Titular de dados: quem é e os nove direitos do art. 18
Titular é a pessoa natural a quem os dados pessoais se referem: o cliente, o lead, o candidato a vaga, o funcionário e também o visitante que abriu a home e foi embora. Quem coletou a informação ou administra o banco de dados fica de fora da definição. Todo direito previsto na LGPD nasce dele, e todo dever do seu site existe em relação a ele.
O art. 5º, V, e quem fica de fora
O inciso define titular como a "pessoa natural a quem se referem os dados pessoais que são objeto de tratamento". Duas consequências seguem daí. Empresa não é titular: CNPJ e dados corporativos ficam fora, salvo quando identificam uma pessoa. E não é preciso ter contrato, cadastro ou compra para ser titular; basta existir dado seu sendo tratado.
Os nove direitos do art. 18
| Direito | O que o titular pode pedir |
|---|---|
| Confirmação | Saber se existe tratamento de dados dele |
| Acesso | Receber os dados que você tem |
| Correção | Ajustar dado incompleto, inexato ou desatualizado |
| Anonimização, bloqueio ou eliminação | Aplicar a dado desnecessário, excessivo ou tratado em desconformidade |
| Portabilidade | Levar os dados a outro fornecedor, mediante requisição expressa |
| Eliminação | Apagar o que foi tratado com base em consentimento |
| Informação sobre compartilhamento | Saber com quem você compartilhou |
| Informação sobre a negativa | Saber que pode não consentir e o que acontece se não consentir |
| Revogação | Retirar o consentimento a qualquer momento |
Os prazos do art. 19
Confirmação e acesso têm dois caminhos: resposta em formato simplificado, de imediato, ou declaração clara e completa em até 15 dias contados do pedido. Cumprir o prazo depende de saber de antemão onde os dados estão. Se a resposta exige arqueologia em planilha, o prazo estoura.
Esse prazo é o do art. 19, e ele trata de confirmação e acesso. Para os demais direitos do art. 18, registre a data de entrada de cada pedido e a data da resposta: sem esse par, a empresa não consegue demonstrar depois em quanto tempo atendeu.
Um pedido de exclusão que chega por e-mail
Um cliente de e-commerce escreve pedindo para apagar tudo. A resposta correta quase nunca é apagar tudo: o que foi coletado por consentimento, como lista de e-mail e cookie de marketing, sai; a nota fiscal e os registros que a legislação fiscal manda guardar ficam, porque se sustentam em obrigação legal. Responder bem depende de ter o mapa de qual dado se apoia em qual base legal antes de a mensagem chegar.
O que o banner cobre e o que fica fora dele
O banner de cookies informa por categoria, coleta a escolha, guarda a prova e permite revogar. Acesso, correção, portabilidade e eliminação pedem outra estrutura: um endereço de contato divulgado, alguém responsável por responder e um prazo controlado. São obrigações separadas, que nenhuma CMP substitui.
O visitante anônimo também é titular
Confundir titular com cliente cadastrado leva a montar canal de atendimento só para quem tem conta. O visitante anônimo é titular do mesmo jeito: o identificador gravado no navegador dele é dado pessoal, e ele pode revogar o consentimento e pedir informação sobre o tratamento sem nunca ter comprado nada.
O segundo erro é operacional: publicar um e-mail de contato que ninguém lê. Pedido de titular sem resposta costuma virar reclamação na ANPD, e a reclamação sai bem mais cara do que teria saído a resposta.
Termos relacionados
Continue lendo
Tratamento de dados pessoais: a definição do art. 5º, X
A definição do art. 5º, X, por que gravar ou ler um cookie já é tratamento e como mapear as operações do seu site sem virar um projeto eterno.
Anonimização e pseudonimização: a diferença jurídica
O que o art. 5º, XI, e o art. 12 exigem para um dado sair do escopo da LGPD, por que hash costuma ser pseudonimização e onde essa diferença aparece.
ANPD: quem fiscaliza a LGPD e como dosa as sanções
Quem fiscaliza a LGPD no Brasil, o que a ANPD já publicou sobre cookies, como ela dosa as sanções e o que muda para empresa de pequeno porte.
Base legal na LGPD: as dez hipóteses do art. 7º
As dez bases legais do art. 7º, as oito hipóteses do art. 11 para dado sensível e por que consentimento não é a regra geral nem conserta tratamento antigo.