Entenda quando apagar dados, anonimizar, restringir ou manter informações e veja como sua empresa pode responder a pedidos de exclusão com segurança e fundamento jurídico.

Quando uma cliente encerra uma assinatura e pede que seus dados sejam apagados, a reação mais rápida pode ser também a mais arriscada. Excluir tudo imediatamente pode eliminar registros necessários para cumprir uma obrigação legal, atender uma auditoria ou exercer o direito de defesa em uma disputa. Recusar o pedido sem análise, por outro lado, pode manter marketing, cadastros e informações desnecessárias em circulação.

É nesse ponto que Data Erasure e Right to be Forgotten precisam ser tratados com precisão. O primeiro termo costuma descrever a eliminação de dados pessoais; o segundo é uma expressão associada principalmente ao direito europeu de solicitar o apagamento ou a retirada de determinadas informações em situações previstas em lei. Nenhuma das expressões autoriza uma política automática de apagar tudo. Na LGPD, a resposta depende do direito exercido, da finalidade do tratamento, da base legal, da necessidade de conservação e das medidas técnicas disponíveis.

Este guia separa as decisões que costumam ser confundidas. Primeiro, mostra como transformar uma solicitação genérica em um caso verificável. Depois, apresenta uma matriz para relacionar finalidade, base legal, retenção e medida aplicável. Por fim, organiza a execução, a comprovação e o encerramento do atendimento, incluindo backups, fornecedores, identidade do solicitante e prazo de resposta.

Principais pontos

• Data Erasure e Right to be Forgotten não significam apagar indiscriminadamente tudo o que uma empresa sabe sobre uma pessoa.
• Na LGPD, o pedido deve ser analisado à luz dos direitos do titular, da finalidade, da necessidade, da base legal e das hipóteses de conservação aplicáveis.
• Um mesmo titular pode ter dados elimináveis em uma finalidade e informações que precisam permanecer por obrigação legal ou para o exercício regular de direitos.
• Anonimização só substitui a eliminação quando não houver possibilidade razoável de reidentificação, considerando os meios disponíveis.
• Backups, planilhas, fornecedores, integrações e registros derivados fazem parte do ecossistema que precisa ser considerado.
• Um processo confiável define responsável, prazo, evidências mínimas, critérios de encerramento e revisão periódica.

Recebi um pedido para apagar dados: qual decisão a empresa precisa tomar primeiro?

A primeira decisão não é apagar nem recusar: é abrir corretamente o caso. Registre a data de recebimento, o canal usado, a pessoa ou conta relacionada e a formulação exata do pedido. Em seguida, traduza expressões amplas como “apague tudo” em ações verificáveis. O pedido pode envolver retirada de campanhas, encerramento de conta, eliminação de um cadastro, correção de um dado, remoção de uma publicação ou desindexação de um resultado. Essas medidas têm efeitos e responsáveis diferentes.

Você deve confirmar a identidade somente na medida necessária para reduzir o risco de entregar informações ou alterar registros da pessoa errada. Se o pedido vier de uma conta autenticada e o risco for baixo, uma confirmação adicional pode ser desnecessária. Em situações de maior risco, peça um elemento proporcional que já esteja disponível na relação com o titular, como uma confirmação por canal cadastrado ou dados parciais de validação. Evite exigir documento completo, reconhecimento de firma ou várias etapas quando não houver justificativa concreta. Se houver dúvida razoável, explique o motivo e ofereça uma alternativa menos invasiva.

A triagem inicial precisa produzir uma ficha de escopo, não apenas uma conversa informal. Nessa ficha, associe cada solicitação a uma categoria de dado, uma finalidade e uma providência possível. Por exemplo, “parar e-mails promocionais” deve ser encaminhado ao responsável por marketing e à lista de supressão; “apagar a conta” pode exigir atuação em produto, atendimento e identidade; “remover uma informação pública” pode depender de quem controla a publicação e não apenas do sistema interno.

O passo seguinte é verificar se a manifestação é realmente um pedido de eliminação ou se envolve outro direito previsto no art. 18 da LGPD, como confirmação, acesso, correção, portabilidade, informação sobre compartilhamento ou oposição, quando cabível. A classificação não deve servir para dificultar o atendimento. Ela existe para evitar que uma equipe resolva uma parte e deixe outra sem resposta.

