Os direitos dos titulares deixaram de ser apenas um tópico jurídico da LGPD para se consolidarem como um dos pontos mais sensíveis da governança em proteção de dados. Isso ficou ainda mais evidente com a definição, pela ANPD, dos direitos dos titulares como um dos temas prioritários de fiscalização no biênio 2026–2027. Ao mesmo tempo, a própria Agenda Regulatória 2025–2026 mantém o tema entre os eixos centrais de desenvolvimento normativo.
Na prática, isso significa que as organizações precisam estar preparadas para responder, com consistência e rastreabilidade, a demandas de confirmação de tratamento, acesso, correção, anonimização, bloqueio, eliminação, portabilidade, informação sobre compartilhamentos, revisão de decisões automatizadas e transparência sobre consentimento e bases legais, conforme previsto na LGPD. Esses direitos não dependem apenas de boa vontade ou de um formulário disponível no site. Eles dependem de estrutura, processo, governança e evidência.
O erro mais comum: tratar direitos dos titulares como uma rotina isolada
Muitas empresas ainda enxergam o atendimento ao titular como uma atividade pontual, concentrada em um canal de privacidade ou no time jurídico. Mas uma solicitação de acesso, correção ou exclusão quase nunca se resolve de forma isolada. Ela atravessa sistemas, áreas, fornecedores, políticas internas, regras de retenção e, muitas vezes, decisões anteriores que não foram documentadas.
Esse é o ponto em que os direitos dos titulares deixam de ser uma obrigação de front-end (o canal de atendimento) e passam a revelar o nível real de maturidade da governança de dados (o back-end da privacidade).
Onde tudo começa: não há resposta consistente sem ROPA atualizado
Quando um titular exerce o direito de saber quais dados a empresa possui sobre ele e com quem foram compartilhados (Art. 18 da LGPD), o operador ou encarregado (DPO) que recebe a demanda precisa de visibilidade. Se o Inventário de Dados (ROPA – Record of Processing Activities) estiver desatualizado, segmentado em planilhas desconexas ou preenchido de forma burocrática, o atendimento já começa falhando.
O ROPA não é um documento estático para ser guardado na gaveta. Ele é o mapa de navegação para qualquer resposta a direitos dos titulares.
É através dele que a equipe deve conseguir responder com rapidez:
- Em quais processos os dados deste perfil de titular costumam figurar?
- Quais sãos os sistemas e áreas envolvidas nesses processos?
- Qual é a base legal aplicável (o que define, por exemplo, se um pedido de exclusão pode ou não ser negado)?
- Com quais fornecedores ou parceiros esses dados foram compartilhados (para que a solicitação, se procedente, seja estendida a eles)?
- Qual é o prazo regulatório de retenção (que também justifica a negativa de eliminação)?
Sem um ROPA estruturado, dinâmico e integrado à operação, cada atendimento se torna um projeto investigativo do zero. E no tempo restrito da regulação, improviso quase sempre resulta em violação de prazo ou resposta inconsistente.
O fluxo da solicitação: validação, encadeamento e prazo
A governança dos direitos dos titulares exige um processo ou workflow claro, que tire a dependência da memória de um analista e coloque o atendimento em um fluxo sistêmico.
Um bom processo deve contemplar:
- Autenticação do Titular: Como garantir que quem pede a informação é, de fato, o titular, sem solicitar na autenticação mais dados do que o próprio objetivo exige?
- Triagem e Classificação: Trata-se de um pedido simples de acesso, uma oposição complexa baseada em legítimo interesse, ou um pedido de eliminação que conflita com o dever legal de guarda da empresa?
- Acionamento Interno (e Externo): A quem o DPO deve solicitar informações ou ações operacionais (TI, RH, Marketing, fornecedores)? Como garantir que essas áreas respondam no tempo certo?
- Validação da Resposta: A fundamentação legal para rejeitar um pedido de apagamento (ex: guarda de prontuário, prazo prescricional, defesa em processo) está sólida e documentada? O titular será capaz de entender a resposta?
- Registro da Decisão: Fica guardada a evidência do pedido, da análise e da resposta enviada?
Responder não no prazo não encerra a LGPD: deve restar claro porque negamos e a fundamentação correta (ou por que deferimos se a situação pedia isso).
O ponto crítico: quando a eliminação (apagamento) encontra a conformidade
O direito à eliminação talvez seja o melhor exemplo de por que não há atendimento sem governança madura.
Se o tratamento de dados não se baseia no consentimento, mas sim no cumprimento de obrigação legal/regulatória, proteção do crédito, legítimo interesse ou execução de contrato, a empresa muitas vezes precisará fundamentar a impossibilidade de apagar aquele dado.
Isso exige:
- Entender precisamente qual base legal sustenta aquele processo (que deve constar no ROPA).
- Saber por quanto tempo a empresa tem o dever (ou o direito) legal de reter aquela informação, mesmo após o término do serviço ou oposição do usuário (Tabelas de Temporalidade conectadas ao Inventário).
