Direito Digital • 8 min de leitura

Direitos do titular na LGPD: como pedir acesso, correção ou eliminação dos seus dados — e o que fazer se a empresa recusar

A Lei Geral de Proteção de Dados não serve só para regular empresas por trás das cortinas. Ela também dá à pessoa comum um conjunto de nove direitos concretos sobre os próprios dados — e, na prática, esse direito de simplesmente pedir costuma passar despercebido.

Desde que a LGPD (Lei 13.709/2018) entrou em vigor, a ideia de "proteção de dados" costuma ser associada a vazamentos, multas e incidentes de segurança. Mas a lei tem outro lado, menos falado: ela dá ao titular — você, como pessoa cujos dados alguma empresa trata — o poder de agir diretamente sobre esses dados, sem precisar esperar que algo dê errado.

Esse poder tem nome técnico: autodeterminação informativa, a ideia de que cada pessoa deve manter controle sobre a própria trajetória de dados, decidindo quando fornecê-los, corrigi-los ou apagá-los. No Brasil, esse controle já era protegido antes da LGPD por instrumentos como o habeas data e os incisos X e XII do art. 5º da Constituição — a lei apenas deu a ele um roteiro prático e um capítulo próprio (arts. 17 a 22), batizado de "Dos Direitos do Titular".

Os nove direitos, resumidos

O art. 18 da LGPD lista, em rol enumerado, o que o titular pode exigir do controlador (a empresa ou órgão que trata seus dados) a qualquer momento, mediante requisição:

1. Confirmação

Saber se aquela empresa trata seus dados ou não.

2. Acesso

Ver quais dados seus estão sendo tratados.

3. Correção

Corrigir dado incompleto, inexato ou desatualizado.

4. Anonimização, bloqueio ou eliminação

De dado desnecessário, excessivo ou tratado fora da lei.

5. Portabilidade

Levar seus dados a outro fornecedor de serviço.

6. Eliminação

Apagar dado tratado com base no seu consentimento.

7. Informação sobre compartilhamento

Saber com quem a empresa compartilhou seus dados.

8. Informação sobre a negativa

Saber o que muda se você não der consentimento.

9. Revogação do consentimento

Retirar, a qualquer momento, um consentimento já dado.

Além desses nove, o titular também pode se opor a um tratamento realizado com base em alguma das hipóteses de dispensa de consentimento, quando esse tratamento descumprir a lei (art. 18, §2º), e peticionar diretamente contra o controlador perante a Autoridade Nacional de Proteção de Dados — a ANPD (art. 18, §1º), inclusive por meio dos órgãos de defesa do consumidor, como o Procon (art. 18, §8º).

Art. 18, §3º da LGPD "Os direitos previstos neste artigo serão exercidos mediante requerimento expresso do titular ou de representante legalmente constituído, a agente de tratamento." Não existe formulário único nacional — cada empresa organiza seu próprio canal (geralmente um e-mail ou formulário do encarregado de dados / DPO), mas a recusa em receber o pedido não é uma opção legal.

Os prazos que a lei garante — e os que ainda dependem de regulamento

Aqui mora uma armadilha prática pouco conhecida: a LGPD só fixa um prazo de resposta expresso para dois dos nove direitos. O art. 19 diz que a confirmação de existência de tratamento e o acesso aos dados devem ser respondidos de forma simplificada e imediata, ou por declaração completa em até 15 dias.

Para os demais direitos — correção, eliminação, portabilidade, revogação de consentimento — a própria lei (art. 18, §5º) diz que o prazo será "previsto em regulamento". Até a data deste artigo, a ANPD ainda não editou esse regulamento geral: ele consta apenas como item prioritário da agenda regulatória da Autoridade para os próximos ciclos. Na prática, isso significa que o prazo para essas solicitações segue em aberto — a doutrina especializada (a exemplo de Patricia Peck Pinheiro) sugere usar por analogia os prazos já praticados em outras leis de atendimento ao consumidor, até que a ANPD normatize o tema de forma específica.

