Artigo 19: Os Prazos e Formatos para Responder ao Titular

Art. 19. A confirmação de existência ou o acesso a dados pessoais serão providenciados, mediante requisição do titular: I - em formato simplificado, imediatamente; ou II - por meio de declaração clara e completa, que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, observados os segredos comercial e industrial, fornecida no prazo de até 15 (quinze) dias, contado da data do requerimento do titular.

§ 1º Os dados pessoais serão armazenados em formato que favoreça o exercício do direito de acesso.

§ 2º As informações e os dados poderão ser fornecidos, a critério do titular: I - por meio eletrônico, seguro e idôneo para esse fim; ou II - sob forma impressa.

§ 3º Quando o tratamento tiver origem no consentimento do titular ou em contrato, o titular poderá solicitar cópia eletrônica integral de seus dados pessoais, observados os segredos comercial e industrial, nos termos de regulamentação da autoridade nacional, em formato que permita a sua utilização subsequente, inclusive em outras operações de tratamento.

§ 4º A autoridade nacional poderá dispor de forma diferenciada acerca dos prazos previstos nos incisos I e II do caput deste artigo para os setores específicos.

O que isso significa na prática?

Enquanto o Artigo 18 listou quais são os direitos, o Artigo 19 detalha como e quando os direitos de confirmação e acesso devem ser atendidos. Ele cria dois “níveis de serviço” para o titular:

1. Resposta Simplificada (Imediata): Para a pergunta “Vocês tratam meus dados?”, a resposta (sim ou não) deve ser imediata.

2. Resposta Completa (em até 15 dias): Para a pergunta “Quais dados vocês têm e como os usam?”, a empresa tem até 15 dias para fornecer uma declaração detalhada, explicando a origem, a finalidade e os critérios do tratamento.

O artigo também dá ao titular o poder de escolher como quer receber a informação (em formato eletrônico ou impresso) e cria um direito a uma “cópia eletrônica integral” dos dados, especialmente quando o tratamento é baseado em consentimento ou contrato.

Como se Aplica ao seu Negócio?

Este artigo exige que o seu canal de atendimento ao titular seja eficiente e tenha processos bem definidos para cumprir os prazos.

⏰ O Prazo de 15 Dias: Este é um dos prazos mais importantes da LGPD. Sua empresa precisa ter um processo interno que garanta a capacidade de coletar todas as informações sobre um titular em seus diversos sistemas e consolidá-las em um relatório completo em até 15 dias. Perder esse prazo é uma infração.

🤖 Automatize a Resposta Simplificada: O ideal é que seu portal de privacidade ou o e-mail de contato do DPO tenha uma resposta automática para a confirmação de tratamento, cumprindo a exigência de imediatismo. A resposta completa virá depois, dentro do prazo.

📄 Prepare o Modelo de Declaração: Sua empresa deve ter um modelo padrão para a declaração completa, garantindo que todas as informações exigidas por lei sejam incluídas. Isso agiliza o processo e reduz o risco de erros.

💾 Capacidade de Exportação: Seus sistemas precisam ser capazes de exportar os dados de um titular específico em um formato eletrônico comum (como CSV ou JSON), para atender tanto ao direito de acesso quanto à portabilidade.