Receber uma solicitação de exclusão de dados pessoais não deve ser tratado como uma tarefa meramente operacional. Para a empresa, a resposta envolve direitos do titular, bases legais, prazos internos, fornecedores, sistemas, documentos de retenção obrigatória e risco de responder de forma incompleta.
A LGPD garante ao titular a possibilidade de pedir eliminação de dados pessoais tratados com base no consentimento e também de questionar tratamentos excessivos, desnecessários ou irregulares. Ao mesmo tempo, a própria lei admite situações em que a empresa pode conservar determinadas informações, por exemplo para cumprimento de obrigação legal, exercício regular de direitos ou uso exclusivo do controlador, desde que respeitados limites e finalidades legítimas.
Na prática, a melhor resposta combina três movimentos: registrar o pedido, analisar juridicamente o que pode ou não ser excluído e comunicar a decisão em linguagem clara. O objetivo não é apagar tudo automaticamente, nem negar de forma genérica. É demonstrar que a empresa sabe onde estão os dados, por que os trata e quais medidas adotou.
Sumário
- Resposta direta: a empresa nem sempre deve apagar tudo imediatamente
- O que a LGPD permite que o titular peça
- Primeiro passo: registrar o pedido e confirmar a identidade
- Quando a exclusão deve ser atendida
- Quando a empresa pode manter dados mesmo após o pedido
- Como preparar a resposta ao titular
- Como documentar a decisão internamente
- Erros comuns ao responder solicitações de exclusão
- FAQ – dúvidas comuns sobre pedido de exclusão de dados pela LGPD
Resposta direta: a empresa nem sempre deve apagar tudo imediatamente
Para responder a uma solicitação de exclusão de dados pela LGPD, a empresa deve registrar o pedido, confirmar a identidade do titular, identificar quais dados estão envolvidos, verificar se existe obrigação legal, regulatória, contratual ou outra base que justifique a retenção, executar a exclusão quando cabível e comunicar a resposta de forma clara.
Quando a exclusão não puder ser integral, a resposta precisa explicar o motivo de maneira compreensível. Também é recomendável limitar o tratamento ao necessário, restringir acessos internos e manter evidências da análise realizada. Essa trilha de decisão pode ser relevante se o titular questionar a empresa novamente, procurar a ANPD ou discutir o tema judicialmente.
O erro mais comum é escolher um extremo: apagar dados importantes sem avaliar obrigações de retenção ou, no outro lado, responder com uma negativa padronizada sem demonstrar análise. Nenhum dos dois caminhos é seguro. A LGPD exige governança, transparência e proporcionalidade.
O que a LGPD permite que o titular peça
A solicitação de exclusão costuma aparecer junto com outros direitos previstos na LGPD. O titular pode pedir confirmação de tratamento, acesso aos dados, correção de dados incompletos ou desatualizados, informação sobre compartilhamento, portabilidade, anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade.
No caso específico da eliminação, a análise depende do contexto. Se o tratamento ocorreu com base no consentimento e o titular revoga essa autorização, pode haver obrigação de interromper a finalidade vinculada ao consentimento e eliminar os dados, salvo hipóteses legais de conservação. Se o tratamento se apoia em contrato, obrigação legal, proteção ao crédito, exercício regular de direitos ou legítimo interesse, a conclusão pode ser diferente.
Por isso, uma empresa que recebe pedidos de titulares precisa conhecer as bases legais utilizadas em cada processo. Sem esse mapeamento, a resposta fica frágil: a equipe não sabe se o dado está em um sistema de marketing, em uma nota fiscal, em um contrato, em um histórico de atendimento, em um backup, com um fornecedor ou em uma planilha exportada.
Também é importante separar exclusão, bloqueio e anonimização. Em algumas situações, apagar pode não ser possível naquele momento, mas bloquear o uso para novas finalidades ou anonimizar informações pode reduzir risco e demonstrar boa-fé. A alternativa correta depende da finalidade original, da necessidade de retenção e da capacidade técnica de cada sistema.
