Pela LGPD, os direitos do cidadão incluem saber se uma empresa usa seus dados, acessá-los, corrigir erros e pedir exclusão, bloqueio ou portabilidade. Você também pode descobrir com quem os dados foram compartilhados e revogar o consentimento. Os pedidos são gratuitos, e a recusa sem motivo pode ser levada à ANPD, ao Procon ou à Justiça.
Você recebe ligação de um banco onde nunca teve conta, e a farmácia pede seu CPF para dar desconto. Dias depois, chega uma oferta de plano de saúde que parece saber demais sobre você, e fica a dúvida sobre quem tem seus dados e de onde eles vieram.
A ferramenta para responder a isso é a Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018). Ela deu a cada pessoa direitos que podem ser cobrados de empresas, bancos, lojas, aplicativos e até de órgãos públicos. No escritório, o que eu mais vejo é gente que só descobre esses direitos depois de um vazamento ou de uma fraude, quando parte do estrago já aconteceu.
Nas próximas seções você vai entender o que a lei protege, quais são os nove direitos do titular e como fazer o pedido por escrito. Também explico o que fazer quando a empresa ignora você e como agir diante de telemarketing, score de crédito e aplicativos.
O que a LGPD protege e por que isso afeta o seu dia a dia
A LGPD protege qualquer informação que identifique você ou permita identificar, e vale para quase todo uso desses dados por empresas e pelo poder público no Brasil. Ela alcança desde o cadastro na academia até o prontuário do hospital.
A lei chama de “tratamento” quase tudo que se faz com um dado, como coletar, armazenar, consultar, compartilhar, vender ou apagar. Quem decide o que fazer com os dados é o controlador, como a loja ou o banco. Quem executa em nome dele é o operador, como o call center terceirizado.
Os seus direitos são cobrados principalmente do controlador, que precisa de uma base legal para usar suas informações. O consentimento é só uma dessas bases, ao lado de obrigação legal, execução de contrato, proteção do crédito e legítimo interesse. Todas estão no artigo 7º do texto da Lei 13.709/2018 no Planalto.
Desde 2022, a proteção de dados também está na Constituição. A Emenda Constitucional 115 incluiu no artigo 5º o inciso LXXIX, que diz “é assegurado, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais”. Com isso, o tema passou a ter peso de direito fundamental.
Quem fiscaliza é a ANPD. Em fevereiro de 2026, a Lei 15.352 transformou a antiga Autoridade na Agência Nacional de Proteção de Dados. A agência manteve a sigla e ganhou autonomia e 200 novos cargos de especialista.
A lei tem limites que pegam muita gente de surpresa. O artigo 4º afasta a LGPD do uso feito por pessoa física para fins exclusivamente particulares e não econômicos, como a agenda do seu celular. Também ficam de fora as atividades exclusivamente jornalísticas e artísticas, a segurança pública, a defesa nacional e a investigação criminal. Se um vizinho guarda seu telefone, a LGPD não entra na história, mas se ele usa a lista para vender produtos, a conversa muda.
Minha orientação para a maioria das pessoas é enxergar a LGPD como um instrumento próprio, e não como uma regra “para empresas”. O erro mais comum que chega até mim é achar que, depois de clicar em “aceito”, todo controle sobre os dados foi perdido, quando a lei diz o contrário.
Quais informações contam como dados pessoais
Dado pessoal é qualquer informação ligada a uma pessoa identificada ou identificável, e isso vai muito além de nome e CPF. Entram endereço, telefone, e-mail, placa do carro, localização do celular, foto e até a voz gravada no atendimento.
A LGPD cria ainda uma categoria com proteção reforçada, a dos dados pessoais sensíveis. O artigo 5º, inciso II, inclui origem racial ou étnica, religião, opinião política e filiação a sindicato. Também são sensíveis os dados de saúde, vida sexual, genéticos e biométricos, como a digital da catraca do prédio e o reconhecimento facial do banco.
| Tipo de dado | Exemplos | Nível de proteção |
|---|---|---|
| Dado pessoal comum | Nome, CPF, RG, telefone, e-mail, endereço | Precisa de base legal do artigo 7º |
| Dado pessoal sensível | Saúde, biometria, religião, opinião política | Regras mais restritas do artigo 11 |
| Dado anonimizado | Estatística que não permite reidentificar a pessoa | Em regra, fora da LGPD |
A distinção pesa muito quando o assunto vira processo. Em 2023, a Segunda Turma do STJ decidiu, no AREsp 2.130.619/SP, que o vazamento de dados comuns não gera dano moral automático. Segundo a reportagem do Conjur sobre o julgamento, o titular precisa demonstrar o prejuízo concreto, enquanto dados sensíveis recebem tratamento mais rigoroso.
