O que é um pedido de acesso aos dados pessoais?

Última atualização: 26 de agosto de 2026

Um pedido de acesso aos dados pessoais permite à pessoa saber se uma organização trata os seus dados, receber uma cópia e compreender o contexto desse tratamento. O pedido não depende de formulário nem de linguagem jurídica. Se um cliente pergunta «que informações guardam sobre mim?», o fluxo de resposta pode ter começado nesse momento ¹.

Resposta rápida Um pedido de acesso aos dados pessoais é o direito de receber confirmação, uma cópia dos dados e informação sobre o tratamento. Pode chegar por qualquer canal e sem palavras especiais. Registe-o, confirme identidade proporcionalmente, fixe o prazo de um mês, pesquise os sistemas relevantes e reveja dados de terceiros antes de responder.

O direito é mais amplo do que uma cópia de um ficheiro

A resposta deve permitir que a pessoa compreenda e verifique como os seus dados são usados. Entregar um PDF isolado pode não cumprir esse objetivo, porque o direito inclui informação sobre finalidades, categorias, destinatários, conservação, origem e direitos associados ¹.

O direito incide sobre dados pessoais, não necessariamente sobre documentos inteiros. Uma mensagem de correio eletrónico pode conter dados do requerente, opiniões de colegas e informação comercial sem relação com ele. A equipa precisa de localizar a mensagem, identificar os dados que dizem respeito à pessoa e decidir como fornecer uma cópia inteligível sem divulgar indevidamente terceiros.

Uma cópia também deve ser utilizável. Exportações sem cabeçalhos, códigos internos sem explicação ou imagens ilegíveis podem omitir o contexto necessário. A resposta deve indicar o significado de campos técnicos quando, sem essa explicação, a pessoa não consegue perceber o que a organização registou sobre ela.

Num pedido sobre uma candidatura recusada, por exemplo, a resposta pode precisar de reunir o formulário, classificações atribuídas, mensagens em que os avaliadores discutem a pessoa, origem de verificações e explicação dos códigos do sistema; entregar apenas o currículo que o candidato já possui não mostra quais dados foram criados pela organização, quem os recebeu nem durante quanto tempo serão conservados.

O pedido pode chegar por qualquer canal

Não existe uma frase mágica. «Quero ver as notas da minha conta», «envie tudo o que têm sobre mim» ou uma pergunta verbal a um gestor podem ser pedidos válidos, conforme o contexto. A organização deve formar as equipas que recebem comunicações normais para reconhecer a intenção e encaminhá-la ².

Centralizar o tratamento não significa obrigar a pessoa a repetir o pedido num portal. O canal central serve a organização: a mensagem original, data, âmbito e anexos devem ser transferidos sem perder tempo. Uma confirmação rápida reduz dúvidas e dá oportunidade de clarificar o que a pessoa procura.

Clarificar pode tornar a pesquisa mais eficaz, mas não deve funcionar como barreira. Se o âmbito é claro, pedir repetidamente mais detalhes apenas consome o prazo. Se o pedido é muito amplo, explique que sistemas e períodos podem estar envolvidos e convide a pessoa a indicar prioridades, mantendo um registo do que foi acordado.

O pedido pode chegar por representante. Confirme a autorização de forma proporcionada e mantenha a comunicação acessível, sobretudo quando a pessoa usa um canal assistido ou tem necessidades específicas. A representação não reduz o conteúdo do direito nem permite recolher prova de identidade excessiva; deve apenas demonstrar quem pode receber a resposta e proteger a divulgação contra destinatário errado ².

O prazo de um mês precisa de responsável

A regra geral exige resposta sem demora injustificada e dentro de um mês. O prazo pode ser prolongado por mais dois meses quando o pedido é complexo ou existem vários pedidos da mesma pessoa; a organização deve comunicar a extensão e as razões dentro do primeiro mês ¹.

Verificar identidade protege dados contra divulgação à pessoa errada, mas a medida deve ser proporcional. Um cliente autenticado que pede dados dentro da conta pode exigir menos prova do que alguém que escreve de um endereço desconhecido pedindo um processo laboral completo. A organização não deve pedir documentos excessivos por rotina.

As datas não podem viver apenas na caixa de entrada de uma pessoa. Um proprietário do caso acompanha o prazo, cobra pesquisas, decide escalamentos e preserva a razão de qualquer extensão. Ausência, férias ou demora de um fornecedor não reiniciam automaticamente o calendário.

Pesquisar significa seguir os dados

No RGPD, a pesquisa deve acompanhar os dados pessoais abrangidos pelo pedido tal como o âmbito foi razoavelmente compreendido, e não apenas o sistema que parece principal. Para um trabalhador, a informação pode estar no ficheiro de pessoal, correio eletrónico, mensagens internas, registos de acesso, gravações, aplicações de despesas, fornecedor de salários e cópias locais controladas.

Existe uma divergência que não deve ser importada. O direito atual do Reino Unido admite um atalho de pesquisa razoável e proporcionada. O RGPD da União Europeia não contém esse atalho: pesquisam-se os dados responsivos dentro do âmbito compreendido, sujeitos apenas às rotas definidas dos artigos 12.º, n.º 5, 15.º, n.º 4, e às restrições qualificadas do artigo 23.º. A dificuldade técnica, por si só, não encurta o âmbito.

