DSAR na LGPD: como responder pedidos de acesso e exclusão
Mais cedo ou mais tarde, um contato da sua base vai pedir para saber o que você tem sobre ele — ou para apagar tudo. Esse pedido tem nome: DSAR (Data Subject Access Request), o termo que o mercado usa para qualquer solicitação de um titular de dados com base nos seus direitos legais. Este guia mostra como reconhecer, cumprir o prazo e responder a um DSAR em marketing multicanal sem deixar nenhum pedido represado.
O que é um DSAR na prática
DSAR não é um termo da LGPD — é o jeito abreviado (nascido do GDPR europeu, mas usado no dia a dia de privacidade no Brasil também) de se referir a qualquer solicitação de um titular para exercer um direito do Art. 18 da LGPD: confirmar se há tratamento, acessar os dados, corrigir, anonimizar/bloquear/eliminar, portar para outro fornecedor ou saber com quem os dados foram compartilhados. Em marketing multicanal, o pedido mais comum de longe é "quero saber o que vocês têm sobre mim" (acesso) ou "apaguem meus dados" (exclusão) — e é neles que este guia foca.
Os tipos de pedido e o direito por trás de cada um
| Pedido do titular | Direito (LGPD) | O que a empresa entrega |
|---|---|---|
| "Vocês têm dados meus?" | Confirmação de tratamento (Art. 18, I) | Resposta simples: sim ou não, e por qual canal o contato está cadastrado. |
| "Quero ver tudo que sabem sobre mim" | Acesso aos dados (Art. 18, II) | Dossiê com dados cadastrais, histórico de consentimento por canal e histórico de envio. |
| "Esse dado está errado, corrijam" | Correção (Art. 18, III) | Atualização do campo incorreto no cadastro do contato. |
| "Apaguem meus dados" | Anonimização / eliminação (Art. 18, IV) | Anonimização do contato e supressão em todos os canais, guardando só o mínimo para prova do próprio pedido. |
| "Não quero mais receber SMS/e-mail" | Revogação de consentimento (Art. 8, §5) | Revogação do consentimento daquele canal específico — os demais continuam ativos. |
Prazos: o que a LGPD exige e o que é boa prática
O Art. 19 da LGPD é específico para confirmação de tratamento e acesso: a resposta deve sair de forma simplificada e imediata, ou por declaração clara e completa em até 15 dias contados do pedido. A lei não fixa esse mesmo prazo expresso para todo tipo de solicitação (correção, anonimização, portabilidade) — mas a prática do mercado e a orientação de boa-fé da ANPD são tratar qualquer DSAR com a mesma urgência, usando os 15 dias como referência interna mesmo quando a lei não obriga.
- Não responder, ou responder sem justificativa depois de muito tempo, é motivo de reclamação do titular à ANPD.
- Pedidos de exclusão têm uma ressalva importante: dados que a empresa é obrigada a reter por outra lei (fiscal, por exemplo) ou que sirvam de prova do próprio atendimento ao pedido podem ser mantidos de forma mínima e anonimizada, não integralmente apagados.
- Documente a data de entrada e de resposta de cada pedido — é a sua evidência de conformidade caso a ANPD pergunte depois.
Passo a passo: respondendo um pedido de acesso
- Confirme a identidade de quem está pedindo (evita vazar dados de um contato para outra pessoa se passando por ele).
- Localize o contato na base pelo identificador informado (e-mail ou telefone).
- Reúna dados cadastrais, status de consentimento por canal e histórico de mensagens enviadas a ele.
- Entregue num formato legível, sem termos técnicos internos, com a data em que os dados foram registrados.
- Registre o pedido e a resposta para efeito de auditoria.
Passo a passo: respondendo um pedido de exclusão
- Confirme a identidade da mesma forma que num pedido de acesso.
- Verifique se existe base legal para reter algum dado específico (contrato ativo, obrigação fiscal) antes de eliminar tudo.
- Anonimize o cadastro: remova nome, e-mail, telefone e qualquer campo identificável do histórico de mensagens.
- Suprima o contato anonimizado em todos os canais — e-mail, SMS e voz — não só naquele em que o pedido chegou.
- Guarde o registro mínimo do próprio pedido (data, canal de origem, ação tomada) como prova de que ele foi atendido.
