LGPD: seus direitos sobre seus dados pessoais e como exercê-los

Todo dia, dezenas de organizações registram alguma coisa sobre você. O supermercado que pede o CPF na nota. O aplicativo que guarda seu histórico de deslocamentos. A operadora que sabe com quem você fala e por quanto tempo. O banco que cruza seu comportamento de gasto. A clínica que armazena seus exames. Individualmente, cada registro parece trivial. Somados, formam um perfil detalhado — e por muito tempo esse perfil pertenceu, na prática, a quem o coletou.

A Lei 13.709/2018, a Lei Geral de Proteção de Dados, mudou essa lógica. Ela não proíbe o tratamento de dados: reconhece que ele é necessário à economia contemporânea. O que ela faz é submetê-lo a regras e devolver ao titular um conjunto de direitos exercíveis. Passados alguns anos de vigência, o problema deixou de ser a ausência de norma e passou a ser o desconhecimento de como usá-la.

Este artigo explica o que a lei protege, o que autoriza uma empresa a usar seus dados, quais direitos você tem, como exercê-los e o que fazer quando algo dá errado.

O que a lei protege

Dado pessoal é toda informação relacionada a pessoa natural identificada ou identificável (art. 5º, I). O conceito é deliberadamente amplo: além do óbvio — nome, CPF, endereço, e-mail —, abrange endereço IP, identificadores de dispositivo, geolocalização, histórico de navegação e cookies, quando permitem chegar a uma pessoa.

Dado pessoal sensível é uma categoria com proteção reforçada (art. 5º, II): origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, e dado genético ou biométrico. O tratamento desses dados exige bases legais próprias e mais restritas — reconhecimento facial e impressão digital, por exemplo, são dados biométricos e entram nessa categoria.

A lei também define os papéis: o controlador decide sobre o tratamento; o operador trata em nome dele; o encarregado (DPO) é o canal de comunicação com titulares e com a autoridade. Saber quem é o controlador importa, porque é a ele que se dirige o pedido.

A regra de ouro: sem base legal, não pode

Este é o ponto que mais surpreende quem conhece a lei superficialmente. Nenhuma organização pode tratar dados pessoais sem enquadrar essa atividade em uma das dez bases legais do art. 7º.

As mais frequentes:

• Consentimento do titular, que deve ser livre, informado, inequívoco e para finalidade determinada;
• Cumprimento de obrigação legal ou regulatória — a empresa é obrigada por lei a guardar aquele dado;
• Execução de contrato ou de procedimentos preliminares a ele;
• Exercício regular de direitos em processo judicial, administrativo ou arbitral;
• Proteção da vida ou da incolumidade física;
• Tutela da saúde, em procedimento por profissionais ou serviços de saúde;
• Legítimo interesse do controlador ou de terceiro, observados os direitos e liberdades fundamentais do titular;
• Proteção do crédito.

Duas conclusões práticas decorrem daí.

A primeira: consentimento não é a única base, e frequentemente nem é a mais adequada. Uma empresa não precisa do seu consentimento para guardar a nota fiscal — está cumprindo obrigação legal. Revogar consentimento, nesse caso, não obriga a exclusão.

A segunda: ausência de base legal torna o tratamento irregular, ainda que o dado tenha sido obtido sem invasão. Recebeu ligação de telemarketing de empresa com a qual nunca teve relação? A pergunta correta não é “como conseguiram meu número”, mas “qual a base legal para esse tratamento”.

Os direitos do titular

O art. 18 lista os direitos exercíveis diretamente perante o controlador:

• Confirmação da existência de tratamento — saber se a empresa tem dados seus;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• Portabilidade a outro fornecedor, mediante requisição expressa;
• Eliminação dos dados tratados com base no consentimento;
• Informação sobre compartilhamento — com quais entidades públicas e privadas o controlador compartilhou seus dados;
• Informação sobre a possibilidade de não consentir e as consequências da negativa;
• Revogação do consentimento, a qualquer momento.

Há ainda um direito frequentemente esquecido, no art. 20: o de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses — negativa de crédito por algoritmo, definição de perfil de consumo, pontuação de risco. O titular pode pedir informações claras sobre os critérios utilizados, observados os segredos comercial e industrial.

Prazos e forma de resposta

A lei estabelece parâmetros:

• Pedidos de confirmação de tratamento ou de acesso devem ser respondidos em formato simplificado imediatamente, ou por declaração clara e completa em até 15 dias (art. 19);
• Os demais pedidos devem ser atendidos em prazo razoável, conforme regulamentação;
• O atendimento é gratuito (art. 18, § 5º, e art. 19, § 3º).

O controlador deve manter canal específico para atendimento ao titular, normalmente indicado na política de privacidade. Vale um cuidado operacional: sempre formalize por escrito e guarde o protocolo. Pedido feito por telefone, sem registro, é pedido que não existiu para efeito de prova.

Vazamento de dados: o que a lei prevê

Incidentes de segurança acontecem, e a LGPD não os trata como ilícito automático — trata como situação que gera deveres.

O art. 48 determina que o controlador comunique à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A comunicação deve ser feita em prazo razoável e conter, entre outros elementos, a descrição dos dados afetados, os riscos envolvidos e as medidas adotadas.