Primeiro passo: registrar o pedido e confirmar a identidade
O primeiro cuidado é criar um registro do pedido. Esse registro deve conter, no mínimo, data de recebimento, canal utilizado, identificação apresentada, resumo da solicitação, responsável interno pela triagem, sistemas ou áreas acionadas e prazo interno de resposta. A empresa precisa conseguir demonstrar que o pedido não ficou perdido em uma caixa de e-mail ou em uma conversa informal.
A confirmação de identidade é igualmente relevante. Atender uma solicitação de exclusão sem verificar se a pessoa é realmente titular dos dados pode causar outro problema: alteração ou apagamento indevido de informações de terceiro. A autenticação deve ser proporcional ao risco. Um pedido simples pode exigir menos evidências; uma solicitação envolvendo dados sensíveis, vínculo trabalhista, contrato ativo ou histórico financeiro pode demandar validação mais cuidadosa.
Esse cuidado não deve virar obstáculo abusivo ao exercício de direitos. A empresa pode pedir informações suficientes para confirmar a identidade, mas não deve exigir documentos desnecessários nem criar burocracia artificial. A lógica é equilibrar segurança, facilidade de atendimento e minimização de dados.
Após a triagem, a solicitação deve ser encaminhada às áreas que efetivamente controlam a informação: atendimento, comercial, financeiro, recursos humanos, tecnologia, marketing, jurídico ou fornecedores. Em empresas com encarregado de dados ou ponto focal de privacidade, esse papel ajuda a coordenar a resposta e evitar decisões contraditórias.
Quando a exclusão deve ser atendida
A exclusão tende a ser cabível quando a empresa não precisa mais dos dados para a finalidade informada, quando o tratamento era baseado em consentimento e essa autorização foi revogada, quando os dados são excessivos em relação ao serviço prestado ou quando foram tratados de forma irregular.
Um exemplo simples é uma pessoa que se cadastrou para receber comunicações comerciais e pede exclusão desse cadastro. Se não houver outra finalidade legítima para manter aqueles dados na lista de marketing, a empresa deve remover ou bloquear o contato para novas campanhas, preservando apenas o mínimo necessário para comprovar o atendimento ao pedido e evitar novo envio indevido.
Outro exemplo envolve dados duplicados, antigos ou coletados sem necessidade. A LGPD exige adequação e necessidade: a empresa não deve tratar mais dados do que o necessário para a finalidade declarada. Se um formulário pede informações excessivas e o titular questiona a manutenção, pode ser necessário corrigir o processo, excluir campos e ajustar a coleta futura.
Atender o pedido também pode exigir comunicação com operadores. Se um fornecedor de disparo de e-mails, CRM, plataforma de atendimento ou armazenamento em nuvem trata dados em nome da empresa, a exclusão não termina no sistema interno. É preciso verificar contratos, fluxos e mecanismos para que a medida seja refletida onde for aplicável.
Quando a empresa pode manter dados mesmo após o pedido
A LGPD não obriga a empresa a eliminar qualquer dado sempre que o titular solicita. Existem hipóteses em que a conservação pode ser necessária e juridicamente justificável. O ponto central é que a empresa deve saber explicar qual dado será mantido, por qual motivo, por quanto tempo e com quais restrições.
Dados fiscais, contábeis, notas fiscais, registros relacionados a contratos, documentos de relação trabalhista, informações necessárias à prevenção de fraude, evidências de cumprimento de obrigação legal ou registros importantes para defesa em processo podem exigir retenção. Nesses casos, a empresa pode negar a exclusão total, mas deve limitar o tratamento à finalidade que justifica a conservação.
Também pode haver diferença entre apagar dados de uma base ativa e preservar registros em backup por prazo técnico razoável. A empresa deve evitar prometer eliminação instantânea de todos os ambientes se isso não for tecnicamente realista. O mais seguro é ter uma política clara para backups, restauração e retenção, alinhada com a governança de dados.
