Direitos dos titulares na LGPD: como responder no prazo

Qualquer pessoa cujos dados sua empresa trata pode pedir, a qualquer momento e sem custo, para confirmar se há tratamento, acessar, corrigir, excluir ou levar os dados para outro fornecedor (LGPD, art. 18). Para confirmação e acesso, a lei fixa prazo: resposta simplificada imediata ou declaração completa em até 15 dias do pedido (art. 19). Para os demais pedidos, os prazos dependem de regulamento da ANPD ainda não editado, o que recomenda responder sem demora e registrar tudo.

Onde está o risco

O pedido do titular quase nunca chega pelo canal certo. Ele aparece no WhatsApp do comercial, numa resposta de e-mail marketing, numa reclamação pública ou no atendimento da loja. Se ninguém sabe que aquilo é um pedido com base na LGPD, o prazo corre sem que a empresa perceba.

O titular insatisfeito pode reclamar à ANPD e também aos órgãos de defesa do consumidor (art. 18, §§ 1º e 8º). E a reclamação costuma vir acompanhada de outra pergunta: por que a empresa tinha aqueles dados?

Como funciona: os direitos e o que cada um exige

• Confirmação e acesso. O titular pode saber se a empresa trata dados dele e receber uma cópia. A resposta pode ser simplificada e imediata, ou uma declaração completa com origem dos dados, critérios e finalidade, em até 15 dias (art. 19).
• Correção. Dados incompletos, inexatos ou desatualizados devem ser corrigidos (art. 18, III).
• Anonimização, bloqueio ou eliminação. Vale para dados desnecessários, excessivos ou tratados em desacordo com a lei (art. 18, IV).
• Eliminação de dados tratados com consentimento. O titular pode pedir a exclusão, ressalvadas as hipóteses de conservação do art. 16, como o cumprimento de obrigação legal ou regulatória (art. 18, VI).
• Portabilidade. Transferência dos dados a outro fornecedor, mediante pedido expresso e respeitados os segredos comercial e industrial (art. 18, V).
• Informação sobre compartilhamento. Com quais entidades públicas e privadas os dados foram compartilhados (art. 18, VII).
• Revogação do consentimento e informação sobre a negativa. O titular pode retirar o consentimento e deve saber o que acontece se não consentir (art. 18, VIII e IX).
• Oposição. Quando o tratamento não depende de consentimento, o titular pode se opor se houver descumprimento da lei (art. 18, § 2º).
• Revisão de decisões automatizadas. Decisões tomadas só por sistema que afetem seus interesses, como análise de crédito ou definição de perfil, podem ser revistas, e a empresa deve explicar os critérios usados (art. 20).

Dois cuidados valem para todos os pedidos: o atendimento é sem custo para o titular (art. 18, § 5º), e os dados ligados ao exercício desses direitos não podem ser usados contra ele (art. 21).

Passo a passo: o fluxo de atendimento

1. Defina o canal oficial. Publique, de forma clara, a identidade e o contato do encarregado, preferencialmente no site (art. 41, § 1º). Veja quem pode ser o encarregado. Empresas de pequeno porte podem não indicar encarregado, mas precisam manter um canal de comunicação com o titular (Resolução CD/ANPD nº 2/2022, art. 11).
2. Treine quem recebe. Recepção, comercial, suporte e redes sociais devem reconhecer um pedido e encaminhá-lo no mesmo dia ao responsável. Não precisa usar a palavra "LGPD" para ser um pedido.
3. Registre a entrada. Anote data, canal, nome, tipo de pedido e prazo. A contagem dos 15 dias da declaração completa começa na data do requerimento (art. 19, II).
4. Confirme a identidade. O pedido pode vir do titular ou de representante legalmente constituído (art. 18, § 3º). Peça só o necessário para ter segurança de quem está pedindo. Na maioria dos casos, confirmar dados que a empresa já tem basta. Exigir documentos demais cria novo tratamento e novo risco.
5. Localize os dados em todos os sistemas. Use o mapeamento de dados para buscar no ERP, CRM, planilhas, ferramentas de e-mail, atendimento e backups. É aqui que a falta de inventário aparece.
6. Analise o pedido. Verifique se há dados que devem ser conservados por obrigação legal, por exemplo fiscais, trabalhistas ou de saúde, e se há segredo comercial a proteger. Quando não for possível atender de imediato, a lei exige resposta com as razões de fato ou de direito, ou a indicação de que a empresa não é agente de tratamento, apontando quem é, se possível (art. 18, § 4º).
7. Execute e avise os parceiros. Corrigiu, eliminou, anonimizou ou bloqueou? Informe de imediato as empresas com quem os dados foram compartilhados, para que façam o mesmo (art. 18, § 6º).
8. Responda em linguagem simples. Diga o que foi feito, o que não foi e por quê. O titular pode escolher receber por meio eletrônico seguro ou impresso (art. 19, § 2º).
9. Arquive o histórico. Guarde o pedido, a verificação, a resposta e as datas. Esse registro é a prova de que a empresa atendeu, se houver reclamação.

