PRO-LGPD-001 – Procedimento de Atendimento aos Direitos dos Titulares de Dados
PRO-LGPD-001 – Procedimento de Atendimento aos Direitos dos Titulares de Dados
Controle Documental
| Campo | Informação |
|---|---|
| Código | PRO-LGPD-001 |
| Versão | 1.1 |
| Data de Emissão | Abril/2025 |
| Próxima Revisão | Março/2027 |
| Aprovado por | DPO / Diretoria |
| Classificação | Uso Interno |
| LGPD | Art. 18, 19, 20 e 23 |
| ISO 27001:2022 | Requisito 5.34 |
Histórico de Revisões
| Versão | Data | Autor | Descrição |
|---|---|---|---|
| 1.0 | Abr/2025 | DPO |
Emissão inicial |
| 1.1 | Mar/2026 |
DPO |
Revisão periódica do documento |
1. Objetivo
Estabelecer o processo formal para recebimento, análise, tratamento e resposta às solicitações de exercício de direitos dos titulares de dados pessoais, conforme arts. 18 a 20 da LGPD, garantindo que a METRA atenda às solicitações de forma tempestiva, transparente e rastreável.
2. Escopo
Este procedimento aplica-se a:
- Todas as solicitações de titulares de dados pessoais tratados pela METRA, seja como Controladora ou Operadora;
- Todos os colaboradores que recebam ou tomem conhecimento de solicitações de titulares;
- Os sistemas e processos utilizados para armazenar, tratar e responder a essas solicitações.
3. Referências Normativas
| Documento | Descrição |
|---|---|
| LGPD – Lei nº 13.709/2018 | Arts. 18, 19, 20, 23 e 40 |
| Resolução CD/ANPD nº 2/2022 | Regulamento para agentes de pequeno porte |
| PSI-018 | Política de Privacidade e Proteção de Dados Pessoais |
| RAT-001 | Registro de Atividades de Tratamento |
| AVP-001 | Aviso de Privacidade |
4. Definições
| Termo | Definição |
|---|---|
| Titular | Pessoa natural a quem se referem os dados pessoais objeto da solicitação |
| Solicitação | Pedido formal do titular para exercer um ou mais dos direitos previstos no art. 18 da LGPD |
| DPO | Encarregado de Dados da METRA — responsável pelo recebimento e coordenação das respostas |
| Canal de atendimento | Meio disponibilizado pela METRA para recebimento das solicitações |
| Prazo | Período máximo de 15 dias corridos para resposta, conforme art. 19 da LGPD |
| Verificação de identidade | Processo de confirmação da identidade do solicitante antes do fornecimento de dados |
5. Direitos dos Titulares
Conforme o art. 18 da LGPD, o titular tem direito a obter do controlador, em relação aos dados por ele tratados:
| Direito | Descrição | Limitações Aplicáveis |
|---|---|---|
| I – Confirmação de existência | Confirmar se a METRA trata dados do titular | — |
| II – Acesso | Obter cópia dos dados pessoais tratados | Sigilo médico preservado (Resolução CFM 1.851/2008) para dados de saúde |
| III – Correção | Solicitar correção de dados incompletos, inexatos ou desatualizados | Documentos legais podem exigir processo formal de retificação |
| IV – Anonimização/Bloqueio/Eliminação | Solicitar para dados desnecessários, excessivos ou em desconformidade | Não se aplica a dados cuja retenção é obrigatória por lei |
| V – Portabilidade | Solicitar a portabilidade dos dados a outro fornecedor | Formato a ser definido conforme regulamentação da ANPD |
| VI – Eliminação (consentimento) | Eliminar dados tratados com base no consentimento | Não se aplica quando tratamento tiver outra base legal |
| VII – Informação sobre compartilhamento | Saber com quais entidades a METRA compartilha seus dados | — |
| VIII – Informação sobre não consentir | Conhecer consequências de não fornecer consentimento | — |
| IX – Revogação do consentimento | Revogar consentimento anteriormente fornecido | Tratamento baseado em outras bases legais não é afetado |
| X – Oposição | Opor-se ao tratamento realizado em descumprimento da LGPD | — |
| XI – Revisão de decisão automatizada | Solicitar revisão de decisões tomadas por tratamento automatizado | — |
| XII – Petição à ANPD | Encaminhar reclamação à ANPD | Direito independente, exercido diretamente pelo titular |
6. Canal de Atendimento
O titular poderá encaminhar sua solicitação por meio do seguinte canal oficial:
| Canal | Contato |
|---|---|
| E-mail do DPO | [e-mail institucional do DPO] |
| Formulário físico | Disponível nas recepções das unidades METRA |
O DPO é o ponto focal para recebimento, análise e resposta de todas as solicitações.
