Direitos dos titulares na LGPD: quais são e como atender os pedidos
A lei dá às pessoas direitos concretos sobre os próprios dados. Ter os direitos no papel não basta; a empresa precisa conseguir atendê-los na prática.
A LGPD coloca a pessoa no centro, e isso se traduz em direitos que ela pode exercer sobre os próprios dados. O artigo 18 lista a maior parte deles, e o artigo 20 trata do direito de pedir revisão de decisões automatizadas. Esses direitos são gratuitos e devem ser atendidos mediante solicitação.
O desafio raramente está em conhecer os direitos; está em conseguir atendê-los. Responder a um pedido de acesso exige localizar todos os dados daquela pessoa, em todos os sistemas, confirmar a identidade de quem pede e responder dentro do prazo. Este guia percorre os direitos e o processo que os torna reais.
Os direitos do artigo 18
O artigo 18 reúne os principais direitos do titular. Ele pode confirmar se a empresa trata seus dados e acessar esses dados. Pode corrigir informações incompletas, inexatas ou desatualizadas. Pode pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados fora da lei. Pode pedir a portabilidade dos dados a outro fornecedor. Pode eliminar os dados tratados com base no consentimento. Pode saber com quem a empresa compartilhou seus dados. E pode revogar o consentimento.
- Confirmar a existência de tratamento
- Acessar os dados
- Corrigir dados incompletos, inexatos ou desatualizados
- Anonimizar, bloquear ou eliminar dados desnecessários ou excessivos
- Obter a portabilidade a outro fornecedor
- Eliminar os dados tratados com base no consentimento
- Saber com quem os dados foram compartilhados
- Ser informado sobre a possibilidade de não consentir e as consequências
- Revogar o consentimento
Revisão de decisões automatizadas
O artigo 20 dá ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo decisões de perfil, como uma análise de crédito automática ou uma triagem feita por algoritmo. A pessoa pode pedir que a empresa reveja a decisão e explique os critérios usados.
Vale um esclarecimento honesto sobre a redação da lei. A versão original garantia que a revisão fosse feita por uma pessoa natural, mas essa exigência foi retirada por uma alteração de 2019. Hoje a lei assegura o direito de pedir a revisão e de receber informações claras sobre os critérios, respeitados os segredos comercial e industrial, sem garantir que um humano refaça a análise.
O processo para atender os pedidos
Atender um direito começa por um canal onde o titular faz o pedido, que pode ser o mesmo canal do encarregado. Recebido o pedido, a empresa precisa confirmar que quem pede é mesmo o titular, para não entregar dados de uma pessoa a outra. Depois, localizar os dados daquela pessoa em todos os sistemas, incluindo planilhas e fornecedores. E então responder de forma clara e segura.
A parte mais difícil costuma ser localizar os dados. É aí que o mapeamento feito antes vale ouro: sem saber onde os dados de um cliente moram, a empresa não consegue responder a um pedido de acesso ou de exclusão de forma completa. Um pedido que a empresa não dá conta de atender é um sintoma de que o inventário ainda tem buracos.
Prazos e limites
Os pedidos devem ser atendidos de forma facilitada e, em geral, sem custo para o titular. Agentes de tratamento de pequeno porte contam com prazos em dobro para responder, conforme o regime da Resolução CD/ANPD nº 2/2022. A empresa deve responder mesmo quando a resposta é negar parte do pedido, explicando o motivo.
Nem todo pedido leva à exclusão imediata. Se a empresa tem uma obrigação legal de guardar certos dados, como prazos fiscais, ela mantém esses dados mesmo diante de um pedido de eliminação, e explica a base para isso. O direito do titular convive com as obrigações legais da empresa, e a resposta precisa deixar isso claro em vez de simplesmente ignorar o pedido.
