Direito ao Apagamento RGPD: Conclusões EDPB 2025
Atualizado para 2026
Ação de Fiscalização EDPB 2025
O Comité Europeu para a Proteção de Dados realizou uma ação importante em 2025. Centrou-se no artigo 17.º do RGPD — o direito ao apagamento. Trinta e duas APD da UE e do EEE participaram. Todas agiram ao mesmo tempo. O objetivo era detetar falhas sistémicas, não casos isolados.
Esta ação é o Quadro de Controlo Coordenado, ou CEF. Nove APD abriram desde então investigações formais com base nos seus resultados.
Sete Falhas Recorrentes
O relatório CEF identificou sete problemas nas organizações investigadas:
- Procedimentos internos fracos para tratar pedidos de apagamento
- Rejeição excessiva de pedidos válidos
- Encargo indevido imposto às pessoas que submetem pedidos
- Incapacidade de localizar todos os registos pessoais entre sistemas
- Atrasos superiores ao prazo de 30 dias do RGPD
- Comunicação deficiente às pessoas sobre o resultado dos seus pedidos
- Anonimização deficiente utilizada em vez da eliminação. As organizações alegavam "anonimização" mas deixavam os registos rastreáveis.
O sétimo ponto é o mais complexo. Afeta qualquer organização que utilize este método para reduzir os registos pessoais conservados.
Anonimização vs. Eliminação
O direito ao apagamento do RGPD não exige sempre uma eliminação total. O considerando 65 permite esta abordagem quando a eliminação não é viável. As cópias de segurança e os sistemas de análise são exemplos comuns.
O CEF mostra que esta opção está a ser utilizada de forma inadequada. As organizações classificam um processo como "anonimização" para evitar a eliminação real. Mas o processo deixa os registos rastreáveis.
O CEPD traça uma linha clara.
A verdadeira anonimização significa que o vínculo entre os registos e uma pessoa não pode ser reconstruído. Nem o responsável pelo tratamento nem terceiros o podem restabelecer. Esses registos ficam fora do âmbito do RGPD. O pedido fica satisfeito.
A pseudonimização é diferente. A reidentificação continua possível com a chave correta. Os registos pessoais ainda existem. O pedido não fica satisfeito. Os registos devem ser eliminados ou a chave destruída.
Uma Abordagem de Duas Camadas
As organizações que utilizam este método em análise precisam de duas camadas.
Camada 1 — Ingestão: Os registos pessoais brutos chegam aqui. Estes registos estão sujeitos a pedidos de eliminação. Quando uma pessoa invoca os seus direitos ao abrigo do artigo 17.º, os registos desta camada são eliminados.
Camada 2 — Análise: Apenas as saídas anonimizadas chegam a esta camada. Se o processo foi completo e irreversível, estas saídas deixam de ser pessoais. Não se alteram quando chega um pedido de eliminação.
Esta estrutura só funciona se a etapa de mascaramento passar três testes.
Primeiro: irreversível. Tokens reversíveis e substituições cifradas não são válidos.
Segundo: completo. Todos os tipos de identificadores devem ser tratados. Apenas os nomes não são suficientes.
Terceiro: documentado. A organização deve conseguir mostrar a uma APD como o método funciona.
Um retalhista que substitui os nomes de clientes por tokens cifrados fez pseudonimização — não eliminação real. A camada de análise ainda contém registos pessoais. Os pedidos de eliminação continuam a aplicar-se.
O nosso guia de conformidade com o RGPD abrange a base legal de cada abordagem. A nossa visão geral de conformidade de segurança lista os controlos necessários. Para orientação passo a passo, consulte o nosso guia de auditoria de anonimização RGPD.