- Capacidade técnica de realizar a exclusão apenas parcial, ou o expurgo definitivo apenas ao final daquele ciclo temporal (gestão efetiva do ciclo de vida dos dados).
- Mecanismos de bloqueio, caso o dado possa ser guardado (por obrigação regulatória), mas não deva mais circular ou ser acessado pelo business de maneira desproporcional.
O nível de complexidade neste momento sobe drasticamente se as tabelas e políticas forem um “PDF perdido”, em vez de um parâmetro que apoia a decisão no fluxo.
A relação com Privacy by Design e Relatórios de Impacto (RIPD)
Se a empresa tiver incorporado privacy by design reais na esteira de sistema, os próprios sistemas novos devem conter maneiras de, facilmente, inativar, exportar ou revisar um perfil. Quando não se usa dessa técnica, processos simples de exclusão levam meses para a T.I desenvolver a extração de forma reativa e sob pressão, encarecendo a operação da empresa.
Da mesma forma, ao se confeccionar os RIPDs quando identificamos uso de legítimo interesse ou elevado grau de risco em tratamento sistêmico, lá na avaliação uma das colunas principais documentada é: como a empresa pretende, caso e quando seja solicitada, gerenciar os direitos aplicáveis naquele contexto específico? Com planejamento e documentação antecipada do encarregado e governança (no RIPD) a resposta chega mais veloz no atendimento cotidiano.
Fiscalização e a régua de um programa efetivo
Ao inserir os direitos como um dos temas eleitos de fiscalização ativa (junto com incidentes, encarregado/DPO e o poder público), o recado da ANPD não é unicamente para que os titulares saibam reclamar nas ouvidorias. O recado se reverte, com urgência técnica, para as empresas: será ali o calcanhar de aquiles se houver infração ou má vontade corporativa e regulatória.
Não é provável que fiscalizações procurem focar primeiramente de modo desmedido ou unicamente empresas maduras num dia comum por erro banal se não houver denúncia recorrente.
Porém e muito infelizmente para muitos times a dificuldade real está no cotidiano com o próprio titular ou ex-funcionário acionando via demandas na ANPD por nunca obter o retorno de prazo via site legal da empresa sobre um dado indesejado. Se a denúncia ativa a autoridade, e a autoridade requisita que a empresa se manifeste comprovando de plano tudo e enviando como evitou, por que manteve (ou pior, se nem registro havia de solicitação de exercício ali na porta), inicia-se um processo.
Nessa etapa o controlador não necessitará responder: “o meu botão enviar funciona”, e sim demonstrará toda sua governança por debaixo do botão.
Um software faz a ponte onde planilhas ruíram
O gerenciamento dos Direitos sem o uso prático de software virou tarefa exaustiva, lenta, com alta probabilidade ao esquecimento.
Plataformas maduras de governança como as desenvolvidas ou integradas neste ciclo — exemplo, a atuação no Software da DPO Privacy com módulo de “Atendimento para Direitos dos Titulares” ou “Ouvidoria de Privacidade” devem prever:
- Autenticação Limpa (Portal de Abertura): Criação ou incorporação via link portal seguro pro DPO e recebimento formal de todas solicitações de modo seguro diretamente à plataforma por protocolos criptográficos controlados e triáveis automaticamente.
- Canal Seguro DPO e Usuários: Uma thread isolada por dentro, com garantia, e troca sem expor mais caixa postal corporativa sem rastreio (evita a dispersão ou uso de emails “paralelos” e informais soltos na rede como respostas críticas e trocas com titulares exigentes).
- Comunicação e Disparo Multi-Tarefas Integrados ao ROPA: Um diferencial não negociável de gestão (que no software da DPO Privacy está claro). Se um cliente reclama que deseja informações que envolve seu acesso logístico e sistema de benefícios – os dados de RH – na mesma tela do ticket do titular a gestão da DPO ou conformidade seleciona quem cuida com um clique na tabela integrada de Inventário – por ali, a Gestão de Riscos já dispara uma tarefa para o Fornecedor de plano x de saúde, a pessoa operadora e parceira a evidenciar para apagar, revisar e dar baixa daquela vida sem planilhas na mesa num deadline travado onde a plataforma reportasse se vence prazo, controlando as SLA.
- Evidências Guardadas sob Lock Regulatório: E não a mero controle humano de apagamento posterior acidentalmente das defesas já formalmente exercitadas.
Conclusão
Garantir, atender, processar e registrar pedidos feitos pelos indivíduos em seus direitos previstos pela LGPD não pertence no formato avançado brasileiro da atualidade à seara comercial do tradicional e engessado “Fale Conosco/SAC”.
A ANPD monitora o indicador hoje do descumprimento, pois atender Direitos é a materialização principal para garantir a não exploração ilegal dos modelos de processamento abusivo sem as suas necessárias limitações no uso ou controle pelo dono real do bem geridor.