Cliente pediu acesso aos dados: o que entregar e em quanto tempo
Depende de qual pedido chegou, porque são dois. A confirmação de que você trata os dados sai imediatamente, em formato simplificado. A declaração completa tem até quinze dias e conteúdo obrigatório: origem dos dados, critérios usados e finalidade. E quem escolhe se recebe por e-mail ou impresso é a pessoa, não você.
Este é o pedido que mais chega, e o que mais é respondido errado. Não por má vontade: quase sempre a empresa manda o que tem no cadastro, achando que cumpriu, e deixa de fora justamente as informações que a lei exige. Ou demora quinze dias para responder uma pergunta que deveria ser respondida na hora. Este texto separa os dois pedidos, mostra o que precisa estar escrito e aponta os dois erros que transformam um atendimento simples em um problema sério.
A versão curta
- São dois relógios: confirmação em formato simplificado é imediata, declaração completa é em até quinze dias.
- A declaração completa tem conteúdo obrigatório, e mandar a planilha do cadastro não cumpre.
- Antes de entregar, confirme quem está pedindo. Mandar para a pessoa errada é um vazamento que você mesmo causou.
- Se você não responder, a reclamação cabe na ANPD e nos órgãos de defesa do consumidor.
1. São dois pedidos, com dois relógios
O Art. 18 lista nove direitos, e os dois primeiros são parecidos o bastante para se confundirem, mas funcionam diferente. O inciso I é a confirmação da existência de tratamento, ou seja, "vocês têm dados meus?". O inciso II é o acesso aos dados propriamente dito, ou seja, "me mostrem quais".
Quem separa os prazos é o Art. 19, e ele é mais exigente do que a fama sugere:
Art. 19, incisos I e II
A confirmação de existência ou o acesso a dados pessoais serão providenciados, mediante requisição do titular:I - em formato simplificado, imediatamente; ou
II - por meio de declaração clara e completa, que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, observados os segredos comercial e industrial, fornecida no prazo de até 15 (quinze) dias, contado da data do requerimento do titular.
Repare no "imediatamente" do inciso I. Ele não tem prazo em dias, tem prazo em minutos de atenção. Se alguém escreve perguntando se você tem cadastro dela, a resposta simplificada é devida na hora, e guardar isso para o décimo quinto dia é descumprir a lei enquanto se acredita estar dentro dela.
Os quinze dias do inciso II valem só para a declaração completa. Esse prazo é o dispositivo mais citado errado do assunto inteiro, e a confusão está destrinchada em Um cliente pediu para apagar os dados. Vale lembrar aqui apenas que, para quem se enquadra como agente de tratamento de pequeno porte, a Resolução CD/ANPD nº 2/2022 amplia esses prazos, e quem está nesse regime tem quinze dias para a declaração simplificada e trinta para a completa.
2. O que precisa estar na declaração completa
Aqui está o erro mais comum de todos: responder com os dados e achar que acabou. O inciso II não pede os dados, pede uma declaração clara e completa, e diz exatamente o que ela precisa indicar.
| O que indicar | Na prática | O que costuma faltar |
|---|---|---|
| Origem dos dados | De onde vieram | Dizer se a pessoa preencheu um formulário, se veio de um parceiro ou se foi coletado na loja. Sem isso ela não consegue saber se autorizou aquilo. |
| Inexistência de registro | O que você não tem | Declarar expressamente que não há registro daquilo que ela perguntou. Silêncio não é resposta, e a lei manda indicar a inexistência. |
| Critérios utilizados | Como você decide | Explicar com base em quê você classifica, pontua ou segmenta a pessoa, no nível que dá para contar sem entregar segredo do negócio. |
| Finalidade | Para que serve | Dizer o uso concreto de cada conjunto de dados, e não a frase genérica de "melhorar a experiência". |
Vale destacar a segunda linha, porque ela é contraintuitiva. A lei manda indicar a inexistência de registro. Se a pessoa pergunta se você guarda o histórico de navegação dela e você não guarda, a resposta certa não é omitir o assunto: é dizer que não existe esse registro. Muita reclamação nasce do silêncio interpretado como esconderijo.
A ressalva dos segredos comercial e industrial existe e é legítima, mas ela protege a fórmula, não a existência dela. Dizer "usamos critérios internos" não é observar segredo, é não responder.
3. Quem escolhe o formato é quem pediu
Este ponto quase nunca aparece nos materiais, e é uma frase curta da lei.
