O que é o direito de ser esquecido?

O “direito de ser esquecido” é uma parte central da Re­gu­la­men­ta­ção Geral de Proteção de Dados da Europa (GDPR). A principal ideia por trás disso é proteger as pessoas cujos dados são pro­ces­sa­dos on-line ou off-line. O direito de ser esquecido exige que alguns dados pessoais digitais sejam excluídos sob de­ter­mi­na­das condições.

O que significa o “direito de ser esquecido”?

O direito de ser esquecido de acordo com o GDPR é um dos recursos mais im­por­tan­tes para que os con­su­mi­do­res protejam sua pri­va­ci­dade e seus dados pessoais. Ele permite que as pessoas tenham seus dados digitais pessoais excluídos per­ma­nen­te­mente pelas empresas ou pelos res­pon­sá­veis por um site (co­nhe­ci­dos como “con­tro­la­do­res de dados”), in­de­pen­den­te­mente de a empresa coletar e armazenar os dados ou apenas dis­po­ni­bi­lizá-los pu­bli­ca­mente.

Como o direito de ser esquecido se aplica nos EUA?

O GDPR é uma re­gu­la­men­ta­ção da União Europeia, mas pode afetar as empresas dos EUA. As empresas dos EUA com uma filial ou mesmo apenas um fun­ci­o­ná­rio no EEE estão sujeitas ao GDPR da mesma forma que as empresas europeias. Além disso, qualquer empresa que tenha como alvo pessoas na UE com seus produtos ou serviços deve estar em con­for­mi­dade com o GDPR. Portanto, se você estiver vendendo seus produtos para in­di­ví­duos na Europa, precisará garantir que seu site esteja em con­for­mi­dade. Isso também significa que as pessoas na UE podem enviar re­cla­ma­ções a você com base no direito de ser esquecido.

A Lei de Pri­va­ci­dade do Con­su­mi­dor da Ca­li­fór­nia (CCPA) também contém o direito de ser esquecido e se aplica a todos os dados per­ten­cen­tes aos re­si­den­tes da Ca­li­fór­nia. No momento, não há nenhum direito equi­va­lente ao direito europeu de ser esquecido segundo a lei federal dos EUA.

Como surgiu o direito do GDPR de ser esquecido?

O GDPR tem suas origens na decisão do Google que o Tribunal de Justiça Europeu (ECJ) proferiu em 13 de maio de 2014. O tribunal decidiu que os titulares de dados podem, sob certas condições, solicitar a exclusão de links que contenham in­for­ma­ções de­sa­tu­a­li­za­das ou ir­re­le­van­tes sobre eles. Na decisão do TJE, a obrigação de excluir mediante so­li­ci­ta­ção refere-se a me­ca­nis­mos de pesquisa que tornam os dados pessoais aces­sí­veis ao público. A decisão se refere prin­ci­pal­mente a pessoas físicas e observa que, no caso de figuras públicas ou arquivos de imprensa, o direito de ser esquecido precisa ser ponderado em relação ao direito à in­for­ma­ção.

Onde está definido le­gal­mente o direito de ser esquecido?

Na decisão do Google, o TJE aplicou as di­re­tri­zes de pri­va­ci­dade de dados exis­ten­tes na UE, que tomaram forma concreta em 2016 como o Re­gu­la­mento Geral de Proteção de Dados Europeu (GDPR). O direito de ser esquecido pode ser en­con­trado no artigo 17 do GDPR sob o título “direito de apagar”. O termo “direito de ser esquecido” aparece no título entre pa­rên­te­ses.

Direito de ser esquecido vs. direito de apagar

O direito de ser esquecido pode ser entendido como uma extensão do direito de apagar no GDPR. O artigo 17 do GDPR serve prin­ci­pal­mente para regular a obrigação de exclusão para con­tro­la­do­res de dados que processam di­re­ta­mente dados pessoais ou os tornam pu­bli­ca­mente aces­sí­veis. Isso inclui veículos de mídia e empresas que processam e armazenam di­re­ta­mente os dados das pessoas. Se os re­qui­si­tos para exclusão forem atendidos, o con­tro­la­dor de dados deverá excluir imediata e com­pro­va­da­mente os links ou dados re­le­van­tes.

