Pedido de exclusão de dados na LGPD: o que fazer quando o cliente pede para apagar tudo

Resposta curta: quando um cliente pede para apagar os dados dele, a LGPD obriga você a responder, sem cobrar nada, e a eliminar o que não tem mais motivo para guardar. Mas a exclusão não é automática para tudo: dados que a lei manda guardar, como documentos fiscais, ou que você precisa para se defender num processo podem ficar, desde que você explique isso na resposta. O caminho é confirmar quem está pedindo, achar todos os lugares onde os dados estão, apagar o que pode ser apagado, avisar quem recebeu esses dados de você e responder por escrito, guardando o registro do pedido.

Esse pedido costuma chegar de surpresa: uma mensagem no WhatsApp dizendo “quero que vocês apaguem todos os meus dados”, ou um e-mail citando a LGPD. Para o dono de uma clínica, escritório ou consultoria, a primeira reação é não saber por onde começar, porque os dados daquela pessoa estão na agenda, numa planilha, no e-mail e no celular de alguém da equipe.

Neste artigo eu explico o que a lei pede, o que você pode recusar e como atender sem correria. Não é parecer jurídico: as referências são a LGPD (Lei 13.709/2018) e as resoluções da ANPD. Casos com dados de saúde, processos em andamento ou pedidos feitos por advogado merecem conversa com um especialista em proteção de dados.

O cliente pode pedir para apagar os dados dele?

Pode. O artigo 18 da LGPD lista os direitos do titular, que é como a lei chama a pessoa dona dos dados. Os que mais aparecem num pequeno negócio são:

• confirmar se você tem dados dela e acessar esses dados;
• corrigir dados incompletos, errados ou desatualizados;
• pedir a eliminação de dados desnecessários, excessivos ou usados em desacordo com a lei;
• pedir a eliminação dos dados usados com base no consentimento;
• saber com quem você compartilhou os dados;
• revogar o consentimento que deu antes.

O pedido pode ser feito pela própria pessoa ou por um representante, como um advogado (artigo 18, § 3º), e deve ser atendido sem custo para ela (§ 5º). Não existe formulário obrigatório: uma mensagem no WhatsApp ou um e-mail já é um pedido válido.

Sou obrigado a apagar tudo?

Não necessariamente. Aqui está a parte que pouca gente conhece. O direito de eliminação do artigo 18 tem limites, e o artigo 16 da LGPD permite guardar dados pessoais mesmo depois do fim do relacionamento em alguns casos. O que mais importa para um pequeno negócio:

• Cumprimento de obrigação legal ou regulatória. Se outra lei manda guardar o documento, ele fica. É o caso de documentos fiscais e contábeis e, em várias profissões, do prontuário e de registros exigidos pelo conselho profissional.
• Exercício regular de direitos. Contratos, comprovantes de atendimento e conversas que você pode precisar para se defender numa reclamação ou num processo costumam se apoiar nessa base (artigo 7º, inciso VI).
• Uso exclusivo seu, com os dados anonimizados. Você pode manter números sem identificar a pessoa, como “atendemos 40 clientes neste ano”, desde que ninguém consiga voltar ao nome dela.

O que não se sustenta é guardar “por via das dúvidas”. Se o dado foi coletado só para mandar novidades, ou se a ficha tem campos que você nunca usou, o pedido de exclusão é a hora de apagar. Eu explico a diferença entre consentimento e as outras bases legais no artigo sobre consentimento na LGPD.

Um exemplo prático: num consultório, a pessoa pede para sair da lista de lembretes e apagar o cadastro. O telefone usado para mensagens e as preferências de horário podem ser apagados. O prontuário, que tem regra própria de guarda, fica, e a resposta precisa dizer isso com clareza.

Qual o prazo para responder um pedido de exclusão de dados?

A LGPD trata os prazos assim:

1. Confirmação e acesso: em formato simplificado, de imediato; ou por uma declaração completa, com origem dos dados e finalidade, em até 15 dias a partir do pedido (artigo 19).
2. Demais pedidos, como correção e eliminação: a lei diz que serão atendidos nos prazos e termos do regulamento (artigo 18, § 5º). Se a eliminação não puder ser feita na hora, o artigo 18, § 4º, manda você enviar uma resposta explicando o motivo.
3. Pequeno porte: a Resolução CD/ANPD nº 2/2022 dá a microempresas, MEIs e profissionais liberais prazo em dobro para atender os pedidos dos titulares e até 15 dias para a declaração simplificada de confirmação.

Na prática, o mais seguro é responder logo que o pedido chega, mesmo que seja para dizer “recebemos e vamos responder até tal data”, e não deixar passar de 15 dias para a resposta final. Silêncio é o pior cenário: a pessoa pode levar a reclamação à ANPD (artigo 18, § 1º) e terá o print da mensagem sem resposta.

