Seus direitos (Art. 18)

Explicando de forma simples

A LGPD faz uma coisa que quase nenhuma outra lei brasileira faz de forma tão direta: ela entrega a você uma lista de pedidos que a empresa é obrigada a atender.

São nove, todos no art. 18 da lei. Eles cobrem o ciclo inteiro de uma informação sua: descobrir que ela existe, ver o que ela diz, corrigir o que está errado, tirá-la de circulação, levá-la para outro lugar e voltar atrás numa autorização que você deu.

Duas características desses direitos mudam tudo na prática.

A primeira é que eles não funcionam sozinhos. A lei diz que os direitos são exercidos “mediante requisição” e “mediante requerimento expresso”. Ninguém vai à sua casa perguntar se você quer exercê-los. É preciso pedir.

A segunda é que o pedido é de graça. A lei é explícita: o requerimento será atendido sem custos para você. Cobrar para responder é descumprir a lei.

Os nove estão listados um a um no fim desta página, cada um com um exemplo do dia a dia e o artigo que o sustenta. Antes de chegar lá, vale entender como o pedido funciona — é isso que separa quem consegue resposta de quem desiste no meio.

Exemplo do dia a dia

Você recebe uma cobrança de uma empresa com a qual nunca teve contato. Ligou, e a atendente disse que existe um cadastro em seu nome.

O caminho parece ser brigar por telefone. Não é. O caminho é fazer, por escrito, três pedidos que a lei garante: a confirmação de que existem dados seus ali, o acesso a esses dados — com a origem, a finalidade e os critérios usados — e a informação sobre com quem esses dados foram compartilhados.

Repare no que muda. Por telefone, a conversa é a sua palavra contra a da empresa e não sobra registro. Por escrito, existe uma data, existe um pedido concreto e existe um prazo. Se a resposta não vier, você tem em mãos exatamente a prova de que precisa para reclamar em outro lugar.

E, se o susto for maior — descobrir que a origem do cadastro é uma fraude —, é esse mesmo conjunto de respostas que serve depois na delegacia ou no processo.

Como o pedido funciona

A quem se pede. A um agente de tratamento — na prática, a empresa ou o órgão que usa os seus dados. Quase sempre há um canal de privacidade indicado na política de privacidade do site, junto com o contato do encarregado, que é a pessoa ou o canal designado para receber essas comunicações.

Como se pede. Por requerimento expresso, feito por você ou por um representante legalmente constituído. Na prática: por escrito, dizendo com clareza o que você quer. Não existe formulário oficial obrigatório; o que existe é a exigência de que o pedido seja claro e identificável.

Em quanto tempo respondem. Para os pedidos de confirmação e de acesso, a lei traz dois prazos: a resposta em formato simplificado é imediata, e a declaração clara e completa — com a origem dos dados, a inexistência de registro, os critérios usados e a finalidade do tratamento — tem prazo de até 15 dias contados do seu pedido. Para os demais direitos, a lei remete os prazos a regulamento.

Quando a empresa não pode atender de imediato. A lei previu essa situação e não deixou o silêncio como saída. Ela obriga o controlador a enviar uma resposta que ou comunica que não é ele quem trata seus dados — indicando, sempre que possível, quem é —, ou indica as razões de fato ou de direito que impedem a providência imediata.

O efeito em cadeia. Quando você consegue uma correção, uma eliminação, uma anonimização ou um bloqueio, a empresa tem de informar isso de imediato a quem ela repassou os seus dados, para que façam o mesmo — a não ser que essa comunicação seja comprovadamente impossível ou exija esforço desproporcional.

Uma proteção que costuma passar despercebida. A lei proíbe que os dados referentes ao exercício regular dos seus direitos sejam usados em seu prejuízo. Ou seja: pedir acesso, correção ou exclusão não pode virar uma marca contra você.

E quando quem decide é um sistema?

Um crédito negado em segundos. Um cadastro recusado sem que ninguém tenha olhado. Uma tarifa diferente da que o vizinho pagou. Cada vez mais decisões que afetam a sua vida são tomadas apenas por sistemas automatizados, com base nos seus dados.

A LGPD trata disso num artigo à parte, o art. 20. Ele garante a você o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem os seus interesses — inclusive as decisões que traçam o seu perfil pessoal, profissional, de consumo e de crédito. E garante mais: sempre que você solicitar, a empresa deve fornecer informações claras e adequadas sobre os critérios e procedimentos usados naquela decisão, observados os segredos comercial e industrial. Se ela negar essas informações invocando segredo comercial, a ANPD pode realizar auditoria para verificar aspectos discriminatórios.

Aqui é preciso um cuidado, porque circula muita informação errada sobre este ponto.

Não existe, hoje, direito legal a que uma pessoa humana revise a decisão. O texto original da lei dizia “revisão, por pessoa natural”. Essa expressão foi retirada, e o parágrafo que voltaria a exigir a revisão humana — o § 3º do art. 20 — foi vetado. O que a lei assegura hoje é o direito de pedir a revisão e de receber explicação sobre os critérios, não a garantia de que um ser humano fará essa revisão.

Saber disso muda o seu pedido. Em vez de exigir algo que a lei não garante, peça o que ela garante: a revisão da decisão e a explicação dos critérios usados. É um pedido que a empresa não tem como recusar dizendo que não existe base legal para ele.

O que você pode fazer?

• Peça sempre por escrito, por um canal que gere registro. E-mail do encarregado, formulário do site com número de protocolo ou chat que permita salvar a conversa. Telefone não deixa rastro, e sem rastro não há reclamação depois.
• Use os modelos prontos. A página de Modelos de solicitação traz textos completos para copiar, colar e adaptar — confirmação e acesso, correção, eliminação, retirada do consentimento e petição à ANPD.
• Diga qual direito você está exercendo e cite o artigo. “Solicito o acesso aos meus dados, com fundamento no art. 18, II, da Lei nº 13.709/2018” é uma frase que muda o tom do atendimento, porque mostra que você sabe do que está falando.
• Marque a data e conte 15 dias nos pedidos de confirmação e de acesso. Antes disso, aguarde. Depois disso, o silêncio já é um problema que você pode relatar.
• Nunca pague para exercer um direito. O atendimento ao seu requerimento é sem custos. Cobrança para “liberar” seus dados é sinal de que algo está errado — e, quando vem por link ou mensagem, é sinal de golpe.
• Não resolvendo, escale. Você tem direito de peticionar contra a empresa perante a ANPD, pelos canais em gov.br/anpd. Esse mesmo direito também pode ser exercido perante os organismos de defesa do consumidor, como o Procon. E, se houve dano, a defesa dos seus interesses pode ser levada à Justiça, individual ou coletivamente.

Resumo

O art. 18 da LGPD dá a você nove pedidos que empresas e órgãos são obrigados a atender, sem custo. Eles dependem de você fazer o pedido, de preferência por escrito e ao canal de privacidade ou ao encarregado. Confirmação e acesso têm resposta imediata em formato simplificado e até 15 dias para a declaração completa; quando a empresa não puder atender de imediato, ela ainda assim tem de responder dizendo por quê. Decisões automatizadas têm regra própria no art. 20: você pode pedir a revisão e a explicação dos critérios — mas a lei não garante que um humano revise, porque o dispositivo que exigia isso foi vetado. Sem resposta, o caminho é a ANPD, os órgãos de defesa do consumidor e, se houver dano, a Justiça.