Repórter pediu dados a 100 empresas e recebeu exclusões em vez de respostas
Investigação da Wired, replicada pela Ars Technica, mostra que um repórter pediu acesso aos próprios dados a mais de 100 empresas usando a lei de privacidade da Califórnia; várias, como a Crunchbase, apagaram sua conta em vez de entregar as informações pedidas.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
Um repórter da Wired, Reece Rogers, testou na prática um direito pouco usado: pedir às empresas cópia dos próprios dados pessoais. Ele enviou solicitações a mais de 100 empresas invocando a CCPA, a lei de privacidade da Califórnia, equivalente californiano do GDPR europeu e da LGPD brasileira. O resultado, publicado pela Wired e replicado pela Ars Technica, retrata como o direito de acesso ainda tropeça na prática das empresas.
Alguns casos ilustram o contraste. O McDonald's devolveu um relatório de 515 páginas sobre o uso do aplicativo de fidelidade de Rogers, incluindo previsões geradas por algoritmo: a companhia calculava sua probabilidade de abandono como zero, ou seja, apostava que ele jamais deixaria de ser cliente. O dossiê ainda projetava 2,16 visitas nas seis semanas seguintes, com gasto médio de 13,49 dólares por pedido.
Outras empresas tomaram o caminho oposto: em vez de reunir e enviar os dados pedidos, simplesmente apagaram a conta do repórter. A Crunchbase, plataforma de dados sobre empresas e startups, fez isso mesmo com Rogers deixando claro que queria apenas acesso, não exclusão. Pedir para ver os próprios dados virou, para essas empresas, sinônimo de apagar, fechando a porta antes de qualquer transparência sobre o que havia sido coletado.
Quem é afetado
O episódio expõe um problema que não é exclusivo dos Estados Unidos. Qualquer pessoa que já tentou exercer direitos de privacidade, seja pela CCPA, pelo GDPR ou pela LGPD, pode esbarrar em respostas automáticas, prazos estourados, formulários confusos ou exclusões que ignoram o que foi pedido. No Brasil, a LGPD garante ao titular o direito de solicitar acesso aos dados que uma empresa mantém sobre ele, com resposta em até 15 dias, prorrogáveis por mais 15 no caso de pequenas empresas, mediante justificativa. A fiscalização desse processo ainda está em construção: a Autoridade Nacional de Proteção de Dados trabalha em regulamento específico para detalhar como as empresas devem tratar essas solicitações.
O que fazer agora
- Ao pedir seus dados, seja específico: diga que quer acesso e cópia, não exclusão, para evitar que o pedido vire desculpa para apagar tudo.
- Guarde comprovante do pedido, como e-mail ou protocolo, e anote a data para cobrar o prazo legal depois.
- Se a empresa apagar seus dados sem autorização ou não responder no prazo da LGPD, registre reclamação diretamente na ANPD, pelo site gov.br.
- Desconfie de canais que exigem verificação de identidade excessiva ou redirecionam para central de exclusão quando o pedido foi apenas de acesso.
- Leia o relatório recebido com atenção: como no caso do McDonald's, ele pode revelar perfis de comportamento e previsões feitas sobre você, útil para decidir se vale continuar usando o serviço.