Como responder a cada tipo de pedido
Os direitos do titular não se atendem todos da mesma forma. Um pedido de acesso pede uma resposta que liste os dados e as finalidades; um de correção exige atualizar a informação; um de eliminação depende de checar se existe dever de guarda antes de apagar. Padronizar a resposta por tipo de pedido dá consistência e reduz a chance de tratar um direito como se fosse outro.
- Acesso: informar quais dados a empresa trata, as finalidades e os compartilhamentos
- Correção: atualizar o dado incorreto e propagar a mudança aos sistemas e operadores
- Eliminação: apagar onde não há dever legal de guarda e explicar o que foi mantido
- Portabilidade: entregar os dados em formato estruturado e utilizável
- Compartilhamento: informar com quais entidades os dados foram compartilhados
- Revogação: parar o tratamento apoiado no consentimento e confirmar ao titular
Propagar a mudança para além do primeiro sistema
Corrigir ou apagar um dado em um só lugar deixa o trabalho pela metade. Se o mesmo dado vive em um CRM, em uma planilha e em uma ferramenta de e-mail, a correção precisa alcançar todos eles, incluindo os operadores que tratam aquele dado em nome da empresa. Sem isso, a informação volta desatualizada a partir de outra base, e o direito é atendido só na aparência.
Registrar o atendimento e controlar os prazos
Cada pedido merece registro: quando entrou, qual direito foi exercido, como a identidade foi confirmada, o que foi respondido e em que data. Esse histórico é evidência de accountability e ajuda a acompanhar o prazo de cada pedido, para nenhum ficar esquecido até estourar.
protocolo: identificador interno do pedido
data_de_entrada: quando o pedido chegou
direito_exercido: acesso, correção, eliminação e afins
identidade: como foi confirmada
prazo: acompanhamento conforme a lei
resposta: o que foi respondido e quando
status: aberto, em andamento ou concluídoO registro serve para mais do que provar o atendimento. Ele mostra o volume de pedidos, ajuda a reconhecer solicitações repetidas ou abusivas e revela gargalos, como um tipo de pedido que sempre atrasa porque depende de localizar dados espalhados.
Checklist prático
- Abrir um canal claro para os titulares fazerem pedidos
- Confirmar a identidade de quem faz o pedido
- Localizar os dados da pessoa em todos os sistemas e fornecedores
- Responder dentro do prazo, com prazos em dobro para pequeno porte
- Explicar quando um pedido é negado por obrigação legal
- Registrar os pedidos e as respostas como evidência
- Usar o mapeamento para atender pedidos de forma completa
- Padronizar a resposta conforme o tipo de direito exercido
- Propagar correções e exclusões aos operadores e sistemas integrados
- Entregar a portabilidade em formato estruturado e utilizável
- Controlar o prazo de cada pedido em um registro acompanhado
Boas práticas
- Trate a capacidade de atender pedidos como teste da adequação
- Confirme a identidade antes de entregar qualquer dado
- Responda mesmo quando a resposta é negar parte do pedido
- Apoie o atendimento no mapeamento de dados
- Guarde o histórico de pedidos e respostas
- Padronize modelos de resposta por tipo de direito para ganhar consistência
- Propague a mudança aos fornecedores que também tratam aquele dado
Erros comuns
Não conseguir localizar todos os dados de um titular
A resposta a um pedido de acesso ou exclusão fica incompleta.
Entregar dados sem confirmar a identidade de quem pede
A empresa pode expor dados de uma pessoa a um terceiro.
Ignorar pedidos que a empresa julga que não pode atender
A falta de resposta gera reclamação, mesmo quando havia base para negar.
Apagar tudo diante de um pedido de exclusão
Dados com prazo legal de guarda podem precisar ser mantidos.
Corrigir o dado em um sistema e esquecer os demais
A informação volta desatualizada a partir de outra base ou de um operador.
Entregar a portabilidade em um formato que o titular não usa
O direito é atendido só na aparência, sem utilidade prática.
