A empresa não respondeu seu pedido LGPD: o que fazer

Qual é o prazo para a empresa responder um pedido LGPD?

Depende do que você pediu. A Lei Geral de Proteção de Dados (Lei 13.709/2018) só fixa um prazo em dias para a confirmação de que a empresa trata seus dados e para o acesso a eles.

Confirmação e acesso em formato simplificado: imediatamente (art. 19, I).
Declaração clara e completa, com a origem dos dados, os critérios usados e a finalidade do tratamento: até 15 dias, contados da data do seu pedido (art. 19, II).
Empresa de pequeno porte: tem prazo em dobro para essa declaração completa, 30 dias, se não fizer tratamento de alto risco nem passar dos limites de receita do regulamento (Resolução CD/ANPD nº 2/2022, arts. 3º e 14, III).

Para os outros direitos, como eliminação, bloqueio, anonimização e oposição, a lei diz que o pedido é atendido sem custo, nos prazos previstos em regulamento da ANPD (art. 18, §5º). E diz também que, se a empresa não puder atender de imediato, ela deve responder dizendo por quê, ou indicando quem de fato trata os seus dados (art. 18, §4º). Silêncio não é uma resposta prevista na lei.

Na prática, a ANPD usa uma régua clara: o formulário de petição dela vale para o pedido feito à empresa há mais de 30 dias corridos e não atendido.

Como contar o prazo e guardar a prova

O prazo corre da data do pedido. Por isso, antes de qualquer outro passo, junte o que mostra quando e como você pediu:

o e-mail enviado, com data e endereço da empresa
o número de protocolo que a empresa informou
uma captura de tela do formulário enviado ou da confirmação de envio
qualquer resposta que só confirmou o recebimento, sem atender o pedido

Confira também a caixa de spam e veja se a empresa pediu algum documento para confirmar a sua identidade. Um pedido de documento sem retorno seu pode explicar a demora.

Primeiro passo: reitere o pedido à empresa

Antes de recorrer a um órgão público, escreva de novo para a empresa, de preferência respondendo na mesma conversa ou pelo mesmo canal. Assim o histórico fica junto e serve de prova depois. A nova mensagem deve dizer:

seu nome completo e o CPF, para a empresa localizar o cadastro
a data do pedido original e o protocolo, se houver
o que você pediu, citando o artigo da LGPD (art. 18, com o inciso do direito)
que o prazo passou sem resposta e que você pede a resposta em até 15 dias
que, sem resposta, você vai peticionar contra a empresa na ANPD (art. 18, §1º, e art. 55-J, V)

Um exemplo curto:

“Em [data], pedi a [empresa], com base no art. 18 da Lei 13.709/2018, a eliminação dos meus dados pessoais (protocolo [número]). O prazo passou e não recebi resposta. Reitero o pedido e peço a resposta em até 15 dias, com as providências adotadas. Sem resposta, apresentarei petição contra o controlador à Agência Nacional de Proteção de Dados (art. 18, §1º, e art. 55-J, V, da LGPD).”

Se você ainda não fez o pedido original, comece pelo modelo de pedido de exclusão pela LGPD.

Petição de titular ou denúncia: qual usar na ANPD?

A Agência Nacional de Proteção de Dados (ANPD) recebe os dois pelo mesmo serviço, mas eles servem a casos diferentes.

Petição de titular é o seu caso específico: você pediu um direito à empresa e não foi atendido, ou a resposta foi incompleta. Só a própria pessoa dona dos dados (ou quem a representa) pode fazer, e é preciso provar o pedido anterior. A lei garante esse direito no art. 18, §1º, e a ANPD aprecia essas petições pelo art. 55-J, V.
Denúncia é a comunicação de uma suposta violação da LGPD, que não precisa ser sobre você e costuma atingir muitas pessoas. Qualquer pessoa ou empresa pode fazer, inclusive de forma anônima.

Se você não conseguiu nem fazer o pedido, porque a empresa não tem encarregado de dados nem canal de atendimento, a ANPD orienta usar a denúncia.

O que você precisa para fazer a petição de titular

Conta gov.br nível prata ou ouro. O nível bronze não acessa o serviço. Você sobe para prata pelo reconhecimento facial no aplicativo gov.br (com a foto da CNH) ou validando seus dados no internet banking de um banco credenciado. Os caminhos estão na página níveis da conta gov.br.
O pedido feito à empresa há mais de 30 dias corridos sem atendimento, ou uma resposta que você considera incompleta ou insatisfatória.
A prova do pedido: o e-mail, o protocolo, a captura de tela. Se o pedido foi por telefone e você só tem o protocolo, o formulário da ANPD aceita uma autodeclaração.
Os dados da empresa: nome, CNPJ, site e, principalmente, o e-mail de contato. Sem o e-mail, a ANPD não envia a sua petição à empresa e apenas a registra. Se não souber o CNPJ, busque pelo nome na consulta de CNPJ da Redesim.
A procuração, se quem envia é um representante seu.

