LGPD: Os Nove Direitos do Titular de Dados Pessoais

A Lei Geral de Proteção de Dados Pessoais conferiu ao cidadão um catálogo de nove direitos exercíveis perante qualquer empresa ou órgão público que trate suas informações, permitindo que o titular saiba, controle e, em situações específicas, elimine seus próprios dados.

O que a LGPD reconhece ao titular

A Lei 13.709/2018, conhecida como Lei Geral de Proteção de Dados Pessoais, organizou em seu artigo 18 um rol de nove direitos que o titular de dados pode exercer diretamente perante o controlador, que é a pessoa natural ou jurídica responsável pelas decisões sobre o tratamento das informações pessoais. Esse rol não é meramente declaratório, porquanto cada direito vem acompanhado de mecanismos de exigibilidade administrativa perante a Autoridade Nacional de Proteção de Dados e de tutela judicial perante o Poder Judiciário.

Os nove direitos abrangem desde a confirmação de que existe tratamento de dados até a possibilidade de revisão de decisões automatizadas que afetem interesses do titular. A leitura sistemática do dispositivo revela uma lógica progressiva: primeiro o titular descobre o que está sendo feito com suas informações, depois acessa o conteúdo, em seguida corrige, controla, transfere e, conforme a hipótese, elimina ou se opõe ao tratamento.

A norma exige que a resposta ao pedido seja gratuita, em formato facilitado e dentro de prazo razoável, conforme regulamentação da Autoridade Nacional. O controlador que descumpre o prazo ou nega injustificadamente o atendimento sujeita-se a sanções administrativas que vão de advertência a multa de até dois por cento do faturamento, limitada a cinquenta milhões de reais por infração.

Os nove direitos em detalhe

O primeiro direito é o de obter a confirmação da existência de tratamento. O titular pode perguntar à empresa se ela coleta, armazena ou compartilha dados a seu respeito. A resposta deve ser objetiva: existe ou não existe tratamento. Esse direito funciona como porta de entrada para o exercício de todos os demais, pois sem a confirmação inicial o cidadão não sabe sequer contra quem dirigir os pedidos subsequentes.

O segundo é o direito de acesso aos dados. Confirmada a existência do tratamento, o titular pode requerer o conteúdo das informações armazenadas, incluindo origem, finalidade, prazo de retenção e entidades com as quais o controlador compartilha os dados. O terceiro direito complementa o anterior: trata-se da correção de dados incompletos, inexatos ou desatualizados, providência que assegura a integridade da informação e evita decisões tomadas com base em registros equivocados.

O quarto direito é o de anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD. Não se confunde com a eliminação ampla: aplica-se especificamente a informações coletadas além do necessário ou em violação à norma. O quinto direito permite a portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, observados os segredos comercial e industrial.

Conhecer os nove direitos é o primeiro passo para deixar de ser apenas fonte de dados e voltar a ser sujeito de informação.

O sexto direito é a eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses de conservação previstas em lei, como o cumprimento de obrigação legal, a transferência a terceiros mediante observância das normas de proteção ou o uso exclusivo do controlador em forma anonimizada. O sétimo trata da informação sobre as entidades públicas e privadas com as quais o controlador realizou uso compartilhado dos dados, hipótese de transparência que combate o repasse silencioso de informações entre empresas do mesmo grupo econômico ou parceiros comerciais.

Como exercer cada um deles na prática

O oitavo direito refere-se à informação sobre a possibilidade de não fornecer consentimento e sobre as consequências dessa negativa. Antes de coletar a manifestação do titular, o controlador deve esclarecer o que acontecerá caso o consentimento seja recusado: se o serviço deixará de ser prestado, se haverá restrição parcial ou se a recusa é inofensiva à relação. O nono direito é a revogação do consentimento, exercível a qualquer momento mediante manifestação expressa, com procedimento gratuito e facilitado.

A regulamentação infralegal acrescentou ainda o direito de revisão de decisões tomadas unicamente com base em tratamento automatizado, conforme o artigo 20 da Lei. Embora não conste do rol do artigo 18, integra o conjunto de prerrogativas exercíveis pelo titular e ganha relevância crescente diante da expansão de sistemas algorítmicos em concessão de crédito, contratação de seguros, processos seletivos e análises de perfil de consumo.

Para exercer qualquer dos direitos, o titular deve dirigir requerimento ao Encarregado pelo Tratamento de Dados Pessoais, figura cuja indicação é obrigatória para grande parte dos controladores. O contato do encarregado deve constar de forma clara e acessível no site da empresa ou no documento de política de privacidade. Não havendo resposta ou sendo a resposta insatisfatória, cabe representação à Autoridade Nacional de Proteção de Dados e, conforme o caso, ação judicial para tutela específica do direito violado, com possibilidade de cumulação com pedido de reparação por dano material ou moral.

Recomenda-se que o titular formule o pedido por escrito, preferencialmente por canal que gere comprovante de envio e recebimento, descrevendo de forma objetiva qual dos nove direitos pretende exercer e indicando os dados de identificação necessários para localização do registro. A guarda do protocolo é peça fundamental para eventual responsabilização administrativa ou judicial do controlador omisso.

Leia tambem:

Perguntas Frequentes

Quais são exatamente os nove direitos previstos no artigo 18 da LGPD?

Os nove direitos são: confirmação da existência de tratamento, acesso aos dados, correção de dados incompletos ou desatualizados, anonimização ou eliminação de dados desnecessários ou tratados em desconformidade, portabilidade a outro fornecedor, eliminação dos dados tratados com base no consentimento, informação sobre o uso compartilhado, informação sobre a possibilidade de não consentir e respectivas consequências, e revogação do consentimento. Cada um deles é exercível diretamente perante o controlador, sem necessidade de intervenção prévia do Poder Judiciário.

Quanto tempo o controlador tem para responder ao pedido do titular?

A Lei estabelece que a resposta deve ser fornecida em formato simplificado de imediato ou, em formato completo, no prazo de até quinze dias contados da requisição, conforme regulamentação da Autoridade Nacional de Proteção de Dados. O descumprimento do prazo configura infração administrativa e pode ensejar sanções que vão da advertência à multa, sem prejuízo da responsabilidade civil pelo dano material ou moral que a demora venha a causar ao titular.

É possível pedir a eliminação de qualquer dado pessoal armazenado por uma empresa?

Não. A eliminação prevista no artigo 18 aplica-se aos dados tratados com base no consentimento e está sujeita a exceções importantes, como o cumprimento de obrigação legal ou regulatória pelo controlador, a transferência a terceiros observadas as normas da Lei e o uso exclusivo do próprio controlador desde que anonimizado. Dados tratados com fundamento em outras bases legais, como execução de contrato ou exercício regular de direitos, seguem regramento próprio e podem ser conservados enquanto persistir a finalidade que justifica o tratamento.