Resposta rápida: quais direitos a LGPD dá aos titulares?
O Art. 18 da LGPD reúne direitos como confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade, portabilidade, eliminação de dados tratados com consentimento, informação sobre compartilhamento, informação sobre a possibilidade de negar consentimento e suas consequências e revogação do consentimento.
A conformidade não termina em publicar essa lista. A empresa precisa conseguir executar os direitos nos sistemas, fornecedores, backups e fluxos reais.
Principais conclusões
- O Art. 18 contém vários direitos distintos, com condições próprias.
- O prazo de 15 dias do Art. 19 não deve ser tratado como prazo universal para todos os direitos.
- Verificação de identidade deve ser proporcional ao risco.
- Exclusão não significa apagar qualquer registro sem considerar hipóteses legais de conservação.
- Operadores devem apoiar o controlador quando o pedido alcança dados processados por eles.
- O pedido e a decisão precisam ser documentados.
Os direitos do Art. 18
O titular pode solicitar ao controlador, entre outros:
- confirmação da existência de tratamento;
- acesso aos dados;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
- portabilidade, observadas regulamentações e segredos comercial/industrial;
- eliminação dos dados pessoais tratados com consentimento, ressalvadas hipóteses do Art. 16;
- informação sobre entidades públicas e privadas com as quais houve uso compartilhado;
- informação sobre possibilidade de não fornecer consentimento e consequências;
- revogação do consentimento.
O §1º também prevê possibilidade de petição à ANPD em relação aos dados. O §2º trata de oposição a tratamento realizado sem consentimento quando houver descumprimento da LGPD.
Confirmação e acesso
O Art. 19 prevê duas formas de resposta:
- formato simplificado, imediatamente; ou
- declaração clara e completa em até 15 dias.
A declaração completa deve indicar origem dos dados, inexistência de registro quando aplicável, critérios utilizados e finalidade do tratamento, observados segredos comercial e industrial.
O prazo de 15 dias não é uma regra universal para todo e qualquer direito do Art. 18. Ele está ligado especificamente à forma completa de confirmação/acesso prevista no Art. 19.
Correção
A correção parece simples, mas exige propagação. Se a empresa atualiza um endereço no CRM e o dado desatualizado continua em billing, suporte, data warehouse e fornecedor de e-mail, o pedido não foi tratado de forma completa.
Mapeie sistemas mestres e integrações para saber onde a mudança precisa ser refletida.
Exclusão
Existem diferentes cenários de exclusão.
Dados tratados com consentimento
O titular pode solicitar eliminação dos dados tratados com consentimento, observadas as exceções de conservação do Art. 16.
Dados desnecessários, excessivos ou em desconformidade
O Art. 18 também prevê anonimização, bloqueio ou eliminação em determinadas hipóteses.
O que não deve acontecer
Não prometa “apagamos absolutamente tudo” sem analisar obrigações legais, exercício regular de direitos, registros de transação ou outras hipóteses legítimas de conservação.
Revogação do consentimento
Revogar consentimento não significa necessariamente apagar todos os dados da pessoa. A organização deve interromper tratamentos que dependam daquele consentimento, mas outros tratamentos podem permanecer se sustentados por finalidades e bases legais independentes e válidas.
Exemplo: revogar consentimento para newsletter não elimina automaticamente registros de uma compra necessários para outras finalidades.
Oposição
A LGPD não copia exatamente o direito absoluto de oposição a marketing direto do GDPR. O Art. 18, §2º, prevê oposição a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento em caso de descumprimento da LGPD.
Empresas globais devem evitar importar linguagem europeia sem adaptação ao Brasil.
Portabilidade
A portabilidade depende de regulamentação e deve respeitar segredos comercial e industrial. Dados que já foram anonimizados não entram no direito de portabilidade nos termos do Art. 18.
Decisões automatizadas
O Art. 20 permite ao titular solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo decisões destinadas a definir perfil pessoal, profissional, de consumo, crédito ou aspectos de personalidade.
Não classifique qualquer recomendação algorítmica como Art. 20 sem analisar se há decisão exclusivamente automatizada e efeito sobre interesses.
Verificação de identidade
A empresa precisa evitar entregar dados a impostores. Ao mesmo tempo, a verificação não pode coletar dados excessivos de qualquer forma.
