O direito à portabilidade do artigo 20.º do RGPD permite receber certos dados pessoais num formato estruturado, de uso corrente e de leitura automática, e transmiti-los a outro responsável. Também permite pedir a transmissão direta entre responsáveis quando tecnicamente possível. Não é uma forma de obter todas as informações que uma organização possui: exige, em conjunto, dados pessoais relativos ao titular e por ele fornecidos, tratamento baseado no consentimento ou num contrato com o titular e meios automatizados. O direito de acesso do artigo 15.º tem outro âmbito e pode continuar a aplicar-se quando a portabilidade não se aplica.
A política de privacidade deve explicar os direitos relevantes sem prometer uma exportação universal. Uma resposta correta começa por identificar qual operação gerou os dados, em que base se apoia e que parte é fornecida ou observada pelo titular. Só depois se escolhe o formato e se avaliam direitos de terceiros. Este guia orienta a equipa que recebe o pedido e precisa de produzir uma exportação útil sem incluir inferências próprias, esconder dados observados ou exigir ao titular uma ferramenta especial.
Principais conclusões
- As três condições do artigo 20.º, n.º 1, são cumulativas: base de consentimento ou contrato, tratamento automatizado e dados fornecidos pelo titular, incluindo em determinadas circunstâncias dados observados na utilização do serviço.
- Perfis ou pontuações criados por análise do responsável não entram automaticamente na portabilidade; podem, no entanto, ser relevantes para o direito de acesso.
- CSV, JSON e XML são exemplos, não uma lista obrigatória nem a exigência de pôr dados heterogéneos num único ficheiro.
- A transmissão direta depende de possibilidade técnica; o artigo 20.º, n.º 4, manda proteger direitos e liberdades de outras pessoas, não excluir automaticamente todo o registo que as mencione.
- O prazo geral de resposta do artigo 12.º, n.º 3, é um mês após a receção, com possível prorrogação de dois meses em caso de complexidade ou número de pedidos, informada no primeiro mês.
Portabilidade não é acesso nem apagamento
Para distinguir tratamento automatizado de decisões automáticas, consulte o guia sobre âmbito do tratamento automatizado. Pelo direito de acesso, a pessoa pode obter confirmação, informações e cópia de dados pessoais abrangidos pelo artigo 15.º, independentemente de a base ser obrigação legal, interesse público, contrato ou outra. A portabilidade apenas cobre o subconjunto definido no artigo 20.º e acrescenta requisitos de formato reutilizável e eventual transmissão direta. Um pedido que diga «quero os meus dados» pode exigir esclarecimento prático ou uma resposta que considere ambos os direitos; não o rejeite só por usar o nome errado.
O direito também não apaga os dados na origem. Se a pessoa muda de prestador, o responsável original pode ainda conservar informação necessária para obrigações legais ou outras finalidades lícitas, sujeita aos princípios de minimização e conservação. Se a pessoa pedir eliminação, avalie separadamente o direito ao apagamento e as suas exceções. Uma exportação bem-sucedida não prova que exista obrigação de apagar; uma recusa de apagamento não elimina por si o direito de receber os dados portáveis.
| Questão | Portabilidade, artigo 20.º | Acesso, artigo 15.º |
|---|---|---|
| Base e meio | Consentimento ou contrato, tratamento automatizado | Não limitado a essas bases nem a sistemas automatizados |
| Dados | Fornecidos pelo titular, incluindo observados abrangidos | Dados pessoais do titular tratados pelo responsável |
| Entrega | Estruturada, uso corrente, leitura automática | Cópia e informações exigidas pelo artigo 15.º |
| Transferência a outro responsável | Direta se tecnicamente possível | Não é elemento próprio do artigo 15.º |
Evite a simplificação «acesso a tudo». O direito de acesso também tem limites, como a proteção dos direitos e liberdades de terceiros no artigo 15.º, n.º 4, e requer uma análise própria. A tabela apenas distingue o ponto de partida das duas decisões. Uma organização pode responder ao mesmo pedido com ficheiros portáveis para uma parte dos dados e com cópia legível ou explicação para outros dados pedidos por acesso.