Quanto à responsabilidade civil, o art. 42 estabelece que o controlador ou o operador que, em razão do exercício de atividade de tratamento, causar dano patrimonial, moral, individual ou coletivo, em violação à legislação, é obrigado a repará-lo.

Um ponto importante e frequentemente mal compreendido: a jurisprudência tem entendido que o vazamento, por si só, nem sempre gera dano moral presumido. Especialmente quando envolve dados cadastrais básicos e não há demonstração de uso indevido, o entendimento predominante exige demonstração de dano concreto. Já quando o vazamento envolve dados sensíveis — saúde, biometria, convicções — ou desencadeia consequências reais, como fraudes e golpes, a análise muda substancialmente.

Por isso, documentar o que aconteceu depois do vazamento costuma ser mais relevante do que o vazamento em si.

O papel da ANPD e as sanções

A Autoridade Nacional de Proteção de Dados fiscaliza e aplica sanções administrativas (art. 52), que incluem advertência, publicização da infração, bloqueio e eliminação dos dados, suspensão do funcionamento do banco de dados e multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração.

É preciso ser claro sobre um ponto: a ANPD atua na esfera administrativa e coletiva. A reclamação junto à autoridade não substitui a busca de reparação individual, que segue pela via judicial. São caminhos paralelos, e podem ser percorridos simultaneamente.

Um cenário concreto

Uma pessoa recebe, em poucos dias, várias tentativas de golpe em que os criminosos citam corretamente seu nome completo, CPF, endereço e o nome do plano de saúde que contratou — informações que só uma operadora específica reunia. Pouco depois, a imprensa noticia um incidente de segurança naquela empresa.

O caminho estruturado seria: formalizar pedido de informação ao controlador, com base nos arts. 18 e 19, perguntando quais dados seus foram afetados e com quem foram compartilhados; guardar o protocolo e a resposta; preservar as evidências das tentativas de golpe (prints, números, horários); registrar boletim de ocorrência; e reclamar à ANPD.

Esse conjunto — dado sensível envolvido (informação de saúde), nexo evidente entre o vazamento e as tentativas de fraude, e conduta documentada do controlador após o incidente — é o que sustenta uma eventual discussão de reparação. Sem ele, resta a alegação genérica de que “vazaram meus dados”, que dificilmente prospera sozinha.

Como agir

• Identifique o controlador e localize o canal de atendimento ao titular, normalmente na política de privacidade do site ou do aplicativo.
• Formalize o pedido por escrito, indicando expressamente o direito exercido e o dispositivo da LGPD. Pedido específico recebe resposta específica.
• Guarde protocolo, data e a resposta recebida — inclusive o silêncio, que também é fato relevante.
• Não confunda revogar consentimento com apagar tudo. Dados mantidos por obrigação legal continuam sendo tratados legitimamente.
• Se não houver resposta ou ela for insuficiente, registre reclamação na ANPD e avalie a via judicial.
• Em caso de vazamento, documente as consequências concretas: tentativas de golpe, fraudes, uso indevido. É esse conjunto que sustenta o pedido de reparação.
• Revise periodicamente as permissões de aplicativos e as políticas de privacidade dos serviços que você usa.

Considerações finais

A LGPD deslocou o eixo da discussão. Antes dela, a pergunta era se havia algo a fazer quando dados eram usados indevidamente; hoje, a pergunta é qual direito exercer e por qual caminho. A diferença é considerável — mas só se materializa quando alguém efetivamente formula o pedido.

Na prática, o exercício desses direitos costuma ser mais eficiente do que se imagina: boa parte das organizações responde a pedidos formais bem fundamentados, justamente porque o descumprimento as expõe a sanção administrativa. O que raramente funciona é a reclamação genérica, sem indicação do direito exercido e sem registro.

Como a análise de cada situação depende da base legal invocada pela empresa, da natureza dos dados envolvidos e das consequências efetivamente sofridas, avaliar o caso concreto é o que permite escolher entre a via administrativa, a reclamação à autoridade e a discussão judicial.

Fundamentos legais citados

• Constituição Federal, art. 5º, LXXIX — direito fundamental à proteção de dados pessoais (EC 115/2022).
• Lei 13.709/2018, art. 5º — definições de dado pessoal, dado sensível, controlador, operador e encarregado.
• Lei 13.709/2018, art. 7º — bases legais para o tratamento de dados pessoais.
• Lei 13.709/2018, art. 11 — tratamento de dados pessoais sensíveis.
• Lei 13.709/2018, art. 18 — direitos do titular e gratuidade do atendimento.
• Lei 13.709/2018, art. 19 — prazos e forma de resposta aos pedidos de acesso.
• Lei 13.709/2018, art. 20 — revisão de decisões automatizadas.
• Lei 13.709/2018, art. 42 — responsabilidade civil e dever de reparação.
• Lei 13.709/2018, art. 48 — comunicação de incidente de segurança.
• Lei 13.709/2018, art. 52 — sanções administrativas aplicáveis pela ANPD.

Este conteúdo tem caráter exclusivamente informativo e não substitui consulta jurídica individualizada.