O prazo para responder ao titular de dados na LGPD é um dos poucos pontos da lei que a empresa consegue medir em dias, e por isso costuma ser o primeiro item verificado em reclamações, auditorias e fiscalizações.
Quando um cliente, colaborador ou candidato pede acesso, correção ou exclusão de seus dados, a contagem começa no momento em que o pedido chega, mesmo que ele tenha entrado por um e-mail genérico ou por uma mensagem em rede social.
Em muitas empresas, o problema não está em recusar o direito do titular, e sim em não saber onde o pedido está e quem deve respondê-lo.
Definir o fluxo interno, o responsável por cada etapa e o registro do que foi feito é o que permite cumprir o prazo com consistência e comprovar o cumprimento caso a empresa seja questionada.
O art. 19 da LGPD trata do prazo para confirmação de existência de tratamento e acesso aos dados. A resposta pode ser dada imediatamente, em formato simplificado, ou por meio de declaração clara e completa, em até 15 dias contados da data do requerimento do titular.
Essa declaração completa deve informar a origem dos dados, a inexistência de registro quando for o caso, os critérios utilizados e a finalidade do tratamento, respeitados os segredos comercial e industrial.
O titular escolhe se quer receber as informações por meio eletrônico seguro ou em forma impressa, e a resposta deve ser dada sem custos, conforme o art. 18, § 5º.
A contagem parte da data do requerimento, e não da data em que a área responsável tomou conhecimento dele. Se o pedido foi enviado ao atendimento, ao comercial ou ao RH, e demorou uma semana para chegar ao encarregado, essa semana já foi consumida do prazo, o que torna essencial que todos os pontos de contato saibam encaminhar o pedido imediatamente.
A lei não detalha se os 15 dias são corridos ou úteis, e a leitura mais prudente é tratá-los como dias corridos, até que a regulamentação esclareça o ponto.
Também não há previsão expressa de suspensão do prazo para validar a identidade do solicitante, e por isso a empresa deve pedir a confirmação de identidade logo no primeiro contato e registrar a data da solicitação e a de cada providência.
O art. 18 reúne os direitos do titular, mas apenas confirmação e acesso têm prazo expresso no art. 19.
Para os demais, a lei remete a regulamentação, e a ANPD, até a data de redação deste texto, não havia publicado norma geral com prazos específicos para todos os direitos.
Na ausência dela, muitas empresas adotam os 15 dias como referência interna para qualquer pedido, o que simplifica o processo e reduz o risco de questionamento.
| Direito do titular (art. 18) | Prazo definido em lei | Observação prática |
| Confirmação de tratamento | Imediato (simplificado) ou até 15 dias | Resposta completa com origem, critérios e finalidade |
| Acesso aos dados | Imediato (simplificado) ou até 15 dias | Formato escolhido pelo titular, eletrônico ou impresso |
| Correção de dados | Regulamento da ANPD | Adotar 15 dias como referência interna |
| Anonimização, bloqueio ou eliminação | Regulamento da ANPD | Avisar os agentes com quem os dados foram compartilhados |
| Portabilidade | Regulamento da ANPD | Depende de padrões de interoperabilidade ainda a definir |
| Eliminação de dados tratados com consentimento | Regulamento da ANPD | Ressalvadas as hipóteses de conservação do art. 16 |
| Informação sobre compartilhamento | Regulamento da ANPD | Listar entidades públicas e privadas com acesso aos dados |
| Revogação do consentimento | Regulamento da ANPD | Efeito a partir da revogação, sem custo |
O art. 19, § 4º, prevê ainda que a ANPD pode estabelecer prazos diferentes para setores específicos, o que significa que empresas de áreas reguladas devem acompanhar eventuais normas setoriais.
Uma resposta completa a um pedido de acesso reúne quatro elementos exigidos pelo art. 19: a origem dos dados, a confirmação de que existem ou não registros, os critérios utilizados no tratamento e a finalidade.
Nos pedidos de correção ou exclusão, a resposta deve informar o que foi feito, e, se não foi possível atender, as razões.
Isso leva ao art. 18, § 4º: se o controlador não puder adotar a providência de imediato, ele deve responder informando que não é o agente de tratamento e, sempre que possível, quem é, ou apresentando as razões de fato ou de direito que impedem a providência.
Uma resposta de “não atendemos” sem justificativa não cumpre a lei, e o silêncio é a pior alternativa porque abre caminho para uma petição do titular contra a empresa na ANPD.
A Resolução CD/ANPD nº 2/2022, que regulamenta a aplicação da LGPD a agentes de tratamento de pequeno porte, prevê prazo em dobro para o atendimento de requerimentos de titulares.
Em suma, isso significa até 30 dias para a declaração completa, desde que a empresa se enquadre nos critérios da resolução.
O enquadramento, porém, não é automático. A norma estabelece condições, como o porte e a ausência de tratamento de alto risco, e empresas que realizam esse tipo de tratamento não podem usar o benefício.
Antes de contar com o prazo em dobro, vale confirmar o enquadramento com o jurídico e registrar a análise.
O prazo de 15 dias parece confortável até que o pedido precise passar por várias áreas: atendimento, jurídico, TI e a área que detém os dados.
Uma boa prática é dividir o prazo em marcos internos, com responsáveis definidos para cada etapa, de modo que a resposta final não dependa de uma corrida nos últimos dias.
O fluxo costuma seguir cinco movimentos: receber e registrar o pedido, validar a identidade do solicitante, localizar os dados nos sistemas relevantes, decidir e preparar a resposta com apoio do encarregado e do jurídico, e responder e arquivar a evidência.
Cada etapa deve ter um prazo interno e um alerta que antecipe o vencimento, para que atrasos sejam identificados antes de comprometer a resposta.
O cumprimento dos prazos pode se complicar quando a empresa não tem um processo centralizado para receber, localizar e responder às solicitações. Alguns pontos costumam gerar atrasos:
Além dos problemas operacionais, o descumprimento pode resultar nas sanções previstas no art. 52 da LGPD, incluindo multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de advertência.
Os impactos reputacionais também podem afetar a relação da empresa com clientes e parceiros.
Um canal específico para titulares reduz a chance de perder pedidos e cria o registro que a empresa precisa para provar o cumprimento do prazo.
O Canal de Privacidade da clickCompliance recebe as solicitações previstas na LGPD por um formulário personalizável, gera protocolo para acompanhamento, permite configurar prazos para cada etapa e envia alertas automáticos sobre os prazos.
A solução está alinhada à página de conformidade com a LGPD da plataforma.
Na rotina, o módulo ajuda a sustentar o atendimento com recursos como:
Organize o atendimento aos titulares com a clickCompliance e veja em uma demonstração como configurar prazos, alertas e registro de cada solicitação.
Agende aqui.