Qualquer colaborador que receber uma solicitação de titular (por telefone, pessoalmente ou por outro meio) deve orientar o titular a utilizar o canal oficial e registrar o contato para ciência do DPO.
7. Verificação de Identidade do Solicitante
Antes de fornecer qualquer informação ou tomar medidas em resposta à solicitação, a METRA deve confirmar a identidade do titular.
7.1 Solicitação por titular pessoa física
O solicitante deve apresentar:
- Nome completo;
- CPF;
- Documento de identificação (RG, CNH ou equivalente);
- Meio de contato para resposta (e-mail ou endereço).
7.2 Solicitação por representante legal
Quando o titular for incapaz ou a solicitação for feita por representante legal ou procurador:
- Documento de identificação do representante;
- Procuração ou documento comprobatório da representação;
- Identificação do titular representado.
7.3 Dados mínimos para verificação
A verificação de identidade deve ser proporcional ao risco associado ao tipo de dado e à solicitação. Para dados de saúde (sensíveis), a verificação será mais rigorosa, podendo exigir confirmação presencial ou autenticação adicional.
8. Fluxo de Atendimento
1. RECEBIMENTO
└─ Titular envia solicitação pelo canal oficial (e-mail DPO / formulário físico)
2. PROTOCOLO
└─ DPO registra a solicitação no Formulário FOR-LGPD-001
- Número do protocolo (LGPD-AAAA-NNN)
- Data de recebimento
- Tipo de direito solicitado
- Dados do titular
└─ DPO envia confirmação de recebimento ao titular com número do protocolo
3. VERIFICAÇÃO DE IDENTIDADE
└─ DPO verifica a identidade do solicitante conforme Seção 7
└─ Se identidade não confirmada: solicitar documentação adicional (suspende prazo)
└─ Se confirmada: prosseguir
4. ANÁLISE
└─ DPO analisa a solicitação:
a) Identifica o(s) sistema(s) e/ou arquivo(s) que contém os dados do titular (RAT-001)
b) Verifica se há limitação legal ao atendimento do pedido
- Obrigação de retenção legal?
- Sigilo médico?
- Terceiro envolvido?
c) Consulta área responsável (TI, RH, medicina) se necessário
5. DECISÃO
├─ Atendimento integral: prosseguir para Execução
├─ Atendimento parcial: documentar justificativa e prosseguir para Execução parcial
└─ Recusa: documentar justificativa legal e informar o titular
6. EXECUÇÃO
└─ Área responsável executa a ação (acesso, correção, eliminação, portabilidade)
└─ DPO valida a execução
7. RESPOSTA AO TITULAR
└─ DPO envia resposta formal ao titular dentro do prazo de 15 dias corridos
└─ Resposta deve conter:
- Confirmação da ação tomada (ou justificativa para recusa/atendimento parcial)
- Informações sobre como peticionar à ANPD em caso de insatisfação
8. ENCERRAMENTO E REGISTRO
└─ DPO atualiza o Formulário FOR-LGPD-001 com resultado e data de conclusão
└─ Registro mantido pelo prazo de 5 anos
9. Prazos
| Etapa | Prazo |
|---|---|
| Confirmação de recebimento ao titular | Imediato (até 2 dias úteis) |
| Resposta definitiva ao titular | 15 dias corridos a contar do recebimento (art. 19, LGPD) |
| Solicitação de documentação adicional (suspende prazo) | Até 5 dias úteis para nova comunicação |
| Retomada do prazo após confirmação de identidade | Prazo recomeça da data de confirmação |
| Guarda do registro da solicitação | 5 anos após encerramento |
O prazo de 15 dias corridos é improrrogável. Casos complexos devem ser comunicados ao titular antes do vencimento, informando a previsão de conclusão, sem ultrapassar o prazo legal.
