Direitos do titular na LGPD: o pedido de exclusão que não chega ao CRM

Um dia chega um e-mail curto: “Quero que vocês apaguem meus dados”. Alguém do marketing abre o CRM, encontra o contato, clica em excluir e responde que está feito. Duas semanas depois, a mesma pessoa recebe uma newsletter, vê um anúncio de remarketing e é convidada para um evento por telefone. Para ela, a empresa mentiu.

Na maioria das vezes não houve má-fé, e sim um mapa incompleto: o dado tinha saído do CRM muito antes do pedido. Este artigo explica os nove direitos do titular previstos na LGPD, com um exemplo de marketing para cada um, e mostra o que a lei manda fazer depois do pedido, em todos os sistemas e parceiros que receberam o dado. É a parte que as páginas institucionais sobre o tema não costumam tratar.

Quem é o titular de dados na LGPD?

Titular é a pessoa natural a quem se referem os dados pessoais tratados, na definição do art. 5º, V, da Lei Geral de Proteção de Dados (Lei nº 13.709/2018). É o lead que baixou um material, o cliente que comprou, o visitante que preencheu um formulário de orçamento, o participante de um evento e também o funcionário da própria empresa.

Empresa não é titular. O CNPJ de um cliente B2B não tem direitos pela LGPD, mas o nome, o e-mail corporativo e o celular do comprador que está no CRM têm, porque identificam uma pessoa. É por isso que a lei alcança o marketing B2B tanto quanto o B2C: a base é de pessoas, mesmo quando a venda é para empresas.

Do outro lado estão os agentes de tratamento: o controlador, a quem competem as decisões sobre o tratamento, e o operador, que trata os dados em nome dele. Numa operação típica, a empresa anunciante é a controladora e a agência, a ferramenta de disparo e a plataforma de CRM atuam como operadoras, como detalhamos no artigo sobre quando a agência de marketing é operadora de dados.

Quais são os direitos do titular na LGPD?

O art. 17 assegura a toda pessoa natural a titularidade dos seus dados e os direitos fundamentais de liberdade, de intimidade e de privacidade. O art. 18 transforma essa garantia em pedidos concretos que o titular pode fazer ao controlador, a qualquer momento e mediante requisição.

Lida assim, a lista parece jurídica. Na rotina de marketing, cada inciso corresponde a uma pergunta que alguém do time precisa saber responder e a um sistema que precisa obedecer.

Elaboração da Alliance com base no art. 18 da Lei nº 13.709/2018

Além dos nove incisos, os parágrafos do art. 18 acrescentam três garantias: o titular pode peticionar contra o controlador perante a autoridade nacional (§ 1º) e perante os órgãos de defesa do consumidor (§ 8º), e pode se opor a um tratamento feito sem consentimento quando houver descumprimento da lei (§ 2º). O art. 20 dá o direito de pedir revisão de decisões tomadas unicamente por tratamento automatizado, inclusive as que definem o perfil de consumo, o que alcança modelos de pontuação de leads.

Com base em quê a LGPD garante esses direitos?

A base é o art. 17: a pessoa é titular dos seus dados, e a lei existe para proteger a liberdade, a intimidade e a privacidade dela. A empresa não é dona da base de contatos que construiu; ela trata dados que pertencem a outras pessoas, sob uma base legal e para uma finalidade.

Daí vêm três regras de procedimento que o art. 18 fixa. Os direitos são exercidos por requerimento expresso do titular ou de representante legalmente constituído (§ 3º). O atendimento é sem custos para o titular (§ 5º). E, quando a empresa não puder agir de imediato, ela responde dizendo que não é agente de tratamento daquele dado, indicando quem é sempre que possível, ou explicando as razões de fato ou de direito que impedem a providência (§ 4º).

Há ainda uma proteção que o marketing esquece: pelo art. 21, os dados referentes ao exercício regular de direitos pelo titular não podem ser usados em prejuízo dele. Quem pediu acesso ou exclusão não pode ser marcado como “cliente problemático” num campo do CRM que depois pese contra ele.

