Direito ao Esquecimento e Partilha de Ficheiros

O Artigo 17.º do RGPD (direito ao apagamento) obriga os serviços de partilha de ficheiros e os seus clientes a eliminarem dados pessoais mediante pedido, no prazo de um mês, incluindo cópias detidas por subcontratantes e em cópias de segurança, salvo se se aplicar uma isenção específica. Para transferências de ficheiros, isso significa ter um mecanismo de eliminação que alcance todos os níveis de armazenamento — armazenamento de objetos ativo, caches de CDN, cópias de segurança frias e destinatários que descarregaram o ficheiro. Serviços com expiração automática de 7 a 30 dias tratam a maioria dos pedidos de apagamento por defeito; serviços que retêm ficheiros indefinidamente precisam de um fluxo de eliminação documentado e testável.

O que o Artigo 17.º(1) exige efetivamente

O Artigo 17.º(1) enumera seis fundamentos que desencadeiam o apagamento: os dados já não são necessários para a finalidade original (a), o titular retira o consentimento (b), o titular opõe-se nos termos do Artigo 21.º e não existe fundamento legítimo prevalecente (c), os dados foram tratados ilicitamente (d), obrigação legal de apagar (e), e dados de crianças recolhidos ao abrigo do Artigo 8.º(1) (f). Na partilha de ficheiros, (a) e (b) dominam. A janela padrão de "necessidade para a finalidade" para uma entrega a cliente é a duração do projeto mais um período curto para resolução de litígios — raramente mais de 12 meses.

O prazo de resposta de um mês

O Artigo 12.º(3) concede aos responsáveis pelo tratamento um mês para responder a um pedido do titular, prorrogável por dois meses em casos complexos, com notificação ao titular. Esse é o prazo de resposta, não um prazo técnico de eliminação. Mas se ainda estiver a eliminar ficheiros manualmente via tickets três semanas após a receção, está a trabalhar no limite. Serviços com eliminação por API — DELETE /transfers/{id} a devolver 204 — permitem cumprir o prazo sem horas extraordinárias. Incorpore a chamada de eliminação no formulário de receção do pedido ao abrigo do RGPD, para que dispare automaticamente quando o ticket for aprovado.

Cópias de segurança, caches e o problema em cascata

Eliminar um ficheiro do armazenamento primário não o elimina da cópia de segurança de ontem, da cache de borda de CDN da semana passada, nem do portátil do destinatário. As orientações do CEPD sobre o Artigo 17.º (publicadas em 2019, revistas em 2022) aceitam que as cópias de segurança possam ter algum desfasamento, mas exigem um calendário de eliminação documentado — tipicamente rotação completa em 90 dias — e um compromisso de que os dados salvaguardados não sejam restaurados para sistemas ativos. Para caches de CDN, as chamadas de invalidação (API de purga da Cloudflare, invalidação do AWS CloudFront) devem fazer parte do pipeline de eliminação. Para cópias dos destinatários, notifique ao abrigo do Artigo 17.º(2) e documente a notificação.

A expiração de ligações como apagamento estrutural

O caminho de conformidade mais limpo é não reter ficheiros além do necessário. Serviços concebidos em torno de ligações de curta duração — SwissTransfer aos 30 dias, Firefox Send a 1-7 dias antes de encerrar, WeTransfer Free aos 7 dias, HexaTransfer aos 7 dias — eliminam automaticamente independentemente de qualquer pedido. Isto é "privacidade por conceção" ao abrigo do Artigo 25.º: a configuração predefinida minimiza a retenção. Ao desenvolver ou escolher uma ferramenta de transferência, a expiração predefinida abaixo dos 30 dias torna a maioria dos pedidos de apagamento num não-evento, porque o ficheiro já não existe.

Isenções ao abrigo do Artigo 17.º(3)

O Artigo 17.º(3) lista cinco isenções: liberdade de expressão (a), obrigações legais incluindo regras de retenção (b), interesse público na saúde (c), arquivo para interesse público, investigação científica ou histórica (d), e estabelecimento ou defesa de ações legais (e). Na partilha de ficheiros, (b) e (e) surgem com mais frequência. Um contrato em PDF partilhado com um cliente pode ter de ser conservado durante sete anos ao abrigo das regras de IVA ou dez anos ao abrigo do Código Comercial — documente a lei de retenção, pseudonimize onde possível, e não elimine a pedido. Documente a recusa por escrito com fundamento legal.