10. Situações Específicas
10.1 Pedido de Acesso a Dados de Saúde
O acesso do titular aos seus dados de saúde tratados pela METRA deve observar:
- O conteúdo clínico detalhado é protegido pelo sigilo médico (Resolução CFM nº 1.851/2008) e poderá ser fornecido diretamente ao titular mediante identificação, com mediação do médico do trabalho quando aplicável;
- O titular tem direito ao seu prontuário, conforme art. 4º da Resolução CFM nº 1.638/2002;
- As empresas clientes (controladores) não têm acesso ao prontuário clínico, apenas à conclusão do ASO.
10.2 Pedido de Eliminação de Dados com Retenção Legal Obrigatória
Quando a eliminação for solicitada mas os dados estiverem sujeitos a prazo de retenção legal (ex.: prontuários por 20-30 anos), o DPO deve:
- Informar o titular da obrigação legal que impede a eliminação;
- Informar o prazo estimado de retenção;
- Documentar a recusa justificada.
10.3 Revogação de Consentimento
A revogação do consentimento:
- É sempre gratuita e sem necessidade de justificativa;
- Não afeta o tratamento realizado anteriormente à revogação;
- Pode resultar na impossibilidade de prestação do serviço, se o consentimento era condição necessária — o titular deve ser informado disso.
10.4 Solicitação de Portabilidade
A portabilidade de dados será fornecida em formato estruturado, comumente utilizado e de leitura automática (ex.: CSV ou PDF), conforme regulamentação da ANPD.
10.5 Oposição ao Tratamento
O titular pode opor-se ao tratamento de seus dados. A METRA avaliará se há base legal que justifique a continuidade do tratamento. Nos casos em que o tratamento for baseado em obrigação legal, a oposição não será acolhida, e o titular será informado da fundamentação legal.
11. Recusa de Atendimento
A METRA poderá, fundamentadamente, recusar ou limitar o atendimento de solicitação quando:
| Situação | Fundamento |
|---|---|
| Dados cuja retenção é obrigação legal | Art. 16, I e II, LGPD |
| Dados necessários para exercício regular de direito em processo | Art. 16, IV, LGPD |
| Solicitante não identificado ou com identidade não confirmada | Proteção do próprio titular e de terceiros |
| Pedido manifestamente infundado ou abusivo (repetitivo) | Art. 19, §3º, LGPD |
| Sigilo de terceiros que possam ser afetados | Proteção de dados de terceiros |
Em todos os casos de recusa, o DPO documentará a justificativa e comunicará o titular, informando o direito de peticionar à ANPD.
12. Comunicação com a ANPD
O titular insatisfeito com a resposta da METRA pode peticionar diretamente à ANPD (www.gov.br/anpd).
A METRA cooperará com a ANPD em caso de investigação, fornecendo as informações solicitadas no prazo determinado pela Autoridade.
13. Registro e Controle das Solicitações
Todas as solicitações recebidas serão registradas no Formulário FOR-LGPD-001 – Registro de Solicitações de Titulares, contendo:
| Campo | Descrição |
|---|---|
| Número do protocolo | LGPD-AAAA-NNN (ex.: LGPD-2026-001) |
| Data de recebimento | Data em que a solicitação foi recebida |
| Tipo de solicitação | Direito solicitado (acesso, correção, eliminação etc.) |
| Dados do titular | Nome, CPF, contato |
| Meio de recebimento | E-mail, formulário físico |
| Status | Em análise / Atendido / Parcialmente atendido / Recusado |
| Data da resposta | Data em que a resposta foi enviada ao titular |
| Justificativa (se recusa) | Fundamentação legal da recusa |
| Responsável pelo atendimento | Nome do colaborador da METRA |
Os registros serão mantidos por 5 anos e disponibilizados à ANPD em caso de solicitação.
14. Treinamento e Conscientização
Todos os colaboradores da METRA serão treinados sobre:
- Os direitos dos titulares previstos na LGPD;
- Como orientar titulares que entrem em contato por canais não oficiais;
- Como identificar e encaminhar uma solicitação ao DPO.
O treinamento será realizado na integração de novos colaboradores e periodicamente para todos os funcionários.
15. Disposições Finais
Este procedimento entra em vigor na data de sua aprovação e deve ser revisado anualmente ou sempre que houver alterações relevantes na legislação ou nos processos da METRA.