Tempo de leitura: 10 min · Atualizado em 03/09/2026
Um vazamento de dados não gera apenas o direito de pedir indenização. A LGPD assegura ao titular um conjunto de direitos autônomos: confirmar e acessar os dados tratados, corrigir informações erradas, eliminar dados desnecessários, portar seu histórico para outro fornecedor, saber com quem os dados foram compartilhados e exigir que a empresa avise você e a ANPD sobre o incidente.
Quando uma empresa perde o controle sobre os dados que guarda de um cliente, a primeira pergunta que costuma surgir é sobre dinheiro: “tenho direito a indenização?”. Já tratamos esse tema em outros textos, mostrando que o vazamento pode gerar dano moral de forma automática em determinadas situações e que o tratamento é ainda mais rigoroso quando os dados expostos são sensíveis. Este texto segue por outro caminho: independentemente de haver ou não indenização, a LGPD garante à pessoa cujos dados vazaram uma série de direitos práticos, que podem e devem ser exercidos diretamente contra a empresa responsável.
Esses direitos não dependem de decisão judicial, não exigem que o titular comprove abalo psicológico e não competem entre si com o pedido de indenização: são coisas diferentes, que podem ser buscadas ao mesmo tempo. Na prática, muita gente que sofre um vazamento fica esperando uma eventual ação de indenização como se fosse o único caminho possível, e acaba deixando passar providências mais rápidas e simples, que resolvem parte do problema imediato: descobrir o alcance real do vazamento, corrigir cadastros errados, reduzir a quantidade de dados expostos e obrigar a empresa a prestar contas do que aconteceu.
Direito de confirmação e acesso aos dados
O primeiro direito é simples: saber o que a empresa sabe sobre você. Após um vazamento, o titular pode exigir a confirmação de que seus dados foram efetivamente tratados por aquela empresa, além de acesso completo às informações armazenadas. Isso inclui saber quais categorias de dados foram coletadas, desde quando, com que finalidade e por quanto tempo ficarão guardadas. Esse acesso deve ser gratuito e fornecido de forma clara, sem que a empresa possa condicionar a resposta ao pagamento de taxas ou a burocracias desnecessárias.
Na prática, esse direito costuma ser o ponto de partida de tudo o mais. Antes de decidir se vale a pena corrigir, eliminar ou portar os dados, o titular precisa entender exatamente o que foi exposto: só um número de telefone e e-mail, ou também documentos, senhas, histórico de compras e dados financeiros? A resposta da empresa a esse pedido de acesso costuma revelar o tamanho real do problema, e muitas vezes é bem diferente do que foi divulgado de forma genérica em uma nota de imprensa ou em um comunicado padrão enviado por e-mail.
Direito de corrigir dados incorretos ou desatualizados
Um vazamento frequentemente revela que a empresa mantinha informações erradas, incompletas ou desatualizadas sobre o titular: um endereço antigo, um estado civil que mudou, um número de telefone que não é mais seu. Diante disso, a pessoa pode pedir a correção imediata desses dados. A empresa não pode simplesmente ignorar o pedido ou postergá-lo indefinidamente: a correção deve ser feita e, quando os dados incorretos já tiverem sido repassados a terceiros, a empresa também deve comunicar a atualização a quem os recebeu.
Direito de eliminar dados que não precisam mais existir
Outro direito relevante é o de pedir a eliminação dos dados que não são mais necessários para a finalidade que justificou a coleta, ou que foram tratados de forma irregular. Isso é particularmente importante depois de um vazamento: muitas vezes a empresa mantém, por anos, informações de clientes que já encerraram a relação comercial há tempos, sem nenhuma necessidade real de guardá-las. Pedir a exclusão reduz o risco de que aqueles dados sejam expostos novamente em um novo incidente futuro.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Vale lembrar que a eliminação não é absoluta: em algumas situações a empresa pode manter parte dos dados por obrigação de guarda de registros comerciais, fiscais ou regulatórios, mesmo depois de o titular pedir a exclusão. Quando isso acontece, o correto é a empresa explicar por que está mantendo aquela informação específica, e não simplesmente recusar o pedido de forma genérica. Se a resposta for vaga ou evasiva, o titular pode insistir por escrito e pedir que a empresa detalhe exatamente qual regra a obriga a manter cada dado.
Direito de portabilidade: levar seus dados para outro lugar
A portabilidade permite que o titular solicite que seus dados sejam transferidos para outro fornecedor de serviço, em formato que possa ser reaproveitado. Na prática, esse direito costuma ganhar importância quando a pessoa perde a confiança na empresa que sofreu o vazamento e decide migrar para um concorrente: em vez de recomeçar do zero, ela pode pedir que seu histórico seja repassado, dentro dos limites técnicos e operacionais de cada setor.
