O direito ao apagamento permite pedir a eliminação de dados pessoais quando se verifica uma das condições do artigo 17.º do RGPD. Não equivale a apagar todos os registos sobre a pessoa de uma vez. O responsável deve identificar os tratamentos e finalidades a que os dados pertencem, verificar cada fundamento do pedido e aplicar apenas as exceções necessárias. Em Portugal, a CNPD explica o exercício do direito ao apagamento. Este guia transforma essa análise num procedimento que pode ser executado e documentado.
O tema tornou-se ainda mais concreto com o relatório do Comité Europeu para a Proteção de Dados de 2026. As autoridades europeias encontraram dificuldades recorrentes na definição de prazos de conservação, nos pedidos recebidos por diferentes canais e no apagamento em cópias de segurança. Uma política que apenas diga «apagamos quando possível» não resolve esses casos. É preciso saber onde estão os dados, quem decide, o que deve continuar conservado e como impedir que uma restauração volte a ativar informação já eliminada.
Em que situações nasce o direito ao apagamento?
O artigo 17.º, n.º 1, enumera vários motivos. Os dados deixaram de ser necessários para a finalidade da recolha ou do tratamento; o titular retirou o consentimento e não existe outro fundamento para aquele tratamento; exerceu oposição nas condições do artigo 21.º; os dados foram tratados ilicitamente; o apagamento é exigido por uma obrigação jurídica; ou os dados foram recolhidos no âmbito da oferta de serviços da sociedade da informação a uma criança nas condições do artigo 8.º. Não basta escrever «quero ser esquecido» para determinar quais destes motivos se aplicam, mas o responsável não deve exigir uma fórmula jurídica ao titular. Deve interpretar o pedido de forma razoável e esclarecer o seu alcance quando necessário.
Um exemplo simples é a lista de uma campanha de correio eletrónico baseada em consentimento. Se a pessoa o retirar, e não houver outro fundamento válido para essa finalidade, a utilização promocional deve terminar e os dados tratados exclusivamente para ela devem ser apagados. Mas a mesma morada eletrónica pode constar de uma fatura que a empresa tem de conservar por outra razão. O pedido deve ser avaliado por finalidade e por conjunto de dados; não é uma licença para manter a lista comercial porque a fatura continua guardada. O nosso guia sobre licitude do tratamento e artigo 6.º explica por que a base jurídica tem de ser identificada para cada finalidade, e não inventada depois do pedido.
Quando a pessoa se opõe ao marketing direto, o artigo 21.º e o direito de oposição impedem continuar esse tratamento para publicidade, incluindo a definição de perfis relacionada. Noutros usos fundados em interesse legítimo ou missão pública, a oposição exige a ponderação prevista na norma. Convém distinguir estas hipóteses: a resposta a uma oposição publicitária não deve sugerir que a pessoa tem de apresentar motivos especiais. Se o titular pretende sobretudo obter uma cópia para mudar de serviço, o direito de portabilidade pode ser relevante, mas não substitui nem condiciona o apagamento.
Exceções: conservar apenas o que é necessário
O artigo 17.º, n.º 3, limita o direito na medida em que o tratamento seja necessário, entre outros fins, para a liberdade de expressão e informação; cumprir uma obrigação legal ou executar uma missão de interesse público ou poderes públicos; razões de interesse público em saúde pública; arquivo no interesse público, investigação científica ou histórica e estatística nas condições do artigo 89.º, quando o apagamento possa inviabilizar gravemente esses fins; ou declaração, exercício ou defesa de direitos num processo. A palavra «necessário» importa. A exceção não autoriza reutilização irrestrita de uma cópia conservada para outro propósito.
Suponha que uma loja recebe o pedido de um ex-cliente. O histórico de navegação usado apenas para recomendações pode já não ser necessário e deve ser avaliado para eliminação. Certos documentos de faturação podem ter de ser mantidos por obrigação legal aplicável. Em vez de recusar o pedido por inteiro, a loja separa categorias, identifica a norma e o prazo de cada retenção, restringe o acesso aos documentos que conserva e apaga o restante. O nosso artigo sobre prazos de conservação em Portugal ajuda a construir essa matriz; não existe um prazo RGPD universal para todos os dados.
O antigo texto desta página sugeria «bloquear» automaticamente todos os dados sujeitos a conservação. O RGPD exige limitação às finalidades permitidas e segurança adequada, mas não estabelece uma operação técnica única com esse nome para cada exceção. Na prática, retirar os dados dos sistemas de marketing, limitar acessos e marcar a finalidade legal de retenção pode ser a solução apropriada. A escolha deve seguir o sistema e o risco. Se um litígio justifica guardar determinados elementos para defesa de direitos, documente quais são e reveja a necessidade ao terminar a causa. Uma hipótese remota de litígio não sustenta conservação ilimitada de toda a conta.
