Cliente pediu os dados dele de volta: os 9 direitos da LGPD e o prazo de 15 dias

Segunda-feira de manhã, chega um e-mail: "quero saber quais dados vocês têm sobre mim e quero que apaguem tudo agora". Se sua empresa trata dado pessoal, e trata, porque toda empresa trata (CPF de cliente, currículo de candidato, cadastro de fornecedor), esse e-mail vai chegar. A pergunta não é se. É quando.

E quando chegar, o relógio já está correndo. A LGPD (Lei 13.709/2018) dá ao titular 9 direitos específicos, listados no art. 18, e fixa prazo pra resposta. Na prática, boa parte das empresas que atendemos aqui no Vale do Itajaí não tem processo nenhum pra isso. O pedido cai na caixa de entrada de alguém despreparado, ninguém sabe quem responde, e o prazo passa voando.

Os 9 direitos do art. 18: o que cada um significa na prática

O art. 18 da LGPD não é uma lista genérica. São 9 incisos, cada um com uma ação concreta que sua empresa precisa saber executar:

• Confirmação de tratamento: o titular pode perguntar se você trata dado dele. Resposta é sim ou não, sem enrolação.
• Acesso aos dados: mostrar o que tem. Nome, CPF, e-mail, histórico de compra, o que for.
• Correção: dado errado, desatualizado ou incompleto tem que ser corrigido.
• Anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado fora da lei.
• Portabilidade: levar o dado pra outro fornecedor, mediante requisição expressa.
• Eliminação do dado tratado com consentimento, exceto nas hipóteses do art. 16 (falamos disso adiante).
• Informação sobre compartilhamento: com quais empresas ou órgãos você trocou aquele dado.
• Informação sobre consequências de não consentir: se o titular recusar, o que acontece.
• Revogação do consentimento, nos termos do art. 8º, §5º.

Nossa leitura: a maioria dos escritórios de compliance vende isso como "política de privacidade bonita". Na prática, o que a ANPD cobra é processo funcionando, não texto no site.

O prazo de 15 dias vale pra tudo? Não exatamente

Aqui a maioria erra. O art. 19 fixa o prazo de 15 dias especificamente pra resposta completa de pedido de acesso, e diz ainda que, em formato simplificado, a confirmação de tratamento tem que sair imediatamente. Pra correção, eliminação e os demais direitos do art. 18, a lei não trava um número redondo no texto.

Falando sério: isso não é brecha, é armadilha. A prática de mercado e a orientação da ANPD tratam os 15 dias como referência pra qualquer pedido de titular, não só pra acesso. Se sua empresa responder um pedido de exclusão em 40 dias alegando "a lei não fala prazo pra isso", vai perder o argumento na primeira fiscalização.

Na prática, o SLA interno que recomendamos é 10 dias corridos, não 15. Isso dá folga pra revisar a resposta antes de sair, sem estourar o prazo legal por causa de um feriado ou um recesso.

Exclusão não é apertar delete

Pedido de eliminação chega, e o instinto é apagar tudo na hora. Erro. O art. 16 lista hipóteses em que a empresa pode (e às vezes deve) manter o dado mesmo depois do pedido: cumprimento de obrigação legal ou regulatória, uso por órgão de pesquisa garantida a anonimização, transferência a terceiro respeitados os requisitos da lei, ou uso exclusivo do controlador, vedado o acesso por terceiro, desde que o dado seja anonimizado.

Exemplo direto: nota fiscal tem guarda obrigatória de 5 anos pra fins fiscais. Se o cliente pede exclusão dos dados, você elimina o que usa pra marketing e mantém o que a Receita exige, documentando o porquê. Apagar tudo sem critério é tão errado quanto não apagar nada.

Portabilidade e revisão de decisão automatizada: os dois direitos que ninguém pensa em atender

Portabilidade ainda depende de regulamentação específica da ANPD pra funcionar em escala, mas isso não te dispensa de responder ao pedido. E tem um direito fora do art. 18 que merece atenção redobrada: o art. 20 garante ao titular revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.

Isso pega em cheio quem usa scoring de crédito, triagem automática de currículo por IA, ou qualquer sistema que aprova ou recusa alguém sem humano no meio. Se sua empresa em Blumenau ou região usa ferramenta assim pra decidir concessão de crédito ou contratação, precisa ter um caminho pra alguém pedir revisão humana daquela decisão. Não ter esse caminho é lacuna que a ANPD já sinalizou que vai olhar.

O que documentar pra sobreviver a uma fiscalização

Responder o pedido é metade do trabalho. A outra metade é provar que respondeu, e bem. Sem registro, na visão da ANPD o pedido nunca foi atendido, mesmo que tenha sido.

• Data e canal de recebimento do pedido (e-mail, formulário, WhatsApp).
• Verificação de identidade do titular antes de entregar qualquer dado (responder pra pessoa errada é vazamento, não atendimento).
• Cópia da resposta enviada e data de envio.
• Se houve negativa parcial, o fundamento jurídico exato (normalmente uma das hipóteses do art. 16).
• Quem, dentro da empresa, triou e aprovou a resposta.

Empresa de pequeno porte, microempresa, startup ou profissional autônomo conta com o regime simplificado da Resolução CD/ANPD nº 02/2022: menos formalidade documental, mas a obrigação de responder o titular continua de pé, sem desconto.

O que fazer nas próximas duas semanas

Isso não se resolve com política de privacidade bonita no rodapé do site. Se sua empresa ainda não tem processo, o roteiro é curto:

• Defina um e-mail ou canal único pra receber pedido de titular, e divulgue esse canal na política de privacidade.
• Escreva um fluxo interno de 1 página: quem recebe, quem verifica identidade, quem responde, em quantos dias.
• Trave o SLA interno em 10 dias, não 15, pra ter margem de segurança.
• Mapeie, pra cada tipo de dado que você guarda, se existe hipótese do art. 16 que justifica reter mesmo após pedido de exclusão.
• Se usa qualquer sistema automatizado de decisão (crédito, triagem de RH), defina agora quem faz a revisão humana quando alguém pedir.

O encarregado (art. 41) é a pessoa certa pra centralizar essa triagem. Empresa sem essa função definida costuma descobrir o problema só quando o pedido já virou reclamação na ANPD, e aí o prazo de resposta já é outro, bem menos confortável.