LGPD: como pedir acesso aos dados pessoais que uma empresa guarda?

Você recebe mensagens de uma empresa com a qual não lembra de ter contato ou quer entender quais informações um aplicativo mantém sobre sua conta. A política de privacidade descreve práticas gerais, mas pode não esclarecer quais dados seus são efetivamente tratados.

A Lei Geral de Proteção de Dados Pessoais, a LGPD, permite pedir essa informação diretamente ao responsável. Confirmar que existem dados e ter acesso ao seu conteúdo são direitos distintos de pedir exclusão ou indenização.

O primeiro passo é formular um pedido identificável, por canal oficial, e preservar a resposta. Este artigo se concentra no atendimento de empresas privadas; solicitações ao poder público podem seguir procedimentos próprios.

O que significa pedir confirmação e acesso?

O art. 18, incisos I e II, da LGPD assegura ao titular o direito de obter do controlador a confirmação da existência de tratamento e o acesso aos seus dados.

Controlador é quem toma as decisões sobre o tratamento. Em uma relação de consumo, pode ser a empresa responsável pela loja, aplicativo ou serviço, conforme a atividade envolvida.

Você pode perguntar se a organização trata dados seus e solicitar acesso ao que estiver relacionado à sua pessoa. Isso não equivale a exigir o banco de dados inteiro da empresa ou informações de outros clientes.

Quais informações vale solicitar?

Um pedido pode identificar a conta, o cadastro ou o serviço e solicitar:

1. confirmação de que há tratamento de seus dados;
2. acesso aos dados pessoais abrangidos pelo pedido;
3. informação sobre a origem, os critérios utilizados e as finalidades do tratamento;
4. informação sobre as entidades públicas e privadas com as quais houve uso compartilhado.

Os três primeiros pontos se relacionam aos arts. 18 e 19. O direito à informação sobre compartilhamento está no art. 18, inciso VII.

Indicar um período ou uma operação específica pode facilitar a localização, mas não é preciso limitar o pedido a um episódio de fraude. O acesso também serve para compreender e conferir um tratamento que aparenta ser regular.

Preciso provar que houve vazamento?

Não. O direito de acesso não depende de demonstrar previamente um incidente de segurança.

Também não é necessário apresentar uma justificativa comercial para querer conhecer seus próprios dados. O requerimento, porém, precisa permitir que a organização identifique o titular e entenda a solicitação.

Se a questão envolver dados de outra pessoa, o pedido exigirá fundamento próprio e, quando cabível, representação. Ter acesso a um aparelho ou conhecer o CPF de alguém não autoriza receber todas as informações dessa pessoa.

Como localizar o canal correto?

Consulte a política de privacidade e a área de atendimento do site ou aplicativo oficial. Procure o canal do encarregado ou outro meio indicado para exercer os direitos de titular.

Confirme o domínio e o destinatário antes de enviar documentos. Links recebidos em mensagens não solicitadas podem direcionar a páginas falsas.

Quando houver uma conta autenticada, o formulário dentro do serviço pode ajudar a vincular o pedido ao cadastro correto. Guarde a confirmação de envio e o número do protocolo.

A empresa pode verificar minha identidade?

Entregar dados à pessoa errada criaria outro problema de privacidade. Por isso, uma verificação de identidade pode ser necessária, mas deve ser compatível com a solicitação e com os princípios da necessidade e da segurança.

Se forem exigidos documentos ou informações que pareçam excessivos, peça esclarecimento sobre a finalidade e sobre o canal seguro de envio. Não forneça senhas, códigos de autenticação ou acesso remoto ao aparelho para exercer esse direito.

O pedido deve permitir a identificação sem se tornar uma oportunidade para coleta indiscriminada de novos dados.

Qual é o prazo de resposta?

O art. 19 da LGPD prevê duas formas de atendimento: confirmação ou acesso em formato simplificado, imediatamente; ou declaração clara e completa em até 15 dias, contados do requerimento.

A declaração completa deve informar a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, observados os segredos comercial e industrial.

