Direitos do titular de dados: um mapa para começar

A LGPD (Lei nº 13.709/2018) deu a quem tem os dados um conjunto de direitos exercíveis diretamente contra quem os trata. Saber quais são — e quando cada um se aplica — é o que separa um pedido que a empresa precisa atender de um pedido que ela pode legitimamente recusar.

Os direitos do artigo 18

O artigo 18 da LGPD lista o que o titular pode requerer ao controlador:

• Confirmação da existência de tratamento.
• Acesso aos dados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
• Portabilidade a outro fornecedor, mediante requisição expressa.
• Eliminação dos dados tratados com base no consentimento, salvo as hipóteses de conservação previstas na lei.
• Informação sobre compartilhamento com entidades públicas e privadas.
• Informação sobre a possibilidade de não consentir e as consequências da negativa.
• Revogação do consentimento.

A ANPD, autoridade responsável pelo tema, mantém material oficial explicando cada um deles em linguagem acessível.

A base legal muda o que você pode pedir

Este é o ponto que gera mais frustração. Nem todo direito se aplica a todo tratamento.

O consentimento é apenas uma das bases legais previstas na lei — existem outras, como cumprimento de obrigação legal, execução de contrato e legítimo interesse. Quando o tratamento se apoia em obrigação legal, por exemplo, pedir eliminação não costuma prosperar: a empresa é obrigada a guardar aquele dado.

Por isso, um pedido bem formulado começa perguntando com que base aquele dado é tratado. A resposta define o que é razoável pedir em seguida.

Decisões automatizadas

O artigo 20 trata de uma situação específica: decisões tomadas unicamente com base em tratamento automatizado que afetem os interesses do titular — perfil de crédito, score, triagem automática.

Nesses casos, o titular pode solicitar revisão da decisão. A lei também prevê o direito a informações claras e adequadas sobre os critérios e procedimentos usados, observados os segredos comercial e industrial.

Dados sensíveis pedem cuidado maior

A LGPD cria uma categoria à parte: os dados pessoais sensíveis — origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico.

O tratamento desses dados tem hipóteses legais mais restritas do que o de dados comuns. Na prática, isso reforça a sua posição quando o pedido envolve esse tipo de informação: a empresa precisa de fundamento mais específico para tratá-los e para recusar um pedido seu.

Quem é o controlador do seu pedido

Um erro que trava muitos pedidos é enviá-lo para o ator errado.

A lei distingue o controlador, a quem competem as decisões sobre o tratamento, do operador, que trata dados em nome do controlador. Seu pedido deve ir ao controlador — normalmente a empresa com quem você tem a relação, não o fornecedor de tecnologia que ela contratou.

Quando não estiver claro quem é quem, o ponto de partida é o encarregado (DPO) indicado na política de privacidade. A indicação desse canal é uma obrigação de quem trata dados, e a ausência dele já é, por si, um problema a apontar.

Como formular o pedido

Um requerimento que funciona tem quatro elementos:

1. Identificação de quem pede, suficiente para o controlador confirmar que você é você.
2. Descrição do dado ou tratamento questionado — quanto mais específico, melhor.
3. O direito exercido, nomeado com clareza ("solicito a correção", "solicito confirmação de tratamento").
4. Canal e data, registrados.

Use o canal informado pelo controlador — a LGPD exige que ele indique um. Guarde a data do envio, o protocolo e tudo o que for anexado.

O exercício é gratuito

A lei estabelece que o titular não arca com custos para exercer seus direitos. Cobrança para responder a um pedido de acesso ou correção não tem amparo legal.

Também há prazo: a resposta deve vir em prazo razoável, e a própria lei e a regulamentação tratam de prazos para determinadas modalidades de resposta.

Se a resposta não vier ou for inadequada

Os caminhos, nesta ordem:

• Insista pelo canal oficial, referenciando o protocolo anterior.
• Procure o encarregado (DPO) do controlador, cuja identidade deve ser divulgada.
• Registre na ANPD, que recebe petições de titulares contra controladores.
• Em relação de consumo, os órgãos de defesa do consumidor também atuam.

Em resumo

Os direitos existem, mas são condicionados: o que você pode exigir depende da base legal do tratamento. Um pedido específico, no canal certo e com registro, tem muito mais chance de ser atendido do que uma reclamação genérica.

Este texto é uma explicação geral sobre a lei. Situações concretas — especialmente as que envolvem dados sensíveis, incidente de segurança ou decisão automatizada com impacto relevante — merecem orientação de um profissional de privacidade.