Verificar as três condições cumulativas
Primeiro, confirme se a operação se apoia no consentimento dos artigos 6.º, n.º 1, alínea a), ou 9.º, n.º 2, alínea a), ou num contrato com o titular nos termos do artigo 6.º, n.º 1, alínea b). Não basta existir um contrato da empresa com um fornecedor: a base deve corresponder ao tratamento em causa e à relação com a pessoa. Uma conta criada para um serviço contratado pode preencher essa condição; uma obrigação fiscal de conservar faturas, tratada com base numa obrigação legal, não a preenche para essa operação. Consulte o guia das bases de licitude quando o sistema usa dados para mais de uma finalidade.
Segundo, o tratamento deve ser realizado por meios automatizados. Um dossiê exclusivamente em papel não se torna portável apenas porque a pessoa pediu uma digitalização. Se há dados em aplicações e documentos físicos, separe os conjuntos e avalie o acesso aos documentos fora do âmbito da portabilidade. Não afirme que toda a organização está excluída por conservar algumas folhas em papel: a análise incide nas operações e dados pedidos.
Terceiro, os dados devem ser relativos ao titular e fornecidos por ele, expressão que as orientações WP242 rev.01 ratificadas pelo CEPD interpretam de modo amplo. Incluem dados entregues ativamente, como contactos num formulário, e dados observados através da atividade da pessoa, como histórico de transações ou utilização. Não incluem, em regra, resultados de análise criados pelo responsável, como uma pontuação de risco ou segmento de marketing inferido. Esta distinção exige conhecer a origem do campo, não olhar apenas para o nome da coluna.
Separar dados fornecidos, observados e inferidos
Imagine uma plataforma de compras. Nome e morada introduzidos pelo cliente são fornecidos ativamente; datas, produtos e quantidades das suas encomendas são observados durante o serviço. A etiqueta interna «cliente com elevada probabilidade de desistência» é inferida pela plataforma e não integra automaticamente a exportação de portabilidade. O histórico de encomendas pode conter dados de um destinatário diferente: essa circunstância pede uma avaliação dos direitos dessa pessoa, não a eliminação automática de todo o pedido.
Numa aplicação de atividade física, medições recolhidas pelo dispositivo durante o uso podem ser dados observados. A interpretação clínica ou pontuação produzida por um algoritmo do prestador pode ser inferida. Uma mesma resposta pode, portanto, conter valores medidos e excluir a conclusão gerada pelo prestador, explicando a distinção. Se a pessoa também exerce o direito de acesso, examine separadamente se a conclusão é dado pessoal abrangido pelo artigo 15.º. Uma exclusão do artigo 20.º não torna a informação invisível a outros direitos.
Mantenha um mapa técnico simples: campo, origem, finalidade, base jurídica, sistema, formato e relação com outras pessoas. O registo de atividades é útil para localizar processos e sistemas, mas o artigo 30.º não exige listar a base jurídica de cada campo ou a sua origem como campos obrigatórios. Acrescente um mapa interno quando necessário para cumprir o pedido. Sem esse trabalho, as equipas tendem a exportar toda a base de dados, incluindo segredos de terceiros e inferências, ou a limitar a resposta aos formulários preenchidos manualmente.
Escolher um formato utilizável
O artigo 20.º pede formato estruturado, de uso corrente e de leitura automática. CSV, JSON e XML são opções frequentes, mas a escolha depende dos dados. Uma tabela de transações pode ir em CSV com cabeçalhos claros; mensagens podem exigir ficheiros e metadados que preservem remetente, destinatário, data e organização; fotografias ou áudio podem manter formatos correntes adequados. Não force todos os tipos de dados para um único CSV sem estrutura, nem inclua apenas uma imagem de uma tabela. As orientações do CEPD para pequenas empresas assinalam a utilidade de formatos reutilizáveis e metadados.
