Entenda o direito de acesso previsto na LGPD, seus prazos e os critérios necessários para receber, verificar, responder e documentar solicitações de titulares.

Uma cliente envia à sua loja virtual uma mensagem curta: “quero saber quais dados vocês têm sobre mim”. O atendimento não sabe se encaminha o pedido ao marketing, ao financeiro ou à equipe de tecnologia. Enquanto isso, informações da cliente permanecem distribuídas entre cadastro, histórico de compras, entregas, pagamentos e conversas com o suporte.

Esse pedido corresponde ao Right to Access, chamado de direito de acesso no regime brasileiro. Para atendê-lo, a organização deve reconhecer a intenção do titular mesmo quando ele não usa linguagem jurídica, identificar qual modalidade de resposta foi solicitada e impedir que a entrega revele informações de outras pessoas ou elementos capazes de comprometer a segurança.

O desafio não se resolve com uma exportação automática do sistema principal. É necessário separar o conteúdo assegurado pela LGPD das informações que não pertencem ao solicitante, pesquisar fontes pertinentes e registrar as decisões tomadas. Um fluxo proporcional ao porte, ao volume de dados e ao risco permite cumprir o direito de forma verificável, sem prometer que um modelo ou uma ferramenta, isoladamente, produza conformidade automática.

Principais pontos

• O direito de acesso abrange a confirmação da existência de tratamento e o acesso aos dados pessoais do próprio titular, independentemente da base legal utilizada.
• Pela regra geral do artigo 19 da LGPD, a confirmação em formato simplificado deve ser fornecida imediatamente, enquanto a declaração clara e completa deve ser entregue em até 15 dias contados do requerimento.
• Agentes de tratamento de pequeno porte que efetivamente se enquadrem na Resolução CD/ANPD nº 2/2022 podem fornecer a declaração simplificada em até 15 dias e contam com prazo em dobro para a declaração completa, resultando em até 30 dias.
• Origem dos dados, eventual inexistência de registro, critérios utilizados e finalidade do tratamento integram expressamente a declaração completa do artigo 19; informações sobre compartilhamentos e outros aspectos podem decorrer dos artigos 9º e 18 ou de outro direito formulado pelo titular.
• Dados de terceiros, credenciais e segredos comercial ou industrial exigem análise específica. Eles não autorizam a exclusão genérica dos dados pessoais do solicitante.
• Inventário atualizado, critérios documentados de busca, validação proporcional da identidade, escalonamento por risco e evidências do envio reduzem atrasos e respostas inconsistentes.

O que é Right to Access e por que esse direito importa na LGPD

Right to Access é a expressão inglesa para direito de acesso. No Brasil, os artigos 18 e 19 da Lei nº 13.709/2018 asseguram ao titular a possibilidade de obter do controlador a confirmação da existência de tratamento e o acesso aos próprios dados pessoais. O requerimento pode ser apresentado pelo titular ou por representante legalmente constituído e deve ser atendido sem custos, nos termos do artigo 18, parágrafo 5º.

A solicitação não precisa mencionar a LGPD nem adotar uma fórmula específica. Perguntas como “vocês guardam meus dados?”, “quero ver meu cadastro” ou “enviem as informações que mantêm sobre mim” podem representar o exercício do direito. O conteúdo do pedido é que define sua extensão: perguntar apenas se existe tratamento não é o mesmo que solicitar os dados e uma explicação completa sobre seu uso.

O artigo 19 estabelece duas formas de atendimento. Na regra geral, a confirmação ou o acesso em formato simplificado deve ser providenciado imediatamente. Essa modalidade é adequada quando basta uma resposta objetiva sobre a existência ou inexistência de tratamento ou quando o titular pede uma apresentação simplificada dos dados. Se a organização não conseguir adotar imediatamente a providência solicitada, o artigo 18, parágrafo 4º, exige uma resposta que informe que ela não é agente de tratamento, indicando o agente quando possível, ou que exponha as razões de fato ou de direito que impedem a providência.

A segunda modalidade é a declaração clara e completa, que deve ser fornecida, pela regra geral, em até 15 dias contados da data do requerimento. O artigo 19 menciona expressamente como conteúdo dessa declaração a origem dos dados, a inexistência de registro quando aplicável, os critérios utilizados e a finalidade do tratamento, observados os segredos comercial e industrial. Quando o pedido também abrange acesso aos dados, a declaração não deve substituir os dados por uma descrição abstrata: ela deve apresentar as informações pessoais pertinentes em formato compreensível e contextualizar os elementos exigidos pela lei.