Quando procurar apoio especializado
Atender pedidos de titulares depende de saber onde os dados estão e conseguir localizá-los com precisão. A GUARDIASEC apoia esse trabalho com o mapeamento técnico e a análise de onde cada dado é armazenado e processado, para que o encarregado consiga responder de forma completa e segura.
Para aprofundar: cursos recomendados
Estes cursos gratuitos do Valor Final ajudam a levar o assunto deste guia da teoria para a prática, no seu ritmo.
Curso de LGPD Essencial
GratuitoCurso gratuito de LGPD para quem trabalha em empresa. Mostra na prática o que pode e o que não pode ser feito com dados de clientes, colegas e fornecedores, em linguagem simples e com fontes oficiais.
Valor FinalCursos do Valor Final
CertificadoPortal de cursos online gratuitos, com certificado ao concluir. A trilha de privacidade e proteção de dados começa pelo curso de LGPD e ganha novos cursos com o tempo.
Valor FinalPerguntas frequentes
Qual o prazo para responder a um pedido de titular?
A LGPD prevê atendimento facilitado e imediato para a confirmação simples de tratamento, e resposta completa em prazo definido para o acesso detalhado. Agentes de tratamento de pequeno porte têm prazos em dobro, conforme a Resolução CD/ANPD nº 2/2022. O importante é ter um processo que responda dentro do prazo e, quando não puder atender, explique o motivo em vez de silenciar.
Posso cobrar para atender um pedido de acesso?
Como regra, não. Os direitos do titular devem ser exercidos de forma gratuita e facilitada. A gratuidade evita que o custo seja usado para desestimular o exercício do direito. Situações excepcionais de pedidos manifestamente abusivos ou repetitivos exigem cautela e apoio jurídico, mas o padrão é atender sem cobrar.
Sou obrigado a apagar os dados se o titular pedir?
Nem sempre. O direito de eliminação alcança principalmente dados tratados com base no consentimento e dados desnecessários ou excessivos. Se a empresa tem obrigação legal de guardar certos dados, como prazos fiscais e trabalhistas, ela mantém esses dados e explica a base ao titular. A resposta deve deixar claro o que foi apagado e o que foi mantido, e por quê.
Como confirmo que quem pede é o titular?
Com um processo de verificação de identidade proporcional ao dado envolvido. Pedidos que exponham dados sensíveis exigem confirmação mais forte. O objetivo é evitar entregar os dados de uma pessoa a outra que se passa por ela. Ao mesmo tempo, a verificação não pode virar uma barreira que impeça o titular legítimo de exercer o direito.
Como respondo a um pedido de portabilidade?
A portabilidade entrega ao titular, ou a outro fornecedor que ele indique, os dados que ele forneceu, em um formato estruturado e de uso comum, que possa ser lido e reaproveitado. A ideia é permitir que a pessoa leve os próprios dados, não obrigar a empresa a expor dado derivado de análise interna ou que revele segredo do negócio. Um arquivo em formato aberto costuma atender.
Preciso avisar os fornecedores quando corrijo ou apago um dado?
Sim, quando aquele dado também é tratado por operadores em nome da empresa. Uma correção que fica só no sistema principal se perde quando outra base sobrescreve a informação. Por isso a resposta a um pedido de correção ou eliminação precisa alcançar os sistemas integrados e os fornecedores que guardam o mesmo dado.
Como controlo os prazos de cada pedido?
Com um registro simples que anote a data de entrada, o tipo de direito e o andamento de cada pedido. Acompanhar essa lista evita que uma solicitação fique esquecida até estourar o prazo. Não precisa de ferramenta sofisticada; precisa de alguém responsável por olhar o registro com regularidade e mover cada pedido até a resposta.
Guias relacionados
Próximo passo
Vamos avaliar os riscos do seu ambiente?
Conte seu cenário e definimos juntos o escopo certo. O objetivo é reduzir caminhos prováveis de ataque e elevar a maturidade de segurança, sem promessas absolutas.