Comece por identificadores conhecidos, períodos e equipas envolvidas. Depois teste sinónimos, números de cliente, endereços anteriores e campos que ligam sistemas. Registe os locais pesquisados, termos, intervalos, responsáveis e resultados; este mapa prova a diligência e permite completar uma nova pesquisa sem começar do zero.

Os fornecedores que tratam dados por conta da organização precisam de um canal e prazo contratual para devolver resultados. A responsabilidade pela resposta ao titular não desaparece porque os dados estão numa plataforma externa. Testar antecipadamente uma exportação revela formatos incompletos antes de existir um pedido real.

Procure pelo conteúdo, não apenas pelo nome do sistema. Uma decisão sobre a pessoa pode aparecer num ticket associado ao número da conta, numa folha exportada para análise ou numa mensagem que usa apenas a função profissional; entrevistas curtas com as equipas ajudam a localizar pastas, abreviaturas e fluxos que o inventário técnico não descreve.

Reveja amostras dos resultados e das exclusões. Muitos resultados irrelevantes podem exigir termos mais precisos, enquanto zero resultados num sistema esperado indica identificador errado, intervalo incompleto ou exportação defeituosa; documente a correção e repita a pesquisa, em vez de aceitar automaticamente a contagem produzida pela ferramenta.

A revisão protege terceiros e o requerente

Resultados brutos raramente estão prontos para envio. A revisão remove duplicados, verifica contexto, identifica dados de terceiros e confirma que cada ocultação cobre apenas o necessário. O artigo 15.º, n.º 4, protege os direitos e liberdades de terceiros, mas não autoriza excluir automaticamente um documento inteiro; as restrições do artigo 23.º exigem uma medida jurídica válida e proporcionada ¹.

Uma mensagem não deve ser excluída por inteiro só porque menciona outra pessoa. Pode ser possível ocultar o nome e entregar o restante; noutros casos, o conteúdo ou dever de confidencialidade torna a divulgação não razoável. A decisão precisa de considerar as circunstâncias, não uma regra automática aplicada por software.

O método de entrega também protege o requerente. Um arquivo com dados sensíveis deve seguir por canal seguro, com palavra-passe transmitida separadamente quando apropriado, e num formato que a pessoa consiga abrir. Guarde prova do que foi enviado, não apenas uma nota «concluído».

«Manifestamente excessivo» é uma conclusão exigente

Um pedido grande, repetido ou incómodo não é automaticamente manifestamente excessivo. A organização deve demonstrar que a exceção se aplica, considerando contexto, sobreposição, finalidade aparente, recursos necessários e possibilidade de fornecer uma resposta proporcional ².

Se a pessoa repete um pedido porque a resposta anterior estava incompleta, a repetição pode indicar falha da organização. Se pede diariamente a mesma cópia sem mudança, a análise é diferente. Documente o que já foi fornecido, o que mudou e qual carga concreta seria criada, evitando atribuir intenção sem evidência.

A primeira cópia é gratuita. Uma taxa razoável baseada nos custos administrativos pode aplicar-se a cópias adicionais ao abrigo do artigo 15.º, n.º 3; a rota do artigo 12.º, n.º 5, só surge perante pedido manifestamente infundado ou excessivo e exige que a organização demonstre essa conclusão. Antes de cobrar ou recusar, procure uma solução praticável: clarificar datas, separar uma parte prioritária ou explicar quais pesquisas causam maior esforço. Quando a organização recusa, deve informar as razões e as vias de reclamação e recurso dentro do prazo aplicável.

Meça a carga com factos: sistemas, volume provável, pesquisa, revisão de terceiros, duplicação e trabalho já concluído. Falta de pessoal, arquivo desorganizado ou ferramenta sem exportação pode tornar a resposta difícil, mas não demonstra por si que o pedido é manifestamente excessivo; a organização não deve converter as próprias falhas de gestão numa exceção contra a pessoa.

Submeta a conclusão a revisão proporcional e preserve o ramo alternativo. O aprovador deve conseguir explicar por que clarificação, entrega faseada, extração parcial ou pesquisa diferente não resolveria o problema, quais partes ainda podem ser fornecidas e que informação foi dada ao requerente; uma frase-padrão sobre «recursos desproporcionados» não permite repetir essa análise.

Três ações no dia em que chega

Primeiro, preserve o pedido exatamente como chegou e crie um registo que mostre data, canal, identidade declarada e âmbito inicial. Não reescreva uma pergunta informal como se fosse um pedido mais estreito; anexe a mensagem original e registe separadamente qualquer interpretação. Assim, uma futura discordância sobre o que foi pedido pode ser resolvida pela evidência.

Segundo, atribua um responsável que calcule o prazo, decida se existe dúvida real sobre identidade e escolha a prova mínima capaz de a resolver. O mesmo responsável confirma a receção e explica qualquer clarificação sem sugerir que o calendário só começa quando a organização estiver pronta.

Terceiro, envie uma instrução de preservação e pesquisa às equipas e fornecedores relevantes, com identificadores, período, formato de retorno e data interna anterior ao prazo legal. Estas três ações tornam a obrigação visível, evitam eliminação durante rotinas normais e impedem que cada sistema espere pelo outro antes de começar.

Em Portugal, a Comissão Nacional de Proteção de Dados (CNPD) é o contacto nacional para reclamações; a obrigação material continua a resultar do RGPD.