O direito ao esquecimento permite-nos desaparecer da Internet?

O direito ao esquecimento faz parte do Regulamento Geral de Proteção de Dados (RGPD) que teve a sua aplicação definitiva na União Europeia (UE) em maio de 2018.

Este regulamento surgiu depois de vários anos de aceso debate em torno da forma como o mundo digital consegue recolher e gerir informação sobre os indivíduos e depois de vários processos colocados em tribunal por cidadãos e empresas que se consideravam lesados na sua privacidade. Mas em que consiste e como funciona?

Direito ao esquecimento: direito fundamental ou limite à liberdade?

Desde 2014 que o motor de busca Google já registou mais de 600 mil pedidos de pessoas para retirar dois mil milhões de resultados apresentados na sua pesquisa. Destes pedidos, apenas 43% foram realmente aceites pela Google.

O maior número de queixas é quase sempre sobre a divulgação de informação profissional errada ou desatualizada, logo seguido do pedido para retirar informação que os próprios queixosos divulgaram online em páginas às quais já não têm acesso. (Esta informação é atualizada anualmente na página de transparência da Google).

Os pedidos vêm maioritariamente de cidadãos de países europeus, inclusive Portugal, e a decisão final de remover as informações apontadas pelos queixosos acaba por depender muito das leis aplicadas em cada país. Um dos objectivos do novo RGDP é harmonizar estas decisões dentro do espaço europeu e junto das empresas ou organizações que tratam dados de cidadãos da UE.

O direito ao esquecimento é já apontado como um dos direitos básicos individuais nas modernas sociedades da informação. O objetivo é dar aos cidadãos europeus um maior controlo sobre a utilização que é feita pelas empresas dos seus dados pessoais.

As coimas máximas para o seu incumprimento podem atingir os 20 milhões de euros ou 4% do volume de negócios anual a nível mundial, consoante o montante que for mais elevado.

O que é o direito ao esquecimento?

O RGPD garante que todos os cidadãos têm o direito de pedir, junto dos responsáveis pela recolha e tratamento de dados, que apaguem as suas informações pessoais.

Isto quer dizer que qualquer um de nós pode chegar junto de um empresa ou organização e exigir que apague, em definitivo, os dados pessoais que possui sobre nós, sendo obrigado a fazê-lo sem demoras injustificadas.

Este direito a ser esquecido deve garantir que os dados pessoais são apagados permanentemente de qualquer base de dados, garantindo também que desaparece a sua divulgação online. No entanto, este não é um direito absoluto e existem algumas condicionantes para que possa ser exercido e executado.

O que pode ser “esquecido”?

Dados que já não são necessários

Se os dados pessoais que a empresa recolheu sobre o cidadão deixaram de ser necessários para a finalidade que motivou a sua recolha ou tratamento, eles devem ser, de imediato, apagados.

Por exemplo, se já não tem ligações comerciais com uma empresa com quem teve contrato de fornecimento de energia, pode pedir-lhe que apague os seus dados pessoais que foram utilizados para manter a relação comercial agora terminada (com exceção, claro, dos dados que a empresa é obrigada a manter por imposição legal).

Dados sobre os quais o titular retirou consentimento

Quando o titular tiver retirado o consentimento em que se baseia o tratamento dos dados ou se este se opuser ao seu tratamento, esses dados podem ser apagados. Esta questão é particularmente pertinente para as atividades de marketing direto.

Por exemplo, o titular dos dados pode querer manter a relação comercial com um fornecedor de energia, mas não querer ser alvo de ações de marketing ou deixar de ter interesse nela a partir de um determinado momento.

Tem direito a fazê-lo, mantendo intacto o seu contrato comercial. Isso quer dizer que pode decidir e escolher quais os dados que são para ser “esquecidos”, quais os dados que devem ser “lembrados” e para que fins.

Limitações ao direito de esquecimento

O direito a ser esquecido pode ser invocado por qualquer titular de dados pessoais. No entanto, a aplicação deste direito apenas pode “esquecer” dados pessoais que não sejam necessários para cumprir com as conformidades legais da legislação portuguesa.

Por exemplo, dados que ainda sejam necessários para efeitos de faturação, para o pagamento de dívidas ou para cumprir com as obrigações e contribuições ao Estado. As empresas terão de cumprir os pedidos dos cidadãos e apagar os seu dados, exceto se esses dados forem legalmente essenciais para que a empresa cumpra a legislação nacional.

É mesmo possível apagar tudo?

A questão das empresas terem vontade em apagar todos os dados já está ultrapassada, uma vez que a lei as obriga a fazê-lo nos casos acima descritos, mas a questão de o conseguirem fazer na totalidade já é mais difícil de ultrapassar. Nos grandes gigantes como a Google ou Amazon essa capacidade já existe, mesmo que o processo seja complicado e oneroso.

O problema é mais complicado junto do tecido empresarial mais pequeno, já que muitos dos sistemas que atualmente processam dados estão replicados e dispersos por inúmeras empresas e serviços. O investimento para fazer face a um apagar de dados definitivo através de todas estas estruturas pode ser fatal para alguns negócios.

O RGDP inclui uma série de regulamentações que irão gradualmente facilitar esta tarefa uma vez que passa a exigir Privacy by Design (privacidade pelo design do sistema), o que implica que todos os sistemas informáticos desenhados para o processamento de dados terão de ser pensados e construídos de origem para proteger os direitos de privacidade e, assim, facilitar um pedido de esquecimento.

Isto quer dizer, por exemplo, que o registo de informações pessoais que antigamente era muitas vezes exigido por defeito ou utilizando dados de contas de outros sites ou lojas, passa a ser limitado por defeito e a exigir sempre a confirmação e a introdução personalizada por parte do utilizador.

Direito ao esquecimento online

Enquanto que o direito ao esquecimento nas bases de dados comerciais ainda consegue suscitar algum consenso, ainda que apenas na UE, quando se fala no direito ao esquecimento aplicado ao fazer desaparecer dados e informações divulgadas online, o debate aquece ainda mais e foi graças a ele que o RGDP acabou por nascer.

O reforço do direito ao esquecimento tem por base o famoso caso do cidadão espanhol que processou o motor de busca Google em 2010 por este apresentar, no topo dos resultados da pesquisa, informação sobre o período em que esse cidadão tinha declarado falência. Apesar de já ter recuperado a sua situação financeira, essa informação antiga continuava a aparecer no topo da lista de pesquisa associada ao seu nome, influenciando as decisões dos seus atuais clientes. Em 2014, um tribunal europeu deu-lhe razão tendo por base o prejuízo que essa informação causava e o facto de não a achar pertinente para a situação atual nem para o cumprimento da legislação. Desde então, são muitos os que afirmam que este direito ao esquecimento pode vir a funcionar como uma espécie de branqueamento e reescrita da história, afetando outros direitos como o do livre acesso à informação, ou o da liberdade de informar e ser informado.

O debate é particularmente aceso entre a União Europeia e os Estados Unidos porque existem diferentes conceções nacionais sobre o que é a liberdade de expressão.

Este é um problema recorrente desde que a Internet passou a fazer parte da nossa vida e que é particularmente evidente na aplicação deste “direito ao esquecimento”, agora que abandonámos em definitivo o mundo em que ser lembrado era a exceção, para viver num mundo em que a exceção é ser esquecido.