Titular pediu exclusão de dados: você tem 15 dias, não 15 desculpas

A maioria das empresas que a gente atende em Blumenau e no Vale do Itajaí trata pedido de titular como "reclamação de cliente chato". Erro caro. Pedido de acesso, correção ou exclusão de dados pessoais é direito garantido pela LGPD (art. 18), com prazo legal de resposta. Ignorar, enrolar ou responder de qualquer jeito é o tipo de coisa que vira processo administrativo na ANPD.

Falando sério: não é sobre ter medo de multa. É sobre não saber, na hora que o titular liga, o que a lei manda você fazer. A gente separou os 9 direitos, o prazo de 15 dias e o que precisa ficar documentado pra sua empresa não ser pega de surpresa.

Quais são os 9 direitos que o titular pode exigir de você

O art. 18 da LGPD lista o que qualquer pessoa física pode pedir sobre os próprios dados que sua empresa trata. Não é sugestão, é direito exigível:

• Confirmação da existência de tratamento: o titular pode perguntar "vocês têm dados meus?" e você é obrigado a responder.
• Acesso aos dados: cópia do que você guarda sobre ele.
• Correção: dado desatualizado, incompleto ou errado tem que ser corrigido.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados fora da lei.
• Portabilidade: exportar os dados pra outro fornecedor, em formato utilizável.
• Eliminação dos dados tratados com consentimento: se a base legal era consentimento e ele foi revogado, os dados somem (respeitadas exceções legais).
• Informação sobre compartilhamento: com quais empresas públicas e privadas você compartilhou aquele dado.
• Informação sobre a possibilidade de não fornecer consentimento e as consequências disso.
• Revisão de decisões automatizadas: se um algoritmo negou crédito, plano de saúde ou vaga de emprego, o titular pode pedir revisão humana.

Na prática, os pedidos mais comuns em empresa pequena e média são três: acesso, correção e exclusão. Portabilidade e revisão de decisão automatizada são raros fora de banco, fintech e grandes varejistas com scoring.

O prazo é 15 dias, e começa a contar quando o pedido chega, não quando você lê

O art. 19 da LGPD fixa 15 dias pra você confirmar a existência de tratamento e informar de forma clara os dados. Esse prazo é contado da data do pedido, não da data em que o e-mail foi aberto pelo setor responsável. Se o titular mandou segunda-feira e ninguém viu até sexta, o relógio já rodou 5 dias sem sua empresa fazer nada.

Nossa leitura: a lei não define prazo específico pra todos os outros direitos (correção, exclusão, portabilidade), mas a ANPD entende que a resposta deve ser em prazo razoável, e 15 dias é o parâmetro que qualquer fiscalização vai usar como referência. Empresa que demora 40, 60 dias pra responder um pedido simples de exclusão está se expondo.

Quem responde esse pedido dentro da sua empresa

Se você já nomeou encarregado (DPO, art. 41), é ele quem centraliza. Se ainda não tem, alguém precisa ser o ponto de contato oficial, mesmo que informalmente, até a estrutura ficar mais madura. O que não pode acontecer é o pedido cair na caixa de e-mail genérica da empresa e morrer lá.

Monte um fluxo simples:

• Canal único de recebimento (e-mail dedicado ou formulário no site).
• Registro de data de entrada do pedido no mesmo dia.
• Identificação do titular (evitar responder pedido de terceiro se passando por outra pessoa).
• Levantamento interno: em quais sistemas, planilhas, CRM ou papel esse dado está?
• Resposta formal, por escrito, com data e assinatura de quem respondeu.

Você pode negar um pedido? Sim, mas tem que justificar

Nem todo pedido de exclusão precisa ser atendido de imediato. Se o dado é necessário pra cumprimento de obrigação legal ou regulatória (art. 7º, II), como nota fiscal que a Receita exige guardar por 5 anos, você não apaga só porque o cliente pediu. O mesmo vale pra dado necessário pra defesa em processo judicial ou execução de contrato ainda vigente.

A diferença entre negar certo e negar errado é a documentação. Se você recusa um pedido de exclusão, registre por escrito qual base legal do art. 7º sustenta a manutenção do dado, e por quanto tempo. Recusa verbal, sem registro, não serve de defesa nenhuma se a ANPD perguntar depois.

O que documentar pra não pagar caro numa fiscalização

A multa da LGPD pode chegar a 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. Não é o valor que costuma assustar pequena empresa, é o processo administrativo, a exposição pública e o tempo gasto respondendo ANPD sem ter nada documentado.

Guarde, no mínimo:

• Data de entrada de cada pedido de titular.
• Data e conteúdo da resposta enviada.
• Justificativa quando houve negativa, com base legal citada.
• Comprovante de que o dado foi de fato corrigido, excluído ou exportado, quando aplicável.

Empresa de pequeno porte, ME, EPP ou profissional autônomo pode aplicar o regime simplificado da Resolução CD/ANPD 02/2022 pra atender esses direitos com menos burocracia formal, mas isso não elimina a obrigação de responder dentro do prazo nem de documentar o que foi feito.

O que fazer nas próximas duas semanas

Comece hoje pelo básico: crie um canal único pra receber pedido de titular, defina quem responde e monte uma planilha simples com data de entrada, prazo de 15 dias e status da resposta. Se sua empresa já recebeu pedido de exclusão ou acesso nos últimos meses e não tem registro disso, procure recompor o histórico agora, antes que vire lacuna numa fiscalização.