A Lei Geral de Proteção de Dados (Lei nº 13.709/2018, a LGPD) dá a você o direito de pedir a uma empresa que apague seus dados pessoais. O pedido é gratuito, não precisa de advogado e pode ser feito por e-mail ou pelo formulário da própria empresa. Abaixo está um modelo para copiar e adaptar.
Qual direito da LGPD permite pedir a exclusão dos dados
O art. 18 da LGPD lista os direitos do titular, que é você, a pessoa a quem os dados se referem. Você pode exercê-los a qualquer momento, mediante requisição ao controlador, que é a empresa que trata os dados. Para tirar seus dados de uma base, os que importam são estes:
- Eliminação (art. 18, IV e VI): a exclusão dos dados. Vale para dados desnecessários, excessivos ou tratados em desconformidade com a lei, e para os dados tratados com o seu consentimento.
- Anonimização (art. 18, IV): os dados deixam de identificar você. Por exemplo, seu nome vira iniciais e o CPF sai da página.
- Bloqueio (art. 18, IV): a suspensão temporária de qualquer uso dos dados, que ficam guardados (art. 5º, XIII). Serve para tirar seus dados do ar enquanto a empresa analisa o resto.
- Oposição (art. 18, §2º): você se opõe a um tratamento feito sem o seu consentimento quando ele descumpre a lei. É o direito que pesa contra quem reúne e exibe dados sem nunca ter pedido sua autorização.
- Revogação do consentimento (art. 18, IX): se você autorizou o uso dos dados um dia, pode retirar essa autorização.
Peça esses direitos juntos, e não só a eliminação. Sites de consulta e outras empresas que você nunca autorizou costumam dizer que usam dados públicos ou que têm legítimo interesse. Por isso, a carta também pede o bloqueio e se opõe ao tratamento.
Vale incluir ainda o pedido de acesso aos dados (art. 18, I e II), o único com prazo fixado na lei, e o pedido para saber com quem a empresa compartilhou seus dados (art. 18, VII). A empresa que apaga seus dados deve avisar quem os recebeu dela para que façam o mesmo (art. 18, §6º).
Quando a empresa pode manter seus dados
A exclusão não vale para tudo. A empresa pode se recusar quando tiver base legal para guardar os dados:
- Obrigação legal ou regulatória (art. 16, I): por exemplo, registros que a lei manda guardar por um tempo. O art. 16 traz também outras hipóteses de conservação.
- Proteção do crédito (art. 7º, X): birôs de crédito e empresas de análise de crédito usam essa base para manter os dados. O pedido de exclusão não apaga uma dívida nem tira uma anotação de inadimplência.
- Registros públicos, como processos judiciais: sites que reproduzem processos costumam responder com a anonimização do seu nome na página, e não com a exclusão.
Mesmo quando recusa, a empresa deve responder e dizer por quê. Se não puder atender de imediato, ela deve informar que não trata seus dados e indicar quem trata, ou apontar as razões de fato ou de direito que a impedem (art. 18, §4º).
Para quem enviar o pedido de exclusão
Envie ao encarregado pelo tratamento de dados pessoais da empresa, também chamado de DPO. A LGPD obriga a empresa a divulgar a identidade e o contato do encarregado de forma clara, de preferência no próprio site (art. 41, §1º).
- Abra a política de privacidade da empresa, em geral no rodapé do site, e procure por “encarregado”, “DPO” ou “titular”.
- Se houver um e-mail do encarregado, envie a carta para ele. Se houver um formulário ou portal de privacidade, use esse canal.
- Empresas de pequeno porte podem não ter encarregado, mas devem oferecer um canal de comunicação com o titular (Resolução CD/ANPD nº 2/2022, art. 11). Nesse caso, use o contato que a política indicar.
Se a empresa só mantém um formulário e ele não aceita texto livre, marque as opções de exclusão, bloqueio e oposição e cole o modelo no campo de observações, se houver um.
Modelo de carta para pedir a exclusão dos seus dados
Copie o texto, troque o que está entre colchetes e apague o parágrafo das páginas se não for usá-lo. Envie um pedido para cada empresa.
Assunto: Requisição de direitos do titular (LGPD, art. 18)
Para: [nome da empresa], aos cuidados do encarregado pelo tratamento de dados pessoais
Eu, [seu nome completo], CPF nº [seu CPF], titular dos dados pessoais, com base no art. 18 da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais, LGPD), requeiro a [nome da empresa]:
1. A confirmação da existência de tratamento e o acesso aos meus dados pessoais (art. 18, I e II), por meio de declaração clara e completa que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, no prazo de 15 dias (art. 19, II), e a informação das entidades públicas e privadas com as quais meus dados foram compartilhados (art. 18, VII).
2. O bloqueio imediato dos meus dados pessoais (art. 5º, XIII, e art. 18, IV), com a suspensão de sua exibição, consulta e disponibilização a terceiros enquanto os demais pedidos são atendidos.
