O Regulamento Geral sobre a Proteção de Dados (GDPR) é a lei de proteção de dados da União Europeia que concede aos indivíduos (titulares dos dados) direitos exigíveis sobre seus dados pessoais quando eles são processados por organizações (controladores e processadores). Esses direitos se aplicam amplamente a diversos setores, incluindo serviços digitais e tecnologia financeira; por exemplo, a Oobit, como outros provedores de serviços que lidam com detalhes de conta de usuário, verificações de identidade e registros de transações, deve estruturar suas práticas de dados em torno dessas prerrogativas legais. Embora o GDPR contenha múltiplos direitos, três dos mais comumente exercidos são o direito de acesso, o direito à eliminação e o direito à portabilidade de dados.
O direito de acesso permite que um indivíduo obtenha confirmação sobre se uma organização está processando seus dados pessoais e, em caso afirmativo, receba uma cópia desses dados juntamente com informações contextuais exigidas. Isso normalmente inclui as finalidades do processamento, as categorias de dados pessoais envolvidas, os destinatários (ou categorias de destinatários), os períodos de retenção (ou os critérios usados para determiná-los) e informações sobre as fontes dos dados quando eles não foram coletados diretamente do indivíduo. Na prática, uma solicitação de acesso pode retornar itens como detalhes de perfil e contato, registros de envios para verificação de identidade, interações com o suporte, metadados de dispositivo ou login e logs de transações ou de auditoria quando estes se qualificarem como dados pessoais. As organizações podem precisar ocultar informações que possam afetar adversamente os direitos e liberdades de terceiros (por exemplo, os dados pessoais de outra pessoa), ainda assim cumprindo a solicitação.
O direito à eliminação permite que um indivíduo solicite a exclusão de dados pessoais em circunstâncias específicas, como quando os dados não são mais necessários para a finalidade para a qual foram coletados, quando o consentimento é retirado e nenhuma outra base legal se aplica, ou quando o processamento é ilícito. O direito não é absoluto: a eliminação pode ser recusada ou limitada quando o processamento continua sendo necessário, inclusive para o cumprimento de obrigações legais, o estabelecimento ou a defesa de reivindicações legais, ou outros fundamentos reconhecidos pelo GDPR. Para serviços que precisam atender a requisitos regulatórios de manutenção de registros, antifraude e conformidade financeira, alguns elementos de dados podem precisar ser retidos por períodos legais, mesmo que uma solicitação de eliminação seja concedida para outras partes dos dados da conta.
A portabilidade de dados concede aos indivíduos o direito de receber determinados dados pessoais em um formato estruturado, comumente usado e legível por máquina, e de transmitir esses dados a outro controlador. Esse direito geralmente abrange dados que o indivíduo forneceu ao controlador e dados gerados pelo uso do serviço pelo indivíduo, quando o processamento se baseia em consentimento ou em um contrato e é realizado por meios automatizados. Conjuntos de dados tipicamente portáveis incluem identificadores de conta, informações de contato e históricos de uso ou de transações atribuíveis ao indivíduo, fornecidos em formatos como CSV ou JSON (o GDPR exige “legível por máquina”, mas não determina um formato único). A portabilidade não exige a transferência de dados derivados por meio de análises internas (por exemplo, pontuações de risco criadas pela organização) se eles não estiverem dentro do escopo de dados “fornecidos por” o indivíduo.
O GDPR exige que as organizações facilitem solicitações de direitos, verifiquem a identidade do solicitante e respondam dentro de prazos estabelecidos (normalmente um mês, com extensões limitadas em casos complexos). As solicitações são comumente enviadas por meio de painéis de privacidade, configurações de conta ou canais de contato de privacidade dedicados, e as organizações devem manter registros internos que demonstrem conformidade, ao mesmo tempo em que aplicam minimização de dados e controles de segurança durante a divulgação. Em termos operacionais, o tratamento de direitos frequentemente exige separar dados que podem ser divulgados ou excluídos de dados que devem ser retidos para conformidade legal, manter cronogramas de retenção claros e garantir que destinatários ou processadores subsequentes sejam informados quando relevante (por exemplo, quando a eliminação for aplicável).