Pedido de acesso: entregar um cadastro não encerra a resposta
O pedido de acesso permite ao titular confirmar se há tratamento e conhecer seus dados e informações relacionadas. Atender não é apenas exportar uma tela: pode exigir localizar fontes, sistemas, perfis, comunicações e destinatários, explicar finalidades e proteger dados de terceiros. A resposta deve ser clara e compatível com o escopo solicitado.
A organização que procura apenas no CRM pode afirmar que entregou “todos os dados” e esquecer suporte, marketing, gravações, planilhas, logs e fornecedores — exatamente onde costumam estar os dados mais difíceis.
Por Giovanny Maciel, Sócio-fundador
Pedido de acesso parece simples até a empresa precisar encontrar todos os dados da pessoa sem entregar informação de outra pessoa junto. Pela LGPD, o titular pode obter confirmação e acesso aos seus dados, mas a resposta precisa respeitar segurança, segredos protegidos e direitos de terceiros.
Comece pelo escopo, não pela exportação do sistema
Uma extração bruta do CRM pode conter observações internas, dados de contatos relacionados, documentos de terceiros e campos técnicos que exigem análise. O fluxo deve identificar onde há dados do titular, reunir resultados e revisar o conteúdo antes da entrega.
Uma sequência segura costuma ser:
- confirmar a identidade de forma proporcional;
- registrar exatamente o que foi pedido;
- consultar as fontes mapeadas;
- separar dados do titular de dados de terceiros;
- preparar resposta inteligível e segura;
- registrar data, conteúdo e meio de entrega.
“Não encontramos” precisa ser uma conclusão auditável
Se uma área consulta apenas o sistema principal, pode ignorar suporte, marketing, documentos locais ou fornecedores. O mapeamento de dados é o que torna a busca reproduzível. Sem ele, a qualidade da resposta depende da memória de quem recebeu a solicitação.
O canal de entrega também importa. Enviar arquivo com dados pessoais para endereço não verificado ou link público cria um novo incidente no momento em que se tenta cumprir um direito.
A resposta é parte do programa de governança
Pedidos recorrentes revelam falhas de transparência e de arquitetura. Se muitos titulares perguntam por que recebem determinada campanha, talvez o problema esteja no aviso ou na base legal, não no atendimento. Se a localização de dados demora semanas, o problema pode ser de inventário e retenção.
Por isso direitos do titular não devem ser tratados como tarefa isolada do encarregado. Produto, RH, atendimento, TI e fornecedores precisam saber como localizar e devolver informação sem comprometer outras pessoas.
Informações derivadas e histórico também merecem análise
A empresa não deve restringir a busca aos campos que o titular digitou. Dependendo da operação, pode haver dados gerados por atendimento, preferências, registros de uso ou classificações relacionadas à pessoa. O escopo jurídico da resposta precisa ser avaliado sem confundir acesso a dados pessoais com entrega irrestrita de segredos, lógica interna ou informações de terceiros.
Fornecedor não pode ser buraco negro
Se parte relevante do tratamento ocorre em operador, o contrato e o procedimento devem permitir localizar dados dentro do prazo interno. “Está no sistema do fornecedor” não é resposta operacional. Testar esse fluxo antes de receber um pedido real revela integrações que não oferecem busca, exportação ou exclusão adequada.
A documentação final deve registrar quais fontes foram consultadas e por quem. Essa trilha ajuda a responder nova solicitação do mesmo titular e comprova que a busca não se limitou ao primeiro sistema lembrado pela equipe.
Perguntas frequentes
A empresa pode pedir documento de identidade?
Pode adotar verificação proporcional para evitar acesso indevido, mas não deve coletar prova excessiva ou reutilizá-la sem necessidade.
É preciso entregar documentos internos completos?
Não necessariamente. O direito é de acesso aos dados e informações aplicáveis; segredos, direitos de terceiros e contexto documental exigem tratamento cuidadoso.