Direito ao esquecimento (direito de apagamento)
O direito ao esquecimento, formalmente direito de apagamento, permite a qualquer pessoa solicitar a eliminação dos seus dados pessoais quando já não são necessários, o consentimento foi retirado ou o tratamento é ilícito. Consagrado no artigo 17.o do RGPD, este direito não é absoluto e deve ser ponderado com outras obrigações legais.
O direito ao esquecimento tem origem no acórdão Google Spain de 2014 do Tribunal de Justiça da União Europeia, antes de ser codificado no RGPD. Obriga os responsáveis pelo tratamento a apagar os dados pessoais «sem demora injustificada» em várias situações: quando os dados já não são necessários para as finalidades para as quais foram recolhidos, quando o titular retira o consentimento ou quando o tratamento é ilícito.
No contexto do KYC e da conformidade, este direito entra frequentemente em conflito com as obrigações de conservação impostas pelas regulamentações de combate ao branqueamento de capitais. A maioria dos quadros ABC exige a conservação de documentos de identidade e resultados de verificação durante cinco anos após o termo da relação comercial. Durante este período, um pedido de apagamento pode ser legitimamente recusado com base na obrigação legal de conservação.
Quando o apagamento é efetuado, deve ser completo: bases de dados de produção, cópias de segurança, sistemas de terceiros e subcontratantes devem ser notificados. O responsável pelo tratamento deve também informar os destinatários aos quais os dados foram comunicados, nos termos do artigo 19.o do RGPD.
Regulações
Exemplos concretos
- 1.Um antigo cliente de um banco solicita o apagamento dos seus dados KYC: o banco recusa porque a relação comercial terminou há menos de cinco anos e prevalece a obrigação legal de conservação ABC.
- 2.Um utilizador que criou uma conta numa plataforma de crédito sem concluir o seu pedido exerce o direito ao apagamento: a plataforma deve eliminar todos os seus dados, pois não existe obrigação legal de conservação.
- 3.Um corretor de seguros recebe um pedido de apagamento e deve notificar os seus três subcontratantes (verificação de identidade, scoring, arquivo) para que também eliminem os dados do titular.