Art. 19, § 2º
As informações e os dados poderão ser fornecidos, a critério do titular: I - por meio eletrônico, seguro e idôneo para esse fim; ou II - sob forma impressa.A escolha é da pessoa. Se ela pedir impresso, é impresso, e responder "só enviamos por e-mail" contraria o dispositivo. Vale a recíproca: se ela pede por e-mail, mandar uma carta não resolve.
E há uma palavra no inciso I que carrega obrigação: o meio eletrônico precisa ser seguro e idôneo para esse fim. Um anexo com dados pessoais enviado sem cuidado, para um endereço digitado às pressas, é a forma mais banal de transformar o cumprimento de um direito em um incidente de segurança. Se isso acontecer, o assunto vira outro, e ele está em Quando comunicar um incidente à ANPD.
O § 1º do mesmo artigo completa o raciocínio de um jeito discreto: os dados pessoais serão armazenados em formato que favoreça o exercício do direito de acesso. Ou seja, a lei espera que você consiga achar e reunir o que tem de uma pessoa sem uma escavação. Quem não sabe onde os dados estão não responde no prazo, e o caminho para resolver isso é o registro das operações, explicado em RoPA para pequena empresa.
4. Antes de entregar, confirme quem está pedindo
O jeito mais rápido de transformar um pedido rotineiro em um vazamento é atender rápido demais. O Art. 18, § 3º diz que os direitos serão exercidos mediante requerimento expresso do titular ou de representante legalmente constituído. Não é formalidade: é a trava que existe para você não entregar a vida de alguém para outra pessoa.
A verificação precisa ser proporcional, e aqui mora um detalhe elegante. Confirmar identidade pedindo documento novo aumenta a sua coleta de dados, o que contraria o princípio da necessidade. O caminho melhor é conferir com o que você já tem: confirmar dados do cadastro, responder pelo canal que já era usado com aquela pessoa, ou pedir a confirmação por um e-mail já registrado. Se ainda assim restar dúvida razoável, aí sim é legítimo pedir mais.
Quando o pedido vem de terceiro, a exigência aperta: o § 3º fala em representante legalmente constituído. Mãe pedindo dados de filho adulto, cônjuge pedindo dados do outro, advogado sem procuração, tudo isso precisa de documento que sustente a representação.
5. O que não pode ir junto
Entregar demais é tão problemático quanto entregar de menos. O direito é sobre os dados daquela pessoa, e o material que você tem raramente vem separado assim.
O caso clássico é a conversa. Um histórico de atendimento costuma conter nome de funcionário, anotações internas sobre outros clientes, print de grupo, e-mail com terceiros em cópia. Enviar o bloco inteiro entrega dados de gente que não pediu nada. Antes de mandar, tire o que é de outra pessoa, e mantenha o que é sobre quem pediu, ainda que seja desconfortável.
Desconfortável, aliás, é a palavra certa para o segundo ponto. Uma anotação interna que fala sobre o cliente é dado pessoal dele, mesmo que tenha sido escrita para uso interno e mesmo que não seja elogiosa. Isso costuma ser uma surpresa desagradável na primeira vez, e é um bom motivo para combinar com a equipe que anotação de cadastro se escreve pensando que a pessoa pode ler um dia.
6. Corrigiu ou apagou? Avise quem recebeu
Este dever existe, quase ninguém cumpre, e ele está escrito de forma bem direta.
Art. 18, § 6º
O responsável deverá informar, de maneira imediata, aos agentes de tratamento com os quais tenha realizado uso compartilhado de dados a correção, a eliminação, a anonimização ou o bloqueio dos dados, para que repitam idêntico procedimento, exceto nos casos em que esta comunicação seja comprovadamente impossível ou implique esforço desproporcional.Traduzindo para o dia a dia: se você corrigiu o endereço de um cliente e aquele cadastro também está no sistema do contador, na ferramenta de disparo de e-mail e na transportadora, você precisa avisar os três, de maneira imediata, para que façam o mesmo. O mesmo vale para exclusão.
As duas ressalvas do final são reais e você pode usá-las, mas elas têm nome e sobrenome: impossibilidade comprovada e esforço desproporcional. Nenhuma das duas é "seria trabalhoso". E repare no efeito prático: só consegue avisar quem sabe com quem compartilha dados, o que de novo devolve a conversa para o registro das operações. Se os seus fornecedores tratam dados por você, o tema do contrato está em Responsabilidade do fornecedor que acessa dados.