Direito de saber com quem seus dados foram compartilhados
Um dos pontos mais negligenciados pelas empresas é a obrigação de informar, de forma clara, com quais outras empresas ou entidades os dados do titular foram compartilhados. Isso vale tanto para parceiros comerciais quanto para prestadores de serviço terceirizados. Esse direito é ainda mais importante em casos de compartilhamento de dados sem autorização do titular, quando a origem do vazamento pode estar, na verdade, em um repasse indevido a um terceiro que a própria empresa contratou. Saber quem recebeu os dados ajuda o titular a mapear o alcance real do problema e a decidir se vale a pena tomar outras providências, inclusive contra esse terceiro.
Direito de exigir a comunicação do incidente à ANPD e aos titulares
A empresa que sofre um incidente de segurança relevante tem o dever de comunicar o que aconteceu tanto à Autoridade Nacional de Proteção de Dados quanto às pessoas afetadas, em prazo razoável, informando a natureza dos dados envolvidos, as medidas técnicas adotadas e as providências tomadas para reverter ou mitigar os efeitos. Na prática, isso significa que o titular não precisa esperar a empresa tomar essa iniciativa por conta própria: pode formalmente exigir informações sobre o incidente e, se a empresa se mantiver em silêncio, levar o caso diretamente à autoridade, que tem canal próprio para receber esse tipo de relato. Esse direito é especialmente útil quando os dados vazados depois viram matéria-prima de fraude, tema que já exploramos em outro texto sobre o uso de dados vazados para aplicar golpes contra o próprio titular.
Um erro comum das empresas é tratar o comunicado sobre o vazamento como uma peça de marketing, cheia de termos genéricos como “estamos cientes” e “levamos a segurança a sério”, sem informação concreta nenhuma. Isso não substitui o dever de comunicação: o titular pode exigir, por escrito, informações objetivas sobre quais dados especificamente foram expostos, quando o incidente ocorreu, quando foi descoberto e o que está sendo feito para impedir que se repita. Reclamações formais sobre comunicados vagos também podem ser levadas à autoridade de proteção de dados, que tem poder para cobrar da empresa uma resposta mais completa.
Como exercer esses direitos na prática
O primeiro passo é formalizar o pedido por escrito diretamente ao canal de atendimento da empresa, de preferência por e-mail ou pelo canal de privacidade indicado na política de dados, guardando o comprovante de envio e o prazo de resposta. Se a empresa não responder, responder de forma evasiva ou se recusar a atender o pedido sem justificativa razoável, o titular pode registrar reclamação junto à autoridade de proteção de dados e, dependendo do caso, também junto aos órgãos de defesa do consumidor. Reunir prints, e-mails e qualquer comunicado da empresa sobre o vazamento ajuda a construir um histórico sólido caso seja necessário buscar uma solução mais formal depois.
Perguntas frequentes
Posso exercer esses direitos mesmo sem provar que sofri prejuízo?
Sim. Esses direitos existem independentemente de qualquer prejuízo financeiro ou dano comprovado. Eles decorrem da simples condição de titular dos dados, não de uma eventual indenização.
A empresa pode cobrar para me dar acesso aos meus dados?
Não. O acesso às informações que a empresa mantém sobre o titular deve ser gratuito, sem taxas ou condições que dificultem o exercício desse direito.
Quanto tempo a empresa tem para responder ao meu pedido?
Não existe um prazo único e rígido para toda situação, mas a resposta deve ser dada em tempo razoável e de forma clara, sem enrolação. Se a empresa demorar de forma injustificada, ou simplesmente não responder, o titular pode formalizar reclamação junto à autoridade competente e pedir que ela cobre uma resposta.
E se a empresa nunca avisou sobre o vazamento?
O titular pode cobrar formalmente essa informação diretamente da empresa e, na ausência de resposta satisfatória, reportar a omissão à autoridade nacional de proteção de dados, que tem competência para apurar o caso e determinar que a empresa preste os esclarecimentos devidos.
Esses direitos substituem o pedido de indenização?
Não. Eles são complementares. Nada impede que o titular exerça esses direitos e, paralelamente, avalie se o vazamento também gerou dano moral indenizável, tema tratado com mais profundidade em outros artigos deste blog.
Preciso de advogado para pedir acesso, correção ou eliminação dos meus dados?
Não é obrigatório para o pedido inicial, que pode ser feito diretamente à empresa. Mas contar com orientação jurídica ajuda a formalizar o pedido corretamente e a definir os próximos passos caso a empresa não colabore.
Fontes: Agência Nacional de Proteção de Dados (ANPD) — páginas oficiais sobre direitos do titular de dados e sobre comunicação de incidente de segurança, disponíveis em gov.br/anpd.
Artigos relacionados
- Uma loja ou aplicativo coletou meus dados biométricos por reconhecimento facial sem meu consentimento explícito: quais os riscos para a empresa perante a LGPD?
- Empresa terceira perdeu documentos com meus dados pessoais: posso exigir indenização e medidas de proteção?
- Empresa de tecnologia entregou aplicativo mobile com falhas graves de segurança em dados de usuários LGPD: quem responde?
- Agência de tráfego pago perdeu o gerenciador de anúncios da minha empresa com saldo e dados de público: cabe indenização?
Veja também nosso conteúdo completo sobre direito digital.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