Ao concluir essa abertura, atribua um responsável pelo caso e defina quais áreas precisam participar da apuração. O responsável não precisa executar todas as tarefas, mas deve controlar o escopo, o prazo, as dependências e a comunicação final. A resposta inicial também deve informar que a solicitação foi recebida e que a empresa está verificando os dados e as medidas aplicáveis. Pela LGPD, o art. 19 prevê resposta imediata em formato simplificado ou, quando necessário, uma declaração clara e completa no prazo legal de até 15 dias, observadas as regras aplicáveis ao caso.

Quando a exclusão é cabível — e quando a empresa precisa preservar ou transformar os dados?

Depois que o pedido foi convertido em escopo, analise cada conjunto de dados de acordo com quatro campos: finalidade, base legal, retenção necessária e medida aplicável. Essa abordagem evita tratar a pessoa inteira como um único registro. Um endereço de e-mail usado apenas para marketing pode deixar de ser utilizado, enquanto uma nota fiscal pode precisar ser preservada pelo período exigido pela legislação aplicável. A existência de uma relação contratual anterior também não autoriza conservar indefinidamente todos os dados produzidos durante o relacionamento.

A LGPD estabelece, no art. 15, hipóteses de término do tratamento e, no art. 16, situações em que os dados podem ser conservados após o término, como cumprimento de obrigação legal ou regulatória, estudo por órgão de pesquisa, transferência a terceiro observadas as exigências legais ou uso exclusivo do controlador com anonimização, quando cabível. A conservação para exercício regular de direitos deve ser vinculada a uma necessidade concreta de defesa, prova ou procedimento, e não a uma justificativa genérica. Prevenção à fraude e proteção do crédito também exigem finalidade definida, necessidade, proporcionalidade, segurança e observância das regras específicas aplicáveis; não são autorizações para guardar o cadastro inteiro por prazo indeterminado.

A base legal deve ser identificada por tratamento, e não escolhida depois apenas para justificar uma retenção já decidida. Consentimento revogado pode interromper a finalidade baseada nele, mas não determina automaticamente o apagamento de todo histórico. Se outro tratamento possuir base legal independente e for necessário, ele deverá ser separado, limitado e documentado. Os princípios do art. 6º, especialmente finalidade, adequação, necessidade, segurança, prevenção e responsabilização, continuam orientando a decisão.

A Resolução CD/ANPD nº 19/2024 não deve ser citada como regulamento geral dos direitos dos titulares. Ela trata do Regulamento de Transferência Internacional de Dados e do contrato-padrão para essa finalidade. Para direitos dos titulares, a referência principal é a própria LGPD, especialmente os arts. 18 e 19, além das orientações oficiais da ANPD sobre o tema. Quando houver transferência internacional ou fornecedor no exterior, a Resolução nº 19/2024 pode ser relevante para essa dimensão específica, mas não substitui a análise do pedido de eliminação.

O chamado Right to be Forgotten também requer cuidado. No GDPR, o direito ao apagamento está no art. 17, sujeito a exceções expressas, e sua aplicação depende do contexto. No Brasil, a LGPD prevê direitos de eliminação em situações determinadas, mas isso não equivale a reconhecer um direito geral e irrestrito de ser esquecido. A expressão pode ser usada para fins didáticos, desde que você deixe claro que o resultado depende da LGPD, dos fatos e de outros direitos envolvidos, como liberdade de expressão, acesso à informação e exercício regular de direitos.

A matriz abaixo deve ser preenchida para cada conjunto relevante de dados. Ela não substitui uma avaliação jurídica, mas obriga a empresa a conectar a finalidade à base legal, ao prazo e à providência, em vez de registrar apenas a conclusão.

