Conformidade
Pedido de exclusão
O que é
Pedido de exclusão é o exercício de um direito do titular: pedir que a empresa apague os dados pessoais dele. Está previsto na Lei Geral de Proteção de Dados junto com outros direitos, como acesso, correção e portabilidade, e a empresa precisa ter um caminho para receber e atender.
A sequência é solicitação, identificação, prazo, exclusão e confirmação. É um fluxo curto, e ele existe nesta lista por um motivo: quase toda empresa tem a primeira etapa e quase nenhuma tem a última.
Por que a ordem é essa
Sem identificar quem pede, apagar dado vira risco em vez de conformidade. É o ponto contraintuitivo: atender rápido demais, sem confirmar que quem pede é o titular, abre porta para alguém apagar dado de outra pessoa. A identificação não pode ser desculpa para dificultar (pedir documento demais é abusivo), e não pode ser dispensada.
O prazo vem antes da exclusão porque ele precisa ser dito na resposta inicial, e porque nem tudo pode ser apagado na hora: há dado que a empresa é obrigada a guardar por lei, como registro fiscal e, no caso de aplicações de internet, o registro de acesso previsto no Marco Civil. Isso não é escapatória: é escopo, e o titular precisa saber o que fica, por quanto tempo e por quê.
A confirmação fecha e é a etapa que quase nunca existe. Sem ela, o titular não sabe se foi atendido, e a única forma de descobrir é receber um e-mail de marketing semanas depois, o que costuma virar reclamação na autoridade.
Etapa por etapa
-
Solicitação
Um canal público e simples para receber o pedido: e-mail informado na política, formulário ou o contato do encarregado.
Se sair do lugar: Sem canal declarado, o pedido chega por rede social ou reclamação pública, e o prazo começa a correr do mesmo jeito.
-
Identificação
Confirmar que quem pede é o titular, com o mínimo necessário. Se o dado já está na conta, autenticar na conta basta.
Se sair do lugar: Atender sem identificar permite exclusão de dado de terceiro; exigir documento em excesso é atrito abusivo.
-
Prazo
Responder ao titular com o que será feito e quando, informando o que a lei obriga a manter e por qual base.
Se sair do lugar: Silêncio é a causa mais comum de escalada para a autoridade, mesmo quando a empresa pretendia atender.
-
Exclusão
Apagar nas bases, inclusive nas cópias: ferramenta de e-mail, CRM, planilha exportada, backup e operadores contratados.
Se sair do lugar: Apagar só no sistema principal é o erro técnico mais comum, e a ferramenta de e-mail é onde o dado reaparece.
-
Confirmação
Avisar o titular de que foi feito, dizendo o que foi apagado e o que permaneceu. Registrar internamente o atendimento.
Se sair do lugar: Sem confirmação e sem registro, a empresa não consegue demonstrar que cumpriu, e demonstrar é obrigação dela.
Onde o dado reaparece depois de apagado
O caso mais comum não é má-fé, é arquitetura: o dado foi apagado do sistema principal e continuou vivo em três lugares esquecidos. A ferramenta de e-mail marketing, que tem a própria base sincronizada. A planilha que alguém exportou para fazer um relatório. E o backup, que restaura o registro na próxima recuperação.
A consequência aparece semanas depois, quando a pessoa que pediu exclusão recebe uma campanha. Do lado dela, a empresa mentiu. A defesa é ter a lista dos lugares onde dado pessoal vive, incluindo fornecedores, e tratar exclusão como processo que percorre todos, não como um botão em um sistema.
Perguntas rápidas
- Qual o prazo para atender?
- A lei fixa prazo curto para o pedido de confirmação e acesso, e para os demais direitos a prática consolidada é responder no menor tempo possível, informando o andamento. O que não se sustenta é não responder: mesmo quando parte do dado precisa ser mantida, a resposta é obrigatória.
- Posso me recusar a excluir?
- Pode manter o que é necessário para cumprir obrigação legal ou regulatória, para exercício regular de direito em processo, e nas outras hipóteses previstas na lei. O correto é informar isso ao titular, dizendo qual dado permanece e por qual motivo, em vez de negar o pedido inteiro.
- Descadastrar do e-mail é o mesmo que excluir?
- Não. Descadastrar interrompe o envio e mantém o dado (inclusive porque é preciso guardar o registro de que a pessoa pediu para não receber). Exclusão apaga os dados pessoais. Tratar um pedido de exclusão como descadastro é atendimento incompleto.
- Preciso de encarregado de dados?
- A lei prevê a figura do encarregado e a autoridade já flexibilizou a exigência para agente de pequeno porte, que ainda assim precisa de um canal de comunicação com o titular. Ter um endereço que funciona e alguém responsável por ele resolve o essencial.