Uma abordagem proporcional considera:
- sensibilidade dos dados solicitados;
- risco da divulgação indevida;
- contexto da conta;
- autenticação existente;
- possibilidade de usar canal já verificado;
- volume do pedido.
Não existe um método universal prescrito pela LGPD para todos os pedidos.
Fluxo operacional de 10 passos
1. Receba o pedido
Mantenha canal claro e registre data, titular, tipo de pedido e contexto.
2. Faça triagem
Determine qual direito está sendo exercido e se a organização é o controlador adequado.
3. Verifique identidade proporcionalmente
Use mecanismo que reduza fraude sem criar coleta excessiva.
4. Localize os dados
Pesquise e-mail, telefone, CPF quando aplicável, account ID, order ID ou identificadores técnicos relevantes.
5. Identifique sistemas e fornecedores
O pedido pode alcançar CRM, plataforma, analytics, suporte, billing, arquivos e subprocessadores.
6. Avalie o direito e possíveis limitações
Determine o que deve ser fornecido, corrigido, excluído, bloqueado ou explicado e quais hipóteses de conservação existem.
7. Execute nos sistemas
Não responda “concluído” antes de realizar a ação efetiva.
8. Propague quando necessário
O Art. 18 prevê comunicação imediata aos agentes com quem houve uso compartilhado para correção, eliminação, anonimização ou bloqueio, salvo exceção legal.
9. Responda em linguagem clara
Explique resultado, limitações e canais adicionais quando aplicáveis.
10. Registre evidências
Mantenha log da solicitação, verificação, decisão, sistemas afetados, fornecedores e data de encerramento.
Operadores e pedidos de titulares
O controlador é normalmente o ponto principal para decisão e resposta. Operadores devem ter capacidade técnica e contratual para apoiar o controlador.
Teste antes:
- consegue exportar os dados de um usuário?
- consegue excluir por identificador?
- exclusão alcança logs e backups conforme política?
- consegue corrigir informação?
- consegue informar subprocessadores afetados?
Quando a empresa não consegue atender imediatamente
O Art. 18, §4º, estabelece que, se não for possível adotar imediatamente a providência, o controlador deve enviar resposta explicando que não é agente de tratamento e, se possível, indicar o agente; ou indicar razões fáticas ou jurídicas que impedem adoção imediata.
Pedidos à ANPD
Em geral, o titular deve primeiro apresentar pedido ao controlador e poderá peticionar à ANPD conforme o procedimento aplicável. A empresa deve manter evidência de que seu canal funciona e de como tratou a solicitação.
Agentes de pequeno porte
A Resolução 2/2022 prevê prazos diferenciados em determinados contextos. Empresas devem verificar elegibilidade e a regra específica, sem concluir que “pequena empresa pode responder quando quiser”.
Erros comuns
“Todos os direitos têm 15 dias.”
Incorreto.
“Exclusão significa apagar qualquer registro.”
Não. Avalie Art. 16 e outras finalidades/bases válidas.
“Basta desativar a conta.”
Desativação não é necessariamente exclusão.
“O fornecedor cuida dos direitos.”
O controlador precisa governar o processo e coordenar operadores.
“Pedimos foto de documento completo para qualquer pedido.”
Pode ser desproporcional. Use verificação baseada em risco.
Perguntas frequentes
O titular pode pedir todos os dados que a empresa tem?
O direito de acesso é amplo, mas deve ser aplicado conforme a LGPD, considerando identidade, segredos protegidos e natureza do pedido.
A empresa pode cobrar pelo atendimento?
O Art. 18 determina exercício gratuito dos direitos, observadas as condições legais.
Revogar consentimento apaga a conta?
Não necessariamente. Depende das outras finalidades e bases válidas.
Existe direito à revisão de decisões de IA?
O Art. 20 é relevante para decisões exclusivamente automatizadas que afetem interesses. A análise depende do caso.
Fontes oficiais
Transforme orientação em implementação
O Manual de Conformidade com a LGPD no Brasil — Edição 2026 reúne guia prático, auditoria de 100 pontos, 16 planilhas e modelos de implementação e um roteiro estruturado de 30 dias.
Obter o Manual de Conformidade com a LGPD no Brasil