A LGPD não coloca, no artigo 19, todos os deveres de transparência dentro da mesma lista. Informações como forma e duração do tratamento, identificação e contato do controlador, responsabilidades dos agentes e uso compartilhado aparecem no artigo 9º. O artigo 18, inciso VII, prevê ainda o direito à informação sobre entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados. Portanto, origem, eventual inexistência de registro, critérios e finalidade são conteúdos expressos da declaração completa do artigo 19; informações sobre compartilhamentos ou outros aspectos devem ser atendidas quando decorrerem de outro dispositivo aplicável ou quando o titular também formular esses pedidos.

Há regras específicas para agentes de tratamento de pequeno porte abrangidos pela Resolução CD/ANPD nº 2/2022. Para quem realmente se enquadra nessa regulamentação, a declaração simplificada pode ser fornecida em até 15 dias, e o prazo da declaração clara e completa é contado em dobro, chegando a até 30 dias. A flexibilização não alcança automaticamente toda empresa pequena: é necessário verificar os critérios da resolução, inclusive as hipóteses que afastam o tratamento diferenciado, como determinadas situações de tratamento de alto risco ou de não enquadramento econômico.

O acesso não se confunde com correção, anonimização, portabilidade, eliminação, oposição ou revogação do consentimento. Cada direito produz uma providência própria, embora uma única mensagem possa conter vários pedidos. O acesso também independe da base legal utilizada. Consentimento e legítimo interesse são hipóteses legais diferentes, mas a adoção de uma delas não elimina o direito do titular de conhecer os dados tratados nos limites aplicáveis.

No caso da loja virtual, responder apenas com nome e e-mail pode ser insuficiente se a empresa também mantiver endereços de entrega, histórico de pedidos, registros de atendimento e identificadores relacionados à conta. Por outro lado, não se deve presumir que o direito permita receber indistintamente qualquer documento interno. O objeto central são os dados pessoais do titular e as informações legalmente associadas ao exercício do direito, não a entrega irrestrita de arquivos, códigos, contratos ou conteúdos pertencentes a terceiros.

Formas de atendimento previstas no artigo 19 da LGPD e prazos aplicáveis

Forma de resposta	Conteúdo e finalidade	Regra geral	Agente de pequeno porte elegível
Formato simplificado	Confirmação objetiva da existência ou inexistência de tratamento ou apresentação simplificada compatível com o pedido.	Atendimento imediato.	Até 15 dias contados do requerimento, conforme a Resolução CD/ANPD nº 2/2022.
Declaração clara e completa	Acesso solicitado e indicação clara da origem dos dados, eventual inexistência de registro, critérios utilizados e finalidade do tratamento.	Até 15 dias contados do requerimento.	Prazo em dobro, chegando a até 30 dias, desde que o agente seja elegível ao tratamento diferenciado.

Como criar um fluxo para receber, analisar e responder ao pedido de acesso

O fluxo operacional deve transformar o requerimento em um registro rastreável desde a entrada até o encerramento. A empresa pode divulgar um canal preferencial, mas precisa reconhecer pedidos recebidos por meios razoavelmente utilizados pelos titulares. Atendimento, vendas, recursos humanos e equipes responsáveis por contas digitais devem saber identificar a intenção de acesso e encaminhá-la sem exigir que a pessoa descubra a área interna competente.

O registro inicial deve conter, no mínimo, data e horário de recebimento, canal, teor original do pedido, categoria de titular, modalidade de resposta aparentemente solicitada, prazo aplicável, responsável e decisões posteriores. O contador do prazo deve partir do requerimento, e não do momento em que a área de privacidade abre o chamado. Se faltarem elementos indispensáveis para confirmar a identidade ou delimitar o pedido, a solicitação de esclarecimento e seus motivos devem ser documentados; a empresa não deve presumir, sem fundamento legal ou regulamentar, que essa interação reinicia automaticamente o prazo.