Uma exportação técnica precisa de legenda. Indique significado dos campos, codificação, fuso horário, unidades, relação entre ficheiros e versão do esquema, em linguagem que permita importar os dados sem adivinhar. Verifique acentos, datas, valores nulos e duplicados; um ficheiro válido que troca colunas ou omite identificadores de ligação não cumpre o objetivo prático. É recomendável gerar um exemplo com dados fictícios e testá-lo antes de receber o primeiro pedido, sem afirmar que o RGPD exige um formato ou API específico universal.
Proteja a entrega. Confirme a identidade de forma proporcionada quando haja dúvidas razoáveis, como admite o artigo 12.º, n.º 6; não peça cópias excessivas de documentos a todos os titulares. Use um canal seguro e comunique separadamente credenciais quando apropriado. Registe o que foi entregue, quando e a quem. Se a pessoa pedir um novo responsável como destino, verifique a identificação e a capacidade de receção desse destinatário antes de transmitir dados; um endereço escrito incorretamente pode criar uma violação de dados pessoais.
Transmissão direta e limites técnicos
O artigo 20.º, n.º 2, prevê transmissão direta de responsável para responsável quando tecnicamente possível. Não obriga concorrentes a criar sistemas interoperáveis novos em todos os casos, mas o responsável não deve criar obstáculos artificiais a uma transmissão que consegue efetuar. Pergunte que formato e canal o destinatário aceita e se os dados exportáveis podem ser enviados com segurança. Se não houver meio tecnicamente viável, forneça ao titular os dados num formato reutilizável e explique a limitação concreta, em vez de recusar todo o direito.
Exemplo: uma pessoa quer mover listas de reprodução de um serviço para outro. Se o segundo oferece uma interface segura compatível, a transmissão direta pode ser possível. Se só aceita um esquema proprietário não documentado, a primeira empresa pode entregar um ficheiro estruturado ao titular, acompanhado de metadados. O facto de não existir integração pronta não dispensa a análise, tal como não obriga a desenvolver uma integração impossível dentro do prazo de resposta. Documente os testes ou contactos que sustentam a conclusão.
O artigo 20.º, n.º 3, esclarece que a portabilidade não prejudica o artigo 17.º e não se aplica a tratamento necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que o responsável esteja investido. Uma autarquia que gere licenças nessas bases pode explicar por que a portabilidade não se aplica à operação, sem negar o direito de acesso. Outros tratamentos da mesma entidade podem exigir análise própria; não use «setor público» como rótulo que resolve todas as operações. O guia para municípios aprofunda as bases típicas das funções autárquicas.
Direitos de terceiros sem exclusões automáticas
O artigo 20.º, n.º 4, determina que o exercício do direito não pode prejudicar os direitos e liberdades de terceiros. Uma conversa entre duas pessoas ou uma lista de contactos pode conter dados de ambas; não se exclui automaticamente a conversa inteira apenas porque inclui outra pessoa. Examine se o titular pode receber e usar os seus dados sem revelar informação sensível de terceiros a um destinatário inadequado. Em certos casos basta limitar campos ou identificar o destinatário; noutros será necessário ocultar parte dos dados ou justificar uma resposta parcial. As orientações WP242 dão exemplos de mensagens e contas partilhadas para mostrar por que a análise é contextual.
Registe qual direito de terceiro seria afetado, qual salvaguarda foi considerada e que parte da informação foi efetivamente entregue. Não afirme que a portabilidade de contactos autoriza o novo prestador a usar endereços de terceiros para marketing: o destinatário terá de avaliar a sua própria base e finalidade. Ao mesmo tempo, a proteção de terceiros não deve virar uma razão genérica para negar ao requerente toda a sua correspondência ou histórico. Uma resposta parcial precisa de explicação inteligível e de tratamento do eventual pedido de acesso paralelo.