Matriz de decisão por finalidade, base legal, retenção e medida

Finalidade e exemplo	Base legal a verificar	Retenção a definir	Medida possível e limite
Marketing e prospecção, como e-mail promocional ou público de campanha	Consentimento, legítimo interesse ou outra hipótese aplicável, com análise dos requisitos e da oposição quando cabível	Manter apenas enquanto houver finalidade, necessidade e critérios documentados; respeitar pedido de oposição ou retirada	Excluir ou retirar da finalidade de marketing; manter somente uma lista mínima de supressão quando necessária para impedir novos contatos, sem reutilizá-la para promoção
Execução de contrato e atendimento, como dados necessários para entregar um serviço ou resolver uma solicitação	Execução de contrato, procedimentos preliminares ou outra hipótese adequada ao caso	Conservar pelo período necessário à execução, ao suporte e ao encerramento devidamente justificado	Eliminar dados excedentes; restringir ou manter o mínimo necessário para concluir obrigações pendentes
Registros fiscais, contábeis ou regulatórios	Cumprimento de obrigação legal ou regulatória, com identificação da norma aplicável	Definir o prazo conforme a obrigação específica e a categoria documental, evitando prazo genérico para todo o banco	Preservar somente o necessário, com acesso controlado e sem uso incompatível com a finalidade original
Prevenção a fraude, segurança e proteção do crédito	Hipótese legal aplicável, legítimo interesse ou legislação específica, com avaliação de necessidade e impacto	Estabelecer prazo baseado no risco, na finalidade e em exigências setoriais; revisar periodicamente	Restringir, anonimizar ou manter dados estritamente necessários; não conservar o cadastro completo por mera precaução
Exercício regular de direitos em processo judicial, administrativo ou arbitral	Exercício regular de direitos, limitado à controvérsia e aos dados pertinentes	Conservar enquanto houver necessidade razoável para prova, defesa ou cumprimento da decisão, com revisão	Preservar o conjunto pertinente, restringir acesso e eliminar o que não tiver relação com a demanda
Estatísticas e relatórios internos	Base legal do tratamento original e análise de compatibilidade	Manter apenas pelo período útil ao objetivo analítico	Anonimizar de modo robusto quando possível; se a reidentificação continuar razoavelmente viável, tratar como dado pessoal

Como executar, comprovar e melhorar o processo de Data Erasure na empresa

Com a decisão documentada, transforme-a em tarefas atribuídas. O responsável pelo caso deve converter a matriz em uma ordem de execução: quem localizará os dados, quem aprovará a medida, quem fará a alteração em cada sistema, quem acionará os operadores e quem revisará as evidências. Em uma empresa pequena, uma mesma pessoa pode acumular funções, mas a aprovação e a execução devem ser identificáveis no registro.

O levantamento deve seguir o caminho provável do dado. Em uma loja virtual, isso pode incluir cadastro da conta, CRM, atendimento, ferramenta de e-mail, plataforma de pagamentos, sistema fiscal, logística, arquivos compartilhados, exportações e integrações. Procure também cópias derivadas, como planilhas criadas para suporte ou listas sincronizadas. O objetivo não é criar uma cópia adicional para investigar a original, mas consultar os ambientes previstos no inventário e registrar o resultado.

Para cada sistema, registre a ação realizada, a data, a pessoa ou equipe responsável e o resultado. Se a exclusão não for tecnicamente possível, registre a limitação e a medida compensatória: bloqueio, restrição de acesso, retirada de uso operacional, anonimização ou inclusão em uma política de eliminação futura. O fornecedor deve receber escopo suficiente para executar a solicitação, sem receber dados adicionais desnecessários. Peça confirmação objetiva do que foi alterado e verifique se integrações ou exportações continuam ativas.

Backups precisam de uma regra própria. Nem sempre é possível apagar uma ocorrência individual sem comprometer a integridade ou a recuperação de uma cópia. Nessa situação, a empresa deve impedir o uso normal do registro, limitar o acesso, evitar que ele seja restaurado para produção sem tratamento e definir quando a cópia será substituída ou eliminada. Um ciclo de 30 dias só pode ser adotado se resultar da análise de continuidade, segurança, recuperação, retenção e arquitetura daquele ambiente. Não é um prazo universal nem deve ser aplicado sem validação.

As evidências mínimas devem provar a decisão sem reproduzir desnecessariamente os dados apagados. Guarde o pedido, a validação proporcional de identidade, a matriz de decisão, os sistemas consultados, as aprovações, os registros técnicos, as confirmações dos operadores e a comunicação final. Proteja esse conjunto com acesso restrito e prazo próprio de retenção. O registro de que uma eliminação ocorreu não precisa conter o conteúdo integral do dado eliminado.

