Direitos do titular: como responder um pedido de dados

O titular dos dados é quem pode exercer os direitos, e isso inclui o pedido feito por representante legal, como no caso de criança e adolescente, ou por procurador com poderes específicos. A verificação de identidade é parte do procedimento, não desconfiança com o requerente: entregar dados pessoais para quem se passa pelo titular é uma violação, e responde por ela quem entregou. O equilíbrio está em pedir o mínimo necessário para confirmar identidade e nada além disso.

O canal de entrada precisa ser conhecido antes do pedido chegar. Empresas com encarregado identificado, endereço de contato publicado e política de privacidade acessível reduzem o tempo em que o pedido circula internamente sem dono. Quando não existe canal claro, o titular procura qualquer porta, e o pedido costuma chegar pela área comercial ou pelo atendimento, que não tem acesso a base de dados nem preparo para responder em prazo.

Vale ainda definir o que fazer com pedido recebido em canal impróprio. Identificar a chegada, registrar a data e encaminhar formalmente ao responsável, informando o titular de que o pedido foi recebido, já resolve o principal: o prazo passa a ser contado com ciência da empresa. Pedido recebido por mensagem direta e nunca encaminhado é o modo mais comum de a empresa perder prazo sem ter percebido que havia prazo correndo. Quando o dado também está com terceiros, o auxílio depende de cláusula específica, descrita em contrato com operador de dados e cláusulas de LGPD.

A LGPD prevê um conjunto de direitos que, na prática, se organiza em três famílias. A primeira é saber: confirmação da existência de tratamento, acesso aos dados, informação sobre compartilhamento, informação sobre a possibilidade de não consentir e informação sobre decisão automatizada. A segunda é corrigir: retificação de dado incompleto, inexato ou desatualizado. A terceira é reduzir: anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado em desconformidade, além da eliminação de dados tratados com base em consentimento.

A portabilidade aparece nesse conjunto com uma condição técnica relevante: depende de regulamentação e deve observar segredo comercial e industrial, o que significa que não é uma exportação irrestrita de tudo. Na prática, empresas que definem de antemão o formato de entrega, como arquivo estruturado com um conjunto de campos, conseguem responder de forma consistente e evitam a discussão sobre o que seria formato adequado para atender àquele pedido específico.

O acesso também tem limites: quando o pedido envolve dado de terceiro, a resposta precisa discriminar o que é do requerente e preservar o restante. Esse cuidado é frequentemente mal executado, porque a extração bruta de um sistema traz registros de várias pessoas juntos. Definir um procedimento de extração com filtro por titular, antes que o pedido chegue, evita que a resposta seja preparada sob pressão de prazo, com risco de expor dado que não deveria sair.

Prazos curtos exigem arrumação prévia. A LGPD prevê quinze dias para a declaração de confirmação de tratamento e para o acesso, e prazo semelhante para a declaração de correção de dados, contados da formulação da requisição. Como o prazo começa a correr antes de a empresa saber se o pedido é procedente, a única forma de cumprir com segurança é manter o procedimento pronto: roteiro de busca, lista de sistemas, modelo de resposta e responsável definido.

O formato importa tanto quanto o conteúdo. O texto legal exige informação clara e adequada, o que na prática significa resposta em linguagem simples, com identificação das bases legais aplicáveis e das finalidades. Resposta que entrega um arquivo técnico sem explicação, ou que remete o titular à política de privacidade para que ele descubra sozinho o que se aplica ao caso, costuma produzir nova rodada de perguntas e, em muitos casos, reclamação formal.

A tabela abaixo resume o que cada tipo de pedido costuma exigir em termos de prazo, conteúdo e ponto de atenção. Ela funciona como roteiro de primeira resposta e ajuda a padronizar o atendimento entre áreas diferentes, sem transformar a resposta em texto genérico que não trata do pedido concreto. Pedido de acesso a dado coletado por cookies, por exemplo, depende do registro de escolha descrito em cookies e consentimento para sites e lojas.

