Portabilidade de dados no RGPD: âmbito, formatos e limites

A portabilidade de dados é o direito reconhecido pelo artigo 20 do Regulamento Geral de Proteção de Dados (RGPD) de receber certos dados pessoais e, se desejado, transmiti-los a outro responsável pelo tratamento. A entrega deve ser feita em um formato estruturado, de uso comum e legível por máquina. O direito também permite solicitar a transmissão direta entre responsáveis quando tecnicamente viável.

Seu objetivo prático é permitir que uma pessoa guarde e reutilize informações sobre si mesma sem ficar presa ao formato escolhido por um serviço. Pode facilitar a mudança de fornecedor ou o uso dos dados em outra ferramenta, mas não garante uma importação automática nem que o serviço receptor ofereça as mesmas funções. O artigo 20 trata de dados pessoais, não de transferir uma conta inteira ou replicar um produto.

É útil distinguir três usos da palavra portabilidade. A portabilidade do RGPD é um direito de proteção de dados; a portabilidade numérica permite manter um número de telefone ao mudar de operador; e uma migração técnica move bancos de dados, aplicativos ou arquivos entre sistemas. São semelhantes em implicar transferir algo, mas têm objetivos e regras diferentes.

O direito se aplica quando o tratamento é realizado por meios automatizados e se baseia no consentimento da pessoa ou em um contrato com ela. Além disso, os dados devem concernir à pessoa que solicita a portabilidade e ter sido fornecidos ao responsável. Não se aplica, por exemplo, ao tratamento necessário para uma missão de interesse público ou para o exercício de poderes públicos.

O alcance de 'fornecidos' não se limita ao que foi escrito em um formulário. As diretrizes sobre portabilidade incluem tanto os dados comunicados conscientemente—como um nome ou uma lista criada pelo usuário—quanto certos dados observados ao utilizar um serviço. Entre estes últimos podem estar registros de atividade, históricos de uso, dados de tráfego ou de localização, conforme o tratamento e as circunstâncias.

Em contraste, ficam fora do direito de portabilidade os dados inferidos ou deduzidos pelo responsável a partir de outros dados por meio de suas próprias análises, como uma avaliação ou previsão criada pelo serviço. A fronteira depende de como cada dado foi gerado: o fato de uma informação descrever uma pessoa não basta por si só para que seja portável sob o artigo 20. O direito de acesso é distinto e tem outro alcance.

Os dados de outras pessoas também requerem cuidado. Se um conjunto inclui informações que identificam ou afetam terceiros—por exemplo, uma conversa compartilhada—sua entrega não deve prejudicar seus direitos e liberdades. A portabilidade não autoriza a divulgação sem limites de informações alheias: o responsável deve considerar as circunstâncias e proteger os dados das demais pessoas.

O RGPD exige um formato estruturado, de uso comum e legível por máquina. Em termos práticos, a informação deve conservar uma organização que permita processá-la por meio de software, sem se reduzir a uma imagem ou a um documento difícil de reutilizar. As diretrizes mencionam o desenvolvimento de formatos interoperáveis e ferramentas que ajudem a baixar ou transmitir os dados como boas práticas.

JSON, CSV e XML são exemplos habituais de formatos estruturados que podem ser legíveis por máquina, mas o RGPD não prescreve um deles para todos os casos. A escolha depende dos dados e de como estão organizados. Um arquivo CSV pode servir para linhas e colunas simples; JSON ou XML podem representar estruturas aninhadas com mais detalhe. Ter uma extensão de arquivo conhecida não garante por si só que esteja completo, seja compreensível ou possa ser importado sem ajustes.

A portabilidade também não exige que o responsável e o serviço receptor utilizem sistemas compatíveis. O considerando 68 do RGPD incentiva a promover formatos interoperáveis, mas esclarece que o direito não obriga a criar ou manter uma compatibilidade técnica universal. Por isso, receber um arquivo portável não equivale a completar a migração: talvez seja necessário adaptar campos, resolver duplicados ou verificar quais dados o novo serviço aceita.

Essas características descrevem o formato, não determinam por si sós quais dados devem ser incluídos. Primeiro, avalia-se se cada dado entra no âmbito do artigo 20; depois, como entregá-lo de modo que possa ser recebido e reutilizado.

