramentas, e não respondendo em teu nome. Um pedido que chegue diretamente à Formward é-te encaminhado.

A consola DSAR está no painel, em Pedidos de titulares de dados, disponível a partir do plano Personal. Funciona com endereços de email.

1. Pesquisa. Introduz o endereço de email da pessoa. A consola analisa todos os formulários dos espaços de trabalho a que pertences e encontra as submissões em que o endereço aparece em qualquer parte do conteúdo, incluindo campos de texto livre e versões anteriores de respostas editadas. Os resultados são agrupados por formulário, com a data, uma pré-visualização e os nomes dos ficheiros anexados. Também são listadas as verificações de destinatários de notificações e as aceitações do DPA associadas a esse endereço.
2. Exportar. Transfere o resultado em JSON. Inclui cada submissão correspondente, com o respetivo formulário, data e uma pré-visualização do conteúdo. Para submissões longas ou com ficheiros anexados, abre a submissão no painel e disponibiliza à pessoa uma cópia completa.
3. Apagar. Após uma confirmação, a Formward apaga todas as submissões correspondentes em todos os teus formulários, com os respetivos ficheiros anexados, histórico de respostas e registos de entrega de webhooks, bem como as verificações de destinatários correspondentes. Recebes um certificado de apagamento em ficheiro JSON: um hash do endereço de email, o número de registos apagados, os formulários afetados e a hora.
4. Histórico. Cada pesquisa e apagamento fica registado no histórico de pedidos, e os apagamentos também no registo de auditoria do espaço de trabalho. Nesses registos, a pessoa é identificada por um hash unidirecional, nunca pelo seu endereço de email.

Antes de apagar, há uma coisa a verificar: a pesquisa compara o endereço como texto, por isso anna@example.com também corresponde a joanna@example.com. Analisa primeiro os resultados por formulário. E se um formulário nunca pediu um endereço de email, pesquisa as submissões pelo nome ou número de telefone.

1. Regista a data em que o pedido chegou, pois é a partir daí que começa o mês.
2. Confirma a identidade de forma proporcionada, normalmente respondendo para o endereço registado.
3. Pesquisa na consola DSAR e depois nos locais que esta não consegue ver: caixas de correio de notificações, folhas de cálculo, CRM alimentados por webhooks e ficheiros exportados.
4. Para acesso, envia a cópia juntamente com as informações do artigo 15.º: finalidades, destinatários, prazo de conservação e os restantes direitos da pessoa.
5. Para apagamento, verifica se se aplica alguma exceção do artigo 17.º, n.º 3, apaga e guarda o certificado.
6. Responde dentro do mês, ou explica a prorrogação dentro desse prazo.

Um prazo de conservação curto torna cada um destes passos mais simples. O modelo de formulário de contacto e o guia do formulário de contacto recolhem ambos um endereço de email, que é o que a consola pesquisa.