O direito de ser esquecido aparece no artigo 17(2) do GDPR e diz respeito a terceiros que não coletam dados pessoais, mas os dis­po­ni­bi­li­zam pu­bli­ca­mente (como fazem os me­ca­nis­mos de pesquisa, como o Google, por exemplo).

Quais são as condições do direito de ser esquecido?

Existem alguns re­qui­si­tos es­pe­cí­fi­cos para que os dados sejam excluídos pelos con­tro­la­do­res de dados e por terceiros re­le­van­tes, incluindo:

• Não há mais ne­ces­si­dade de ar­ma­ze­na­mento e aces­si­bi­li­dade dos dados em termos da fi­na­li­dade original de coleta e pro­ces­sa­mento dos dados
• Os titulares dos dados retiraram seu con­sen­ti­mento para o pro­ces­sa­mento e o ar­ma­ze­na­mento dos dados
• Não há nenhum motivo legal pre­do­mi­nante para o ar­ma­ze­na­mento dos dados
• A coleta e o pro­ces­sa­mento dos dados ocorreram de forma ilegal e/ou sem con­sen­ti­mento
• Os con­tro­la­do­res de dados são le­gal­mente obrigados pelo GDPR a respeitar o direito de apagar e o direito de ser esquecido
• Os dados pessoais pertencem a menores de idade e foram coletados para serviços on-line

Se os titulares dos dados puderem provar sua rei­vin­di­ca­ção, a empresa em questão é obrigada a apagar os dados “sem demora in­jus­ti­fi­cada”. Nor­mal­mente, isso significa que o con­tro­la­dor precisa informar o titular dos dados, no prazo de um mês após a so­li­ci­ta­ção, sobre as medidas tomadas ou os motivos pelos quais a so­li­ci­ta­ção foi rejeitada.

Exemplos do direito de ser esquecido

O direito de ser esquecido é um ins­tru­mento im­por­tante para proteger a reputação, a aparência e a pri­va­ci­dade de um indivíduo ou de uma empresa. Na prática, isso se aplicaria se, por exemplo, um mecanismo de pesquisa ainda mostrasse re­sul­ta­dos re­la­ci­o­na­dos à falência, processo judicial ou com­por­ta­mento “em­ba­ra­çoso” de uma pessoa 10 ou 20 anos após o fato. Também é im­por­tante para a res­so­ci­a­li­za­ção de pessoas an­te­ri­or­mente con­de­na­das por crimes, es­pe­ci­al­mente quando se trata de delitos menores. O direito à exclusão de dados permite que in­di­ví­duos e empresas protejam seus direitos e sal­va­guar­dem suas opor­tu­ni­da­des de carreira e imagem pro­fis­si­o­nal.

Como funciona a exclusão de dados pessoais?

O GDPR não define cla­ra­mente um método para realizar as exclusões ne­ces­sá­rias. No entanto, ele es­pe­ci­fica que é obri­ga­tó­rio que a exclusão ocorra de forma com­pro­vada e imediata. Aqui estão alguns métodos possíveis:

• Des­trui­ção e descarte de mídia física por es­pe­ci­a­lis­tas
• So­bre­gra­va­ção pro­fis­si­o­nal dos locais de ar­ma­ze­na­mento re­le­van­tes, desde que seja possível provar que isso resultou na remoção ou inu­ti­li­za­ção dos dados
• Exclusão de links as­so­ci­a­dos, atalhos, entradas de pesquisa, termos de pesquisa e co­di­fi­ca­ção
• Listando e excluindo al­go­rit­mos de me­ca­nis­mos de pesquisa

Quais são as exceções ao direito de ser esquecido?