Pense numa professora que descobre que o laboratório compartilhou o resultado dos exames dela com uma seguradora. O dado é de saúde, portanto sensível, e a exposição tem potencial de dano muito maior do que o vazamento do telefone dela numa lista de marketing.
Muita gente acha que o dado “público” está liberado para qualquer uso, e quase sempre se engana. A lei exige que até o dado de acesso público respeite a finalidade e a boa-fé que justificaram sua divulgação. O telefone do seu consultório no site não autoriza ninguém a colocá-lo em cadastro de telemarketing.
Os 9 direitos do cidadão pela LGPD
O artigo 18 da LGPD lista nove direitos que você pode exercer a qualquer momento contra quem trata seus dados, todos gratuitos pelo parágrafo 5º do mesmo artigo. A página da ANPD sobre direitos dos titulares resume cada um em linguagem simples.
- Confirmação da existência de tratamento, para saber se a empresa tem ou usa algum dado seu.
- Acesso aos dados, recebendo a informação do que exatamente está guardado.
- Correção de dados incompletos, errados ou desatualizados.
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei.
- Portabilidade dos dados para outro fornecedor, conforme regulamentação da ANPD.
- Eliminação dos dados tratados com base no seu consentimento.
- Informação sobre com quem os dados foram compartilhados, sejam entidades públicas ou privadas.
- Informação sobre a possibilidade de não consentir e sobre as consequências da recusa.
- Revogação do consentimento, a qualquer momento.
Acesso, correção e exclusão
O acesso tem prazo definido no artigo 19, que prevê duas formas de resposta. A simplificada deve ser entregue imediatamente, e a declaração completa, com origem dos dados, critérios e finalidade, sai em até 15 dias do pedido. Se o tratamento se baseia em consentimento ou contrato, você ainda pode pedir cópia eletrônica integral dos seus dados.
A correção resolve problemas bem concretos, como o endereço antigo que manda a fatura para a casa errada. A exclusão tem uma armadilha, porque a empresa pode manter o que precisa guardar por obrigação legal ou regulatória, como notas fiscais, conforme o artigo 16.
Portabilidade e revogação do consentimento
A portabilidade permite levar seus dados de um fornecedor para outro e depende de regulamentação da ANPD em cada setor. Já a revogação do consentimento deve ocorrer por procedimento gratuito e facilitado, segundo o artigo 8º, parágrafo 5º, então cancelar precisa ser tão fácil quanto aceitar.
A revogação vale daqui para frente e não invalida o que foi feito enquanto o consentimento existia. Quem revoga o aceite de uma newsletter deixa de receber os e-mails, mas não pode pedir indenização pelos que recebeu legitimamente.
Saber com quem seus dados foram compartilhados
Esse é o direito que mais incomoda as empresas e, por isso mesmo, o mais útil para quem suspeita de venda de cadastro. Você pode perguntar à operadora ou à rede de farmácias com quais parceiros seus dados foram compartilhados, e a resposta precisa ser específica.
Revisão de decisões automatizadas
Fora da lista do artigo 18, o artigo 20 garante o direito de pedir revisão de decisões tomadas unicamente por sistemas automatizados. Isso inclui as decisões que definem seu perfil de consumo e de crédito. Se um aplicativo recusa seu crédito em segundos, você pode pedir a revisão e a indicação dos critérios usados, respeitado o segredo comercial. O tema conversa com a forma como algoritmos controlam trabalhadores, que expliquei no texto sobre subordinação algorítmica.
Se fosse comigo, eu começaria quase sempre pelo pedido de confirmação e acesso, que tem prazo claro de 15 dias e revela o que a empresa guarda. Só depois pediria correção ou exclusão, porque pedir tudo de uma vez costuma gerar respostas genéricas que não resolvem nada.
Como exercer esses direitos na prática
O pedido deve ser feito diretamente à empresa, por escrito, de preferência ao encarregado de dados (o chamado DPO), cujo contato precisa estar divulgado. O artigo 18, parágrafo 3º, admite o requerimento feito pelo próprio titular ou por representante legalmente constituído.