Apagamento criptográfico para armazenamento imutável

Alguns sistemas de armazenamento (armazenamento de objetos imutável, cópias de segurança WORM, certos arquivos adjacentes a blockchain) não conseguem sobrescrever fisicamente dados. O apagamento criptográfico — destruir a chave de encriptação para que o texto cifrado se torne irrecuperável — é aceite pela ENISA e pelo CEPD como equivalente à eliminação para efeitos do RGPD, desde que a cifra seja robusta (AES-256-GCM ou superior) e a chave tenha sido devidamente protegida. Serviços que utilizam chaves por ficheiro ou por transferência podem honrar o apagamento descartando a chave, deixando um texto cifrado que ninguém consegue desencriptar. Isto é mais rápido do que sobrescrever terabytes e funciona em sistemas imutáveis.

Registos de eliminação e o princípio da responsabilização

O Artigo 5.º(2) exige que os responsáveis pelo tratamento demonstrem conformidade. Os registos de eliminação são a sua prova. Para cada apagamento, registe: data do pedido, identificador do titular, referência do ticket, sistemas visados (armazenamento primário, cópias de segurança, CDN, lista de notificação de destinatários), método de eliminação (chamada API, destruição de chave, sobreescrita), data e hora de conclusão, e operador. A retenção do próprio registo durante seis meses é uma linha de base comum. Alguns fornecedores disponibilizam um PDF de "confirmação do Direito ao Apagamento" que pode encaminhar para o titular; outros apenas atualizam o ticket. De qualquer forma, conserve o rasto documental pelo período durante o qual inquéritos da autoridade de supervisão sejam plausíveis — tipicamente três anos.

Pastas partilhadas e destinatários a jusante

Um ficheiro enviado para cinco destinatários existe em cinco caixas de correio mais cinco discos rígidos locais. O Artigo 17.º(2) exige que os responsáveis pelo tratamento tomem medidas razoáveis — incluindo medidas técnicas — para informar outros responsáveis que tratam os dados de que foi solicitado o apagamento. "Razoável" é proporcional ao risco. Para um sumário executivo público enviado a 50 jornalistas, "razoável" é praticamente nulo. Para um relatório médico enviado a três especialistas, trata-se de um e-mail a cada um com o pedido de eliminação. Registe as notificações; a obrigação é de esforço, não de resultado.

Dados de crianças e limiares mais rigorosos

Ao abrigo do Artigo 17.º(1)(f), os dados pessoais recolhidos de crianças nos termos do Artigo 8.º(1) — em que o consentimento parental foi exigido para serviços da sociedade da informação — beneficiam de tratamento de apagamento preferencial. Se a plataforma de transferência de ficheiros executou uma campanha de marketing recolhendo contactos de menores (incomum, mas não impossível), os pedidos de apagamento devem ser satisfeitos sem o habitual exercício de ponderação. As legislações nacionais fixam o limiar do Artigo 8.º de forma diferente consoante os Estados-Membros (13 na Suécia e no Reino Unido, 15 em França, 16 na Alemanha). Os fornecedores que visam mercados educativos precisam de fluxos de trabalho que tratem pedidos iniciados por pais em nome de menores.

Automatizar o apagamento com a ferramenta de transferência

O padrão eficiente é um único ponto de entrada de API que, dado um identificador de utilizador, enumera todas as transferências envolvendo esse utilizador (como remetente ou e-mail de destinatário), as elimina nos níveis de armazenamento primário e cache, invalida as bordas de CDN, aciona a supressão de cópias de segurança e emite um comprovativo de conformidade. O Tresorit, o Proton Drive e o Box Enterprise disponibilizam variantes deste modelo. A abordagem da HexaTransfer — expiração automática de 7 dias com encriptação do lado do cliente — colapsa o problema: a maioria dos ficheiros já não existe quando chegam os pedidos, e o texto cifrado restante é inútil sem a chave detida pelo utilizador.

Conceba primeiro para a eliminação e o direito ao apagamento resolve-se sozinho. Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.