Como estruturar um canal de comunicação com titulares de dados

Ter uma política de privacidade e um inventário de dados é necessário — mas insuficiente. A conformidade LGPD se prova no momento em que um titular de dados exerce seus direitos. É aí que a estrutura operacional da sua organização é testada: você tem um canal? Ele funciona? Responde no prazo? Consegue localizar os dados do solicitante?

A ANPD registrou mais de 2.100 requerimentos de fiscalização em 2024, com crescimento significativo de petições relacionadas ao não atendimento de pedidos de titulares. O canal do titular é o ponto de maior exposição ao risco operacional de conformidade LGPD.

Este guia explica como estruturar um canal efetivo: o que a lei exige, como operacionalizar, como verificar a identidade do solicitante e como integrar o canal com os seus processos internos.

O que a LGPD exige sobre o canal de atendimento

A LGPD não especifica o formato técnico do canal — mas os seguintes artigos tornam a sua existência obrigatória:

Art. 18, §3°: O exercício dos direitos é feito por "requerimento expresso do titular ou de representante legalmente constituído ao agente de tratamento" — exige canal formal para recebimento.

Art. 18, §5°: O atendimento deve ocorrer no prazo de 15 dias, contado da data do requerimento — exige que o canal registre a data de entrada para controle de prazo.

Art. 18, §5° (parte final): O atendimento é gratuito — o canal não pode cobrar pelo processamento do pedido.

Art. 41, §1°: A identidade e informações de contato do encarregado devem ser "divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador" — o site da empresa deve publicar o DPO e seu contato.

Art. 41, §2°, I: O encarregado deve "aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências" — o DPO é, formalmente, um dos canais de atendimento ao titular.

O papel do DPO no atendimento ao titular

O encarregado de proteção de dados (DPO) não é apenas quem atende os titulares — ele é a ponte formal entre o titular, a organização e a ANPD.

A Resolução CD/ANPD nº 18/2024 (Regulamento do Encarregado) reforça que o DPO deve:

• Aceitar reclamações e comunicações dos titulares e adotar providências (Art. 41, §2°, I)
• Receber comunicações da ANPD e adotar providências (Art. 41, §2°, II)
• Orientar colaboradores sobre proteção de dados (Art. 41, §2°, III)
• Ter identidade e contato publicados em local de destaque e facilmente acessível no site
• Comunicar-se com titulares em português, de forma clara e precisa
• Não acumular cargos com conflito de interesse — o DPO não pode ser simultaneamente responsável pela definição dos meios e finalidades do tratamento (ex.: não pode ser CTO ou responsável de RH que controla os dados)

O Guia Orientativo ANPD (dezembro 2024) complementa: o DPO deve monitorar o cumprimento das obrigações de proteção de dados, coordenar a resposta a incidentes e facilitar a elaboração de RIPDs — não é uma função apenas administrativa, mas de supervisão e governança.

Como estruturar o canal: 8 elementos essenciais

1. Canal de entrada público e identificado

O canal deve ser facilmente localizável no site da organização. Boas práticas:

• Email dedicado: titular@empresa.com.br ou privacidade@empresa.com.br
• Formulário web específico para pedidos de titulares (não o formulário genérico de contato)
• Link visível na política de privacidade e no rodapé do site

2. Protocolo automático para cada pedido

Ao receber um pedido, o sistema deve:

• Gerar um número de protocolo único e comunicá-lo imediatamente ao titular
• Registrar a data de entrada (início da contagem do prazo de 15 dias)
• Enviar confirmação ao titular informando o prazo de resposta

3. Capacidade de receber todos os 9 tipos de pedido

O canal deve suportar todos os direitos do Art. 18:

1. Confirmação da existência de tratamento
2. Acesso aos dados
3. Correção de dados
4. Anonimização, bloqueio ou eliminação (dados desnecessários/ilegais)
5. Portabilidade dos dados
6. Eliminação dos dados tratados com consentimento
7. Informação sobre compartilhamento com terceiros
8. Informação sobre consequências de não consentir
9. Revogação do consentimento

O formulário deve permitir ao titular selecionar o tipo de direito que deseja exercer — isso agiliza o roteamento interno e a elaboração da resposta.