- Localize o canal certo. Procure na política de privacidade o e-mail ou formulário do encarregado e, se não houver, use o SAC e peça protocolo.
- Identifique-se com o mínimo necessário. Nome, CPF e o contato cadastrado costumam bastar, e a empresa pode confirmar sua identidade para não entregar dados a um golpista.
- Diga exatamente o que quer. Cite o direito e o inciso do artigo 18, o que reduz as respostas evasivas.
- Guarde a prova. Salve o e-mail, o print do formulário e o protocolo, porque a ANPD vai exigir essa comprovação.
- Conte o prazo. Para confirmação e acesso completo, são até 15 dias, e para os demais pedidos a lei exige providência imediata ou resposta com os motivos da demora.
Modelo de solicitação para enviar à empresa
Adapte o texto abaixo trocando os dados entre colchetes e mantendo apenas os pedidos que fazem sentido no seu caso.
Ao encarregado pelo tratamento de dados pessoais da [nome da empresa]. Eu, [nome e sobrenome], CPF [número], solicito, com base no artigo 18 da Lei 13.709/2018, a confirmação da existência de tratamento dos meus dados e o acesso a eles, em declaração que indique origem, critérios e finalidade, no prazo do artigo 19, inciso II. Solicito também a lista das entidades públicas e privadas com as quais meus dados foram compartilhados (artigo 18, VII). Revogo o consentimento eventualmente dado e peço a eliminação dos dados tratados com base nele (artigo 18, VI e IX). Peço resposta pelo e-mail [endereço]. [Cidade], [data].
Quando a empresa não responde nem ao e-mail, uma notificação extrajudicial bem feita costuma mudar o tom da conversa e ainda serve de prova.
O erro que mais custa caro aqui é fazer o pedido por telefone sem anotar protocolo. Sem registro escrito, você não consegue provar que tentou resolver e muitas vezes precisa recomeçar do zero semanas depois.
A empresa ignorou seu pedido, e agora?
Se a empresa não respondeu no prazo ou negou sem justificativa, você pode recorrer à ANPD, ao Procon ou à Justiça, inclusive ao mesmo tempo. O artigo 18 garante o direito de peticionar à autoridade nacional (parágrafo 1º) e de exercer os mesmos direitos nos órgãos de defesa do consumidor (parágrafo 8º).
Reclamação na ANPD
A ANPD recebe a petição de titular, usada quando seu pedido à empresa não foi atendido, e a denúncia, que comunica uma infração e pode ser anônima. Para a petição, o serviço de requerimento da ANPD no gov.br exige prova do contato prévio com a empresa e conta gov.br prata ou ouro. O serviço é gratuito e informa prazo de até 30 dias úteis para conclusão.
A ANPD não fixa indenização para você, e o papel dela é fiscalizar e punir a empresa. As sanções vão de advertência a multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração (artigo 52, inciso II). A decisão administrativa pressiona a empresa a corrigir a conduta e pode ajudar num processo judicial.
Procon e órgãos de defesa do consumidor
Quando a relação é de consumo, como com banco, operadora, loja ou aplicativo, o Procon costuma ser o caminho mais rápido para destravar um pedido simples. A reclamação registrada também prova que a empresa foi provocada e ficou inerte.
Indenização na Justiça
O artigo 42 da LGPD obriga quem causar dano patrimonial ou moral, em violação à lei, a repará-lo. Causas de até 20 salários mínimos podem ir ao Juizado Especial Cível sem advogado, e acima disso a presença dele é obrigatória. Antes de entrar com a ação, vale entender como os tribunais avaliam o dano moral e quais provas pesam.
Aqui está o ponto mais delicado de 2026. As turmas do STJ divergem sobre a indenização automática quando dados comuns são compartilhados ou vendidos sem autorização. A Terceira Turma tem admitido dano presumido, e a Quarta exige prova do prejuízo. Para uniformizar a questão, a Segunda Seção afetou o Tema 1404 dos recursos repetitivos (REsp 2.226.946/SP e REsp 2.226.097/SP). O tema trata da venda de dados não sensíveis por gestores de bancos de dados de crédito, e os recursos sobre o assunto aguardam a tese.
