Portabilidade de dados: direitos, limites e como solicitar

A portabilidade de dados permite que o titular peça a transferência de seus dados pessoais para outro fornecedor de serviço ou produto. Esse direito está previsto na Lei Geral de Proteção de Dados, mas depende de regulamentação da Autoridade Nacional de Proteção de Dados e não se confunde com acesso, cópia ou exclusão.

Por isso, um pedido seguro precisa identificar os dados, o controlador de origem e o destinatário. Também deve preservar a identidade do titular e os segredos comercial e industrial. Neste guia, você entenderá o alcance do direito, os limites atuais e as medidas práticas para titulares e empresas.

O que é portabilidade de dados na LGPD?

A LGPD inclui a portabilidade de dados entre os direitos do titular. O artigo 18, inciso V, prevê a transferência a outro fornecedor de serviço ou produto. Contudo, o exercício deve observar a regulamentação da ANPD e os segredos comercial e industrial.

Na prática, o titular busca levar informações relacionadas ao uso de um serviço para outro ambiente. Assim, a medida pode reduzir barreiras à mudança de fornecedor. Ela também fortalece o controle da pessoa sobre seus dados.

A Lei nº 13.709/2018 fornece a base legal. Além disso, a página oficial da ANPD sobre direitos dos titulares confirma a possibilidade de solicitar a portabilidade a outro controlador.

Entretanto, esse direito não significa que qualquer arquivo interno da empresa deva ser entregue. Também não obriga o controlador a revelar algoritmos, métodos proprietários ou avaliações protegidas. Portanto, o pedido deve separar os dados do titular das informações produzidas pelo negócio.

Portabilidade de dados, acesso e exclusão são a mesma coisa?

Não. O acesso permite conhecer os dados tratados e obter informações sobre o tratamento. Já a portabilidade busca transferir dados para outro fornecedor. Por sua vez, a exclusão pretende eliminar dados em situações previstas pela lei.

Esses direitos podem aparecer no mesmo atendimento, mas não devem ser confundidos. Por exemplo, o titular pode pedir uma cópia para conferir as informações antes de indicar o destinatário. Depois, pode solicitar a transferência dos dados adequados.

• Acesso: permite consultar dados e obter uma declaração ou cópia.
• Portabilidade: procura viabilizar a migração para outro fornecedor.
• Correção: atualiza informações incompletas, inexatas ou desatualizadas.
• Eliminação: busca apagar dados quando a hipótese legal permite.

Além disso, a portabilidade não encerra automaticamente o tratamento anterior. O controlador de origem pode precisar conservar dados para cumprir obrigação legal ou exercer direitos. Por isso, o titular deve dizer se deseja apenas a transferência ou também pretende formular outro pedido.

Para compreender o conjunto desses direitos, consulte o guia sobre como funciona a LGPD. Essa distinção ajuda a escolher o pedido compatível com o objetivo concreto.

Quais dados podem ser abrangidos pela portabilidade?

O alcance depende do serviço, da origem dos dados e da regulamentação aplicável. Em geral, o pedido pode alcançar informações fornecidas pelo titular e registros ligados ao uso do serviço. Contudo, a empresa deve avaliar cada conjunto antes de transferi-lo.

Dados cadastrais, preferências registradas e históricos de operações são exemplos possíveis. Entretanto, nem todo dado armazenado é portátil. Informações anonimizadas, quando não permitem identificar o titular, ficam fora da lógica dos direitos sobre dados pessoais.

Também merece atenção o conteúdo de terceiros. Um histórico pode conter nomes, mensagens ou dados de outras pessoas. Assim, o controlador precisa evitar que a transferência exponha direitos alheios. Em alguns casos, será necessário separar, ocultar ou excluir campos.

Além disso, análises internas podem envolver segredo comercial. Uma pontuação de risco, um modelo antifraude ou uma inferência proprietária não deve ser tratada como simples dado cadastral. Portanto, a resposta precisa justificar o que foi incluído e o que ficou de fora.

Dados pessoais sensíveis podem ser portados?

A presença de dados sensíveis exige cautela reforçada. Saúde, biometria, origem racial e outras categorias recebem proteção especial. Por isso, identidade, canal de entrega, criptografia e destinatário precisam ser verificados com rigor.