Recusar é possível em situações específicas, e o problema quase nunca está na recusa em si, mas na ausência de fundamento. A empresa pode deixar de atender integralmente o pedido quando a informação envolve segredo comercial ou industrial, quando a entrega exporia dado pessoal de terceiro, quando existe obrigação legal ou regulatória de retenção e quando o pedido é desproporcional ou repetitivo. Em todos esses casos a resposta precisa dizer o motivo concreto aplicado àquele pedido.

Recusa parcial costuma ser mais defensável do que recusa total. Em vez de negar o acesso inteiro porque parte dos registros contém dado de outra pessoa, a empresa entrega o que se refere ao requerente e aponta de forma objetiva o que foi preservado e por qual razão. O mesmo vale para eliminação: quando há retenção obrigatória por prazo definido, o caminho é informar o fundamento e o prazo, e não simplesmente responder que não é possível atender.

Vale também informar o caminho de contestação. A LGPD prevê que o titular possa peticionar em relação aos seus dados contra o controlador perante a autoridade nacional, e mencionar essa possibilidade na resposta não enfraquece a posição da empresa: ela demonstra que o procedimento foi conduzido com transparência. Boa parte das reclamações administrativas começa pelo modo como a negativa foi comunicada, e não pelo mérito dela.

O encarregado é o ponto de contato entre a empresa, o titular e a autoridade, e essa função depende de três coisas simples: canal publicado, autonomia para acionar outras áreas e registro do que foi feito. Sem autonomia, o encarregado vira caixa de correio; sem registro, ele não consegue demonstrar prazo nem resultado. Empresas que centralizam o atendimento relatam menos atraso, porque o pedido não depende de descobrir quem é o responsável por cada sistema.

O registro é também ferramenta de gestão. Pedidos concentrados em um tipo de tratamento indicam problema de transparência naquele ponto: aviso pouco claro, consentimento mal coletado ou finalidade mal explicada. Um pedido de acesso recorrente a determinada categoria pode revelar que a empresa coleta mais do que o titular entende que autorizou. Ler o histórico de pedidos como diagnóstico evita tratar cada resposta como caso isolado.

Vale ainda coordenar com os operadores. Quando o dado é tratado por terceiros, a resposta depende de informação que está com eles, e o contrato precisa prever prazo curto de auxílio, formato da informação e responsabilidade pelo cumprimento. Sem essa cláusula, a empresa depende de cortesia de fornecedor para cumprir prazo legal, o que costuma funcionar até o primeiro pedido que chega em período de férias ou em feriado prolongado.

Alguns pedidos funcionam como sinal de alerta. Quando o titular afirma ter recebido comunicação que não reconhece, cobra explicação sobre tratamento que a empresa não sabia existir ou aponta dado desatualizado em sistema que deveria estar correto, o pedido deixa de ser atendimento individual e passa a indicar problema mais amplo. Nesses casos, a resposta ao titular precisa caminhar junto com a investigação interna.

O encadeamento com resposta a incidente costuma ser o ponto fraco. A equipe que responde ao titular não conversa com a equipe de segurança e tecnologia, e a empresa acaba dando explicação incompleta para a pessoa enquanto o problema técnico continua ativo. Definir um gatilho simples, como encaminhar ao comitê responsável qualquer pedido que mencione acesso não reconhecido, uso indevido ou exposição de dado, resolve a maior parte desse desencontro organizacional. O procedimento de avaliação e comunicação depois da descoberta está descrito em incidente de dados nas primeiras 72 horas.

Por fim, a resposta precisa considerar o que pode ser dito sem prejudicar a investigação em curso. É possível informar o titular sobre o que se sabe até o momento, indicar as medidas adotadas e sinalizar que o caso está em apuração, sem antecipar conclusão sobre causa ou extensão. O que não funciona é silêncio prolongado: quando a empresa não responde, o titular costuma procurar a autoridade, e o caso passa a ser conduzido com informação incompleta e prazo mais curto.