Como atender o pedido, passo a passo

1. Registre o pedido

Anote quem pediu, por qual canal, em que data e o que exatamente foi pedido. Esse registro é a sua prova de que respondeu dentro do prazo.

2. Confirme que é a própria pessoa

Antes de apagar ou enviar uma cópia de dados, confira se quem pede é mesmo o titular. Um pedido vindo do mesmo número ou e-mail que já está no cadastro costuma bastar. Se vier de um contato desconhecido, peça uma confirmação simples. A lei não detalha como fazer essa conferência, mas mandar os dados de alguém para a pessoa errada seria um vazamento.

3. Encontre todos os lugares onde os dados estão

É a etapa que mais trava. Procure na agenda, no cadastro de clientes, nas planilhas, no e-mail, no WhatsApp da empresa, nas pastas de documentos, no sistema do contador e nas ferramentas de e-mail de novidades. Se você já fez o inventário que eu sugiro no artigo sobre LGPD para pequenas empresas, essa busca leva minutos.

4. Separe o que apaga do que fica

Para cada dado encontrado, pergunte: existe uma lei que manda guardar ou um motivo concreto de defesa? Se sim, ele fica, e você anota o motivo e por quanto tempo. Se não, ele sai.

5. Apague de verdade

Apagar da planilha principal e esquecer a cópia antiga na pasta de downloads não resolve. Lembre também dos backups: em geral eles não são editados um a um, mas devem ter prazo para serem substituídos, de modo que o dado some quando a cópia antiga for descartada.

6. Avise quem recebeu os dados de você

O artigo 18, § 6º, diz que você deve informar os agentes com quem compartilhou os dados, como uma ferramenta de e-mail de novidades ou um parceiro, para que eles também façam a eliminação, salvo quando isso for comprovadamente impossível ou exigir esforço desproporcional.

7. Responda por escrito

Diga o que foi apagado, o que ficou guardado, por qual motivo e até quando.

O que escrever na resposta ao cliente?

Um modelo simples, para adaptar ao seu caso:

Olá, Maria. Recebemos seu pedido de exclusão de dados em 3 de novembro. Apagamos seu telefone da lista de lembretes e os dados do seu cadastro que não precisamos mais. Mantivemos apenas os documentos que a lei nos obriga a guardar, pelo prazo legal, sem usá-los para nenhuma outra finalidade. Se tiver qualquer dúvida, é só responder esta mensagem.

Como se preparar antes que o pedido chegue?

Três medidas tornam esse pedido um trabalho de rotina:

• Tenha um canal de contato para privacidade, divulgado na política de privacidade do site, e alguém responsável por ler.
• Concentre os dados dos clientes num lugar só. Quando o cadastro vive em três planilhas e dois celulares, achar e apagar tudo vira caça ao tesouro.
• Defina prazos de guarda por tipo de dado: o que sai quando o cliente para de vir, o que fica pelo prazo legal.

Perguntas frequentes

Posso cobrar para atender um pedido de exclusão de dados?

Não. O artigo 18, § 5º, da LGPD diz que o atendimento é sem custos para o titular.

O cliente pode pedir para apagar o histórico de atendimento?

Pode pedir, mas você não é obrigado a apagar o que a lei manda guardar ou o que é necessário para se defender. Nesse caso, explique na resposta o motivo e por quanto tempo os dados ficam.

E se eu não tiver nenhum dado da pessoa?

Responda assim mesmo, informando que não encontrou registros. A confirmação de que não existem dados também é uma resposta prevista na lei.

Preciso apagar as conversas do WhatsApp?

Se não houver motivo para guardar, sim, inclusive no celular de quem atendeu. Se a conversa comprova um atendimento ou um combinado que pode ser discutido depois, ela pode ser mantida por esse motivo.

Resumo

• O cliente pode pedir a exclusão dos dados a qualquer momento, por qualquer canal, e o atendimento é gratuito.
• A LGPD permite guardar dados exigidos por outras leis ou necessários para defesa, desde que você explique isso na resposta.
• A declaração completa de acesso tem prazo de 15 dias; pequenos negócios têm prazo em dobro para os demais pedidos, mas responder rápido evita reclamação.
• Registre o pedido, confirme quem pede, ache os dados em todos os lugares, apague o que pode, avise parceiros e responda por escrito.
• Dados concentrados num só lugar transformam o pedido em tarefa de minutos.

Se os dados dos seus clientes estão espalhados entre agenda, planilhas e celulares, eu desenvolvo sistemas web sob medida, como cadastro de clientes com login individual e histórico do que foi alterado, que facilitam encontrar e apagar dados quando alguém pede. Veja a página de desenvolvimento de sistemas web.