Como responder uma requisição de titular (DSAR) dentro do prazo

Titulares · DSAR Agosto de 2026 6 min de leitura

Qualquer pessoa cujos dados pessoais sua empresa trata tem o direito de saber o que você tem, pedir correções, solicitar exclusão e muito mais. Quando essa pessoa faz um pedido formal — o que chamamos de DSAR (Data Subject Access Request) ou Requisição de Titular — você tem obrigação legal de responder. E tem prazo.

Este artigo mostra como estruturar esse processo para que a sua equipe responda com agilidade, sem improvisação e sem risco de descumprir a LGPD.

Quais são os direitos do titular?

O art. 18 da LGPD lista os direitos que os titulares podem exercer a qualquer momento:

Confirmação — saber se você trata dados deles
Acesso — receber uma cópia dos dados tratados
Correção — atualizar dados incompletos, inexatos ou desatualizados
Anonimização, bloqueio ou eliminação — para dados desnecessários ou tratados com violação
Portabilidade — receber os dados em formato interoperável
Eliminação — quando o tratamento era baseado em consentimento e o titular o revoga
Informação sobre compartilhamento — saber com quem os dados foram compartilhados
Informação sobre não consentimento — consequências de não fornecer o consentimento
Revogação do consentimento
Revisão de decisões automatizadas

Qual é o prazo para responder?

A LGPD não estabelece um prazo fixo em dias como o GDPR europeu (15 dias). Ela exige que a resposta seja dada "de forma imediata" ou, quando isso não for possível, em prazo razoável. A ANPD tem sinalizado que 15 dias corridos é uma referência aceitável — e que atrasos injustificados podem configurar infração.

Atenção ao prazo de confirmação: O art. 19 diz que o titular deve receber confirmação de que há dados sobre ele imediatamente ou em até 15 dias. Mesmo que a resposta completa demore mais, confirme o recebimento e informe o prazo previsto logo que receber o pedido.

O fluxo de resposta passo a passo

1. Receber e registrar

O pedido pode chegar por e-mail, formulário no site, presencialmente ou até por carta. Seja qual for o canal, o importante é registrar imediatamente: data de recebimento, identidade do titular, tipo de direito solicitado. Esse registro é a prova de que você cumpriu o prazo.

2. Validar a identidade do titular

Antes de entregar qualquer dado, confirme que quem está pedindo é realmente o titular (ou alguém com procuração). Isso protege o titular de terceiros que possam tentar acessar suas informações. Métodos comuns: confirmação por e-mail cadastrado, CPF + data de nascimento, código enviado ao celular.

Cuidado com a proporcionalidade: O processo de verificação de identidade não pode ser tão burocrático a ponto de inviabilizar o exercício do direito. Use o mínimo necessário para ter certeza razoável de quem é o titular.

3. Localizar os dados

Com a identidade validada, comece a localizar os dados nos sistemas. Aqui fica claro por que ter um inventário (RoPA) atualizado é fundamental: sem saber onde os dados estão, a busca vira uma operação manual e demorada que vai consumir horas da equipe.

4. Processar a solicitação

Dependendo do tipo de direito exercido:

Acesso / confirmação: exporte e formate os dados de forma legível
Correção: atualize os sistemas e confirme a mudança
Eliminação: apague os dados dos sistemas que os processam (respeitando exceções legais como obrigação legal de guarda)
Portabilidade: exporte em formato estruturado (CSV, JSON)
Revogação de consentimento: interrompa os tratamentos baseados naquele consentimento

5. Responder ao titular

Forneça a resposta em linguagem clara e acessível. Se o pedido for negado (parcialmente ou totalmente) por alguma exceção legal, explique o motivo. Documente tudo: o que foi respondido, quando e por qual razão.

Exceções: quando posso negar o pedido?

A LGPD prevê situações em que o exercício de alguns direitos pode ser limitado, como quando:

O dado é necessário para cumprimento de obrigação legal
A eliminação impediria o exercício de direito em processo judicial
Interesses legítimos do controlador se sobrepõem (em casos específicos)

Mas atenção: a negativa precisa ser justificada, documentada e comunicada ao titular. Ignorar o pedido não é uma opção.

Por que automatizar o processo de DSAR?

Empresas que ainda gerenciam DSARs por e-mail e planilha enfrentam três problemas recorrentes: perda de prazos, falta de rastreabilidade para auditorias e enorme esforço manual quando o volume de pedidos cresce. Uma plataforma de gestão de privacidade resolve os três: o titular submete o pedido pelo portal público, a equipe acompanha o status em tempo real e tudo fica documentado com carimbo de data e hora.

Gerencie DSARs com prazo, rastreio e portal público

Do pedido à resposta, tudo documentado dentro do PrivacyConsent.

Ver demonstração

Conclusão

Responder DSARs de forma estruturada não é apenas uma obrigação legal: é uma prova concreta de que a sua empresa leva a privacidade a sério. Titulares que têm seus pedidos atendidos com agilidade e clareza constroem mais confiança na marca. E empresas com processo documentado enfrentam muito menos risco diante de uma investigação da ANPD.