Procedimento e prazos para responder
Comece por registar o pedido e a data de receção, identificar a pessoa e os sistemas, e decidir se é portabilidade, acesso ou ambos. Verifique as três condições por operação, prepare o conjunto exportável, revise riscos para terceiros e teste formato e destinatário. A equipa jurídica não precisa de escrever CSV, mas deve aprovar o âmbito; a equipa técnica não deve escolher sozinha a base de licitude. Se existir EPD, envolva-o como conselheiro quando o caso o justifique, sem afirmar que todas as exportações exigem validação pessoal do encarregado.
O artigo 12.º, n.º 3, requer informação sobre o seguimento sem demora injustificada e, em regra, no prazo de um mês a contar da receção. Uma prorrogação até dois meses adicionais depende da complexidade ou número de pedidos e tem de ser comunicada, com motivos, no primeiro mês. Se não der seguimento, o artigo 12.º, n.º 4, exige comunicar razões sem demora injustificada e o mais tardar num mês, informando sobre reclamação à autoridade e recurso judicial. A página da CNPD sobre portabilidade orienta o titular a contactar primeiro o responsável e a conservar prova do pedido. Evite transformar a menção simplificada a «30 dias» nessa página numa substituição do prazo em meses do artigo 12.º.
Quando apenas parte dos dados está abrangida, explique a separação sem expor segredos técnicos desnecessários: «entregámos dados introduzidos e atividade observada para o serviço contratado; a pontuação calculada internamente não integra a portabilidade; pode pedir acesso nos termos do artigo 15.º». Se a base de uma finalidade é obrigação legal, indique-a. Conserve a decisão e o conjunto entregue pelo tempo justificado pela gestão do pedido, protegendo-o como outro dado pessoal. Um processo repetível reduz falhas, mas não elimina a necessidade de analisar casos mistos. Ao avaliar software de conformidade RGPD, peça uma demonstração com dados fictícios para saber se a exportação preserva estrutura e metadados; não presuma que a plataforma decide o âmbito legal por si.
Perguntas frequentes
Tenho de exportar perfis e pontuações calculados pela empresa?
Não automaticamente para portabilidade. As orientações WP242 distinguem dados fornecidos ou observados do resultado de inferência ou derivação criado pelo responsável. Verifique cada campo e, se houver pedido de acesso, avalie-o separadamente. A exclusão da portabilidade não implica que a empresa possa ocultar todo dado pessoal inferido perante outro direito.
Qual é o formato obrigatório?
O RGPD não escolhe CSV, JSON ou XML. Exige formato estruturado, comum e de leitura automática, adequado ao tipo de dados e acompanhado dos metadados necessários ao seu uso. Conteúdos diferentes podem precisar de ficheiros diferentes; um PDF digitalizado isolado não é solução adequada para dados tabulares reutilizáveis.
A portabilidade inclui dados tratados por interesse legítimo?
Não para essa operação, porque o artigo 20.º, n.º 1, se limita a consentimento ou contrato e meios automatizados. Se os mesmos dados forem usados em operações distintas, examine cada finalidade. O guia de interesse legítimo explica a base da alínea f), que não se transforma em contrato só porque há uma relação comercial.
Um registo com dados de outra pessoa fica excluído por inteiro?
Não necessariamente. O artigo 20.º, n.º 4, exige proteger os direitos e liberdades de terceiros. Avalie o risco concreto, o destinatário e salvaguardas proporcionais; pode ser possível entregar o registo com limitações, ou explicar uma exclusão parcial. A simples presença de um nome de terceiro não resolve a análise.
A portabilidade funciona quando a organização conhece a origem e a finalidade dos dados e consegue exportá-los com significado. Uma resposta completa explica também o que ficou de fora e por quê. Para o texto normativo, consulte o RGPD em EUR-Lex; para orientação ao titular, a CNPD disponibiliza um exemplo de pedido.