4. Verificação de identidade

Antes de responder qualquer pedido, é obrigatório verificar se o solicitante é realmente o titular ou seu representante legal. Responder sem verificar pode expor dados de uma pessoa a outra — o que é uma violação mais grave do que não responder.

Princípio: O método de verificação deve ser proporcional ao risco — pedidos de acesso simples exigem verificação menor; pedidos de eliminação de dados sensíveis exigem verificação mais rigorosa.

Métodos recomendados (do menos ao mais rigoroso):

Método	Adequado para
Cruzamento de dados já conhecidos (CPF, data de nascimento, número de contrato)	Pedidos de acesso simples
Código de verificação enviado ao email ou telefone já cadastrado	Acesso e correção
Autenticação de dois fatores via app	Portabilidade, eliminação de dados comuns
Documento de identificação	Eliminação de dados sensíveis, volumes grandes
Selfie com documento	Casos de maior risco ou suspeita de fraude

Regra importante: Não solicite documentos que sua organização já não possui em cadastro. Se nunca coletou número de passaporte, não peça o passaporte para verificar identidade.

Representantes legais: Exigir documentação da representação (procuração, termo de tutela, sentença de curatela).

5. Roteamento interno do pedido

Após a verificação, o pedido deve ser encaminhado aos responsáveis internos corretos:

• Pedido de acesso: DPO + área de TI (localização dos dados nos sistemas)
• Pedido de correção: DPO + área responsável pela atividade de tratamento
• Pedido de eliminação: DPO + TI + Jurídico (avaliar obrigação legal de retenção)
• Revogação de consentimento: DPO + Marketing/CRM (cancelar envios, remover de listas)
• Portabilidade: DPO + TI (extrair dados em formato estruturado)

6. Integração com o ROPA e o inventário de dados

O canal do titular e o inventário de dados são sistemas interdependentes. Sem o ROPA atualizado, é impossível:

• Localizar onde estão todos os dados daquele titular (quais sistemas, quais departamentos)
• Identificar todos os terceiros que precisam ser notificados em caso de correção ou eliminação (Art. 18, §6°)
• Verificar quais prazos de retenção se aplicam aos dados solicitados para eliminação
• Responder com precisão aos pedidos de informação sobre compartilhamento

Fluxo integrado ideal:

1. Titular envia pedido → protocolo automático enviado
2. Verificação de identidade
3. Pedido classificado por tipo (Art. 18, I a IX)
4. ROPA consultado: onde estão os dados? Com quem foram compartilhados?
5. Verificação de retenção: há obrigação legal que impede eliminação?
6. Resposta elaborada pelo DPO + área responsável
7. Resposta enviada ao titular (dentro de 15 dias)
8. Registro atualizado no log de DSARs
9. Se correção ou eliminação: terceiros notificados (Art. 18, §6°)

7. Log de DSARs (registro de pedidos)

Manter um registro completo de todos os pedidos recebidos é fundamental para demonstrar conformidade à ANPD em eventual fiscalização.

Campos mínimos por registro:

Campo	Descrição
Número de protocolo	Identificador único
Data de recebimento	Início do prazo de 15 dias
Canal de entrada	Web, email, telefone
Tipo de direito solicitado	Qual dos 9 incisos do Art. 18
Dados do solicitante	Nome, email, CPF (para verificação)
Status da verificação de identidade	Confirmada / pendente / negada
Status do pedido	Recebido / em análise / respondido / negado
Data da resposta	Dentro do prazo?
Justificativa de negativa	Se aplicável, com fundamento legal
Responsável interno	Quem processou o pedido

Retenção dos registros: Mínimo de 5 anos (alinhado com prescrição geral para ações civis e administrativas).