O pedido é apresentado à empresa ou organismo que trata os dados, não à Autoridade Nacional de Proteção de Dados (ANPD) para que esta os recolha. A ANPD oferece um formulário orientativo para se dirigir ao responsável. No pedido, convém identificar a pessoa, indicar que se exerce o direito do artigo 20 e descrever os dados ou o serviço ao qual se refere, além de sinalizar se se solicita uma transmissão direta e a qual responsável.

O responsável pode verificar a identidade quando tiver dúvidas razoáveis, mas a informação adicional que pedir deve ser proporcional. Se uma pessoa atua mediante representante, pode ser necessário acreditar essa representação. É útil conservar uma cópia do pedido e constância de seu envio; se a resposta não chega ou não resolve o pedido, esses elementos ajudam a documentar o ocorrido.

O prazo geral para responder a um pedido de direitos do RGPD é de um mês desde sua recepção. Pode ser ampliado até dois meses adicionais quando necessário por complexidade ou número de pedidos, mas o responsável deve informar da prorrogação e explicar seus motivos dentro do primeiro mês. Esse prazo é para responder; não significa que qualquer transferência entre serviços tenha que ser completada em um mês.

Uma sequência simples para preparar o pedido é: identificar o responsável, delimitar os dados ou o período que interessam, pedir uma cópia portável ou uma transmissão direta, e especificar o destinatário se se escolhe essa última opção. Se a transmissão direta não for tecnicamente possível, o direito ainda contempla que a pessoa receba seus dados para gerenciá-los por conta própria.

A transmissão direta entre responsáveis é reconhecida apenas quando tecnicamente viável. O artigo 20 não obriga duas organizações a manter uma conexão entre seus sistemas nem o receptor a admitir qualquer estrutura de dados. A interoperabilidade facilita a transferência, mas depende do design dos serviços e dos formatos utilizados.

O direito também não anula outras obrigações do responsável nem o direito de supressão. O RGPD estabelece que exercer a portabilidade não prejudica o direito de solicitar a eliminação de dados; ao mesmo tempo, pedir uma cópia portável não elimina automaticamente os dados que o responsável deve conservar por outras razões legais ou contratuais. São direitos distintos e podem requerer pedidos separados.

A portabilidade não deve afetar negativamente os direitos e liberdades de outras pessoas. Isso pode exigir proteger ou excluir partes de um conjunto compartilhado, sem converter o pedido em uma autorização para revelar dados de terceiros. Além disso, um pedido sobre dados pessoais não dá direito a obter qualquer documento interno, segredo comercial, análise ou código utilizado pelo serviço.

As limitações práticas aparecem também na interpretação do alcance: o usuário pode receber dados introduzidos e certos dados observados, mas não necessariamente perfis, pontuações ou conclusões geradas pelo fornecedor. Por isso, ao mudar de serviço, convém revisar que categorias concretas se incluem e que elementos não se transferem, em vez de assumir que se exporta o histórico completo da conta.

Em um serviço de música, uma lista de reprodução criada pelo usuário é um exemplo claro de informação introduzida; os registros de escuta podem ser dados observados pelo serviço e entrar na análise de portabilidade conforme o contexto. Uma recomendação ou pontuação gerada a partir desses registros é distinta: pode constituir uma inferência do fornecedor, não um dado fornecido no sentido deste direito.

Em e-mail ou redes sociais, uma exportação poderia incluir dados de perfil e determinadas atividades, mas as mensagens e contatos podem envolver outras pessoas. A presença de informação compartilhada obriga a ter em conta seus direitos. Em serviços de saúde ou bancários, o artigo 20 não cria uma categoria setorial automática: há que verificar a base jurídica do tratamento, se é processado de forma automatizada e como foi gerado cada dado. O direito também não garante que o aplicativo receptor aceite o arquivo sem adaptação.

A portabilidade numérica é outra figura. Por exemplo, a autoridade mexicana de telecomunicações descreve esse direito como manter o mesmo número ao mudar de operador. Não se trata de exportar dados pessoais conforme o RGPD, nem seus prazos ou condições devem ser confundidos com os do artigo 20. Uma migração de banco de dados, por sua vez, é um projeto técnico e pode compreender dados ou sistemas que não são objeto deste direito individual.

Em resumo, a portabilidade de dados pessoais serve para obter e reutilizar uma parte definida da informação vinculada a uma pessoa, sob condições legais concretas. Antes de exercê-la, ajuda distinguir que dados se introduziram, quais se observaram e quais foram inferidos; depois, escolher entre receber o arquivo ou solicitar sua transferência direta. O resultado é controle sobre certos dados, não uma garantia de mudança de serviço sem atritos.