O caso pode ser encerrado quando o escopo estiver resolvido ou justificado, as áreas e os fornecedores tiverem respondido, as limitações estiverem documentadas, a verificação final não encontrar pendências conhecidas e a resposta ao titular tiver sido enviada. Se houver uma obrigação ou limitação que impeça a eliminação total, explique a categoria de dado preservada, a razão jurídica ou operacional pertinente, os controles aplicados e, quando possível, o critério para nova revisão.

Depois do encerramento, analise padrões. Pedidos repetidos podem indicar lista de marketing sem mecanismo de supressão; dados encontrados em planilhas podem revelar exportação sem governança; ausência de confirmação de fornecedor pode mostrar contrato ou processo insuficiente. O procedimento deve ser atualizado após incidentes, mudanças de sistema, novas integrações e revisões das políticas de retenção.

1. Abrir o caso: confirmar escopo, identidade proporcional, responsável e prazo legal.
2. Planejar a busca: listar sistemas, operadores, integrações, cópias e categorias de dados abrangidas.
3. Executar a decisão: eliminar, anonimizar, restringir ou preservar somente os conjuntos aprovados.
4. Controlar exceções: registrar limitações técnicas, retenção necessária, acesso restrito e revisão futura.
5. Validar o resultado: conferir sistemas críticos, sincronizações e confirmações de terceiros.
6. Encerrar e comunicar: enviar resposta clara ao titular e armazenar evidências protegidas.
7. Melhorar o processo: registrar causa, recorrência e ajuste necessário em políticas, contratos ou tecnologia.

Perguntas frequentes

Data Erasure e Right to be Forgotten são a mesma coisa?

Não exatamente. Data Erasure descreve a eliminação de dados pessoais. Right to be Forgotten é uma expressão mais associada ao direito europeu de solicitar apagamento ou retirada em determinadas circunstâncias, especialmente no GDPR, cujo art. 17 prevê o direito ao apagamento e suas exceções. Na LGPD, o pedido deve ser analisado conforme o art. 18, a finalidade, a base legal, a necessidade e as hipóteses de conservação.

A LGPD garante que qualquer titular possa apagar todos os seus dados?

Não. O pedido pode ser atendido total ou parcialmente, conforme a situação concreta. Dados desnecessários ou tratados em desconformidade podem ser eliminados, mas parte das informações pode precisar ser conservada nas hipóteses do art. 16 ou para outra finalidade juridicamente válida e documentada. A empresa deve explicar a decisão sem usar a retenção como justificativa genérica.

Em quais situações a empresa pode manter parte das informações?

A manutenção pode ser necessária para cumprir obrigação legal ou regulatória, exercer direitos em processo ou cumprir outra hipótese aplicável. Prevenção a fraude e proteção do crédito também exigem finalidade, necessidade, proporcionalidade, segurança e observância da legislação pertinente. A exceção deve abranger somente os dados necessários, com acesso controlado e revisão.

Qual é a diferença entre excluir, anonimizar e bloquear dados?

Excluir remove o dado do ambiente ou tratamento aplicável. Anonimizar modifica a informação para que o titular não possa ser identificado por meios razoavelmente disponíveis; se a reidentificação continuar viável, o resultado pode continuar sendo dado pessoal. Bloquear ou restringir interrompe ou limita o uso enquanto a solicitação, a finalidade ou uma divergência é analisada.

A Resolução CD/ANPD nº 19/2024 regulamenta os direitos dos titulares?

Não como regra geral. A Resolução CD/ANPD nº 19/2024 trata do Regulamento de Transferência Internacional de Dados e do contrato-padrão relacionado a essa transferência. Para pedidos de eliminação, as referências centrais são a LGPD, especialmente os arts. 18 e 19, e as orientações oficiais da ANPD sobre direitos dos titulares.

O que fazer quando os dados estão em uma plataforma ou fornecedor externo?

Identifique o fornecedor, envie uma solicitação com escopo claro, registre a data e peça confirmação da ação. Verifique também integrações, exportações, listas sincronizadas e subcontratados. A existência de um operador não elimina a necessidade de governança do controlador sobre o atendimento e a comprovação da medida.

A empresa precisa apagar os dados dos backups imediatamente?