A natureza sensível não elimina automaticamente o direito. Contudo, ela aumenta o risco da operação. Assim, a empresa deve usar medidas proporcionais e registrar a decisão adotada.

Como solicitar a portabilidade de dados?

Primeiro, localize o canal de privacidade da empresa. Ele pode aparecer na política de privacidade, no aplicativo ou na central de atendimento. Depois, formule o pedido por escrito e guarde o protocolo.

1. Identifique o serviço e a conta relacionada ao pedido.
2. Informe quais dados deseja transferir.
3. Indique o fornecedor ou controlador destinatário, quando necessário.
4. Use o procedimento seguro de confirmação de identidade.
5. Peça confirmação de recebimento e número de protocolo.
6. Guarde as respostas e registre eventuais erros do sistema.

O pedido deve ser específico. Expressões como “envie tudo” podem gerar dúvida sobre escopo, destinatário e formato. Em vez disso, indique as categorias relevantes, o período e a finalidade da migração.

Além disso, não envie senha, código de autenticação ou documento por um canal informal. A empresa pode pedir elementos para confirmar a identidade. Contudo, essa verificação deve ser proporcional ao risco e não pode virar uma barreira injustificada.

Modelo objetivo de solicitação

O titular pode informar que exerce o direito de portabilidade previsto no artigo 18, inciso V, da LGPD. Em seguida, deve identificar a conta, as categorias de dados e o destinatário. Por fim, pode solicitar o protocolo e as instruções de segurança para concluir o procedimento.

Esse modelo não substitui a análise do caso. Alguns setores possuem mecanismos próprios de migração. Portanto, verifique também as regras específicas do serviço contratado.

Como confirmar identidade, segurança e destinatário?

A portabilidade de dados envolve uma transferência potencialmente relevante. Por isso, a empresa precisa evitar que um fraudador obtenha informações do titular. Ao mesmo tempo, a confirmação de identidade não deve coletar dados excessivos.

Uma boa rotina usa a conta já autenticada, confirmação em dois fatores ou procedimento equivalente. Se for necessário documento, a empresa deve explicar a finalidade e proteger o arquivo. Além disso, deve limitar o acesso interno.

O destinatário também precisa ser confirmado. Um endereço digitado incorretamente pode causar incidente de segurança. Assim, sempre que possível, a transferência deve ocorrer por integração segura ou por arquivo protegido.

Depois do envio, o controlador deve registrar data, escopo e canal utilizado. Contudo, esse registro não deve guardar cópias desnecessárias por tempo indefinido. A política de retenção precisa abranger também os pedidos de titulares.

Qual é o prazo e qual formato deve ser usado?

A LGPD prevê prazos específicos para confirmação e acesso nos termos do artigo 19. Entretanto, a portabilidade possui dependências técnicas e regulatórias próprias. Por isso, não é seguro aplicar automaticamente um único prazo a qualquer pedido.

A empresa deve responder sem demora injustificada e informar o andamento. Se precisar de esclarecimentos, deve solicitá-los de forma objetiva. Além disso, a negativa ou limitação precisa vir acompanhada de justificativa.

O formato deve permitir uso pelo destinatário. Arquivos estruturados e legíveis por máquina costumam ser mais adequados que imagens ou documentos digitalizados. Contudo, o padrão depende do setor e da regulamentação aplicável.

Em 2026, a regulamentação dos direitos dos titulares continua no debate regulatório da ANPD. Portanto, empresas devem acompanhar normas novas e evitar prometer uma interoperabilidade que seus sistemas ainda não suportam. A ausência de padrão final, porém, não autoriza ignorar o pedido.

O que fazer se a empresa negar a portabilidade de dados?

Primeiro, peça a razão da negativa por escrito. A resposta deve explicar se faltou identificação, se o pedido alcançou dados de terceiros ou se existe limitação técnica e jurídica. Depois, confira se o controlador ofereceu alternativa adequada.

Em seguida, reúna o protocolo, a solicitação e as respostas. Também registre os efeitos concretos da recusa. Esses documentos ajudam a avaliar se houve falta de transparência ou violação do direito.

O titular pode procurar o encarregado de dados, quando houver, e utilizar os canais internos de revisão. Se o problema persistir, pode avaliar uma petição à ANPD ou outras medidas cabíveis. Contudo, nenhuma providência garante resultado automático.

