O pedido de acesso, correção ou eliminação enviado por um titular é o momento em que a LGPD deixa de ser política de privacidade e vira operação com prazo, dono e evidência. Toda organização que trata dados pessoais de pessoas no Brasil precisa responder à requisição com confirmação e acesso simplificados de imediato ou com uma declaração clara e completa em até 15 dias. Quem não organiza esse fluxo entrega o caso pronto para a autoridade: a petição de titular existe exatamente para a pessoa que não conseguiu exercer seus direitos perante o controlador. A ação prioritária é mapear por onde os pedidos entram, quem decide cada tipo e o que fica registrado de cada resposta.
O que a lei exige
A LGPD, Lei nº 13.709/2018, divide o atendimento em dois caminhos. O primeiro é o formato simplificado, fornecido de imediato quando o titular pede a confirmação de que existe tratamento e o acesso aos próprios dados. O segundo é a declaração que indica a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, respeitados os segredos comercial e industrial, no teto legal de 15 dias contado do requerimento.
A página oficial da ANPD sobre direitos dos titulares confirma o efeito combinado das duas vias: confirmação e acesso providenciados de imediato pelo controlador e pedidos sobre origem, inexistência de registro, critérios e finalidade atendidos dentro do mesmo prazo. O material também fixa um limite que costuma ser ignorado em projetos de privacidade: o titular não pode ser cobrado pelo exercício de seus direitos. Cobrar taxa, condicionar a resposta a uma compra ou criar barreira equivalente transforma um atendimento regular em nova infração, ainda que o pedido em si fosse simples.
Quando o titular procura a ANPD
Se o canal do controlador falha, o caminho seguinte não é o Judiciário, e sim a própria autoridade. A petição de titular é a solicitação levada à ANPD pela pessoa que não conseguiu exercer seus direitos perante o controlador; a denúncia, por sua vez, comunica suspeita de infração à lei. Cada pedido sem resposta documentada é, portanto, um candidato a processo administrativo em que a organização começa na posição de ré — e sem a evidência que mudaria o desfecho.
O risco não é teórico. O relatório de ciclo de monitoramento da ANPD, com publicação digital de dezembro de 2025 e cobertura do período entre julho de 2023 e junho de 2025, registrou direitos dos titulares como tema prioritário de fiscalização, com atividades voltadas ao poder público, a plataformas digitais, ao setor financeiro e às telecomunicações. O ciclo é encadeado: pedido mal atendido vira petição, a petição alimenta o painel da autoridade e a fiscalização cobra o dossiê que a empresa não montou. O mesmo relatório aponta o Sistema de Requerimentos como única porta de entrada dessas demandas na ANPD, o que dá à autoridade visibilidade consolidada do volume de petições por setor.
O fluxo de atendimento em etapas
O atendimento só cumpre o prazo quando vira processo repetível. A tabela abaixo organiza as cinco etapas mínimas, com prazos internos sugeridos que deixam folga antes do teto legal. Os prazos internos são decisão de operação, não exigência normativa.
| Etapa | O que fazer | Prazo interno sugerido |
|---|---|---|
| 1. Recebimento | Registrar a entrada do pedido em sistema único, com data, canal e texto original | No mesmo dia |
| 2. Verificação do titular | Confirmar a identidade por dado já possuído ou autenticação existente, sem exigir documentos além do necessário | Até 2 dias |
| 3. Classificação | Identificar o direito invocado: confirmação, acesso, correção, eliminação, portabilidade, revogação ou revisão de decisão automatizada | Até 3 dias |
| 4. Execução | Localizar os dados em todos os repositórios, incluindo cópias em backups e em operadores, e preparar a resposta | Até 10 dias |
| 5. Resposta e registro | Responder por escrito e arquivar cópia da resposta, a base legal usada e o histórico de prazos | Dia 12 a 14 |
Duas etapas concentram as falhas. A verificação de identidade não pode demorar tanto que consuma o prazo de resposta: o objetivo é impedir que um terceiro acesse dados alheios, não criar burocracia. A execução precisa cobrir todos os repositórios, porque uma resposta incompleta conta como descumprimento ainda que parcial — inclusive quando a cópia esquecida está com um fornecedor.
Decisões automatizadas também entram
Pedidos ligados a decisões tomadas unicamente com base em tratamento automatizado exigem preparo extra. A ANPD lista o direito de solicitar a revisão dessas decisões e de pedir explicação sobre os critérios e procedimentos adotados, com efeito sobre perfis de crédito, consumo e profissional. A equipe precisa saber quais modelos geram efeito sobre titulares, onde os parâmetros estão documentados e quem consegue explicar o resultado em linguagem acessível dentro do prazo. Sem isso, a resposta sai genérica e a revisão prometida nunca chega.
A evidência que evita a petição
Quando um titular aciona a ANPD, a primeira pergunta da autoridade é se o controlador respondeu, quando e com qual conteúdo. A defesa é o registro: data de recebimento, identidade verificada, classificação do direito invocado, sistemas consultados, texto da resposta e base legal de qualquer recusa. Esse histórico conversa com o registro de operações de tratamento: o pedido de titular frequentemente revela sistemas fora do ROPA, e essa lacuna é mais barata de corrigir por um pedido do que por uma fiscalização. O canal também precisa ser público e monitorado — tema que a fiscalização do encarregado já detalhou ao mostrar a evidência que a autoridade cobra desse ponto de contato.
Três sintomas indicam que o processo vai falhar antes do prazo terminar: pedidos que chegam em e-mails pessoais e nunca alcançam o encarregado; respostas padronizadas que prometem análise sem data; e eliminações executadas apenas no sistema principal, com cópias intactas em backups de terceiros. Cada sintoma cria a mesma condição que a petição pune: o direito existe, o prazo corre e a resposta não chega.
Ações priorizadas para a semana
- P1 — canal único com data: publicar um canal oficial para pedidos, com protocolo numerado e confirmação de recebimento; sem isso, nenhum prazo pode ser provado.
- P1 — inventário de sistemas por tipo de dado: manter mapa de onde cada categoria de dado pessoal vive, incluindo operadores e backups; a busca do pedido percorre esse mapa.
- P2 — modelo de resposta por direito: um modelo para confirmação, acesso, correção, eliminação e portabilidade, com campos de origem, critérios e finalidade exigidos na declaração completa.
- P2 — revisão trimestral dos pedidos: medir volume, tempo médio de resposta e taxa de recurso à ANPD; a tendência desses números antecipa cobranças futuras.
O pedido de titular é o teste mais barato de maturidade em privacidade que uma organização enfrenta: não depende de auditoria externa, tem prazo contado e produz documento assinado pelo destinatário. Tratá-lo como item de service desk com prazo próprio, dono nomeado e evidência arquivada transforma uma obrigação legal em rotina verificável — e retira da petição o papel de gatilho da fiscalização.