Uma meta interna de triagem em 24 horas pode ser útil, mas é apenas um exemplo ajustável à estrutura da organização e ao prazo jurídico aplicável. Da mesma forma, reservar até dois dias para revisão final é uma escolha de gestão, não um prazo criado pela LGPD ou pela ANPD. Essas metas só devem ser adotadas se deixarem margem suficiente para busca, correções e envio. Em pedidos sujeitos a atendimento imediato, a organização precisa de mecanismo compatível com essa exigência, e não de uma fila interna que adie indevidamente a resposta.

A validação da identidade deve ser proporcional ao risco da divulgação. Os critérios verificáveis incluem o canal usado, a existência de sessão autenticada, a compatibilidade entre os dados fornecidos e os já registrados, a sensibilidade das informações, o volume solicitado, a idade do titular e os efeitos de uma entrega ao destinatário errado. Um pedido feito dentro de conta autenticada, com autenticação multifator disponível e sem sinais de comprometimento, pode dispensar o envio de documento. Uma mensagem originada de endereço desconhecido que solicite prontuário, registros trabalhistas ou grande volume de dados pode justificar verificação adicional.

A organização deve registrar por que o controle escolhido foi suficiente e evitar coleta excessiva. Se for indispensável receber um documento, deve limitar os campos necessários, permitir ocultação de informações irrelevantes quando viável e definir retenção e descarte seguros. Perguntas secretas baseadas em informações facilmente descobertas, como data de nascimento ou nome de familiar, não devem ser tratadas isoladamente como prova robusta de identidade.

A busca precisa seguir critérios reproduzíveis. O responsável deve relacionar os identificadores confirmados — por exemplo, nome, e-mail, telefone, número de cliente ou matrícula —, considerar variações históricas e definir o período e os vínculos pertinentes. Em seguida, consulta o inventário de dados para identificar sistemas, arquivos estruturados, caixas funcionais, gravações, plataformas de suporte e operadores que possam conter informações relacionadas. A evidência da busca deve indicar fontes consultadas, parâmetros empregados, período coberto, responsáveis e resultados, inclusive quando nada for encontrado.

Uma busca razoável não significa pesquisar indiscriminadamente qualquer dispositivo ou mensagem da organização. A abrangência deve ser orientada pelo inventário, pela finalidade dos sistemas, pelo relacionamento com o titular e pelo teor do pedido. Na loja virtual, cadastro, comércio eletrônico, suporte, marketing, pagamentos, antifraude e logística podem ser fontes pertinentes. Se um fornecedor tratar dados em nome do controlador, o contrato e o procedimento de atendimento devem permitir a localização e a devolução das informações necessárias.

O escalonamento deve ocorrer quando houver dúvida relevante sobre identidade, pedido de criança ou adolescente, dados sensíveis, grande volume, possível fraude, mistura intensa com dados de terceiros, informação sujeita a dever de sigilo, risco de segurança, divergência entre sistemas ou probabilidade de descumprimento do prazo. Também é recomendável escalar quando a área consultada não responde dentro do marco interno definido. O escalonamento precisa indicar quem decide — por exemplo, privacidade, segurança da informação, jurídico ou gestor do sistema — e não pode suspender silenciosamente o atendimento.

Na consolidação, os dados devem ser organizados de forma inteligível. Siglas, códigos de status e identificadores internos relevantes para compreender o tratamento exigem explicação simples. Se determinado campo não tiver correspondência com o titular, não deve ser incluído apenas por estar no mesmo arquivo. Antes do envio, a revisão confirma a identidade do destinatário, a correspondência entre pedido e resposta, a aplicação das restrições específicas, a legibilidade dos arquivos e a segurança do canal.

O encerramento exige evidências da resposta efetivamente disponibilizada: conteúdo ou cópia controlada do pacote entregue, data e horário, modalidade adotada, canal, confirmação técnica de envio quando disponível e justificativas para eventuais limitações. Registros internos devem ter acesso restrito e prazo de retenção definido segundo a necessidade de demonstrar o atendimento, sem conservar cópias adicionais indefinidamente.

Controles que tornam a resposta segura — e erros que comprometem o atendimento

Os controles devem variar conforme o impacto de uma entrega incorreta. Em um cenário de risco baixo, como confirmação de cadastro comum dentro de sessão autenticada e sem indícios de fraude, podem bastar a autenticação já existente e a confirmação pelo canal registrado. Em risco médio, como histórico de compras com endereços ou registros extensos de atendimento, são aceitáveis autenticação adicional, confirmação por canal previamente cadastrado e arquivo protegido com envio separado da credencial. Em risco alto, envolvendo dados sensíveis, crianças e adolescentes, prontuários, informações financeiras detalhadas ou suspeita de tomada de conta, convém combinar fatores independentes, revisão humana e canal de entrega com acesso controlado.