Receber, identificar e responder ao pedido
A pessoa pode exercer o direito perante o responsável pelo tratamento. A CNPD explica os direitos dos titulares e o prazo de resposta: em regra, um mês desde a receção. O artigo 12.º, n.º 3, permite prolongar por até mais dois meses quando necessário devido à complexidade ou ao número de pedidos, mas o titular deve ser informado da prorrogação e dos seus motivos dentro do primeiro mês. Se o responsável não der seguimento, o n.º 4 exige comunicação dos motivos, da possibilidade de reclamar à autoridade e de recorrer aos tribunais, sem demora e o mais tardar dentro de um mês.
Centralize pedidos que chegam por e-mail, formulário, balcão, telefone ou serviço de apoio. Não exija que a pessoa use apenas um portal se expressou claramente o pedido por outro meio. Confirme a identidade de forma proporcional quando houver dúvidas razoáveis, sobretudo se a resposta puder revelar dados a terceiro. Peça apenas a informação adicional necessária; solicitar cópia completa de um documento de identificação a todos os requerentes, por rotina, pode criar um novo risco. Registe a data, o canal, o âmbito, as dúvidas resolvidas e o responsável pela decisão. Esta disciplina também apoia o direito de acesso, embora os dois direitos tenham resultados diferentes.
Uma resposta parcial deve ser específica. Indique que categorias foram eliminadas, quais continuam conservadas, para que finalidade e com que fundamento, sem expor desnecessariamente medidas de segurança ou dados de terceiros. A transparência prevista no artigo 12.º exige uma explicação compreensível, não uma remissão genérica para a política de privacidade. Quando o pedido é manifestamente infundado ou excessivo, as regras do artigo 12.º, n.º 5, têm exigências próprias; o ónus de demonstrar esse caráter recai sobre o responsável. Não aplique essa exceção simplesmente por ser trabalhoso procurar dados em vários sistemas.
Mapear os dados antes de apagar
Procure pelos identificadores relevantes em sistemas operacionais, CRM, recursos humanos, apoio ao cliente, fornecedores de envio, arquivos e ambientes de teste. Uma pesquisa por e-mail pode falhar se o mesmo titular estiver registado com outro número de cliente ou se uma cópia existir num anexo. O registo de atividades de tratamento não lista cada pessoa, mas ajuda a descobrir finalidades, sistemas, destinatários e prazos. Faça um roteiro do dado desde a recolha até à eliminação; depois classifique o que se apaga, o que se conserva por exceção e o que requer esclarecimento.
Não confunda apagamento com anonimização sem verificar o resultado. A remoção do nome enquanto permanecem identificadores persistentes ou combinação de atributos que permite reconhecer a pessoa pode continuar a ser tratamento de dados pessoais. Se optar por anonimização verdadeira, avalie a possibilidade razoável de reidentificação e documente a transformação. O artigo sobre limites da anonimização desenvolve esta escolha. Pseudonimizar um registo pode reduzir riscos, mas não equivale necessariamente a satisfazer um pedido de apagamento.
O mapeamento deve identificar quem atua como responsável e quem é subcontratante. Uma empresa de alojamento que executa instruções pode ter de eliminar ou restringir cópias segundo o contrato. Um terceiro que determina finalidades próprias pode ser outro responsável, com obrigações próprias. Não envie ordens técnicas indistintas a todos os destinatários sem verificar as relações e a aplicação do artigo 19.º sobre comunicação de apagamento a destinatários, salvo se for impossível ou exigir esforço desproporcionado. A pessoa pode pedir informação sobre esses destinatários.
Subcontratantes e dados publicados
O responsável deve instruir os subcontratantes a executar o pedido nos dados que tratam por sua conta, tendo em conta as exceções legais e o contrato. O contrato de subcontratação do artigo 28.º deve prever assistência ao responsável no cumprimento dos direitos dos titulares e, no termo dos serviços, apagamento ou devolução dos dados conforme as instruções, salvo conservação exigida por lei. A cláusula de fim de contrato é diferente da resposta a um pedido individual durante o serviço; não presuma que um compromisso de apagar no fim basta para resolver um pedido atual.
Se o responsável tornou dados públicos e tem obrigação de os apagar, o artigo 17.º, n.º 2, impõe medidas razoáveis, tendo em conta tecnologia e custos, para informar outros responsáveis que tratam esses dados de que o titular pediu o apagamento de ligações, cópias ou reproduções. Isto não garante a eliminação instantânea de todas as cópias da Internet. É um dever de diligência proporcional. Registe que dados foram publicados, a quem foi possível comunicar e que resposta recebeu. Um pedido de desindexação de resultados de pesquisa pode seguir uma lógica própria e não equivale sempre ao apagamento no sítio de origem.
