O Capítulo III da LGPD, que se inicia com o Artigo 17, estabelece a base para toda a sistemática de proteção de dados no Brasil. Ele consagra que toda pessoa natural possui assegurada a titularidade de seus dados pessoais, bem como os direitos fundamentais de liberdade, intimidade e privacidade. Este artigo é uma ponte direta com a Constituição Federal, especialmente os incisos X e XII do Art. 5º, que tratam da inviolabilidade da intimidade, vida privada, honra, imagem e do sigilo da correspondência e das comunicações telegráficas, de dados e das comunicações telefônicas. A LGPD, portanto, eleva o dado pessoal à categoria de direito fundamental, conferindo-lhe uma proteção robusta.

Observação: A elevação dos dados pessoais à categoria de direito fundamental implica que qualquer restrição a esses direitos deve ser interpretada de forma estrita e justificada por razões de interesse público ou de terceiros, conforme os princípios da razoabilidade e proporcionalidade.

O Rol Taxativo (e Expansivo) dos Direitos do Titular

O Artigo 18 é o coração deste capítulo, listando os direitos que o titular de dados pode exercer a qualquer momento, mediante requisição ao controlador. É crucial entender que este rol, embora detalhado, reflete o objetivo maior de dar ao titular controle sobre suas informações.

• Confirmação da existência de tratamento (Inciso I): O titular tem o direito de saber se seus dados estão sendo processados. Isso é o ponto de partida para qualquer outro direito.
• Acesso aos dados (Inciso II): Após a confirmação, o titular pode ter acesso aos dados que o controlador possui.
• Correção de dados incompletos, inexatos ou desatualizados (Inciso III): Garante a qualidade e a veracidade das informações. Um dado incorreto pode levar a decisões prejudiciais ao titular.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a Lei (Inciso IV):
  • Anonimização: Processo pelo qual o dado perde a possibilidade de associação, direta ou indireta, a um indivíduo. É uma forma de tratamento que desvincula a pessoa do dado.
  • Bloqueio: Suspensão temporária de qualquer operação de tratamento, guardando o dado, mas impedindo seu uso.
  • Eliminação: Exclusão do dado do banco de dados do controlador. Este direito visa combater a coleta e o tratamento abusivo de dados.
• Portabilidade dos dados (Inciso V): Permite ao titular transferir seus dados para outro fornecedor de serviço ou produto. É um direito fundamental para a concorrência e para o empoderamento do consumidor, com a ressalva de segredos comercial e industrial e regulamentação da autoridade nacional. Atenção: O § 7º do Art. 18 esclarece que a portabilidade não inclui dados que já tenham sido anonimizados pelo controlador, pois estes já perderam a associação com o titular.
• Eliminação dos dados tratados com consentimento (Inciso VI): Se o tratamento se deu com base no consentimento, este pode ser revogado a qualquer tempo, e os dados devem ser eliminados, exceto nas hipóteses do Art. 16 (cumprimento de obrigação legal/regulatória, estudo por órgão de pesquisa, transferência a terceiro ou uso exclusivo do controlador, anonimizados, etc.).
• Informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados (Inciso VII): Essencial para a transparência e para que o titular saiba o fluxo de suas informações.
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa (Inciso VIII): Garante que o consentimento seja livre, informado e inequívoco.
• Revogação do consentimento (Inciso IX): Complementa o Inciso VI, permitindo a retirada do consentimento, com o mesmo rigor formal de sua concessão, conforme o § 5º do Art. 8º.

Parágrafos do Artigo 18: Detalhes e Mecanismos de Exercício

• § 1º e § 8º: Conferem ao titular o direito de peticionar contra o controlador perante a Autoridade Nacional de Proteção de Dados (ANPD) e perante organismos de defesa do consumidor. Isso amplia as vias de defesa dos direitos.
• § 2º: Permite ao titular opor-se a tratamento baseado em hipóteses de dispensa de consentimento, caso haja descumprimento da Lei. Isso significa que mesmo bases legais que não exigem consentimento podem ser contestadas se o tratamento for inadequado.
• § 3º: Requer que os direitos sejam exercidos por meio de requerimento expresso do titular ou de seu representante legalmente constituído ao agente de tratamento (controlador ou operador).
• § 4º: Caso a providência solicitada não possa ser imediata, o controlador deve responder indicando que não é o agente de tratamento (e, se possível, o correto) ou as razões (fáticas ou jurídicas) para a impossibilidade da adoção imediata da medida.
• § 5º: Garante que o requerimento será atendido sem custos para o titular, nos prazos e termos regulamentados.
• § 6º: Impoõe ao responsável (controlador) a obrigação de comunicar, de imediato, aos agentes com quem compartilhou dados, sobre correção, eliminação, anonimização ou bloqueio, para que repitam o procedimento, salvo se impossível ou com esforço desproporcional. Ponto de Atenção: A exceção “comprovadamente impossível ou implique esforço desproporcional” é um detalhe relevante para provas, pois permite ao controlador justificar a não comunicação em situações extremas.

Formas e Prazos para Confirmação e Acesso

O Artigo 19 detalha como a confirmação de existência e o acesso aos dados pessoais devem ser providenciados:

• Formato simplificado, imediatamente (Inciso I): Para uma resposta rápida e concisa.
• Declaração clara e completa (Inciso II): Com origem dos dados, critérios e finalidade do tratamento, no prazo de até 15 dias. Este formato é mais aprofundado e permite ao titular um entendimento mais detalhado. Atenção: Os segredos comercial e industrial devem ser observados em ambos os casos.
• § 1º: Os dados devem ser armazenados de forma que facilite o exercício do direito de acesso.
• § 2º: O titular pode escolher como receber as informações: meio eletrônico seguro ou forma impressa.
• § 3º: Para tratamentos baseados em consentimento ou contrato, o titular pode solicitar cópia eletrônica integral dos dados, em formato interoperável, observados os segredos comercial e industrial. Isso é crucial para a portabilidade.
• § 4º: A ANPD pode dispor de forma diferenciada sobre os prazos, adaptando-os a setores específicos.

O Direito de Revisão de Decisões Automatizadas

O Artigo 20 aborda um direito moderno e de crescente importância: a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais. Isso inclui decisões que definem perfis (pessoal, profissional, de consumo, de crédito) ou aspectos da personalidade.

• § 1º: O controlador deve fornecer informações claras e adequadas sobre os critérios e procedimentos usados na decisão automatizada, resguardando segredos comercial e industrial.
• § 2º: Caso o controlador alegue segredo comercial/industrial para não fornecer as informações, a ANPD pode realizar auditoria para verificar aspectos discriminatórios no tratamento automatizado. Ponto de Atenção: Este direito visa proteger o titular de preconceitos algorítmicos e decisões injustas resultantes de sistemas automatizados, garantindo um “direito de ser humano” na era da inteligência artificial.

Proteção Contra Prejuízo e Vias de Defesa

• Artigo 21: Reforça que dados pessoais usados no exercício regular de direitos pelo titular não podem ser utilizados em seu prejuízo. Isso impede que a própria utilização de um direito (como o acesso aos dados) se volte contra o titular.
• Artigo 22: Assegura que a defesa dos interesses e direitos dos titulares pode ser exercida em juízo, individual ou coletivamente. Isso remete à Lei da Ação Civil Pública (Lei nº 7.347/1985) e ao Código de Defesa do Consumidor (Lei nº 8.078/1990), que preveem instrumentos de tutela coletiva.