8. SLAs internos abaixo do prazo legal

O prazo legal é de 15 dias corridos. Para garantir o cumprimento, defina SLAs internos menores:

• Confirmação de recebimento + protocolo: imediata (automática)
• Verificação de identidade: até 2 dias úteis
• Localização dos dados nos sistemas: até 5 dias úteis
• Elaboração e revisão da resposta: até 10 dias corridos
• Envio ao titular: até 13 dias corridos (margem de segurança)

O que acontece se o canal não funcionar

Via ANPD: O titular que não obteve resposta pode apresentar petição de titular à ANPD. Precisa de comprovante do pedido original (número de protocolo, email enviado, print do formulário). A ANPD analisa petições de forma agregada para priorizar setores e empresas com maior volume de reclamações.

Sanções (Art. 52): Advertência, multa de até 2% do faturamento (limitada a R$ 50 milhões por infração), multa diária, publicização da infração, bloqueio ou eliminação de dados.

Responsabilidade civil (Art. 42): O dano causado ao titular por descumprimento da LGPD gera obrigação de reparação — responsabilidade objetiva, sem necessidade de provar culpa.

Ferramentas para gestão de DSARs

Tipo	Exemplos	Características
Plataformas LGPD brasileiras	Privacy Tools, DPOnet	Formulário configurável, protocolo automático, controle de prazo, log de DSARs, integração com ROPA, suporte à ANPD
Plataformas globais	OneTrust, DataGrail, Transcend	Canal de titular com marca customizada, verificação de identidade integrada, busca automatizada nos sistemas, suporte a LGPD + GDPR + CCPA
Modelo simplificado (PMEs)	Email dedicado + planilha	Válido para organizações com baixo volume de pedidos; exige processo manual bem definido e disciplina de prazo

Para organizações com alto volume de pedidos ou dados em múltiplos sistemas, ferramentas especializadas reduzem drasticamente o tempo de atendimento e o risco de erro operacional.

Canal simplificado para PMEs

A Resolução CD/ANPD nº 2/2022 reconhece que microempresas, empresas de pequeno porte, startups e associações sem fins lucrativos têm limitações operacionais. Para elas:

• Não é obrigatório nomear um DPO formal — basta disponibilizar um canal de comunicação com o titular
• O prazo para atendimento é o dobro do padrão (30 dias em vez de 15)
• O prazo para comunicação de incidentes à ANPD também é em dobro

Mesmo assim, o canal precisa existir, ser público e funcionar. Um email que não é respondido não é um canal — é uma fachada.

Checklist para estruturar seu canal do titular

• Canal público identificado no site (email ou formulário)
• Contato e identidade do DPO publicados de forma acessível
• Sistema de protocolo automático ao receber pedido
• Formulário com seleção do tipo de direito solicitado
• Processo de verificação de identidade definido por tipo de pedido
• Fluxo interno de roteamento documentado (quem recebe, quem processa, quem responde)
• Integração com o ROPA para localização de dados
• Log de DSARs com todos os campos necessários
• SLAs internos definidos abaixo do prazo legal de 15 dias
• Processo para notificar terceiros em caso de correção/eliminação (Art. 18, §6°)
• Treinamento da equipe sobre como processar cada tipo de pedido

Conclusão

Um canal do titular não é um formulário web — é um processo. Começa no momento em que o pedido chega, percorre verificação de identidade, localização de dados, elaboração de resposta e finaliza com o registro no log de DSARs. Cada etapa precisa estar documentada, com responsáveis definidos e prazos controlados.

As organizações que implementam esse processo corretamente transformam o atendimento ao titular em vantagem competitiva — um diferenciador de confiança que poucos concorrentes oferecem de forma genuína.

---

O Confidata oferece um módulo completo de gestão de pedidos de titulares: formulário configurável, protocolo automático, controle de prazo de 15 dias, fluxo de aprovação interno e log de DSARs integrado ao inventário de dados da sua organização.