Esse prazo não deve ser anunciado como regra única para qualquer pedido de LGPD. Correção, exclusão, portabilidade e outros direitos têm particularidades, assim como determinados agentes e setores.

Para agentes de tratamento de pequeno porte que possam se beneficiar da Resolução CD/ANPD nº 2/2022, o art. 14, inciso III, concede prazo em dobro para a declaração completa, chegando a 30 dias. O art. 15 permite a declaração simplificada em até 15 dias.

O enquadramento não decorre apenas de a empresa se apresentar como pequena. A resolução traz condições e exclusões, inclusive relacionadas ao tratamento de alto risco. Se for invocado um prazo diferenciado, peça a indicação da regra aplicável.

Posso escolher como receber os dados?

O art. 19, § 2º, permite o fornecimento por meio eletrônico seguro e idôneo ou em forma impressa, a critério do titular.

Quando o tratamento se origina em consentimento ou contrato, o § 3º contempla solicitação de cópia eletrônica integral dos dados pessoais, com observância dos segredos comercial e industrial e dos termos da regulamentação.

Isso não significa acesso irrestrito a sistemas internos, dados de terceiros ou código-fonte. Se parte do pedido não puder ser atendida, é importante que a resposta esclareça a limitação e seu fundamento.

A empresa pode cobrar pelo atendimento?

O art. 18, § 5º, prevê atendimento sem custos para o titular, nos prazos e termos da regulamentação.

Se houver cobrança para exercer o direito, peça a discriminação do serviço e o fundamento. Uma oferta de serviço comercial adicional não deve ser confundida com o próprio atendimento do requerimento de acesso.

Da mesma forma, receber um link para a política geral não esclarece necessariamente quais dados seus são tratados. Compare o conteúdo da resposta com as perguntas efetivamente formuladas.

Receber os dados significa poder mandar apagar tudo?

Não. Acesso, correção, revogação de consentimento e eliminação são pedidos diferentes.

A própria LGPD admite conservação em hipóteses legais, como o cumprimento de obrigação legal ou regulatória, nos termos do art. 16. Também não se deve presumir que todo tratamento dependa de consentimento.

Depois de conhecer os dados, você pode identificar informações inexatas, excessivas ou cuja utilização precisa ser esclarecida. O pedido seguinte deve indicar a divergência concreta e o direito que pretende exercer.

O que fazer se não houver resposta adequada?

Reúna o pedido, a prova de envio, o protocolo e as respostas. Registre o que faltou: ausência de confirmação, dados não disponibilizados, resposta genérica ou justificativa que não esclarece a limitação.

O art. 18, § 4º, prevê resposta fundamentada quando não for possível adotar imediatamente a providência. A organização pode informar que não é o agente responsável e indicar outro, quando possível, ou explicar os motivos que impedem o atendimento imediato.

O serviço oficial da ANPD orienta procurar primeiro o controlador. Se a solicitação não for atendida ou a resposta for insatisfatória, é possível apresentar uma petição de titular pelo canal indicado no portal, com comprovação do contato prévio.

Esse procedimento não garante indenização nem substitui a análise de eventual medida judicial. Uma demora ou uma resposta incompleta também não permite concluir, isoladamente, que houve vazamento.

Ao organizar o histórico, consulte as orientações sobre preservação de provas digitais. Outros conteúdos sobre dados, contas e plataformas estão em Direito Digital.

Fontes consultadas

Referências conferidas em 19 de outubro de 2026.

• Lei Geral de Proteção de Dados Pessoais, texto no Planalto, especialmente arts. 5º, 6º, 16, 18, 19 e 23, § 3º.
• Resolução CD/ANPD nº 2/2022, texto atualizado no portal da ANPD, especialmente arts. 3º, 14 e 15 do regulamento.
• ANPD: perguntas frequentes, item 5.9 sobre prazos de atendimento.
• Portal gov.br: abrir requerimento relacionado à LGPD, orientações para petição de titular e comprovação do contato prévio.