A resposta ao titular não precisa revelar detalhes sensíveis de segurança ou estratégia jurídica, mas deve ser transparente o suficiente para não parecer uma negativa automática. Expressões vagas como “não podemos excluir por questões internas” são fracas. É melhor indicar, em linguagem simples, que determinados dados serão mantidos apenas pelo período necessário ao cumprimento de obrigação legal, execução de contrato ou exercício regular de direitos, conforme o caso.
Como preparar a resposta ao titular
Uma boa resposta deve começar confirmando o recebimento e descrevendo o que foi analisado. Em seguida, deve informar se a exclusão foi realizada integralmente, parcialmente ou se não pôde ser atendida naquele momento. Quando houver exclusão parcial, a empresa deve diferenciar os dados eliminados daqueles preservados por base legal específica.
A linguagem precisa ser clara. O titular não é obrigado a conhecer categorias jurídicas complexas. Em vez de responder apenas com artigos de lei, a empresa deve explicar o raciocínio: “removemos seus dados da lista de comunicações comerciais”, “mantivemos dados de nota fiscal pelo prazo legal aplicável” ou “preservamos registros mínimos para comprovar o atendimento da solicitação”.
Também é recomendável informar canais para dúvidas ou complementação. Se a empresa possui encarregado de dados, canal de privacidade ou e-mail específico para direitos dos titulares, esse contato deve ser mencionado. O tom deve ser cooperativo, sem prometer resultado além do que foi efetivamente feito.
Em situações sensíveis, a resposta deve ser revisada por quem entende do processo e por apoio jurídico. Pedidos envolvendo ex-empregados, consumidores em conflito, dados sensíveis, menores de idade, incidentes de segurança, investigações internas ou processos judiciais exigem cuidado maior, porque uma resposta mal formulada pode gerar novas frentes de risco.
Como documentar a decisão internamente
A documentação interna é o que transforma uma resposta em evidência de governança. Não basta dizer que a empresa analisou: é preciso manter registro mínimo da análise, especialmente quando a solicitação foi negada ou atendida parcialmente.
Essa documentação pode incluir o protocolo do pedido, os dados de identificação usados para autenticação, as áreas consultadas, os sistemas verificados, a base legal avaliada, a decisão tomada, a data da resposta, os dados excluídos ou bloqueados, os dados mantidos e a justificativa de retenção. Quando fornecedores participam do tratamento, também é importante registrar o acionamento desses operadores.
O mapeamento de dados pessoais ajuda muito nesse ponto. Uma empresa que já conhece seus fluxos consegue responder com mais rapidez e consistência. Quem ainda não mapeou processos tende a depender de buscas manuais, respostas incompletas e conhecimento informal de cada área.
A documentação deve ser proporcional. Microempresas e operações simples podem usar controles mais enxutos; empresas com maior volume de dados, dados sensíveis ou múltiplos fornecedores precisam de processos mais robustos. O critério não é produzir burocracia, mas criar uma trilha verificável de decisão.
Erros comuns ao responder solicitações de exclusão
O primeiro erro é ignorar o pedido ou deixar a resposta sem responsável. O silêncio pode ser interpretado como ausência de governança e aumenta a chance de reclamações. Mesmo quando a solicitação exige análise, a empresa deve registrar, acompanhar e responder de forma organizada.
O segundo erro é apagar dados sem verificar obrigações de retenção. Excluir registros ligados a contrato, nota fiscal, relação trabalhista, prevenção de fraude ou defesa de direitos pode prejudicar a própria empresa e criar conflito com outras normas. A LGPD deve ser aplicada em conjunto com o contexto jurídico do negócio.
O terceiro erro é negar de maneira genérica. Frases como “não excluímos dados por política interna” ou “seus dados são necessários” sem explicação concreta não demonstram análise. Se a empresa precisa manter algo, deve relacionar a retenção a uma finalidade legítima e limitar o uso.