Qual a diferença entre eliminar, anonimizar e bloquear?

Os três verbos aparecem juntos no inciso IV e no § 6º, mas produzem resultados diferentes na base. Escolher o errado é a forma mais comum de dizer ao titular que o pedido foi atendido sem que ele tenha sido de fato.

O último item não está na lei como categoria própria, e é aí que mora a confusão. Tirar alguém da lista de envio não é eliminar o dado: o registro continua no CRM, nas planilhas e nos públicos. Se a pessoa pediu eliminação, o descadastro não basta.

O que o § 6º do art. 18 obriga a empresa a fazer depois do pedido?

Este é o trecho que separa uma resposta formal de um atendimento real. Ele foi incluído pela Lei nº 13.853/2019, a mesma que criou a Autoridade Nacional de Proteção de Dados, e trata do que acontece com as cópias do dado que já saíram da empresa.

Três palavras do texto pesam na operação. Imediata: o aviso não espera o fechamento do mês nem a próxima reunião com a agência. Idêntico procedimento: se a empresa eliminou, o parceiro elimina; não basta ele descadastrar. Comprovadamente: a exceção do esforço desproporcional existe, mas quem a invoca precisa ter como provar, o que exige saber onde o dado foi parar.

Atender o titular não é apagar uma linha no CRM. É desfazer, em cada sistema e em cada parceiro, as cópias que a própria empresa espalhou.

Por onde o dado de um lead passa numa operação de marketing?

O pedido chega a um lugar só, mas o dado costuma estar em cinco ou seis. Um lead que preencheu um formulário no site pode ter sido sincronizado com a ferramenta de e-mail, incluído numa lista enviada à plataforma de anúncios para remarketing ou para público semelhante, exportado para a planilha de credenciamento de uma feira, copiado para a base que a agência usa nas campanhas e lido por um chatbot ou por uma automação de WhatsApp.

Cada seta é um lugar onde o pedido pode morrer. A integração entre CRM e ferramenta de e-mail costuma sincronizar criação de contatos, mas nem sempre sincroniza exclusões. A lista que foi para a plataforma de anúncios é um arquivo enviado numa data, que não se atualiza sozinho. A planilha da feira está no computador de alguém do comercial. E a agência opera uma cópia da base que ninguém lembrou de avisar.

Sem saber onde o dado está, a empresa não tem como cumprir o § 6º nem como provar que avisou. Por isso a resposta a um pedido de titular começa antes do pedido, no inventário de dados que o art. 37 exige, tema do artigo sobre o inventário de dados que a maioria das empresas ainda não fez.

O que a empresa pode manter mesmo depois do pedido de exclusão?

O direito de eliminação do inciso VI tem uma ressalva expressa: as hipóteses do art. 16. Ele autoriza a conservação dos dados, depois do término do tratamento, para quatro finalidades: cumprimento de obrigação legal ou regulatória pelo controlador; estudo por órgão de pesquisa, com anonimização sempre que possível; transferência a terceiro, respeitados os requisitos da lei; e uso exclusivo do controlador, vedado o acesso de terceiros, desde que os dados sejam anonimizados.

Na prática do marketing, isso significa separar o que é obrigação de guarda do que é conveniência. A nota fiscal de uma compra e os dados ligados a ela seguem as regras fiscais. O histórico de aberturas de e-mail de um lead que nunca comprou não tem obrigação legal que o segure, e sai.

A revogação do consentimento também tem regra própria. Pelo § 5º do art. 8º, ela é feita por procedimento gratuito e facilitado, e os tratamentos realizados enquanto o consentimento valia continuam ratificados até que haja pedido de eliminação. Ou seja: o descadastro encerra o envio, e o pedido de eliminação é que obriga a apagar.