Em alguns casos, a exclusão de dados pessoais mediante so­li­ci­ta­ção pode entrar em conflito com a liberdade de in­for­ma­ção e a obrigação de reter dados. Embora o GDPR dê às pessoas físicas o direito a mais pri­va­ci­dade, de­ter­mi­na­das condições e exceções garantem que os dados es­sen­ci­ais não possam ser excluídos se estiverem sujeitos a uma obrigação de ar­ma­ze­na­mento ou se forem de interesse público, médico, fiscal ou de segurança. No entanto, es­pe­ci­al­mente quando se trata de períodos de ar­ma­ze­na­mento mais longos, é im­por­tante observar que os dados pessoais que não estão mais sendo pro­ces­sa­dos, mas que ainda precisam ser mantidos, estão sujeitos a uma proteção de acesso mais forte.

Visão geral das exceções ao direito da UE de ser esquecido

Abaixo estão alguns casos em que uma exceção ao direito de ser esquecido pode ser aplicada:

• Os dados ainda são ne­ces­sá­rios para o pro­ces­sa­mento.
• As pessoas em questão con­sen­ti­ram com o pro­ces­sa­mento de dados que ainda é ne­ces­sá­rio.
• Os dados ainda são ne­ces­sá­rios para cumprir as obri­ga­ções públicas ou legais de uma pessoa ou empresa.
• O pro­ces­sa­mento dos dados é uma questão de interesse público.
• Os dados estão sendo pro­ces­sa­dos no contexto de ar­qui­va­mento, pesquisa ou coleta de dados para es­ta­tís­ti­cas que são de interesse público
• Os dados de­sem­pe­nham uma função de­mons­trá­vel em pro­ce­di­men­tos legais.

Observe que a liberdade de expressão e a liberdade de in­for­ma­ção têm pre­ce­dên­cia sobre o direito de apagar e o direito de ser esquecido.

Como você pode fazer valer o seu direito de ser esquecido?

Para solicitar que seus dados sejam excluídos e removidos, primeiro você precisa saber que os dados existem. É aí que entra o direito de acesso do artigo 15 do GDPR . Isso permite que você obtenha in­for­ma­ções sobre os dados relativos a você que estão sendo ar­ma­ze­na­dos ou pro­ces­sa­dos por uma empresa. Com base no direito de acesso, você pode então aplicar seu direito de apagar e ser esquecido por meio de um e-mail ou carta ao con­tro­la­dor de dados.

Não há nenhuma forma pre­de­ter­mi­nada que sua so­li­ci­ta­ção deva assumir. En­tre­tanto, para poder provar que fez a so­li­ci­ta­ção, você deve sempre fazê-la por escrito. Você pode encontrar modelos gratuitos no site do GDPR da UE. Para evitar uma so­li­ci­ta­ção demorada ou uma rejeição, não se esqueça de incluir um com­pro­vante de iden­ti­dade da pessoa que está fazendo a so­li­ci­ta­ção e/ou da pessoa a quem os dados em questão pertencem.

Como você pode aplicar seu direito de ser esquecido com o Google?

Empresas como o Google e o Facebook fornecem for­mu­lá­rios on-line gratuitos que você pode usar para fazer uma so­li­ci­ta­ção. A página de suporte do Google tem in­for­ma­ções sobre o processo de fazer uma so­li­ci­ta­ção e o que o for­mu­lá­rio pedirá. Para que uma entrada do Google seja excluída, você precisará fornecer as seguintes in­for­ma­ções:

• URLs em questão com os re­sul­ta­dos de pesquisa que você deseja excluir
• Prova de que os dados são re­le­van­tes para você e os motivos para excluí-los
• A consulta de pesquisa que leva aos re­sul­ta­dos (Por exemplo, seu próprio nome)
• Endereços de e-mail que levam aos re­sul­ta­dos da pesquisa em questão
• In­for­ma­ções de histórico e provas que de­mons­trem que a exclusão e a remoção são jus­ti­fi­ca­das

Existe um direito geral à pri­va­ci­dade e à remoção de dados?

