A Lei Geral de Proteção de Dados garante direitos concretos a cada cidadão. Entenda quais são, como exercê-los e o papel da ANPD na fiscalização.

A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), em vigor desde setembro de 2020, transformou a forma como empresas e órgãos públicos lidam com informações pessoais no Brasil. Mais do que impor obrigações a quem trata dados, a LGPD colocou o cidadão no centro do sistema: cada titular passou a ter um conjunto de direitos que pode exercer diretamente perante qualquer organização que utilize suas informações. Ainda assim, boa parte das pessoas desconhece esses direitos ou não sabe como acioná-los na prática. Este guia explica o que a lei assegura, como fazer valer cada garantia e qual o papel da Autoridade Nacional de Proteção de Dados (ANPD) quando algo não corre bem.

O que a LGPD entende por “titular” e “dado pessoal”

Titular é a pessoa natural a quem os dados se referem — ou seja, você. Dado pessoal, por sua vez, é qualquer informação relacionada a uma pessoa identificada ou identificável: nome, CPF, e-mail, endereço, geolocalização, histórico de compras, endereço IP, entre muitos outros. A lei ainda cria uma categoria reforçada, a dos dados pessoais sensíveis, que abrange informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, além de dados genéticos e biométricos. Esses recebem proteção mais rígida justamente pelo maior potencial de discriminação em caso de uso indevido.

Toda operação feita com esses dados — coleta, armazenamento, uso, compartilhamento, eliminação — é chamada de tratamento, e só pode ocorrer se estiver amparada por uma das bases legais previstas no artigo 7º da lei, como o consentimento do titular, o cumprimento de obrigação legal, a execução de contrato ou o legítimo interesse do controlador.

Quais são os direitos do titular

O artigo 18 da LGPD lista os direitos que podem ser exercidos a qualquer momento, mediante requisição, e sem custo para o titular. Os principais são:

Confirmação e acesso: saber se uma organização trata seus dados e obter cópia das informações que ela mantém sobre você.
Correção: exigir a atualização ou correção de dados incompletos, inexatos ou desatualizados.
Anonimização, bloqueio ou eliminação: pedir que dados desnecessários, excessivos ou tratados em desacordo com a lei sejam anonimizados, bloqueados ou apagados.
Portabilidade: solicitar a transferência dos dados a outro fornecedor de serviço ou produto, observadas as regras da ANPD.
Eliminação dos dados tratados com consentimento: quando a base legal for o consentimento, o titular pode pedir a exclusão, ressalvadas as hipóteses de guarda obrigatória previstas em lei.
Informação sobre compartilhamento: saber com quais entidades públicas e privadas seus dados foram compartilhados.
Revogação do consentimento: retirar, a qualquer tempo e de forma facilitada, a autorização antes concedida.
Revisão de decisões automatizadas: pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, como definição de perfil de crédito ou consumo.

Como exercer esses direitos na prática

O primeiro passo é identificar o canal de atendimento da organização. A LGPD determina que todo controlador indique um encarregado pelo tratamento de dados (o chamado DPO, na sigla em inglês), cujo contato deve estar disponível de forma clara, geralmente na política de privacidade do site ou aplicativo. É a esse canal que a requisição deve ser dirigida.

O pedido pode ser feito por escrito — e-mail costuma ser a via mais segura, por deixar registro. Vale descrever objetivamente o que se deseja (por exemplo, acesso à cópia dos dados ou exclusão de um cadastro) e guardar comprovante do envio. A resposta à confirmação de tratamento e ao acesso deve ser fornecida de forma simplificada de imediato ou, por meio de declaração completa, em até 15 dias contados da requisição, conforme o artigo 19 da lei. Como boa prática, o titular deve verificar antes se a própria plataforma já oferece ferramentas de autoatendimento, como painéis de privacidade e opções de download ou exclusão de conta.

Limites e exceções aos direitos

Os direitos do titular não são absolutos. Há situações em que a organização pode, legitimamente, recusar total ou parcialmente um pedido. É o caso, por exemplo, de dados que precisam ser mantidos por obrigação legal ou regulatória — registros fiscais e contábeis, ou informações exigidas pelo Marco Civil da Internet quanto a logs de acesso. O direito à eliminação também encontra limites quando o dado ainda é necessário para o cumprimento de contrato ou para o exercício regular de direitos em processo judicial. Nesses casos, a recusa deve ser justificada, e o titular pode questioná-la perante a ANPD.

O papel da ANPD e o que fazer quando o direito é negado

A Autoridade Nacional de Proteção de Dados é o órgão responsável por fiscalizar o cumprimento da LGPD, orientar e aplicar sanções. Se a organização não responder à requisição, negar o pedido sem justificativa adequada ou tratar os dados de forma irregular, o titular pode registrar reclamação junto à ANPD, que dispõe de canais próprios para receber essas manifestações. As sanções previstas na lei vão de advertência a multa de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração, além da possibilidade de bloqueio ou eliminação dos dados envolvidos.

Além da via administrativa, o titular que sofrer dano patrimonial ou moral em razão de tratamento indevido pode buscar reparação no Poder Judiciário. A responsabilização dos agentes de tratamento está prevista nos artigos 42 a 45 da LGPD, que reforçam o dever de reparar prejuízos causados a terceiros.

Por que conhecer esses direitos importa

Em uma economia cada vez mais movida por dados, saber exigir transparência e controle sobre as próprias informações deixou de ser detalhe técnico e passou a ser instrumento concreto de cidadania. Para profissionais do Direito, dominar o rol de direitos do titular é essencial tanto na orientação de clientes quanto na estruturação de programas de compliance e governança de dados. Para o cidadão, é a diferença entre ser um objeto passivo de coleta e um sujeito ativo capaz de decidir como e por quem suas informações podem ser usadas.

Nota editorial: este conteúdo tem caráter informativo e educativo, com base na Lei nº 13.709/2018 (LGPD), e não substitui a análise de um profissional habilitado diante do caso concreto. Recomenda-se consultar a política de privacidade da organização e, se necessário, a Autoridade Nacional de Proteção de Dados (ANPD).