Direitos do titular na LGPD: quais são e o que a sua empresa faz em cada um

17 de setembro de 2026LGPD de Todos15 min de leitura

A LGPD dá ao titular nove direitos listados no Art. 18, mais três espalhados por outros artigos, e todos podem ser exercidos a qualquer momento, de graça e sem canal obrigatório. Para a empresa isso vira uma obrigação só: receber o pedido, entender qual direito ele aciona e responder. O único prazo escrito na lei é o do acesso, de até quinze dias, e toda resposta negativa precisa vir com as razões.

Qualquer lista na internet diz o que o titular pode pedir. O que nenhuma diz é o que acontece do outro lado do balcão quando o pedido chega: quem responde, em quanto tempo, o que pode ser negado e o que precisa ficar guardado como prova. Este texto é sobre esse outro lado. Se você quer saber o que fazer quando o cliente pede para ver ou para apagar os dados, os dois casos mais comuns têm texto próprio, e este aqui é o mapa que mostra onde cada um se encaixa.

1. De onde vêm os direitos, e o que "a qualquer momento" significa

Os direitos nascem do Art. 17, que garante a toda pessoa natural a titularidade dos próprios dados, e ganham forma no Art. 18, que lista o que ela pode obter do controlador. A palavra importante é "obter": não é um pedido de favor, é uma obrigação de quem trata o dado, e ela nasce no momento em que a empresa passa a ter o dado, não quando o cliente reclama.

O caput do Art. 18 tem duas expressões que definem a rotina da empresa. A primeira é "a qualquer momento": o direito não depende de contrato vigente, de compra recente ou de cadastro ativo. Quem comprou uma vez há três anos continua titular dos dados que ficaram no sistema. A segunda é "mediante requisição": a empresa não precisa sair entregando dados a quem não pediu, mas precisa estar pronta para quando alguém pedir.

O § 3º completa o desenho. Os direitos são exercidos "mediante requerimento expresso do titular ou de representante legalmente constituído, a agente de tratamento". Três consequências práticas: o pedido tem que ser expresso, então uma reclamação vaga no Instagram não é requerimento; pode vir de representante, como o pai de uma criança ou um advogado com procuração; e é feito "a agente de tratamento", sem exigir canal, formulário ou senha. O pedido que chega pelo WhatsApp da loja conta tanto quanto o que chega pelo e-mail do Encarregado.

Esse artigo curto costuma passar despercebido e é o que impede a reação mais humana do mundo: marcar o cliente que pediu para apagar os dados como "problemático". O registro de que alguém exerceu um direito existe para provar que a empresa atendeu, e para nada mais. Usar esse registro para negar um desconto, uma venda ou um atendimento é infração por si.

2. Os nove do Art. 18, um a um

Seis dos nove direitos valem para qualquer dado que a empresa tenha, com qualquer base legal; três valem só para dado tratado com consentimento. Saber em qual grupo o pedido cai é o primeiro passo da resposta, porque muda a pergunta que a empresa faz a si mesma: nos seis, "consigo atender?"; nos três, "eu tratava esse dado com consentimento?".

Dois direitos da tabela têm texto próprio, porque são os que mais chegam e os que mais dão errado. O de acesso está em cliente pediu acesso aos dados, o que entregar, com o conteúdo obrigatório da declaração e a regra de quem escolhe o formato. O de eliminação está em um cliente pediu para apagar os dados, sou obrigado, com as quatro exceções do Art. 16 e o jeito de dizer não sem parecer má vontade.

Repare na diferença entre o inciso IV e o inciso VI, que o mercado costuma misturar. O VI é a eliminação de dado tratado com consentimento: a pessoa autorizou, e agora desautoriza. O IV é mais largo e mais exigente: vale para qualquer base legal, mas só alcança o dado desnecessário, excessivo ou tratado em desconformidade com a lei. Quando um cliente pede para apagar um dado que a empresa tratava por contrato ou por obrigação legal, o pedido cai no IV, e a pergunta certa é se aquele dado ainda é necessário, não se houve consentimento.

3. Os que ficam fora da lista

Três direitos não estão nos incisos do Art. 18 e aparecem tanto quanto os que estão: o direito à informação, o de pedir revisão de decisão automatizada e o de se opor ao tratamento irregular. Quem decora só a lista de nove responde errado a esses três.

Informação. O Art. 9º garante ao titular "acesso facilitado às informações sobre o tratamento", e lista o que precisa estar disponível: finalidade, forma e duração, quem é o controlador e como falar com ele, com quem compartilha e para quê, responsabilidades de cada agente e os direitos do Art. 18. É o direito que se cumpre antes de qualquer pedido, com o aviso de privacidade. Quando ele está bem escrito, boa parte dos pedidos de acesso nem acontece, porque a pessoa já leu a resposta.