7. Onde a reclamação cai
Se o pedido for ignorado, existem dois caminhos, e o segundo surpreende. O Art. 18, § 1º dá ao titular o direito de peticionar contra o controlador perante a ANPD. Já o § 8º diz que esse mesmo direito também poderá ser exercido perante os organismos de defesa do consumidor.
Na prática, isso significa que um pedido de acesso ignorado pode virar procedimento no Procon muito antes de chegar a qualquer coisa na autoridade nacional. Para quem atende consumidor final, esse é o risco realista e o de resposta mais rápida.
Há ainda uma saída honesta prevista na própria lei para quando você não consegue atender de imediato. O Art. 18, § 4º permite que a resposta seja para comunicar que você não é agente de tratamento daqueles dados, indicando quem é sempre que possível, ou para indicar as razões de fato ou de direito que impedem a adoção imediata da providência. Ou seja, dizer "não sou eu, é fulano" e dizer "não posso agora, e o motivo é este" são respostas previstas. Não responder não é. E o § 5º fecha: o requerimento será atendido sem custos para o titular, então cobrar taxa pelo atendimento não é opção.
8. Perguntas frequentes
Tenho mesmo 15 dias para responder um pedido de acesso?
Depende de qual dos dois pedidos chegou. O Art. 19 separa: a confirmação de existência ou o acesso em formato simplificado é providenciado imediatamente, e é só a declaração clara e completa que tem o prazo de até 15 dias, contado da data do requerimento. Quem trata os quinze dias como prazo único acaba atrasando a parte que deveria sair na hora. Para agente de tratamento de pequeno porte, a Resolução CD/ANPD nº 2/2022 amplia esses prazos.
O que precisa estar escrito na declaração completa?
O Art. 19, II lista o conteúdo mínimo: a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, observados os segredos comercial e industrial. Não é só mandar a planilha com o cadastro. A declaração precisa explicar de onde os dados vieram, com base em quê você decide o que decide e para que os usa, e precisa dizer expressamente quando não existe registro de algo.
Posso escolher se mando por e-mail ou impresso?
A escolha não é sua. O Art. 19, § 2º diz que as informações e os dados poderão ser fornecidos, a critério do titular, por meio eletrônico, seguro e idôneo para esse fim, ou sob forma impressa. Se a pessoa pedir impresso, o formato é impresso. E a palavra seguro no texto legal importa: mandar dado pessoal em anexo aberto para o endereço errado transforma a resposta ao titular em incidente de segurança.
Preciso confirmar a identidade de quem está pedindo?
Precisa, e essa é a parte mais perigosa do atendimento. O Art. 18, § 3º diz que os direitos são exercidos mediante requerimento expresso do titular ou de representante legalmente constituído. Entregar o histórico de uma pessoa para outra é vazamento de dados provocado por você mesmo. A verificação deve ser proporcional: pedir dados que você já tem, sem exigir documento novo que aumente a sua própria coleta.
Se eu não responder, onde a pessoa reclama?
Em dois lugares, e o segundo pega muita gente de surpresa. O Art. 18, § 1º garante ao titular o direito de peticionar contra o controlador perante a ANPD. E o § 8º diz que esse mesmo direito também poderá ser exercido perante os organismos de defesa do consumidor, o que inclui o Procon. Na prática, ignorar um pedido de acesso pode virar procedimento de consumo antes de virar qualquer coisa na autoridade.
O prazo de 15 dias da LGPD é o mesmo da Lei de Acesso à Informação?
Não, e a confusão é comum porque as duas leis falam em acesso. A Lei de Acesso à Informação, Lei nº 12.527/2011, vale para órgãos públicos e dá vinte dias, prorrogáveis por mais dez, para responder a um pedido de informação pública. A LGPD vale para qualquer empresa e, no Art. 19, dá quinze dias para a declaração completa sobre os dados de uma pessoa, contados do requerimento, com a confirmação em formato simplificado de imediato. Uma empresa privada responde pela LGPD; um órgão público pode responder pelas duas, dependendo do que foi pedido.
Fontes: Lei nº 13.709/2018 (LGPD), Arts. 18 e 19 · Lei nº 12.527/2011 (Lei de Acesso à Informação), Art. 11 · Resolução CD/ANPD nº 2/2022, Arts. 14 e 15
Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.
Um pedido chegou. O relógio já começou?
O canal do titular da plataforma recebe o pedido, calcula o prazo do seu enquadramento e guarda o registro do que foi respondido e quando.
Começar de graça