À primeira vista, pode parecer que o direito de ser esquecido significa que seus dados pessoais não podem ser dis­po­ni­bi­li­za­dos pu­bli­ca­mente sem sua permissão. Mas quando você dá seu con­sen­ti­mento para que seus dados sejam pro­ces­sa­dos no decorrer de suas ati­vi­da­des on-line diárias, você não tem ne­ces­sa­ri­a­mente um direito geral à exclusão. E, de fato, a exclusão in­jus­ti­fi­cada de dados pode até ser con­si­de­rada uma violação de dados. Esse é es­pe­ci­al­mente o caso se houver obri­ga­ções de ar­ma­ze­na­mento de dados ou se houver dados críticos en­vol­vi­dos. Pense, por exemplo, na exclusão ilícita de dados para encobrir uma atividade criminosa.

É su­fi­ci­ente tornar os dados anônimos?

Uma al­ter­na­tiva à exclusão é a ano­ni­mi­za­ção completa dos dados. Os dados pro­ces­sa­dos e ar­ma­ze­na­dos podem ser tão pro­fun­da­mente ano­ni­mi­za­dos que não podem mais ser en­ten­di­dos como dados pessoais. O GDPR não é di­re­ta­mente aplicável se, por exemplo, os dados usados para análise es­ta­tís­tica ou pesquisa forem su­fi­ci­en­te­mente anônimos.

Esse é o caso se, por exemplo, nenhuma parte for capaz de es­ta­be­le­cer uma conexão entre pessoas e conjuntos de dados re­le­van­tes ou ir­re­le­van­tes. Os métodos de ano­ni­mi­za­ção incluem ran­do­mi­za­ção, ge­ne­ra­li­za­ção ou prevenção de conexões. A ano­ni­mi­za­ção como al­ter­na­tiva à exclusão é abordada no artigo 4 do GDPR.

Como o direito de apa­ga­mento se aplica às empresas?

Os re­gu­la­men­tos europeus de proteção de dados, como o GDPR e o Re­gu­la­mento de Pri­va­ci­dade Ele­trô­nica, têm um grande impacto sobre as empresas quando se trata de proteção de dados e do direito de ser esquecido. O GDPR, por exemplo, estipula que as empresas não podem coletar dados ar­bi­tra­ri­a­mente e que só podem processar dados com o con­sen­ti­mento por escrito do usuário. E o Re­gu­la­mento de Pri­va­ci­dade Ele­trô­nica exige que as pessoas permitam ex­pli­ci­ta­mente o uso de cookies e ras­tre­a­do­res em sites.

Como o pro­ces­sa­mento de dados é essencial no marketing on-line e no comércio ele­trô­nico, você deve tomar pro­vi­dên­cias para a proteção de dados e soberania de dados desde o início do seu em­pre­en­di­mento. As pro­vi­dên­cias incluem:

• Uma política de pri­va­ci­dade acessível e visível em con­for­mi­dade com o GDPR em seu site
• Fer­ra­men­tas e es­tra­té­gias para avaliar e im­ple­men­tar so­li­ci­ta­ções de exclusão
• No­ti­fi­ca­ções em con­for­mi­dade com a le­gis­la­ção sobre cookies e ras­tre­a­mento
• Sal­va­guar­das legais com relação ao pro­ces­sa­mento e à trans­fe­rên­cia de dados, por exemplo, diretores de proteção de dados e de­par­ta­men­tos jurídicos de TI (es­pe­ci­al­mente após a expiração do escudo de pri­va­ci­dade UE-EUA).

Clique aqui para obter im­por­tan­tes isenções de res­pon­sa­bi­li­dade legais.