Revisão de decisão automatizada. O Art. 20 dá ao titular o direito de "solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado" que afetem os interesses dele, como negar crédito, definir preço ou recusar cadastro por sistema. O que a lei em vigor exige da empresa é explicar os critérios e os procedimentos quando solicitado, e não uma revisão por pessoa: a história desse detalhe está em a LGPD garante revisão humana de decisão automática. Quem não decide nada por sistema não tem esse pedido para responder.

Oposição. O Art. 18, § 2º diz que o titular "pode opor-se a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento ao disposto nesta Lei". Não é um direito de vetar qualquer uso: é o direito de contestar um tratamento feito sem consentimento, como o de legítimo interesse, quando a empresa não cumpriu o que a lei pede para aquela base. A resposta certa é mostrar que cumpriu, e para isso a análise daquela base precisa estar registrada, e não só na cabeça de alguém.

Por fim, dois caminhos que não são direitos de pedir algo à empresa, mas de pedir contra ela: o titular pode peticionar à ANPD, pelo § 1º, e aos órgãos de defesa do consumidor, pelo § 8º, e pode ir a juízo, individual ou coletivamente, pelo Art. 22. A ordem importa e está na seção 5.

4. Os prazos, e o que a lei não diz

A LGPD escreve um prazo só, no Art. 19, e ele vale apenas para confirmação e acesso: imediato no formato simplificado, e até quinze dias para a declaração completa. Para correção, eliminação, portabilidade e os demais, o Art. 18, § 5º diz que o pedido será atendido "nos prazos e nos termos previstos em regulamento", e esse regulamento a ANPD ainda não publicou.

Isso cria uma situação que confunde: a empresa não tem prazo legal para apagar um dado, mas tem prazo de quinze dias para dizer quais dados tem. E como o pedido de exclusão quase sempre vem junto com a pergunta "o que vocês têm sobre mim", o relógio dos quinze dias acaba correndo de qualquer jeito. A lei não diz se os quinze dias são úteis ou corridos, e a leitura prudente conta corridos, a partir da data do requerimento.

Para agente de pequeno porte, a Resolução CD/ANPD nº 2/2022 dobra os prazos de atendimento aos titulares, entre outros. Trinta dias para a declaração completa, portanto, desde que a empresa esteja no regime facilitado, o que depende do porte e de não fazer tratamento de alto risco. O "imediatamente" do formato simplificado não dobra, porque não é um prazo em dias.

5. Quando a resposta é não, ou não a tudo

A lei permite negar um pedido, e obriga a explicar por quê. O que ela não permite é o silêncio. O Art. 18, § 4º diz o que a empresa faz quando não pode atender de imediato, e as duas saídas dele resolvem quase todos os casos difíceis.

A primeira saída é a do pedido que chegou na empresa errada. O contador que recebe um pedido de exclusão do funcionário de um cliente é operador, não controlador, e a resposta correta é dizer isso e apontar quem é o controlador. Não é empurrar o problema: é a resposta que a lei escreveu. O que não vale é apagar o dado por conta própria para "resolver", porque o operador não decide isso.

A segunda saída é a das razões de fato ou de direito. Razão de direito é a nota fiscal que a legislação tributária manda guardar por cinco anos, o contrato que ainda está em execução, a defesa em um processo que corre. Razão de fato é o dado que já foi anonimizado e não pode mais ser ligado à pessoa, ou o pedido que chegou sem elementos para saber de quem é. Em todos esses casos a resposta certa é parcial: atende o que dá, explica o que não dá, e diz até quando o dado vai ficar.

Há ainda o que a empresa precisa fazer antes de responder, que é confirmar que quem pede é o titular ou o representante. A lei não fixa o método, e exagerar aqui vira barreira: pedir cópia de documento para quem escreveu do mesmo e-mail do cadastro é excesso. O cuidado sobe com o dado: para dado de saúde, financeiro ou de criança, vale confirmar por um segundo caminho antes de entregar. Mandar os dados para a pessoa errada é um incidente que a própria empresa causou.

Depois de atender, sobra a cascata do § 6º: a correção, a eliminação, a anonimização ou o bloqueio precisam ser comunicados "de maneira imediata" aos agentes com quem a empresa compartilhou o dado, para que repitam o procedimento, salvo se isso for comprovadamente impossível ou exigir esforço desproporcional. É por isso que a lista de fornecedores que acessam dados serve para mais do que o aviso de privacidade: sem ela, a cascata não acontece.

E a ordem dos caminhos contra a empresa: pelo Art. 55-J, V, a ANPD só aprecia a petição do titular "após comprovada pelo titular a apresentação de reclamação ao controlador não solucionada no prazo estabelecido em regulamentação". O titular precisa ter pedido a você primeiro. Um pedido não respondido é, ao mesmo tempo, o requisito da reclamação e a prova dela.

6. O que montar na empresa

Quatro coisas fazem a sua empresa atender qualquer pedido de titular sem susto: um lugar para o pedido chegar, uma pessoa que responde, um registro do que foi pedido e respondido, e a lista de onde os dados estão. Nenhuma delas exige sistema, e as quatro cabem em uma tarde.

