O Direito de eliminação dos dados pessoais e as formas de comprovação do descarte das informações.

26 de julho de 2022

O Direito de eliminação dos dados pessoais e as formas de comprovação do descarte das informações.

Escrito por e

 Desde a vigência da Lei Geral de Proteção de Dados (LGPD), é notável a crescente demanda de titulares de dados que buscam exercer seus direitos em face dos agentes de tratamentos de dados pessoais. Dentre o rol de direitos garantidos pela legislação, falaremos especificamente do direito à eliminação dos dados pessoais.

Muitos titulares acabam confundindo essa previsão, acreditando que a qualquer momento ou em qualquer circunstância poderão requerer a exclusão dos seus dados pessoais. Todavia, para desmistificar esse tema, precisamos entender o conceito de ciclo de vida dos dados pessoais.

Sabemos que a LGPD determina o modo correto para o tratamento dos dados pessoais, desde a coleta, armazenamento, processamento e, posteriormente, a exclusão ou anonimização dessas informações, após cumprir as finalidades determinadas pelo Controlador. Esse percurso da informação, pode ser entendido como o ciclo de vida dos dados.

Dessa forma, é possível perceber que as informações pessoais devem ser eliminadas (ou anonimizadas), seja pela iniciativa da empresa, com o fim do ciclo de vida dos dados, ou a requerimento dos titulares, quando tiverem esse direito.

Isso porque, o texto da Lei é claro ao determinar que os titulares só poderão requerer a “eliminação dos dados pessoais tratados com o consentimento do titular.” Desse modo, essa requisição pode não ser atendida, caso o tratamento de dados esteja justificado por outra base legal válida, que não seja o consentimento. Outra impossibilidade para a eliminação dos dados são as previsões contidas no artigo 16 da LGPD, que permite a conservação dessas informações nos seguintes casos:

  • Para o cumprimento de obrigação legal ou regulatória pelo Controlador;
  • Quando os dados são utilizados em estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;
  • Para transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos nesta Lei;
  • Para uso exclusivo do Controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.

Contudo, quando há a possibilidade fática da exclusão dos dados pessoais, muitos titulares questionam sobre a comprovação do descarte dessas informações, sejam elas físicas ou digitais. Atualmente não há nenhuma diretriz da Autoridade Nacional de Proteção de Dados – ANPD – a respeito da comprovação da exclusão dessas informações, no entanto, abordaremos os meios mais comuns que podem ser utilizamos para assegurar aos titulares que suas informações foram realmente eliminadas.

Quando falamos de documentos físicos que contenham dados pessoais, o descarte poderá ser feito internamente, através de uma máquina fragmentadora de papel, que garante a eliminação permanente dos dados. Nesse caso, a comprovação da eliminação pode ser feita através da declaração formal da empresa sobre a efetivo eliminação dos dados.

Outra possibilidade de eliminação dos documentos físicos que contenham dados pessoais é através da contratação de empresas especializadas nesse tipo de serviço  que, em seguida, emitem um certificado, comprovando o efetivo descarte das informações pessoais.

Por outro lado, quando falamos em arquivos digitais, existem alguns meios de comprovar a efetiva eliminação desses dados. Entre os meios mais comuns, se destacam os seguintes métodos que garantem a comprovação da eliminação da informação, sendo eles:

  • Autodeclaração: formato em que a empresa informa ao titular que seus dados pessoais foram excluídos de todas as suas bases de dados. Apesar de ser o método mais utilizado, ele fornece pouca transparência ao titular, já que não há uma comprovação além da “palavra” da empresa.
  • Loging e Registro de Metadados: trata-se de um registro da ação de exclusão, em que constam informações como autenticação do usuário, data, hora, hash ou código da operação realizada (exclusão, transferência etc.). Geralmente esse processo é feito através de softwares que garantam o registro dessas operações.
  • Apresentação de Busca “inexistente” para Pesquisa do Titular: é a técnica que demonstra ao titular que após a confirmação da empresa quanto à exclusão dos dados, não é possível localizá-lo através da pesquisa por nome, nº do documento ou código do titular. Desse modo, é possível constatar que não há mais nenhuma informação pessoal do titular na base de dados da empresa. Esse processo pode ser aplicado em conjunto com a autodeclaração e, apesar de ser um pouco mais trabalhoso, oferece mais segurança e transparência aos titulares de dados pessoais.
  • Screenloging e Registro da Operação: realizada através de software capaz de armazenar a posição do mouse e da tela apresentada no monitor, nos momentos em que o mouse é clicado ou a região onde o ponteiro se encontra. A tela é capturada e salva como uma imagem ou vídeo que deve ser mantido de forma segura para eventual questionamento judicial ou administrativo, sem apresentar dados pessoais, apenas para registrar que o processo de exclusão realmente aconteceu.

Existem outros meios de comprovar a exclusão dos dados digitais, como, por exemplo, a Operação Assistida ou Certificada e a Perícia. Entretanto, estes processos podem ser onerosos já que envolvem o apoio técnico de terceiros na execução desses procedimentos.

Independente do método de descarte utilizado pelas empresas, é importante ressaltar que não basta descartar as informações pessoais, é preciso algum meio de comprovar essa eliminação, de modo que os titulares possam ter certeza de que a empresa não voltará utilizar essas informações. E, mais do que isso, é fundamental dar um passo atrás e entender se há realmente a possibilidade de o titular exercer tal direito, uma vez que existem possibilidades para a manutenção desses dados, previstas em lei, e que devem ser devidamente esclarecidas ao titular se este for o caso.