Tabela de prazos e decisões

Uma prática prudente é adotar internamente o prazo de 15 dias como teto para todos os pedidos, até que a ANPD regulamente o tema. É uma decisão de gestão, não uma exigência legal, e dá ao time um parâmetro único.

Erros comuns

• Não reconhecer o pedido. Uma mensagem informal no WhatsApp pode ser um requerimento. Treine a linha de frente e crie um encaminhamento único.
• Apagar tudo no impulso. Excluir dados que a lei manda conservar gera outra irregularidade. Antes de eliminar, verifique as hipóteses do art. 16.
• Excluir em um sistema e esquecer os outros. Sem mapa de dados, sobra informação em planilhas e ferramentas de marketing. Use o inventário como roteiro de busca.
• Pedir documento demais para confirmar identidade. Exigir foto de documento e selfie para um simples pedido de acesso pode ser excessivo. Peça o mínimo compatível com o risco.
• Responder "não temos como atender" sem explicar. A lei pede as razões de fato ou de direito. Responda por escrito e de forma fundamentada.
• Não registrar. Sem histórico, a empresa não prova que respondeu no prazo. Mantenha um registro simples, com datas e respostas.

Checklist

Perguntas frequentes

Qual é o prazo da LGPD para responder ao titular? Para confirmação de existência ou acesso aos dados, a resposta simplificada deve ser imediata, e a declaração completa, em até 15 dias do pedido. Para correção, exclusão, portabilidade e os demais direitos, a lei remete os prazos a regulamento, que a ANPD ainda não editou. Até lá, responda sem demora e documente.

A empresa pode cobrar para atender um pedido de titular? Não. A LGPD determina que o requerimento seja atendido sem custos para o titular (art. 18, § 5º).

Sou obrigado a excluir todos os dados quando o cliente pede? Não necessariamente. A lei permite conservar dados para cumprir obrigação legal ou regulatória, entre outras hipóteses (art. 16). Nesses casos, explique ao titular quais dados ficam, por qual motivo e por quanto tempo, e elimine o restante.

Microempresa precisa ter encarregado de dados? Agentes de tratamento de pequeno porte não são obrigados a indicar encarregado, mas precisam oferecer um canal de comunicação com o titular, e indicar um encarregado conta como boa prática (Resolução CD/ANPD nº 2/2022, art. 11). Esse tratamento diferenciado não vale para quem faz tratamento de alto risco ou ultrapassa os limites de receita previstos na resolução (art. 3º).

E se o pedido chegar para um dado que outra empresa controla? Se a sua empresa não é a agente de tratamento daquele dado, responda informando isso e indique, sempre que possível, quem é o responsável (art. 18, § 4º, I).

Próximo passo

Responder no prazo depende de saber onde os dados estão. O guia LGPD na prática: o guia de adequação da empresa traz o inventário de dados e o checklist de adequação que servem de base para este fluxo, e o artigo LGPD em pequenas empresas: por onde começar mostra os primeiros passos. Se a empresa ainda não tem política, termos e cláusulas de dados, a solução Dados em Conformidade inclui o mapeamento enxuto dos dados e a orientação para o primeiro atendimento a titulares. Mais conteúdo na área de LGPD e proteção de dados.

Fontes

• Lei 13.709/2018 (LGPD), arts. 16, 17, 18 (incisos I a IX e §§ 1º a 8º), 19, 20, 21 e 41 (texto compilado, Câmara dos Deputados, Legislação Informatizada).
• Resolução CD/ANPD nº 2/2022 (agentes de tratamento de pequeno porte), arts. 2º, 3º, 11, 14 e 15.
• ANPD, página "Direito dos Titulares" (prazos a serem definidos em regulamento) e lista oficial de regulamentações da ANPD, consultada em novembro de 2026.

Conteúdo informativo. Não substitui consulta a um advogado.