Passo a passo da petição na ANPD

Abra o serviço Abrir requerimento relacionado à LGPD (ANPD), no portal gov.br, e entre com a sua conta.
Escolha Petição de Titular.
Informe a empresa e o canal em que você fez o pedido. Faça uma petição para cada empresa e, se pediu mais de um direito, marque o principal.
Descreva o que pediu, quando, e por que a resposta não atendeu, ou que não houve resposta. Anexe as provas.
Envie e acompanhe o requerimento pelo mesmo serviço.

O que acontece depois da petição

O serviço é gratuito, e o gov.br estima até 30 dias úteis para a prestação. Pelas orientações do formulário da ANPD:

a ANPD envia o seu requerimento ao e-mail da empresa que você informou, e o conteúdo, com seus dados e anexos, pode ser compartilhado com o encarregado dela
o requerimento é encerrado com a resposta da empresa ou, sem resposta, automaticamente 30 dias depois do envio a ela
a ANPD não envia uma resposta individual nem opina sobre o seu caso. As petições são analisadas em conjunto e entram no planejamento da fiscalização. Casos graves, que afetam muitas pessoas, podem ser tratados individualmente

Ou seja: a petição pressiona a empresa e alimenta a fiscalização, mas não é um processo com decisão sobre o seu pedido. Se você suspeita de fraude com os seus dados, a ANPD orienta registrar um boletim de ocorrência na polícia. Veja também o que fazer se o seu CPF vazou.

Consumidor.gov.br e Procon: quando a empresa é sua fornecedora

A LGPD permite levar a reclamação também aos órgãos de defesa do consumidor (art. 18, §8º). Esse caminho faz sentido quando você é cliente da empresa: um banco, uma operadora, uma loja onde comprou.

Consumidor.gov.br é um serviço público e gratuito, monitorado pela Secretaria Nacional do Consumidor (Senacon), em que você fala direto com a empresa. Ela precisa participar da plataforma, tem até 10 dias para responder, e você avalia a resposta depois. Também exige conta gov.br prata ou ouro.
Procon do seu estado ou da sua cidade, quando a empresa não está no Consumidor.gov.br ou a conversa por lá não resolveu. A plataforma não substitui o Procon.

Reclame Aqui: pressão pública, não canal legal

O Reclame Aqui é um site privado. Uma reclamação pública pode fazer a empresa responder mais rápido, mas não conta como pedido pela LGPD nem como petição à ANPD. Use como reforço, nunca no lugar do pedido formal. E não publique seu CPF, endereço ou documentos no texto da reclamação, que fica aberto a qualquer pessoa.

E se a empresa responder que não vai apagar?

Responder com uma recusa fundamentada é diferente de não responder. Os direitos do titular não são absolutos: a empresa pode manter dados por obrigação legal, para proteção do crédito ou quando se trata de um registro público, como um processo judicial que não corre em segredo. Nesses casos, ela deve dizer as razões (art. 18, §4º, II). Se você achar a recusa infundada, a petição de titular também vale para resposta insatisfatória. E a defesa dos seus direitos pode ser levada à Justiça, individual ou coletivamente (art. 22), com um advogado ou pela Defensoria Pública.

Como a mEsquece cuida dessa etapa

Com a autorização que você dá pelo gov.br, a mEsquece envia os pedidos LGPD em seu nome às empresas do catálogo dela e guarda cada envio com a data. Depois:

acompanha o prazo de cada pedido
reitera o pedido que passou do prazo sem resposta
mostra cada resposta da empresa na sua conta
quando a empresa recusa ou fica 30 dias em silêncio, prepara a petição de titular à ANPD, com as cartas, as datas de entrega e as respostas, e guia você no formulário do gov.br. Quem envia é você, com a sua conta gov.br, e o número do protocolo fica registrado no pedido

A mEsquece não garante que a empresa vai atender nem que a ANPD vai responder, porque isso depende delas. E não é escritório de advocacia. Os detalhes estão nos termos de uso e em como funciona. O serviço está em piloto, com entrada por convite e lista de espera.