Além disso, uma negativa não gera indenização por si só. É preciso examinar conduta, dano, nexo e provas. Portanto, preserve os documentos e evite divulgar informações pessoais em redes sociais.

Como as empresas devem se preparar para pedidos de portabilidade?

A preparação começa pelo inventário de dados. A empresa precisa saber onde as informações estão, por que são tratadas e quem consegue extraí-las. Sem esse mapa, o atendimento pode ser lento ou incompleto.

Depois, é necessário definir responsáveis e etapas. Atendimento, segurança, jurídico e tecnologia podem participar. Contudo, o titular deve receber uma resposta coordenada, e não mensagens contraditórias.

• Mapeie sistemas, categorias de dados e integrações.
• Defina um canal oficial para pedidos de titulares.
• Adote um procedimento proporcional de confirmação de identidade.
• Separe dados do titular, informações de terceiros e segredos comerciais.
• Escolha formatos estruturados e mecanismos seguros de entrega.
• Registre decisões, prazos e responsáveis pelo atendimento.
• Teste o fluxo e atualize-o quando houver nova regulamentação.

Além disso, contratos com operadores devem prever cooperação. Um fornecedor de nuvem ou software pode armazenar parte dos dados. Por isso, prazos, formatos e medidas de segurança precisam aparecer nas obrigações contratuais.

A empresa também deve treinar a equipe. Um pedido enviado ao suporte não pode ser ignorado apenas porque não chegou ao endereço do encarregado. Assim, todos os canais precisam saber encaminhar a solicitação.

Quais são os principais riscos jurídicos e técnicos?

O primeiro risco é entregar dados à pessoa errada. O segundo é incluir informações de terceiros. Além disso, um arquivo incompatível pode tornar a portabilidade inútil, mesmo quando a empresa afirma ter atendido.

Outro problema é usar o pedido para exigir dados excessivos do titular. A verificação deve proteger a operação, mas não criar um obstáculo artificial. Portanto, cada exigência precisa ter finalidade clara.

Também existe risco de apagar dados antes da conclusão. Portar não significa eliminar. Assim, a empresa deve manter as obrigações de conservação aplicáveis e tratar um eventual pedido de exclusão separadamente.

Por fim, a transferência pode envolver sistemas legados e fornecedores externos. Testes, registros e criptografia reduzem falhas. Contudo, a tecnologia deve seguir uma decisão jurídica documentada sobre o escopo.

Perguntas frequentes sobre portabilidade de dados

A portabilidade de dados é gratuita?

Em regra, o exercício dos direitos do titular deve ser facilitado. Contudo, o caso concreto pode envolver regras setoriais e situações abusivas. Por isso, uma cobrança precisa ter fundamento jurídico específico e transparência.

Posso pedir a transferência diretamente para outra empresa?

O objetivo legal é permitir a portabilidade a outro fornecedor. Entretanto, o procedimento técnico depende da regulamentação e dos sistemas envolvidos. Assim, a empresa deve informar as opções disponíveis e as limitações reais.

A empresa pode negar por causa de segredo comercial?

Ela pode proteger segredo comercial e industrial, mas não deve usar essa razão de forma genérica. Portanto, a resposta deve separar os dados portáveis das análises ou métodos protegidos.

Portabilidade apaga os dados na empresa anterior?

Não automaticamente. A transferência e a exclusão são direitos diferentes. Além disso, a empresa pode precisar conservar informações por obrigação legal ou para exercer direitos.

Existe um formato único obrigatório?

Não há um padrão universal para todos os setores. Ainda assim, o formato precisa ser útil, seguro e compatível com a finalidade. A regulamentação da ANPD e as normas setoriais devem ser acompanhadas.

Conclusão: como agir com segurança?

Em resumo, a portabilidade de dados exige um pedido claro, confirmação segura de identidade e análise cuidadosa do escopo. Titulares devem guardar protocolos. Empresas precisam mapear sistemas, documentar decisões e acompanhar a regulamentação.

Quando houver negativa, conflito sobre o conteúdo ou risco de exposição, uma análise jurídica individual ajuda a definir a medida adequada. Conheça a atuação da Rocco & Canonica – Advogados em LGPD e proteção de dados para avaliar o caso concreto.