Pedido de titular na LGPD: como responder dentro do prazo

O Art. 18 da LGPD lista os direitos que qualquer pessoa pode exercer sobre os próprios dados. O ponto que pega a maioria das organizações não é concordar com o direito: é ter para onde o pedido ir e conseguir responder no prazo.

O que o titular pode pedir

Entre os direitos previstos estão confirmação de que existe tratamento, acesso aos dados, correção de dado incompleto ou desatualizado, anonimização ou eliminação de dado desnecessário ou tratado em desconformidade, portabilidade, informação sobre compartilhamento e revogação de consentimento.

Na prática, a maior parte do volume real se concentra em três: me diga o que vocês têm sobre mim, corrija isso e apague meus dados.

Prazo

A lei fixa prazo para a resposta, e ele corre a partir do pedido. O erro recorrente é o mesmo da ouvidoria: o relógio começa quando o titular pede, não quando o pedido chega em quem sabe respondê-lo. Se o e-mail ficou três dias numa caixa compartilhada antes de alguém ler, esses dias já foram.

Por que "manda um e-mail para o DPO" não funciona

• Não há protocolo. O titular não consegue provar quando pediu, e a organização não consegue provar quando respondeu.
• Não há verificação de identidade. Atender a um pedido de acesso sem confirmar quem está pedindo é entregar dado pessoal para quem pediu, que é o vazamento com formulário.
• Não há prazo visível. Ninguém é avisado antes de vencer.
• Não há trilha. Quando a ANPD pergunta como o pedido foi tratado, a resposta está espalhada em conversas.

O que estruturar, na ordem

1. Um ponto de entrada público e único. Um endereço onde o titular registra e recebe protocolo. Se houver três caminhos, haverá três controles e nenhum completo.
2. Verificação de identidade antes de qualquer entrega. Proporcional ao que está sendo pedido.
3. Prazo com alerta antes do vencimento, não depois.
4. Registro do que foi respondido, com data e conteúdo.
5. Resposta fundamentada quando o pedido for negado. Nem todo pedido de exclusão pode ser atendido: há dado que a organização é obrigada a guardar por outra lei. Negar é legítimo; negar sem explicar não.

O detalhe que costuma passar

Exclusão raramente significa apagar tudo. Dado retido por obrigação legal ou para exercício regular de direito continua retido, e o certo é dizer isso ao titular de forma clara, apontando o motivo. Uma resposta que promete apagar tudo e não apaga é pior que uma negativa bem explicada: ela cria um registro de que a organização disse que faria algo que não fez.