Nem sempre é tecnicamente possível ou prudente alterar uma cópia de segurança individualmente. A empresa deve impedir o uso normal do dado, controlar o acesso, evitar restauração indevida para produção e definir a retenção e a substituição da cópia. Um prazo como 30 dias só é adequado se for compatível com a arquitetura, a continuidade, a segurança, a recuperação e as obrigações aplicáveis.

Como confirmar a identidade sem criar uma barreira ao exercício do direito?

Use a autenticação já disponível quando ela for suficiente e peça apenas a informação adicional necessária ao risco do caso. Prefira confirmação por canal cadastrado ou elementos parciais a documentos completos, quando possível. Se a exigência adicional for necessária, explique o motivo e ofereça canal seguro. A verificação não deve ser mais invasiva do que o risco de atender a pessoa errada.

Qual é o prazo para responder a um pedido de titular?

O art. 19 da LGPD prevê resposta imediata em formato simplificado ou, quando necessário, declaração clara e completa no prazo de até 15 dias. A empresa deve registrar o recebimento, acompanhar o prazo e comunicar o resultado ou as limitações dentro da forma aplicável ao caso.

Cinco perguntas são suficientes para investigar qualquer pedido?

Não necessariamente. Perguntas sobre quem solicita, quais dados estão envolvidos, a finalidade, a retenção e os sistemas ajudam a iniciar a investigação, mas não são suficientes em todos os casos. A complexidade do tratamento, o risco, a quantidade de operadores, as transferências, os backups e a existência de processos podem exigir apuração adicional.

Como responder quando apenas parte do pedido pode ser atendida?

Explique quais dados foram eliminados, restringidos ou anonimizados, quais permaneceram e a justificativa correspondente. Informe, de modo claro, as limitações técnicas ou jurídicas relevantes e evite revelar detalhes que criem risco de segurança. A resposta parcial deve ser fundamentada, não evasiva.

Uma pequena empresa precisa ter um DPO para tratar pedidos de exclusão?

A necessidade e a forma de atuação dependem do enquadramento da empresa e das regras aplicáveis. Mesmo sem uma estrutura formal dedicada, você deve designar um responsável, manter canal de atendimento, observar o prazo e registrar as decisões. A ausência de uma equipe grande não elimina a necessidade de organizar o processo.

Como documentar a decisão sem criar um processo excessivamente complexo?

Use um registro único com identificação do pedido, escopo, validação proporcional, sistemas consultados, decisão por categoria de dado, justificativa, ações realizadas, fornecedores acionados, evidências e resposta enviada. Um formulário simples pode ser suficiente no início, desde que seja preenchido de maneira consistente e tenha acesso protegido.

Conclusão

Um pedido de exclusão revela mais do que a necessidade de apagar um cadastro. Ele testa se você sabe onde os dados estão, por que ainda são utilizados, quais informações precisam ser conservadas e como demonstrar que a decisão foi coerente. A melhor resposta combina classificação correta do pedido, análise por finalidade, base legal e retenção, execução coordenada e comunicação transparente.

Comece pelo caso mais próximo: escolha uma solicitação real ou simulada, preencha a matriz de decisão, identifique os sistemas envolvidos e atribua responsáveis. Depois, confira se o prazo legal, as limitações de backup, os fornecedores e os critérios de encerramento estão documentados. Assim, Data Erasure e Right to be Forgotten deixam de ser apenas expressões de privacidade e passam a integrar um ciclo de vida controlado, proporcional e revisável.

Fontes

1. Direito dos Titulares. Agência Nacional de Proteção de Dados (ANPD). Página da ANPD que explica os direitos dos titulares de dados pessoais assegurados pela LGPD, incluindo acesso, correção e eliminação.
2. Direitos dos Titulares — Resolução CD/ANPD nº 19/2024. Agência Nacional de Proteção de Dados (ANPD). Resolução que regulamenta os direitos dos titulares de dados pessoais, detalhando procedimentos e garantias.
3. Regulamento Geral sobre a Proteção de Dados (GDPR). EUR-Lex. Texto completo do Regulamento Geral sobre a Proteção de Dados da União Europeia, que estabelece normas para a proteção de dados pessoais.
4. Direito ao Esquecimento — ICO. Information Commissioner’s Office (ICO). Orientações do ICO sobre o direito ao esquecimento, detalhando as condições e procedimentos para a eliminação de dados.