Cópias de segurança: evitar respostas automáticas
Os backups são necessários para recuperação, mas não são uma exceção geral ao artigo 17.º. O relatório europeu de 2026 sobre apagamento descreve práticas inconsistentes e recomenda procedimentos concretos para pedidos que envolvem cópias de segurança. Dependendo da arquitetura e dos riscos, modificar uma cópia imutável pode não ser aconselhável; isso não significa que se possa simplesmente esperar por uma rotação indefinida. Avalie se é tecnicamente viável remover o dado, limitar o acesso, manter uma lista de pedidos a reaplicar numa restauração e definir prazo de substituição. A solução deve ser justificada para o sistema em causa.
Num teste de restauro, uma cópia antiga pode voltar a colocar o titular no CRM. Por isso, o plano de recuperação deve incluir a reaplicação de apagamentos e oposições antes da reabertura normal do serviço. Documente quem guarda a lista de supressão, como ela própria é protegida e quando os backups expiram. Não mantenha todos os atributos do cliente nessa lista se um identificador mínimo for suficiente. Se uma arquitetura impede qualquer eliminação por tempo excessivo, analise a sua configuração e retenção em vez de invocar uma suposta aceitação automática de todos os ciclos de backup.
Conservar prova sem reconstruir o perfil
É útil documentar que o pedido chegou, como foi decidido e quando a execução terminou. Isso demonstra o cumprimento do artigo 12.º e permite investigar uma reimportação indevida. Guarde apenas o necessário: identificador, data, categorias, exceção aplicada, instruções emitidas e confirmação. Uma cópia integral dos dados apagados sob a etiqueta «prova» contrariaria o objetivo do pedido se não houvesse fundamento próprio. Determine um prazo adequado para este registo e acesso limitado. O encarregado de proteção de dados, se designado, pode aconselhar e monitorizar o processo; a decisão e responsabilidade permanecem no responsável pelo tratamento.
A prova deve refletir uma execução real. Uma linha marcada «concluído» não basta se o fornecedor de e-mail continuou a usar o contacto ou se o dado reapareceu após sincronização. Verifique uma amostra após a operação e, quando apropriado, confirme com o subcontratante. O objetivo não é conservar toda a informação sobre a pessoa para sempre, mas tornar auditável uma decisão limitada e proporcional.
Exemplo de decisão por categorias
Uma pessoa fecha a conta numa plataforma de cursos e pede eliminação. A equipa identifica perfil, progresso nas aulas, histórico de pagamentos, pedidos de apoio e inscrições em marketing. O perfil e o progresso podem ter deixado de ser necessários após o encerramento, salvo se existir outra finalidade legítima específica. A lista de marketing deve deixar de usar o contacto quando há retirada de consentimento ou oposição. Faturas podem ficar retidas pelo prazo legal aplicável, com acesso limitado à finalidade contabilística. Uma reclamação ainda em curso pode justificar conservar os documentos necessários à defesa de direitos pelo tempo proporcional. A equipa instrui os subcontratantes relevantes, trata cópias públicas se existirem e regista o efeito nos backups.
A resposta ao titular não diz apenas «apagámos a conta». Explica, em linguagem clara, que categorias foram eliminadas e quais continuam, por quanto tempo ou segundo que critério. Se a pessoa discorda da exceção, pode reclamar à CNPD e recorrer aos tribunais. O procedimento deve permitir rever a decisão; uma tabela que marca automaticamente «fatura = conservar» sem verificar a norma, finalidade e prazo pode reter dados em excesso. O exemplo mostra a utilidade da análise por categoria em vez de uma escolha binária para toda a pessoa.
Perguntas frequentes
O responsável pode recusar um pedido porque tem uma fatura?
Pode conservar os dados cuja manutenção é efetivamente necessária para cumprir uma obrigação legal aplicável, mas deve analisar e apagar separadamente os restantes dados quando o artigo 17.º o exigir. A fatura não justifica manter a pessoa numa lista de publicidade.
Retirar consentimento elimina tudo o que a empresa sabe sobre mim?
Não. A retirada afeta o tratamento que depende desse consentimento. Outras finalidades podem ter fundamento autónomo, identificado e válido, ou uma exceção ao apagamento. O responsável não pode criar retroativamente um fundamento genérico apenas para evitar o pedido.
Quanto tempo há para responder?
Em regra, um mês desde a receção. A extensão até mais dois meses requer necessidade pela complexidade ou número de pedidos e comunicação fundamentada ainda no primeiro mês. A ausência de resposta deve também ser justificada nos termos do artigo 12.º, n.º 4.
Os backups têm de ser apagados imediatamente?
Não existe uma regra técnica única para todos os backups, nem uma dispensa geral. Avalie a viabilidade e os riscos da eliminação seletiva, limite acessos, defina retenção e assegure que um restauro não reativa dados cuja eliminação era devida. O plano deve ser documentado e efetivo.
É obrigatório publicar o registo de pedidos de apagamento?
Não. O registo de decisões serve para gerir e demonstrar o cumprimento, com acesso controlado e dados mínimos. O titular deve receber uma resposta clara e pode reclamar à CNPD quando discorda.