Você passa na farmácia e o atendente pede o CPF “para o desconto”. À tarde, uma loja com a qual nunca teve contato liga oferecendo plano de saúde. Muita gente acha que isso é o preço de viver conectado. A Lei Geral de Proteção de Dados (Lei 13.709/2018) diz outra coisa: os dados pertencem a você no sentido de que você mantém direitos sobre eles, e a empresa que os utiliza precisa ter uma base legal para isso e responder quando for questionada.
A proteção de dados pessoais também está na Constituição, como direito fundamental, desde a Emenda Constitucional 115/2022. Ela não proíbe o uso de dados. Organiza o uso e dá ao cidadão ferramentas para acompanhar, corrigir e, em certos casos, interromper esse uso.
O que a lei considera dado pessoal
Dado pessoal é qualquer informação que identifique ou permita identificar uma pessoa. Nome, CPF, telefone, e-mail, endereço e foto são exemplos óbvios. Localização do celular, identificador de um aparelho e histórico de compras também podem entrar, quando vinculados a alguém.
Dados sensíveis merecem proteção maior. São informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual e dados genéticos ou biométricos, como a digital e o rosto. Uma academia que faz reconhecimento facial para abrir a catraca está tratando dado sensível.
A lei se aplica a empresas e órgãos públicos, online e offline. Um armário com fichas de pacientes em papel está coberto. Não se aplica, por outro lado, ao uso estritamente pessoal, como a sua agenda telefônica, nem a certas atividades jornalísticas, artísticas e acadêmicas ou à segurança pública, que seguem outras regras.
Consentimento não é a única porta
Um mito comum diz que toda empresa precisa da sua autorização. Na verdade, o consentimento é apenas uma das bases legais. A lei permite o tratamento também para cumprir obrigação legal, executar contrato, proteger o crédito, resguardar a vida, atender a interesse legítimo e outras hipóteses dos artigos 7º e 11.
Por isso, o banco guarda dados da sua conta mesmo se você pedir para apagar, já que há regras que o obrigam a isso. Do mesmo modo, a loja pode manter a nota fiscal pelo prazo legal. Já a mensagem de marketing, que costuma depender de consentimento ou de legítimo interesse, é o tipo de uso que você tem mais condições de interromper.
Os direitos do artigo 18
O coração da lei para o cidadão está no artigo 18. Você, chamado de titular, pode pedir ao controlador, que é quem decide sobre o uso dos dados:
- Confirmação de que seus dados são tratados.
- Acesso aos dados.
- Correção de dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
- Portabilidade para outro fornecedor, nos termos da regulamentação.
- Eliminação de dados tratados com consentimento, ressalvadas as exceções legais.
- Informação sobre entidades com as quais houve compartilhamento.
- Informação sobre a possibilidade de não dar consentimento e suas consequências.
- Revogação do consentimento.
Além disso, o artigo 20 permite pedir revisão de decisões tomadas apenas por tratamento automatizado que afetem seus interesses. Pense em um crédito negado por algoritmo ou em um perfil de consumo calculado sem intervenção humana. A empresa deve fornecer informações claras sobre os critérios, resguardados os segredos comercial e industrial.
Crianças e adolescentes têm um olhar especial: o artigo 14 exige que o tratamento atenda ao melhor interesse deles, e o tratamento de dados de crianças depende, em regra, de consentimento específico de um dos pais ou do responsável.
Passo a passo para exercer seus direitos
Exercer esses direitos não exige advogado e é gratuito, conforme o artigo 18. O caminho, em geral, é este:
- Encontre o canal do encarregado de dados, também chamado de DPO, na política de privacidade do site. A identidade e o contato do encarregado devem ser divulgados.
- Escreva por e-mail ou formulário, identificando-se e dizendo claramente qual direito deseja exercer.
- Guarde o protocolo, a data e a resposta.
- Aguarde o retorno e, se nada acontecer, leve o caso às instâncias externas.