O lugar. Um e-mail ou um formulário simples, publicado no aviso de privacidade. Quem tem Encarregado usa o contato dele, que o Art. 41, § 1º manda divulgar; quem está dispensado de indicar Encarregado precisa, pela Resolução CD/ANPD nº 2/2022, manter um canal de comunicação com o titular. O canal oficial não anula o que chega por fora: o pedido pelo WhatsApp da loja entra no mesmo registro, e o prazo conta do dia em que chegou.

A pessoa. Alguém com nome, que sabe quais são os nove direitos, quais são os prazos e quando a resposta é não. Sem departamento jurídico, é o dono ou o Encarregado; o que não funciona é "quem estiver no caixa". Essa pessoa precisa saber também a quem recorrer quando o pedido envolve um sistema que ela não opera.

O registro. Uma planilha basta: data em que o pedido chegou, quem pediu, qual direito, o que foi feito, quando foi respondido e o que foi respondido. É o registro que prova, na fiscalização ou na reclamação, que o prazo foi cumprido e que a negativa teve razão. É também o que o Art. 21 protege: existe para provar atendimento, e não para marcar cliente.

A lista de onde os dados estão. Sistema de gestão, planilha, contabilidade, ferramenta de disparo, nuvem, transportadora. Sem ela, a empresa não consegue responder ao acesso, não consegue informar o compartilhamento do inciso VII e não consegue fazer a cascata do § 6º. É a mesma lista que o registro das operações exige, o que faz dela o documento mais reaproveitado da adequação.

7. Perguntas frequentes

Quais são os direitos do titular na LGPD?

O Art. 18 lista nove: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei; portabilidade a outro fornecedor; eliminação dos dados tratados com consentimento; informação sobre com quem a empresa compartilhou os dados; informação sobre a possibilidade de não consentir e as consequências; e revogação do consentimento. Fora da lista ficam o direito à informação do Art. 9º, a revisão de decisão automatizada do Art. 20 e a oposição ao tratamento irregular do Art. 18, § 2º.

Qual é o prazo para responder ao pedido de um titular?

O único prazo escrito na lei é o do Art. 19, e só para confirmação e acesso: imediato no formato simplificado, e até quinze dias para a declaração completa. Para os outros direitos, o Art. 18, § 5º remete a um regulamento da ANPD que ainda não foi publicado. Agente de pequeno porte tem os prazos em dobro pela Resolução CD/ANPD nº 2/2022. Na prática, usar os quinze dias como referência para tudo é a forma de não depender de regulamento para se organizar.

O titular pode pedir por WhatsApp ou no balcão?

Pode. O Art. 18, § 3º fala em requerimento expresso do titular ou de representante, a agente de tratamento, e não exige formulário nem canal específico. Um pedido feito pelo WhatsApp da loja, por e-mail ou de viva voz no balcão é pedido, e o prazo conta do dia em que ele chegou à empresa, não do dia em que alguém o registrou. Ter um canal oficial ajuda a organizar, mas não serve para ignorar o que chega por fora dele.

Posso cobrar para atender um pedido de acesso ou de exclusão?

Não. O Art. 18, § 5º diz que o requerimento será atendido sem custos para o titular. A revogação do consentimento também tem que ser por procedimento gratuito e facilitado, pelo Art. 8º, § 5º. E o Art. 21 fecha a porta do outro lado: os dados sobre o exercício de direitos pelo titular não podem ser usados em prejuízo dele, então quem pediu para apagar não pode virar cliente marcado.

O que acontece se a empresa não responder ao titular?

O titular pode reclamar na ANPD, pelo Art. 18, § 1º, e nos órgãos de defesa do consumidor, pelo § 8º. A ANPD só aprecia a petição depois que o titular comprova ter reclamado à empresa sem solução, pelo Art. 55-J, V, o que faz o pedido não respondido virar a prova contra a empresa. Também cabe ação judicial, individual ou coletiva, pelo Art. 22. E deixar de atender direito do titular é descumprimento da lei, sujeito às sanções do Art. 52.

Quem são os titulares de dados pessoais?

Toda pessoa natural a quem um dado se refere, pelo Art. 5º, V: cliente, funcionário, fornecedor pessoa física, candidato a vaga, visitante do site, quem aparece na câmera da loja. Empresa não é titular: CNPJ e razão social não são dados pessoais, mas o nome e o e-mail da pessoa que responde pela empresa são, e ela é titular deles. O Art. 17 completa dizendo que toda pessoa natural tem assegurada a titularidade dos seus dados pessoais, e é daí que os direitos do Art. 18 partem. Quem morre deixa de ser titular, e a ANPD já disse isso por escrito: o assunto está em a LGPD e os dados de quem faleceu.

Fontes: Lei nº 13.709/2018 (LGPD), Arts. 8º, § 5º, 9º, 16, 17, 18, 19, 20, 21, 22, 41, § 1º, 52 e 55-J, V · Resolução CD/ANPD nº 2/2022, Arts. 11 e 14

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.