QUANDO A LEI GERAL DE PROTEÇÃO DE DADOS foi sancionada, em 2018, ela não criou uma lista de desejos. O art. 18 enumera nove direitos do titular, e cada um deles pode ser exercido, sem custo, diante de quem trata os dados.
Confirmação e acesso
Os incisos I e II do art. 18 garantem, respectivamente, a confirmação da existência de tratamento e o acesso aos dados. Na prática, isso significa que a pessoa pode perguntar a uma empresa se tem cadastro nela e obter tudo o que foi registrado, com a origem, o prazo de guarda e o destinatário. A resposta simplificada é imediata; a completa, com todos esses detalhes, tem prazo de até 15 dias.
Correção, anonimização e eliminação
O inciso III assegura a correção de dados incompletos, inexatos ou desatualizados, e a comunicação da correção a quem recebeu os dados. O inciso IV é o mais usado na prática: é o direito à anonimização, ao bloqueio ou à eliminação dos dados desnecessários, excessivos ou tratados de forma desconforme. O inciso VI completa: a eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses de guarda obrigatória.
É o inciso IV que sustenta os pedidos de retirada de dados de páginas de consulta judicial e de portais de consumo, sempre que o tratamento não encontra base legal apropriada. É também o fundamento para a notificação a quem republicou o conteúdo.
Portabilidade e informação sobre compartilhamento
O inciso V garante a portabilidade dos dados, e o inciso VII, a informação sobre as entidades com as quais houve uso compartilhado. Este último é raramente usado pelo consumidor e frequentemente decisive na análise de um caso: é ele que permite descobrir que o dado saiu do portão A e foi parar no portão B, no C e no D — a cadeia que precisa ser mapeada antes de qualquer pedido.
O inciso VIII e a revogação
O inciso VIII assegura a informação sobre a possibilidade de não fornecer consentimento e suas consequências. O inciso IX revoga o consentimento, com efeito imediato. A revogação é a ferramenta mais poderosa para quem autorizou coleta de dados de consumo e depois se arrependeu: ela não depende de a empresa admitir falha, e o art. 8, § 5, determina o efeito imediato do pedido.
O art. 19: prazos que o titular pode cobrar
O art. 19 detalha como os pedidos são atendidos. A resposta simplificada de confirmação de tratamento é imediata. A resposta completa, com origem, critérios e finalidade, tem prazo de até 15 dias corridos. O art. 18, § 5, reforça que o atendimento é gratuito, e o art. 6, § 3, exige transparência sobre o tratamento.
Quando o pedido não é a resposta
Nem todo caso se resolve com pedido. Quando a recusa é manifestamente improcedente, a via seguinte é administrativa: reclamação à Autoridade Nacional de Proteção de Dados, que tem poder de determinar a correção. E, em casos de dano consumado, a via judicial, com pedido de dano moral — que, como vimos nas decisões recentes do STJ, pode ser presumido.
Na prática, o que decide o resultado é o trabalho de diagnóstico: saber qual dado está exposto, por quem, com que finalidade e sob qual base legal. É esse mapa que o nosso serviço monta antes de qualquer requerimento.