Como comprovar a exclusão dos dados pessoais dos titulares dos dados pessoais? Blog

• 2023
• Code Compliance

Essa é uma pergunta recorrente e, assim como tantas outras quando pensamos em LGPD, não há uma “receita de bolo pronto”.

Porém, existem algumas saídas interessantes e que podem ser adotadas pelas corporações, logicamente sempre dependendo da realidade da empresa, nível tecnológico adotado, informações qualitativas e quantitativas dos dados, dentre outros aspectos.

Mas vamos lá.

1. Atualmente o que se usa – e é aceito – é a auto declaração da empresa operadora ou controladora de que os dados foram apagados.

Isso nada mais é do que uma demonstração de boa-fé da empresa a respeito do atendimento da solicitação do titular. Neste caso, tratamos então do apagamento voluntário dos dados, tão logo solicitado pelo titular, em procedimento registrável e arquivado.

2. Se o sistema adotado pela corporação permitir, pode-se usar o logging das atividades de exclusão. Registra-se o usuário, ação, a data, horário, eventual código ou hash da operação, registrando todas as ações tomadas dentro do sistema para a exclusão daquela solicitação.

Esses metadados – que não identificam os dados pessoais – mas que estão atrelados à atividade de exclusão, serão preservados e servem de comprovação futura e caso de questionamento administrativo ou judicial.

3. Alternativamente, há a possibilidade de se registrar a interface de pesquisa, onde não há a exibição do dado pessoal, uma vez que consultando o sistema pelo ID ou pelo dado articular da informação, não se retorna nenhuma informação, não há um “mach” dentro do sistema.

Desta forma, adota-se um “select” que retorna sem a informação pesquisada.

É, na verdade, uma tela simples que não existem registros retornáveis na base de dados da empresa.

4. Existe também a possibilidade da realização de uma operação assistida desse registro, ou seja, de alguma maneira registrar o procedimento de exclusão e manter isso armazenado. Um vídeo, um registro, um screen log nesse sentido. Trata-se de atividade mais artesanal, mas a depender do porte da corporação, pode fazer sentido a adoação.

O ponto comum das alternativas possíveis é a adoção do princípio da boa-fé e a comprovação, ainda que não exaustiva, de que medidas efetivamente foram adotadas, o dado não foi mais utilizado, compartilhado, enfim, objeto de tratamento por parte do controlador.