3. A oposição ao tratamento dos meus dados pessoais realizado sem o meu consentimento (art. 18, §2º), em especial à sua exibição, venda ou disponibilização a terceiros e ao seu uso para publicidade ou prospecção de clientes. Esse tratamento descumpre a LGPD porque não observa a boa-fé nem os princípios da finalidade, da adequação e da necessidade (art. 6º, caput, I, II e III), e porque o tratamento de dados de acesso público deve considerar a finalidade, a boa-fé e o interesse público que justificaram a sua disponibilização (art. 7º, §3º).
4. A eliminação de todos os meus dados pessoais, por se tratar de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD (art. 18, IV), inclusive os tratados com base em consentimento, cujo consentimento revogo (art. 18, VI e IX), ressalvadas apenas as hipóteses de conservação do art. 16, que devem ser indicadas na resposta com os dados conservados e o fundamento de cada um.
5. A comunicação da eliminação, da anonimização ou do bloqueio aos agentes de tratamento com os quais meus dados foram compartilhados, para que repitam o mesmo procedimento (art. 18, §6º).
Meus dados aparecem, entre outras, nas seguintes páginas: [endereço de cada página]. Se a eliminação não for possível, requeiro a anonimização dos meus dados nessas páginas (art. 18, IV).
Peço que a resposta traga o número de protocolo desta requisição e as providências adotadas para cada pedido. Se alguma providência não puder ser adotada de imediato, peço que a resposta indique o agente de tratamento responsável ou as razões de fato ou de direito que impedem a sua adoção (art. 18, §4º).
O atendimento desta requisição não tem custo para mim (art. 18, §5º). Os dados informados aqui servem apenas para atender a esta requisição e não podem ser utilizados em meu prejuízo (art. 21).
Peço que toda resposta sobre esta requisição seja enviada para [seu e-mail].
[Cidade], [data].
[seu nome completo]
O que anexar ao pedido e o que não enviar
Na maioria dos casos, nome completo e CPF bastam para a empresa encontrar você nas bases dela. O modelo já traz os dois. Não envie mais do que isso no primeiro contato:
- Não mande foto de documento nem selfie se a empresa não pedir. Envie só quando ela exigir para confirmar sua identidade, e só pelo canal oficial indicado na política de privacidade.
- Não informe dados que a empresa não precisa, como endereço, telefone, data de nascimento ou nome da mãe, a menos que ela peça para localizar seu cadastro.
- Indique os endereços das páginas em que seus dados aparecem, quando souber. Isso ajuda sites de consulta e de processos a achar o registro certo.
O que você envia para exercer um direito não pode ser usado contra você (art. 21), e a empresa só pode usar esses dados para atender ao pedido (art. 6º, I).
Qual é o prazo para a empresa responder
A LGPD fixa prazo só para a confirmação e o acesso aos dados. Em formato simplificado, a resposta deve ser imediata. A declaração clara e completa, com a origem dos dados e a finalidade do tratamento, deve vir em até 15 dias contados do pedido (art. 19, I e II). Empresas de pequeno porte têm o dobro desse prazo, 30 dias (Resolução CD/ANPD nº 2/2022, art. 14, III).
Para a eliminação, o bloqueio, a anonimização e a oposição, a lei não fixa um número de dias. O art. 18, §5º, remete os prazos a um regulamento da Agência Nacional de Proteção de Dados (ANPD), que ainda não foi publicado. O que a lei exige é que a empresa adote a providência de imediato ou responda explicando por que não pode (art. 18, §4º). Por isso o modelo pede o acesso no prazo de 15 dias: é o ponto em que a empresa já deveria ter dado uma resposta.
Como guardar a prova de que você enviou o pedido
A prova do envio é o que permite cobrar a empresa depois e levar o caso à ANPD, que pede a comprovação do contato prévio com a empresa.
- Por e-mail: guarde a mensagem enviada, com data e destinatário, e todas as respostas no mesmo fio.
- Por formulário: salve uma captura da tela de confirmação e anote o número de protocolo. Se a empresa mandar um e-mail de confirmação, guarde também.
- Antes de enviar: salve uma captura de cada página que mostra seus dados, com o endereço e a data visíveis. Depois, confira se a página mudou.
O que fazer se a empresa não responder
Passados os 15 dias sem resposta, reenvie o pedido citando a data do primeiro envio. Se a empresa continuar em silêncio ou recusar sem fundamento, você pode peticionar contra ela na ANPD (art. 18, §1º). O formulário da ANPD vale para o pedido feito há mais de 30 dias corridos e não atendido. A petição é feita pelo serviço Abrir requerimento relacionado à LGPD (ANPD), no gov.br, com conta prata ou ouro e a comprovação do contato prévio com a empresa. O passo a passo está no guia o que fazer quando a empresa não responde à LGPD.
Se você ainda não sabe quais empresas têm seus dados, comece por onde seu CPF está exposto e pela lista de sites de consulta. Os termos usados aqui estão explicados no glossário.
A mEsquece envia esse pedido por você
Mandar uma carta para cada empresa, acompanhar prazos e cobrar quem não responde leva tempo. A mEsquece faz isso por você nas empresas do catálogo dela, com a autorização que você dá pelo gov.br: envia o pedido em seu nome, acompanha o prazo, reitera quando não há resposta e mostra cada resposta na sua conta. A mEsquece não é escritório de advocacia e não garante a exclusão, porque cada empresa decide com base na lei. Veja como funciona.