Muitas empresas guardam o e-mail de quem pediu para sair numa lista de supressão, justamente para não voltar a importá-lo por engano numa planilha nova. É uma prática de mercado, não uma regra escrita na LGPD; se adotada, ela precisa estar registrada, guardar o mínimo possível e ser usada só para impedir o contato.

Quais são os prazos para atender o titular?

O prazo de 15 dias é para confirmação e acesso em formato completo. Para os demais pedidos, como correção e eliminação, o § 5º do art. 18 remete a prazos e termos definidos em regulamento. Já o aviso aos parceiros do § 6º não tem número de dias: a lei diz “de maneira imediata”.

O canal por onde o pedido entra, quem responde e como guardar o comprovante são assunto do artigo sobre o canal do titular que a política de privacidade pronta esquece. Aqui o foco é o que vem depois: o pedido já entrou e precisa chegar a todos os sistemas.

Como operacionalizar o pedido de exclusão na prática?

O roteiro abaixo serve para correção, eliminação, anonimização e bloqueio. O que muda de um para outro é a operação feita em cada sistema; o caminho é o mesmo.

1. Registre o pedido com data e identidade

Anote quando o pedido chegou, por qual canal, o que foi pedido e como a identidade foi confirmada. Responder a um pedido feito por outra pessoa em nome do titular, sem representação, pode virar um vazamento.

2. Localize todas as cópias

Use o inventário de dados para listar onde aquele contato existe: CRM, ferramenta de e-mail, listas de público enviadas a plataformas de mídia, planilhas de eventos, base da agência, automações. Se o inventário não existe, este é o momento de começar por esse contato.

3. Decida o que sai e o que fica

Separe o que tem obrigação legal ou regulatória de guarda, pelo art. 16, do que não tem. O que fica deve ser bloqueado para uso de marketing; o que não tem justificativa sai.

4. Execute na origem

Faça a operação no CRM, que costuma ser a fonte das demais, e confira se a integração propaga a exclusão ou só a criação de contatos.

5. Avise operadores e parceiros por escrito

Mande à agência, à ferramenta de disparo e a quem mais recebeu o dado um aviso com o que foi feito e o pedido de que repitam o procedimento. Atualize ou retire as listas enviadas às plataformas de anúncio e substitua planilhas antigas que circulam por e-mail.

6. Responda ao titular e guarde a prova

Conte ao titular o que foi feito e, se algo foi mantido, por qual motivo legal. Guarde o pedido, os avisos enviados e as confirmações recebidas: é o que demonstra o cumprimento do § 6º se a pessoa reclamar.

Quais os erros mais comuns?

• Tratar exclusão como descadastro. O contato para de receber e-mail, mas continua no CRM, nos públicos e nas planilhas.
• Confiar que a integração apaga tudo. Muitas sincronizações só levam o que é criado ou atualizado, e a exclusão fica na origem.
• Esquecer as listas de anúncio. Um arquivo de público enviado meses atrás continua usando o contato até ser trocado.
• Não avisar a agência. A agência é operadora e precisa repetir o procedimento; sem aviso, ela não tem como saber.
• Marcar quem pediu como problema. O art. 21 proíbe usar o exercício de direitos em prejuízo do titular.
• Responder sem guardar prova. Sem registro do pedido e dos avisos, a empresa não demonstra que cumpriu a lei.
• Apagar o que tinha de ser guardado. Dados com obrigação legal de guarda ficam, bloqueados para uso de marketing.

O que muda por tipo de empresa?

O roteiro é o mesmo para todos, mas o lugar onde o dado se esconde muda conforme o negócio.

Por onde começar hoje?

Comece pelo mapa: liste os sistemas e parceiros que recebem dados de leads e clientes, e anote, para cada um, como se apaga um contato e quem faz isso. Depois, combine com a agência e com os fornecedores um caminho de aviso por escrito. Se quiser ajuda para montar esse mapa e adequar os sistemas, a frente de adequação à LGPD da Alliance trabalha junto com a integração de CRM, e o diagnóstico de marketing gratuito mostra onde a sua operação de dados está mais exposta.