O quarto erro é esquecer cópias e terceiros. Dados podem estar em CRM, atendimento, e-mail, ferramenta de marketing, planilhas exportadas, backups, fornecedores e sistemas legados. A resposta fica incompleta quando considera apenas a base principal.
O quinto erro é não corrigir o processo que gerou a solicitação. Se vários titulares pedem exclusão porque não reconhecem a coleta, porque recebem comunicações indevidas ou porque não encontram canal de privacidade, o problema pode estar na governança, na política de privacidade, no consentimento ou na gestão de bases legais.
Responder bem a uma solicitação de exclusão de dados pela LGPD exige método. A empresa precisa equilibrar respeito aos direitos do titular com obrigações legais e preservação de evidências. Com registro, mapeamento, análise de base legal e comunicação clara, o pedido deixa de ser uma crise improvisada e passa a ser parte de um programa real de proteção de dados.
FAQ – dúvidas comuns sobre pedido de exclusão de dados pela LGPD
1. A empresa é obrigada a excluir todos os dados quando o titular pede?
Não necessariamente. A empresa deve analisar o pedido e excluir os dados quando não houver fundamento para mantê-los, mas pode conservar informações necessárias ao cumprimento de obrigação legal, regulatória, contratual ou ao exercício regular de direitos, entre outras hipóteses previstas na LGPD.
2. Qual é o primeiro cuidado ao receber um pedido de exclusão de dados?
O primeiro cuidado é registrar o pedido e confirmar a identidade de quem está solicitando. Isso evita que dados sejam alterados ou excluídos a pedido de pessoa não autorizada e cria evidência de que a empresa tratou a demanda de forma organizada.
3. Revogar consentimento significa apagar todos os dados?
A revogação do consentimento pode levar à interrupção de tratamentos baseados nessa autorização e, em alguns casos, à exclusão dos dados. Porém, se houver outra base legal aplicável, como obrigação legal ou necessidade de conservar registros para defesa em processo, parte dos dados pode ser mantida com finalidade limitada.
4. A empresa pode negar um pedido de exclusão?
Pode, desde que exista fundamento jurídico para isso e a resposta seja clara. Uma negativa sem justificativa ou baseada apenas em conveniência interna pode aumentar riscos regulatórios, reputacionais e probatórios.
5. É preciso responder por escrito?
É recomendável responder por escrito ou por canal que permita comprovar o teor e a data da resposta. A documentação ajuda a demonstrar boa-fé, transparência e governança em eventual questionamento do titular ou da ANPD.
6. O que fazer quando os dados estão com fornecedores ou operadores?
A empresa deve verificar contratos, fluxos e sistemas para acionar operadores quando a exclusão ou limitação também depender deles. O controlador precisa demonstrar que possui governança sobre terceiros que tratam dados em seu nome.
7. Existe prazo para responder solicitação de exclusão de dados?
A LGPD exige atendimento aos direitos dos titulares de forma facilitada e compatível com a regulamentação aplicável. Mesmo quando a situação exige análise, a empresa deve ter prazo interno, registro do andamento e comunicação clara para evitar silêncio ou demora injustificada.
8. Dados de nota fiscal, contrato ou processo podem ser excluídos imediatamente?
Em geral, esses dados exigem cautela. Informações ligadas a obrigações fiscais, contratos, auditorias, defesa de direitos ou deveres regulatórios podem precisar ser conservadas pelo período necessário, ainda que com acesso restrito e finalidade limitada.
9. Como provar que a empresa respondeu corretamente?
A prova vem de registros: protocolo do pedido, validação de identidade, avaliação da base legal, sistemas consultados, decisão tomada, medidas executadas, comunicação enviada e eventual acionamento de operadores. Esses elementos formam uma trilha de auditoria.
10. Quando buscar orientação jurídica para responder pedidos de exclusão?
A orientação é especialmente importante quando o pedido envolve dados sensíveis, alto volume de informações, contratos em andamento, conflito com cliente ou empregado, obrigação legal de retenção, incidente de segurança ou risco de reclamação à ANPD.