Um pedido simples pode ser assim: “Sou Maria da Silva, CPF final 123. Solicito, com base no artigo 18 da LGPD, confirmar se minha informação está em suas bases, informar a origem, a finalidade e com quem foi compartilhada, e eliminar os dados usados para marketing.”
Pelo artigo 19, a confirmação e o acesso podem ser dados de imediato em formato simplificado. Uma declaração completa, com origem, critérios e finalidade, deve ser fornecida em até 15 dias contados do requerimento.
A empresa pode pedir comprovação de identidade. Isso é legítimo, pois evita entregar seus dados a um impostor. Mas o pedido deve ser proporcional, sem exigir o que for desnecessário.
Ao pedir, seja específico. Quem solicita “apaguem tudo” pode perder a conta e o histórico de garantia sem querer. Quem pede “parem de me enviar mensagens promocionais e deixem de compartilhar meu telefone com parceiros” resolve mais rápido.
E se houver vazamento?
Vazamento acontece. Um banco de dados invadido, um e-mail enviado para a lista errada ou um arquivo exposto são incidentes. Pelo artigo 48, o controlador deve comunicar à Agência Nacional de Proteção de Dados (ANPD) e ao titular quando o incidente puder acarretar risco ou dano relevante.
Se você foi avisado, ou desconfia, tome estas providências:
- Troque senhas do serviço afetado e de outros que usem a mesma combinação.
- Ative a verificação em duas etapas.
- Desconfie de contatos que citam seus dados para parecer legítimos, porque eles podem ser golpes.
- Observe extratos e movimentações em seu nome no sistema de informações de crédito do Banco Central.
- Registre o incidente e guarde a comunicação recebida.
Nosso guia sobre como criar senhas seguras mostra como organizar essa proteção. Se os dados foram usados em fraude, com dívida ou conta aberta em seu nome, registre boletim de ocorrência e guarde o protocolo.
O artigo 42 prevê a obrigação de reparar danos causados por tratamento irregular. A indenização depende de cada caso, com demonstração de dano. O Superior Tribunal de Justiça já decidiu, para dados comuns, que o simples vazamento não gera dano moral presumido, sendo preciso demonstrar o prejuízo.
Quando a empresa não responde
Se o controlador se recusa ou ignora o pedido, você tem algumas portas. A primeira é a ANPD, que recebe petições de titulares, depois de comprovada a tentativa com o controlador, segundo o artigo 55-J. Quando a relação é de consumo, também é possível levar o caso aos órgãos de defesa do consumidor, como o Procon, e ao consumidor.gov.br, além de recorrer ao Judiciário.
A ANPD pode aplicar advertência, multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, bloqueio ou eliminação de dados, entre outras sanções previstas no artigo 52. Essas penalidades têm finalidade pública, não vão para o titular. Uma indenização pessoal só vem por ação própria.
Perguntas frequentes
Sou obrigado a informar o CPF na farmácia ou na loja?
Depende da finalidade. A loja pode pedir o CPF para a nota fiscal, se você quiser, ou para programas de fidelidade que você tenha aceitado. Se a exigência é para dar um desconto, ela deve explicar claramente para que os dados serão usados. Em caso de dúvida, pergunte a finalidade antes de informar.
Posso pedir que apaguem minha foto de uma página?
Se a publicação foi feita por uma empresa sem base legal, pode haver pedido de eliminação. Mas casos em redes sociais podem envolver também direito de imagem e outras normas. Comece pelo canal de denúncia da plataforma e, se necessário, busque orientação jurídica.
A LGPD proíbe ligações de telemarketing?
Não diretamente. Mas pedir a retirada do seu número, perguntar de onde vieram os dados e registrar a reclamação são caminhos válidos. Listas de bloqueio mantidas pelo setor também podem ajudar.
Órgãos públicos também precisam cumprir?
Sim. O tratamento feito pelo poder público deve seguir suas finalidades legais, com regras próprias nos artigos 23 a 32. A lei convive com a transparência pública, e por isso certas informações continuam acessíveis em outras normas.
Este conteúdo tem caráter educativo e não substitui a orientação de um advogado ou da Defensoria Pública em situações concretas.