Uma exceção já regulamentada: micro e pequenas empresas e startups (enquadradas como "agentes de tratamento de pequeno porte") têm, pela Resolução CD/ANPD nº 2/2022, prazo em dobro para atender às solicitações do titular e para fornecer a declaração completa do art. 19, II — uma acomodação pensada para não sobrecarregar negócios menores, mas que não se aplica a empresas de médio ou grande porte.

Quando a própria empresa usa a LGPD como desculpa para negar o seu pedido

Um erro contraintuitivo — e que já chegou aos tribunais — é a empresa invocar a própria LGPD para recusar um pedido de acesso feito pelo titular sobre os próprios dados. A lógica por trás do erro parece fazer sentido ("são dados sensíveis, não posso simplesmente entregar"), mas ela inverte o propósito da norma: a LGPD protege o titular contra terceiros, não contra o próprio titular pedindo acesso ao que é seu.

Foi exatamente esse o entendimento do Tribunal de Justiça de São Paulo em um caso recente envolvendo uma operadora de saúde que se recusava a disponibilizar, em cumprimento de sentença, o histórico de prontuários da própria paciente — alegando, entre outros argumentos, obstáculos relacionados à proteção de dados. O TJSP afastou a tese e fixou como parte da sua fundamentação que "a disponibilização de informações médicas à própria titular dos dados não viola a Lei Geral de Proteção de Dados, pois o acesso aos dados pessoais e clínicos constitui direito do titular" (TJSP, Agravo de Instrumento 2078420-77.2026.8.26.0000, 7ª Câmara de Direito Privado, j. 15/06/2026).

Regra prática: se uma empresa nega acesso aos SEUS próprios dados alegando "LGPD", desconfie. O sigilo que a lei protege é o de terceiros em relação a você — não o seu em relação a você mesmo.

O que fazer quando o pedido é ignorado ou recusado

A LGPD prevê três caminhos que não se excluem entre si:

Petição administrativa à ANPD O titular pode formalizar reclamação diretamente à Autoridade Nacional de Proteção de Dados contra o controlador que ignorou ou negou o pedido (art. 18, §1º).
Reclamação ao Procon Quando a relação envolve consumo, o mesmo direito de petição pode ser exercido perante os órgãos de defesa do consumidor (art. 18, §8º).
Ação judicial A defesa dos direitos do titular pode ser exercida em juízo, individual ou coletivamente (art. 22). O Judiciário já concretizou esse caminho: em dezembro de 2024, a Terceira Turma do STJ manteve condenação que obrigou uma empresa a informar as entidades com quem havia compartilhado os dados do titular e a fornecer declaração completa e cópia integral desses dados — aplicação direta dos arts. 18, VII, e 19, II, da LGPD (STJ, REsp 2.147.374/SP, rel. Min. Ricardo Villas Bôas Cueva, 3ª Turma, julgado em 03/12/2024).

Vale lembrar que a proteção de dados pessoais ganhou status de direito fundamental autônomo com a Emenda Constitucional 115/2022 — um reforço que já vinha sendo sinalizado pelo próprio Judiciário. Em 2020, o STF chegou a suspender, em decisão cautelar referendada pelo Plenário, uma medida provisória que obrigava operadoras de telefonia a repassar dados de usuários ao IBGE durante a pandemia, reconhecendo a plausibilidade de ofensa ao direito à proteção de dados — a ação acabou posteriormente extinta sem julgamento de mérito, porque a medida provisória perdeu vigência antes de ser convertida em lei, mas o episódio já sinalizava, dois anos antes da Emenda, o peso constitucional que o tema viria a assumir.

Nem todo direito do art. 18 é absoluto

É tentador descrever esses direitos como garantias automáticas, mas a própria lei prevê limites reais — e conhecê-los evita frustração.