A classificação não deve depender apenas do nome do sistema. Ela deve considerar natureza e volume dos dados, vulnerabilidade do titular, facilidade de reutilização das informações para fraude, contexto do pedido, possibilidade de discriminação e consequências da divulgação indevida. A justificativa precisa ser registrada para que pedidos equivalentes recebam controles coerentes.

Dados de terceiros devem ser separados por um teste objetivo. Primeiro, verifique se o trecho identifica ou torna identificável outra pessoa. Depois, avalie se esse dado também é informação pessoal do solicitante ou se é indispensável para compreender o tratamento realizado sobre ele. Por fim, determine se é possível ocultar apenas o elemento de terceiro, substituir o nome por uma descrição neutra ou fornecer um resumo sem destruir o sentido da resposta. Em uma conversa de suporte, por exemplo, as mensagens da cliente e as providências adotadas sobre sua conta podem ser fornecidas, enquanto telefone pessoal de outro consumidor inserido por engano deve ser ocultado.

A presença de terceiros não autoriza negar um documento inteiro quando a separação for tecnicamente razoável. Por outro lado, a empresa não deve divulgar opiniões, endereços, contatos ou identificadores de outras pessoas apenas porque aparecem próximos aos dados do titular. A decisão deve preservar o máximo possível do conteúdo relacionado ao solicitante e registrar quais trechos foram limitados e por quê.

A referência do artigo 19 aos segredos comercial e industrial também requer análise específica. Ela não cria uma categoria genérica de “segredos reconhecidos pela LGPD” nem permite retirar todos os dados pessoais armazenados em sistemas proprietários. A organização deve identificar concretamente qual método, regra, informação estratégica ou conhecimento protegido seria revelado, demonstrar o risco associado e restringir apenas o necessário. Se uma pontuação interna estiver vinculada à cliente, por exemplo, a existência da pontuação e os dados pessoais associados não devem ser automaticamente omitidos; a possibilidade de revelar detalhes de um método protegido exige avaliação separada, linguagem explicativa e preservação do núcleo do direito de acesso.

Credenciais e detalhes de segurança seguem lógica semelhante. Senhas em texto claro, códigos de recuperação, chaves criptográficas, tokens ativos, segredos de API, valores que permitam reproduzir uma sessão e detalhes técnicos cuja divulgação crie risco concreto não devem integrar o pacote. A resposta pode informar que existe um identificador ou mecanismo de autenticação associado à conta, sem entregar o segredo operacional. Hashes de senha também não devem ser enviados como se fossem uma representação útil da senha. Se uma credencial ativa for encontrada indevidamente no material, a medida adequada pode incluir ocultação, rotação e tratamento do risco de segurança.

A restrição não deve alcançar, sem necessidade, informações compreensíveis sobre a atividade da conta, como datas de acesso, dispositivos associados ou registros de alteração, quando esses elementos forem dados pessoais do titular e puderem ser entregues com segurança. Quando um registro combina endereço de rede do titular e arquitetura interna sensível, é possível separar os campos ou descrever o evento sem revelar configurações exploráveis. O critério é reduzir um risco demonstrável, e não evitar trabalho de preparação.

Buscas limitadas ao sistema principal são outra fonte de erro. A loja pode encontrar o cadastro comercial e ignorar conversas do suporte, preferências de marketing ou ocorrências mantidas pelo operador logístico. No sentido oposto, o recebimento do pedido não autoriza apagar, corrigir ou esconder registros. Se a cliente também pedir correção ou eliminação, essas pretensões devem ser registradas e decididas separadamente, considerando as hipóteses legais de conservação.

Arquivos brutos sem contexto, linguagem jurídica vaga e envio para endereço não confirmado comprometem o atendimento mesmo quando a busca foi abrangente. Uma planilha pode ser tecnicamente completa e ainda assim incompreensível. Modelos ajudam a manter consistência, mas devem permitir adaptações para explicar fontes, limitações e campos específicos. Mudanças em sistemas, fornecedores ou produtos exigem revisão do inventário, dos contatos de escalonamento, dos testes de busca e dos canais de entrega.