Na prática, minha orientação é não processar apenas porque o dado foi exposto, sem efeito concreto. Enquanto o Tema 1404 não for julgado, a chance de o dano moral ser negado nesses casos é alta. Quando há golpe consumado, negativação indevida ou exposição de dado de saúde, o cenário muda e a ação faz sentido.
Vazamento de dados, primeiros passos de quem foi atingido
Se você recebeu aviso de vazamento, a prioridade é bloquear o uso fraudulento e só depois discutir responsabilidade. O artigo 48 da LGPD obriga o controlador a comunicar à ANPD e ao titular o incidente que possa causar risco ou dano relevante.
A Resolução CD/ANPD 15/2024 fixou prazo de três dias úteis, contados do conhecimento do incidente, para esse aviso. A comunicação deve ser individual e em linguagem simples, com os dados afetados, os riscos e as medidas adotadas, e agentes de pequeno porte têm o prazo em dobro.
Imagine um vendedor autônomo avisado pela loja virtual de que nome, CPF e telefone dos clientes foram acessados por terceiros. Ele deve trocar senhas, ativar a verificação em duas etapas, avisar o banco e desconfiar de mensagens que usam seus dados reais para parecer legítimas. Depois, vale pedir à loja, por escrito, a informação completa sobre o incidente.
O roteiro completo, com boletim de ocorrência, monitoramento de CPF e contestação de dívidas, está no guia sobre vazamento de dados e o que fazer segundo a LGPD.
O que eu vejo com mais frequência é a vítima que descobre o vazamento pelo golpe, e não pelo aviso da empresa. Nesse caso, a falta de comunicação no prazo pesa contra a empresa, então anote a data e o meio pelo qual você soube do problema.
Situações comuns com telemarketing, score de crédito e aplicativos
Os três cenários que mais geram dúvida no escritório têm soluções diferentes, e conhecer cada uma evita perder tempo no caminho errado.
Telemarketing insistente
Ligação de empresa com a qual você nunca teve relação indica que seu telefone está em alguma base de dados. Você pode perguntar de onde veio o número (artigo 19) e com quem ele foi compartilhado (artigo 18, VII). Para cortar ofertas de telefonia, internet, TV, consignado e cartão, existe a plataforma Não Me Perturbe, à qual todas as prestadoras de telecomunicações são obrigadas a aderir. Segundo o balanço do Ministério das Comunicações, ela fechou 2025 com 14,2 milhões de números, mas não bloqueia cobrança nem prevenção a fraude.
Score de crédito
O score dispensa o seu consentimento, questão pacificada pela Súmula 550 do STJ, que ao mesmo tempo garante o direito de saber o que entrou no cálculo.
“A utilização de escore de crédito, método estatístico de avaliação de risco que não constitui banco de dados, dispensa o consentimento do consumidor, que terá o direito de solicitar esclarecimentos sobre as informações pessoais valoradas e as fontes dos dados considerados no respectivo cálculo.” (Súmula 550 do STJ)
Uma cozinheira com crédito negado mesmo sem dívidas pode pedir ao birô a lista das informações usadas e exigir correção se houver erro. Se a recusa veio de sistema automático do banco, cabe também a revisão do artigo 20.
Aplicativos e redes sociais
Aplicativos costumam pedir permissões sem relação com o serviço, como acesso aos contatos para um app de lanterna. Você pode negar a permissão no celular, revogar o consentimento e pedir a exclusão do que foi coletado com base nele. Quando o app condiciona o uso a um tratamento desnecessário, o artigo 18, inciso VIII, garante a informação sobre as consequências da recusa, e a prática pode ser questionada.
Quem trabalha por aplicativo ainda lida com o uso de dados de localização e desempenho pela plataforma, assunto ligado aos direitos do trabalhador nas relações mediadas por algoritmo.
Se fosse comigo, eu faria o cadastro no Não Me Perturbe hoje mesmo e guardaria os pedidos formais da LGPD para os casos de origem suspeita. Nesses casos, a resposta da empresa pode revelar venda de cadastro e abrir caminho para a responsabilização.
Quando a empresa pode recusar o seu pedido
A empresa pode negar o pedido nas hipóteses da lei, mas a recusa precisa ser fundamentada. Pelo artigo 18, parágrafo 4º, o controlador deve apontar os motivos de fato ou de direito que impedem a providência, ou avisar que não é o agente de tratamento.
