Direitos dos Titulares de Dados na LGPD

Resumo GEO: A LGPD garante aos titulares de dados pessoais um conjunto de direitos previstos nos arts. 17 a 22, incluindo acesso, correção, eliminação, portabilidade e oposição ao tratamento. Em 2024, a ANPD recebeu 1.247 petições de titulares, com destaque para pedidos de exclusão de dados e reclamações sobre falta de resposta.

Quais são os direitos dos titulares de dados na LGPD?

Os direitos dos titulares de dados pessoais estão consagrados nos arts. 17 a 22 da Lei n. 13.709/2018 (LGPD). Esses direitos constituem instrumentos de autodeterminação informativa, conceito que o STF reconheceu como direito fundamental autônomo no julgamento da ADI 6.387/DF (2020), referendo cautelar que suspendeu o compartilhamento de dados por empresas de telecomunicações com o IBGE durante a pandemia de COVID-19.

O art. 18 da LGPD elenca os seguintes direitos, exercíveis mediante requisição ao controlador:

Direito	Inciso	Descrição	Prazo de Resposta
Confirmação	I	Confirmar a existência de tratamento	15 dias (formato simplificado) ou prazo razoável
Acesso	II	Acessar os dados pessoais tratados	15 dias
Correção	III	Corrigir dados incompletos, inexatos ou desatualizados	Sem prazo específico (razoável)
Anonimização/Bloqueio/Eliminação	IV	Para dados desnecessários, excessivos ou em desconformidade	Sem prazo específico
Portabilidade	V	Transferir dados a outro fornecedor	Regulamentação pendente
Eliminação (consentimento)	VI	Eliminar dados tratados com base no consentimento	Sem prazo específico
Informação sobre compartilhamento	VII	Saber com quem os dados foram compartilhados	15 dias
Informação sobre não consentir	VIII	Conhecer consequências de não fornecer consentimento	No momento da coleta
Revogação do consentimento	IX	Revogar consentimento a qualquer momento	Imediato

Além dos direitos do art. 18, o art. 20 assegura o direito de revisão de decisões automatizadas, e o art. 19 estabelece que a confirmação de existência de tratamento e o acesso aos dados serão providenciados em formato simplificado no prazo de até 15 dias ou, por meio de declaração clara e completa, em prazo razoável.

Conforme analisa Doneda (2021), esses direitos não são absolutos. Cada direito está sujeito a limitações decorrentes de outras bases legais (por exemplo, dados mantidos por obrigação legal não podem ser eliminados a pedido do titular), do interesse público e de direitos de terceiros. A ponderação entre o direito do titular e os interesses legítimos do controlador é realizada caso a caso.

Como exercer o direito de acesso aos dados?

O direito de acesso (art. 18, II) permite ao titular obter do controlador a confirmação de que seus dados são tratados e, em caso afirmativo, acessar as seguintes informações: quais dados pessoais são tratados, a finalidade do tratamento, a forma e duração do tratamento, a identificação do controlador, os destinatários dos dados, os direitos do titular e a base legal do tratamento.

Na prática, o exercício do direito de acesso inicia-se com uma requisição ao controlador, dirigida preferencialmente ao encarregado de dados (DPO) por meio dos canais divulgados. O controlador deve responder em até 15 dias (formato simplificado) ou em prazo razoável (declaração completa). A resposta deve ser clara, em linguagem acessível e em formato que permita ao titular utilizá-la efetivamente.

A ANPD tem recebido reclamações significativas sobre dificuldades no exercício desse direito. Em 2024, 23% das 1.247 petições de titulares referiam-se a ausência de resposta do controlador dentro do prazo legal. A autoridade tem atuado como mediadora, determinando que o controlador atenda à requisição e, em caso de reiterado descumprimento, instaurando processos administrativos sancionadores.

Conforme orientação da ANPD, o controlador não pode exigir justificativa do titular para o exercício do direito de acesso. A solicitação pode ser feita a qualquer tempo e sem necessidade de demonstrar interesse específico. Contudo, o controlador pode adotar medidas razoáveis de verificação de identidade para prevenir fraudes.

Como funciona o direito de portabilidade?

O direito de portabilidade (art. 18, V) permite ao titular solicitar a transferência de seus dados pessoais a outro fornecedor de serviço ou produto. Esse direito visa assegurar a liberdade de escolha do consumidor e combater o lock-in tecnológico, situação em que a dependência dos dados impede a migração entre provedores.

A LGPD determina que a portabilidade seja regulamentada pela ANPD, "observados os segredos comercial e industrial" (art. 18, V). Até março de 2026, a ANPD publicou consulta pública sobre o regulamento de portabilidade, mas a norma definitiva ainda não foi promulgada. A ausência de regulamentação gera incertezas sobre o formato dos dados, os protocolos técnicos e os prazos para atendimento.