Portabilidade

Você pode pedir que seus dados sejam levados a outro fornecedor.
Mas a lei ressalva expressamente os segredos comercial e industrial da empresa de origem.
Dados já anonimizados não entram na portabilidade.

Revisão de decisão automatizada

Você pode pedir revisão de decisão tomada só por algoritmo (ex.: score de crédito, triagem de currículo).
A redação original do projeto de lei exigia que essa revisão fosse feita por uma pessoa (não outro algoritmo) — essa exigência explícita foi retirada do texto final, sancionado em 2019.
O controlador ainda pode recusar detalhar os critérios da decisão sob alegação de segredo comercial ou industrial.

Ou seja: o direito existe, mas frequentemente esbarra em um limite legítimo do lado do controlador — o que não invalida o direito, apenas exige que o pedido seja bem instruído e, quando necessário, questionado judicialmente se a recusa parecer abusiva ou genérica demais.

"Direito ao esquecimento" e "eliminação de dados" não são a mesma coisa

É comum confundir dois institutos parecidos na aparência, mas distintos na origem e no alcance. O chamado "direito ao esquecimento" é uma construção da jurisprudência e da doutrina de direito da personalidade, aplicada sobretudo a fatos antigos (como uma condenação penal já cumprida há muito tempo) que a pessoa não quer mais ver associados ao seu nome. Já a eliminação de dados do art. 18, VI, da LGPD é um direito específico sobre dados tratados com base no consentimento do titular — e pode ser exercido a qualquer momento, sem exigir o decurso de um prazo longo ou um fato específico a ser "esquecido". Tratá-los como sinônimos leva a expectativas equivocadas sobre o que cada um permite pedir.

Dúvidas frequentes

1. Preciso contratar um advogado só para pedir acesso aos meus dados?

Não. O pedido inicial pode ser feito diretamente pelo titular, por e-mail ou pelo canal do encarregado de dados (DPO) da empresa. A assessoria jurídica se torna relevante quando a empresa ignora o pedido, responde de forma evasiva, ou quando a recusa parece abusiva e o caminho seguinte é a reclamação à ANPD ou uma ação judicial.

2. A empresa pode cobrar para atender meu pedido?

Não. O art. 18, §5º, da LGPD é expresso: o requerimento será atendido sem custos para o titular.

3. Quanto tempo a empresa tem para responder ao meu pedido de eliminação de dados?

A LGPD não fixa hoje um prazo geral expresso para esse pedido específico (o prazo de 15 dias do art. 19 vale apenas para confirmação de existência e acesso). A ANPD ainda não editou o regulamento geral previsto no art. 18, §5º. Parte da doutrina especializada sugere usar por analogia prazos já praticados em outras leis de atendimento ao consumidor até a regulamentação específica.

4. Posso pedir que uma empresa apague todos os meus dados a qualquer momento?

Depende da base legal do tratamento. Se o dado foi tratado com base no seu consentimento, sim, você pode pedir a eliminação (art. 18, VI). Mas há hipóteses em que a empresa pode manter o dado mesmo após o pedido — por exemplo, para cumprir obrigação legal ou regulatória aplicável ao setor (art. 16 da LGPD).

5. O que acontece se a empresa simplesmente ignorar meu pedido?

O titular pode formalizar reclamação à ANPD, buscar o Procon quando a relação for de consumo, ou ingressar com ação judicial para exigir o cumprimento — a defesa desses direitos em juízo está expressamente prevista no art. 22 da LGPD, e o Judiciário já aplicou esse caminho para obrigar empresas a cumprir pedidos de acesso e informação.

Este artigo possui caráter informativo. Se você fez um pedido baseado nos direitos do art. 18 da LGPD e a empresa ignorou, recusou de forma genérica ou demorou além do razoável, é recomendável a análise individualizada do caso concreto. Consulte um advogado de sua confiança para avaliar a estratégia jurídica mais adequada à situação.