Cliente pediu para apagar seus dados: como responder pela LGPD

Quando um cliente pede para apagar seus dados, a LGPD manda que o pedido seja feito diretamente ao seu negócio, que é o responsável por atender, e que a resposta venha de imediato. Se não for possível apagar na hora, você precisa responder explicando o motivo. Na prática: confirme quem pediu, localize os dados, apague o que puder, guarde o que a lei obriga e registre tudo.

Este guia traz um roteiro de cinco passos para o dono de loja, clínica, estúdio ou serviço, com base nas respostas oficiais da ANPD. Não é parecer jurídico: para casos de saúde, de menores ou de litígio, converse com um advogado. As páginas citadas foram conferidas em 01/11/2026.

O que a ANPD diz sobre o pedido do titular

Na FAQ da ANPD, a Autoridade explica que os direitos do artigo 18 da LGPD são exercidos por requerimento expresso feito diretamente ao agente de tratamento, isto é, ao seu negócio. A lista inclui acesso, correção, portabilidade e a eliminação de dados tratados com consentimento. O titular também pode revogar o consentimento, por procedimento gratuito e facilitado.

O texto afirma que os requerimentos devem ser atendidos de imediato. Se isso não for possível, o controlador deve responder dizendo que não é o agente de tratamento (e indicar quem é, se puder) ou explicando as razões pelas quais não consegue atender na hora. A ANPD informa que fixará prazos em norma própria para os casos sem atendimento imediato. Já para a declaração completa de confirmação e acesso aos dados, o prazo é de até 15 dias, e a FAQ lembra que a Resolução CD/ANPD nº 2 permite prazo em dobro para agentes de pequeno porte.

Para o contexto geral de quem usa IA com dados de cliente, vale o checklist de LGPD para pequeno negócio que usa IA.

Apagar ou guardar: a decisão caso a caso

A FAQ diz que, quando não incide nenhuma das hipóteses de conservação, o controlador deve eliminar os dados. A conservação é autorizada, entre outros casos, para cumprimento de obrigação legal ou regulatória, para estudo por órgão de pesquisa (com anonimização sempre que possível), para transferência a terceiros nos termos da lei e para uso exclusivo do controlador com dados anonimizados.

O caso mais comum no pequeno comércio é a obrigação legal: documentos fiscais e contábeis têm prazos de guarda. Quanto tempo exatamente depende do documento e da legislação aplicável, então peça essa informação ao seu contador antes de responder. O guia sobre quando ter um contador ajuda a decidir isso.

Roteiro de cinco passos

1. Registrar o pedido

Anote data, canal (WhatsApp, e-mail, balcão), nome e o que foi pedido. Mesmo um pedido informal conta. O mesmo caderno de protocolo do SAC com protocolo serve aqui.

2. Confirmar a identidade

Peça só o suficiente para ter certeza de que é o titular, como o e-mail ou o telefone cadastrados. Não exija documento sem necessidade: pedir mais dados para proteger dados é um contrassenso.

3. Mapear onde estão os dados

Planilha de clientes, sistema de vendas, ferramenta de e-mail, WhatsApp Business, agenda, backup, formulário, ferramenta de IA em que alguém colou o nome. Aqui o inventário vale ouro. Quem já fez a política de uso de IA sabe onde procurar; quem não fez descobre o problema neste momento.

4. Apagar, restringir ou guardar, e registrar

Apague o que não precisa ficar. O que ficar por obrigação legal, restrinja o acesso e anote a razão. Cuidado com listas de campanha: retire a pessoa também da audiência do WhatsApp e da base de e-mail marketing.

5. Responder por escrito

Diga o que foi apagado, o que foi mantido e por quê, e como falar com você. Guarde a resposta. Veja o modelo abaixo.

Modelo de resposta e como a IA ajuda

A IA serve para redigir com tom humano, mas o texto deve ser revisado por você, e o pedido do cliente não deve ser colado com nome, telefone ou e-mail. Troque por "Cliente X". O guia de colar dados da empresa no ChatGPT detalha o limite.

Escreva uma resposta curta e cordial a um cliente que pediu a exclusão dos dados pessoais.
Dados da resposta:
- Apagamos: cadastro de promoções e contato de WhatsApp.
- Mantivemos: nota fiscal da compra de 12/08, por obrigação legal, com acesso restrito.
- Canal para dúvidas: e-mail contato@minhaloja.com.br.
Tom: respeitoso, sem juridiquês, no máximo 110 palavras. Não prometa prazos que não informei.

O resultado, revisado, pode ficar assim: "Olá! Recebemos seu pedido e já apagamos seu cadastro de promoções e seu contato de WhatsApp. Mantivemos apenas a nota fiscal da compra de 12/08, porque somos obrigados a guardar esse documento, e o acesso a ela é restrito. Se tiver qualquer dúvida, escreva para contato@minhaloja.com.br."

Canal visível e encarregado

A FAQ da ANPD diz que o encarregado é o canal de comunicação entre o controlador, os titulares e a Autoridade, e que seus contatos devem ser divulgados publicamente, de preferência no site. Para agentes de tratamento de pequeno porte, a dispensa de indicar encarregado existe, mas é preciso oferecer um canal de comunicação com o titular. Em termos práticos: coloque um e-mail ou um WhatsApp de privacidade no rodapé do site e na bio do Instagram.

Se o cliente não ficar satisfeito, ele pode peticionar contra você à ANPD. A página da Autoridade sobre direitos do titular explica que, quando o controlador não concede os direitos, o titular pode apresentar reclamação, e a FAQ complementa que a petição deve comprovar que o pedido foi antes feito ao controlador. Por isso, guardar seu registro importa.

Pedido de cliente que veio por decisão automática

Se o cliente reclama não só de dados guardados, mas de uma decisão tomada por sistema ou IA (limite, recusa, preço), o assunto é outro: o direito de pedir revisão. O guia sobre decisão automatizada e revisão explica o lado do consumidor, e vale conhecer para responder bem.

Erros comuns

• Ignorar o pedido por ser informal. Mensagem de WhatsApp conta.
• Apagar tudo sem ver o contador. Pode haver guarda obrigatória de documentos.
• Esquecer os backups e as planilhas soltas. O dado volta a aparecer.
• Colar o pedido numa IA com nome e telefone. Você cria outro problema de privacidade.
• Não registrar. Sem registro, você não prova que atendeu.

Próximo passo

Reserve 30 minutos esta semana para fazer um inventário simples: onde ficam os dados dos clientes e quem tem acesso. Depois, publique o canal de privacidade e salve o modelo de resposta. Para seguir, veja adequação à LGPD e os outros guias da categoria Negócios.