As reclamações e pedidos de exercício de direitos começaram a chegar a bom ritmo, e as organizações que fizeram o “trabalho de casa” têm sido capazes de responder a este primeiro desafio. Mas estas organizações cumpridoras são a exceção que confirma a regra, pois o que mais encontramos no dia a dia, pós 25 de maio, são entidades que evidenciam fragilidades ou total inexistência de controlos de conformidade que seriam a espinha dorsal de um projeto sério.
O sistema que prepararam vive agora o seu batismo de fogo, com especial foco na resposta aos pedidos dos titulares, mas também na manutenção diária da conformidade e implementação de medidas de remediação. Assistimos também à alteração do posicionamento do Encarregado de Proteção de Dados, que em muitas organizações liderou a implementação do projeto de conformidade, mas que agora procura transitar para o papel de aconselhamento, sensibilização, controlo e auditoria que o RGPD lhe destinou (art. 39º do RGPD).
Em segundo lugar, observamos as organizações que abordaram este desafio de forma superficial. Nestes casos as fragilidades começaram já a revelar-se, seja pelo “spam de emails” com pedidos de consentimento mal formulados, ou pela incapacidade em corresponder aos pedidos de exercício de direitos dos titulares, ou pela nomeação de encarregados de proteção de dados com potenciais conflitos de interesse que nem sequer foram analisados (Ex: CEO; CFO; Diretor de HR ou de IT).
Em terceiro lugar, temos as organizações que ainda não começaram o seu caminho. Nestas, o risco em que vivem aumenta de dia para dia, seja por via de denúncias à CNPD (seja por parte de colaboradores, clientes, organizações sindicais ou associações, por exemplo), ou pela exposição de processos de negócio que evidenciam não-conformidades graves.