A situação mais comum envolve dados que precisam ser guardados. O artigo 16 autoriza a conservação para cumprir obrigação legal ou regulatória, e por isso o banco mantém seu histórico de transações mesmo após o encerramento da conta. Já o cadastro para promoções e as preferências de consumo não têm essa proteção e devem ser eliminados.
Outra hipótese envolve dados tratados sem consentimento, com base em contrato, obrigação legal ou legítimo interesse. Aqui não há o que revogar, mas o artigo 18, parágrafo 2º, permite se opor ao tratamento quando a lei for descumprida.
Pense em um cliente que cancela a academia e pede a exclusão de todos os dados, recebendo a resposta de que contrato e pagamentos ficarão guardados. A recusa vale para esses documentos, mas não para a biometria da catraca, que perdeu a finalidade com o fim do contrato.
A minha leitura é que a recusa genérica, do tipo “por razões de segurança não podemos atender”, não cumpre a lei. Se a empresa não aponta a norma ou o motivo concreto, trate a resposta como descumprimento e leve essa prova à ANPD ou ao Procon.
Perguntas frequentes sobre LGPD e direitos do cidadão
A empresa pode cobrar para me informar quais dados tem sobre mim?
Não pode. O artigo 18, parágrafo 5º, da LGPD determina que os pedidos do titular sejam atendidos sem custos, o que vale para acesso, correção, exclusão e os demais direitos.
Órgãos públicos também precisam respeitar a LGPD?
Precisam, porque a lei tem regras próprias para o tratamento de dados pelo poder público. Você pode pedir acesso e correção a prefeituras, autarquias e ministérios, com exceção das atividades de segurança pública, defesa nacional e investigação criminal.
Posso pedir para uma empresa apagar meu CPF do cadastro?
Pode, e a empresa deve eliminar o dado se ele foi coletado com base em consentimento ou se for desnecessário. Havendo obrigação legal de guarda, como em notas fiscais e contratos bancários, o CPF pode ser mantido só para esse fim, com explicação do motivo.
Um familiar pode fazer o pedido em meu nome?
Pode, desde que tenha poderes para isso, porque a lei aceita requerimento de representante legalmente constituído. Na prática, a empresa costuma exigir procuração, e no caso de filhos menores os pais ou responsáveis fazem o pedido.
Quanto tempo tenho para reclamar de um uso indevido dos meus dados?
A LGPD não fixa prazo próprio para a ação de indenização, e os tribunais aplicam o Código Civil ou o Código de Defesa do Consumidor conforme o caso. Como a contagem depende do tipo de relação, o mais seguro é agir assim que identificar o uso indevido.
Empresa estrangeira precisa cumprir a LGPD?
Precisa, quando oferece produtos ou serviços a pessoas no Brasil, trata dados de quem está aqui ou coleta dados em território nacional, conforme o artigo 3º. Isso inclui redes sociais, lojas virtuais e aplicativos sediados no exterior.
O que fazer primeiro para usar a LGPD a seu favor
Para a maioria das pessoas, o melhor começo é um pedido escrito de confirmação e acesso ao encarregado da empresa, com protocolo guardado e o prazo de 15 dias anotado. Essa resposta mostra o que a empresa sabe sobre você e define se o próximo passo é correção, exclusão, revogação do consentimento ou reclamação.
A estratégia muda quando já houve prejuízo concreto, como empréstimo feito em seu nome, negativação indevida ou exposição de dado de saúde. Nesses casos, a prioridade é conter o dano com o banco, o boletim de ocorrência e a contestação da dívida. Em seguida, reúna provas do vínculo entre o uso dos dados e o prejuízo. Lembre que o STJ ainda vai definir, no Tema 1404, se a venda de dados comuns gera indenização sem prova do dano.
Se você recebeu recusa sem justificativa, descobriu venda do seu cadastro ou sofreu fraude após um vazamento, organize protocolos, e-mails e prints em ordem de data. Com esse material, um advogado que atue com proteção de dados consegue avaliar se cabe petição à ANPD, reclamação administrativa ou ação de indenização.
Este texto explica, de forma geral e informativa, os direitos do cidadão previstos na LGPD e não constitui consultoria jurídica nem cria relação entre advogado e cliente. Quem teve dados usados, compartilhados ou vazados de forma indevida precisa da análise individual de um profissional habilitado, já que os detalhes do caso mudam a resposta.