Como automatizar isso por API
Tratar DSAR manualmente, contato por contato, escala mal a partir de algumas dezenas de pedidos por mês. No three-pulse, os dois passos mais demorados — montar o dossiê de acesso e executar a exclusão — são endpoints de API por contato: um devolve os dados cadastrais, o histórico de consentimento por canal e o histórico de envio; outro anonimiza o contato, apaga o dado pessoal do histórico de mensagens e suprime todos os canais dele de uma vez, mantendo só o registro mínimo de prova. Cada uma dessas ações também aparece no log de auditoria do workspace — um histórico só de leitura, encadeado por hash, que sinaliza se algum registro foi alterado por fora do fluxo normal (`chain_intact`). Isso dá ao seu time (ou ao seu jurídico, se for auditar depois) uma trilha verificável de que o pedido foi mesmo atendido, sem depender de print de tela ou planilha paralela.
Erros comuns ao lidar com DSAR
- Tratar exclusão como "descadastro de marketing" — são coisas diferentes: descadastro tira a pessoa de campanhas futuras, exclusão apaga o dado histórico.
- Excluir só do canal onde o pedido chegou, deixando o contato ativo nos outros.
- Apagar tudo sem checar se existe obrigação legal de retenção que exigiria manter (de forma mínima) algum registro.
- Não guardar prova nenhuma do próprio atendimento — sem isso, não há como demonstrar conformidade se o titular reclamar à ANPD depois.
- Deixar pedidos acumularem numa caixa de e-mail sem prazo de acompanhamento.
Modelo de resposta (adapte ao seu caso)
Recebemos seu pedido em [data] com base no Art. 18 da LGPD. Confirmamos que [temos/não temos] dados seus tratados para [finalidade]. [Segue o dossiê em anexo / Seus dados foram anonimizados e removidos de todos os nossos canais em [data]]. Qualquer dúvida, responda este e-mail.
Perguntas frequentes
DSAR é um termo da lei brasileira?
Não. DSAR (Data Subject Access Request) é um termo de mercado, popularizado pelo GDPR europeu, usado no dia a dia para se referir a qualquer solicitação de um titular com base nos direitos do Art. 18 da LGPD — a lei brasileira não usa essa sigla, mas os direitos por trás dela são os mesmos.
Tenho 15 dias para responder qualquer pedido?
O Art. 19 da LGPD fixa até 15 dias especificamente para confirmação de tratamento e acesso aos dados. Para outros pedidos (correção, anonimização, portabilidade) a lei não define esse mesmo prazo expresso, mas a boa prática é usar os 15 dias como referência interna para não deixar nenhum pedido represado.
Posso apagar 100% dos dados de um contato que pediu exclusão?
Quase sempre sim, mas com uma ressalva: dado que você é obrigado a reter por outra lei (fiscal, por exemplo) ou que sirva de prova de que o próprio pedido foi atendido pode ser mantido de forma mínima e anonimizada, em vez de eliminado por completo.
Se o contato pediu exclusão, isso vale para e-mail, SMS e voz ao mesmo tempo?
Sim — um pedido de exclusão (diferente de uma simples revogação de consentimento de um canal específico) deve suprimir o contato em todos os canais de uma vez, não só naquele em que a solicitação chegou.
Como provo que atendi um pedido, se a ANPD perguntar depois?
Guarde o registro mínimo do pedido (data, canal de origem, ação tomada). No three-pulse, cada exportação ou anonimização de contato fica registrada no log de auditoria do workspace, encadeado por hash — uma trilha que sinaliza se algo foi alterado fora do fluxo normal.
Leia também
LGPD em marketing: consentimento e direitos do titular
Guia de LGPD para marketing multicanal: bases legais, consentimento por canal, direitos do titular e supressão automática em e-mail, SMS e voz.
E-mail transacional: o que é e como implementar via API
E-mail transacional explicado: diferenças para o e-mail em massa, exemplos práticos e como disparar via API sem montar uma campanha.
SMS vs WhatsApp Business API: qual canal escolher
SMS ou WhatsApp Business API: compare alcance, opt-in, aprovação de template e custo para escolher o canal certo em cada campanha.