Perguntas frequentes

A empresa pode cobrar para atender a um pedido de acesso aos dados?

Em regra, não. O artigo 18, parágrafo 5º, da LGPD determina que o requerimento seja atendido sem custos para o titular, nos prazos e termos aplicáveis. Qualquer situação excepcional deve ser avaliada juridicamente e não pode criar uma barreira indevida ao exercício do direito.

Qual é o prazo para responder a um pedido de acesso?

Pela regra geral do artigo 19, a confirmação ou o acesso em formato simplificado deve ser providenciado imediatamente, e a declaração clara e completa deve ser fornecida em até 15 dias contados do requerimento. Para agentes de pequeno porte elegíveis à Resolução CD/ANPD nº 2/2022, a declaração simplificada pode ser entregue em até 15 dias e a completa em até 30 dias. O enquadramento deve ser confirmado, pois o tratamento diferenciado não se aplica automaticamente a toda empresa pequena.

Como responder quando a solicitação é feita por um representante do titular?

Confirme a identidade do representante e verifique o instrumento que demonstra seus poderes. A validação deve considerar o alcance da autorização, a identidade do titular representado e o risco dos dados solicitados, evitando documentos extras que não contribuam para essa confirmação.

O que fazer se a empresa não localizar dados relacionados ao solicitante?

Realize uma busca razoável e documentada nas fontes pertinentes, usando identificadores confirmados e variações relevantes. Se nenhum dado for encontrado, responda claramente sobre o resultado e preserve o registro dos sistemas, períodos, parâmetros e fornecedores consultados. Não afirme inexistência antes de verificar fontes secundárias razoavelmente relacionadas ao pedido.

Um pedido de acesso também obriga a empresa a eliminar os dados?

Não. Acesso e eliminação são direitos diferentes. Se o titular formular os dois pedidos, a organização deve identificá-los e analisá-los separadamente, considerando bases legais, obrigações de retenção e demais hipóteses previstas na LGPD.

O direito de acesso se aplica a clientes, funcionários e ex-funcionários?

Sim. O direito acompanha a pessoa natural, não apenas uma relação de consumo. Dados de candidatos, empregados, ex-empregados, clientes, representantes de fornecedores e outros titulares podem ser abrangidos quando tratados pela organização.

É possível limitar parte do acesso para proteger dados de terceiros ou segredo comercial?

Uma limitação pode ser necessária, mas deve ser específica, justificada e restrita ao trecho indispensável. A empresa deve separar dados de terceiros, identificar concretamente o segredo comercial ou industrial envolvido e fornecer o restante das informações pessoais do titular. A simples presença de conteúdo protegido no mesmo arquivo não autoriza uma negativa integral.

A empresa deve entregar senhas, tokens ou outros detalhes de segurança?

Não se deve entregar credenciais ativas, códigos de recuperação, chaves, tokens, hashes de senha ou detalhes que permitam comprometer contas e sistemas. A organização pode informar a existência do mecanismo ou fornecer metadados pessoais pertinentes sem revelar o segredo operacional. A restrição deve ser limitada ao elemento de segurança, preservando os demais dados do titular.

Conclusão

Uma mensagem curta pode mobilizar várias áreas e revelar dados distribuídos por ambientes que raramente são analisados em conjunto. O atendimento adequado começa pela distinção jurídica entre confirmação simplificada e declaração completa, mas depende também de critérios operacionais que possam ser demonstrados depois.

No Right to Access na LGPD, segurança e transparência não são objetivos opostos. Uma validação proporcional evita entregar dados a um impostor sem impor barreiras desnecessárias ao titular. Da mesma forma, a proteção de terceiros, credenciais e segredos legítimos deve ocorrer por restrições pontuais, justificadas e tecnicamente preparadas, não por uma negativa ampla.

Inventário atualizado, responsáveis definidos, parâmetros documentados de busca, marcos internos compatíveis com o prazo legal e evidências do envio tornam o processo mais consistente. A organização deve revisar esse fluxo quando adotar novos sistemas, alterar fornecedores ou identificar falhas em atendimentos anteriores, sempre verificando seu enquadramento e a regulamentação vigente aplicável.