No setor financeiro, o Open Finance (regulado pelo Banco Central) já implementou portabilidade de dados bancários desde 2022, permitindo que clientes compartilhem dados entre instituições financeiras de forma padronizada. Essa experiência setorial pode servir de modelo para a regulamentação geral da ANPD.

No direito comparado, o GDPR (art. 20) limita o direito de portabilidade a dados fornecidos pelo titular e tratados com base em consentimento ou execução de contrato, excluindo dados tratados por obrigação legal ou legítimo interesse. É possível afirmar que a LGPD adota formulação mais ampla, sem as restrições explícitas do GDPR, o que pode gerar discussão sobre o escopo real do direito.

Qual o procedimento para eliminação de dados?

O direito de eliminação na LGPD opera em duas vertentes: a eliminação de dados tratados com consentimento (art. 18, VI) e a eliminação de dados desnecessários, excessivos ou em desconformidade (art. 18, IV). Em ambos os casos, o titular deve dirigir requisição ao controlador, que deve atender no menor prazo possível.

A eliminação de dados tratados com base no consentimento é consequência direta da revogação: uma vez revogado o consentimento, os dados devem ser eliminados, salvo se o controlador tiver outra base legal para mantê-los (por exemplo, obrigação legal de retenção). O controlador deve informar ao titular as consequências da revogação antes de proceder à eliminação.

A eliminação de dados desnecessários ou excessivos pressupõe avaliação sobre a pertinência do tratamento. O titular que considera que determinados dados não são necessários para a finalidade declarada pode solicitar sua eliminação. O controlador deve avaliar a procedência da solicitação e, em caso de recusa, fundamentar sua decisão.

Dados da ANPD indicam que, em 2024, 28% das petições de titulares referiam-se a dificuldades na exclusão de dados, sendo este o tema mais reclamado. As principais dificuldades relatadas incluem: ausência de canal de comunicação claro (34%), recusa do controlador sem justificativa (27%), prazo excessivo para atendimento (22%) e eliminação incompleta (17%).

O que fazer quando o controlador não responde?

Quando o controlador não atende à requisição do titular ou fornece resposta insatisfatória, a LGPD prevê a possibilidade de reclamação perante a ANPD. O procedimento é o seguinte: o titular deve primeiro exercer seu direito diretamente junto ao controlador; em caso de não atendimento ou resposta inadequada no prazo legal, pode registrar petição na ANPD por meio do formulário disponível no portal gov.br/anpd.

A ANPD avaliará a petição e poderá: determinar que o controlador atenda à requisição; instaurar processo administrativo de fiscalização; ou arquivar a petição se não identificar irregularidade. O titular também pode recorrer ao Poder Judiciário, de forma independente ou concomitante à reclamação administrativa, para obter tutela jurisdicional dos seus direitos.

O Procon e o Ministério Público também podem atuar na defesa coletiva dos direitos dos titulares. Ações civis públicas e inquéritos civis têm sido instaurados em casos de violação sistemática de direitos, como a recusa generalizada de atendimento a requisições de titulares ou o compartilhamento irregular de dados em larga escala.

Perguntas frequentes

Posso pedir todos os meus dados a qualquer empresa?

Sim. O direito de acesso (art. 18, II) é exercível perante qualquer controlador que trate seus dados pessoais, independentemente de relação contratual vigente. O controlador deve responder em até 15 dias (formato simplificado). Contudo, o controlador pode solicitar verificação de identidade para prevenir fraudes.

A empresa pode cobrar pelo acesso aos meus dados?

A LGPD não prevê expressamente a gratuidade do exercício dos direitos do titular, diferentemente do GDPR (art. 12, 5, que prevê gratuidade como regra). A ANPD orienta que o exercício dos direitos deve ser gratuito, ressalvadas requisições manifestamente infundadas ou excessivas, nas quais o controlador pode cobrar taxa razoável ou recusar o atendimento.

O direito de eliminação é absoluto?

Não. O controlador pode manter os dados quando houver outra base legal que justifique o tratamento (obrigação legal, exercício regular de direitos, legítimo interesse prevalecente, etc.). Por exemplo, registros contábeis devem ser mantidos por 5 anos (art. 1.194, CC), independentemente de solicitação de eliminação pelo titular.

Como funciona o direito de oposição ao tratamento?

O art. 18, § 2.o, da LGPD prevê que o titular pode se opor ao tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento ao disposto na lei. Trata-se de direito de oposição condicionado à demonstração de irregularidade. Diferentemente do GDPR (art. 21), que prevê direito de oposição incondicional para tratamento baseado em legítimo interesse, a LGPD não é tão clara nesse ponto.

Menores de idade podem exercer direitos de titular?

Sim. O art. 14 da LGPD disciplina o tratamento de dados de crianças e adolescentes, exigindo consentimento específico e em destaque de ao menos um dos pais ou responsável legal. O exercício dos direitos do titular menor é realizado pelo representante legal, conforme as regras gerais de capacidade do Código Civil.