DSAR é a sigla de Data Subject Access Request, o pedido pelo qual uma pessoa exige saber o que uma organização tem sobre ela. Sob a PIPEDA, esse pedido tem regras específicas: precisa ser feito por escrito, precisa ser respondido em trinta dias e, se você não responder, a lei considera que você recusou.

O portal do titular é a resposta operacional a isso. Ele não é uma exigência de texto da lei canadense, é o desenho que torna o prazo cumprível e a resposta demonstrável. Se você ainda não tem o enquadramento da lei, comece por PIPEDA Canadá e cookies.

Antes de desenhar tela, é preciso saber o que você vai atender. E aqui a PIPEDA surpreende quem vem da LGPD ou do GDPR, porque a lista é bem menor.

O direito de acesso vem do princípio 4.9 do Anexo 1: mediante pedido, o indivíduo deve ser informado da existência, do uso e da divulgação do seu dado pessoal, e deve receber acesso a esse dado.

O direito de correção vem da cláusula 4.9.5: demonstrada a inexatidão ou a incompletude, a organização deve emendar a informação conforme necessário. O verbo usado é shall, o que pela seção 5(2) da PIPEDA significa obrigação e não recomendação.

O direito de retirar o consentimento vem da cláusula 4.3.8: o indivíduo pode retirar o consentimento a qualquer momento, sujeito a restrições legais ou contratuais. Ele não é um direito de apagamento, é um direito de interromper o tratamento consentido daqui para frente.

E o direito de contestar a conformidade vem do princípio 4.10, que obriga a organização a manter procedimentos para receber e responder reclamações sobre o cumprimento dos princípios.

Aqui está o ponto que separa quem leu a lei de quem copiou um modelo europeu. Não existe direito geral de apagamento na PIPEDA, e não existe direito de portabilidade.

Isso não é interpretação. O próprio Office of the Privacy Commissioner of Canada, ao comentar as propostas de reforma, descreve o direito de eliminação e o quadro de mobilidade de dados como novidades que a nova lei introduziria e que o regime atual não contém.

Há uma exceção estreita e recente. Em comunicado de 27 de agosto de 2025, o OPC afirmou que, sob a lei canadense de privacidade, existe direito de desindexação de resultados de busca pelo nome, em circunstâncias limitadas, quando houver risco significativo de dano que supere o interesse público na permanência do resultado.

Quem já montou portal para o Brasil precisa reconfigurar expectativas. A LGPD dá nove direitos no artigo 18, incluindo portabilidade no inciso V e eliminação no inciso VI. O artigo sobre a LGPD detalha essa lista, e ela simplesmente não tem equivalente federal canadense.

Em Quebec a história muda outra vez. O artigo 27 da Loi sur la protection des renseignements personnels dans le secteur privé, a P-39.1, garante portabilidade desde 22 de setembro de 2024, com entrega do dado em formato tecnológico estruturado e de uso corrente.

A mecânica do pedido de acesso está na seção 8 da PIPEDA, e vale conhecer subseção por subseção, porque cada uma resolve um problema de operação.

A seção 8(1) exige que o pedido seja feito por escrito. Isso legitima um formulário, e é o fundamento prático do portal.

A seção 8(2) obriga a organização a ajudar quem informa que precisa de ajuda para preparar o pedido. Na prática, significa que o formulário não pode ser um labirinto e que precisa existir um canal humano alternativo.

A seção 8(3) fixa o prazo: responder com diligência devida e, em qualquer caso, em até trinta dias contados do recebimento.

A seção 8(4) permite estender por até mais trinta dias em três hipóteses, quando cumprir o prazo interferiria de forma não razoável nas atividades da organização, quando consultas necessárias tornariam impraticável o cumprimento, ou pelo tempo necessário para converter a informação em formato alternativo. O aviso de extensão precisa sair dentro dos trinta dias originais, com o novo prazo, as razões e a informação sobre o direito de reclamar ao Commissioner.

A seção 8(5) é a que dói: se a organização não responde dentro do prazo, considera-se que recusou o pedido. Silêncio é recusa, e recusa abre queixa.

A seção 8(6) trata de custo. Só se pode cobrar se o custo aproximado tiver sido informado antes e o indivíduo tiver avisado que não está retirando o pedido.

A seção 8(7) obriga que a recusa seja comunicada por escrito, com as razões e os recursos disponíveis.

E a seção 8(8) cria uma obrigação de retenção que muita gente ignora: o dado objeto do pedido precisa ser retido pelo tempo necessário para o indivíduo esgotar seus recursos sob a lei. Ou seja, receber um pedido congela a rotina de descarte daquele registro.

A seção 9 lista as hipóteses. As mais relevantes para uma operação comercial:

• Quando o acesso revelaria dado pessoal de terceiro, salvo se a informação puder ser destacada
• Quando a informação está protegida por sigilo advogado-cliente ou privilégio de litígio
• Quando revelaria informação comercial confidencial
• Quando poderia razoavelmente ameaçar a vida ou a segurança de outro indivíduo

A restrição sobre dado de terceiro tem uma exceção importante: ela não se aplica se o terceiro consentir, ou se o indivíduo precisar da informação porque existe ameaça à sua vida, saúde ou segurança.

Recusar sem enquadrar em uma dessas hipóteses e sem responder por escrito é o caminho mais curto para um relatório desfavorável do Commissioner.

O titular que se sente prejudicado tem um caminho definido, e conhecer esse caminho ajuda a calibrar quanto esforço colocar no portal.

A seção 11(1) permite apresentar queixa escrita ao Commissioner contra organização que descumpra a lei ou que não siga recomendação do Anexo 1. A seção 11(2) permite que o próprio Commissioner inicie a queixa.

Existe um prazo curto e específico. A seção 11(3) fixa seis meses para a queixa que decorre de recusa de pedido feito sob a seção 8, contados da recusa ou do fim do prazo de resposta, salvo prazo maior concedido pelo Commissioner. Não existe na lei um prazo geral de um ano para reclamar, ao contrário do que circula em muito material.

A seção 13(1) dá ao Commissioner um ano para preparar o relatório, com conclusões e recomendações, enviado sem demora ao reclamante e à organização.

A seção 14(1) abre a porta da Corte Federal, e o rol de matérias acionáveis é taxativo. Ele inclui, entre outras, as cláusulas 4.3, 4.5 e 4.9 conforme modificadas, e as subseções 5(3), 8(6) e 8(7). O prazo para requerer é de um ano contado do envio do relatório, pela seção 14(2).

Os remédios estão na seção 16 e pertencem à Corte: ordenar a correção das práticas, ordenar a publicação de aviso sobre as medidas corretivas e conceder indenização, inclusive por humilhação. Foi com base na alínea (c) que a Corte fixou CAD 5.000 de indenização em A.T. v. Globe24h.com, 2017 FC 114.

Vale registrar o que o Commissioner não pode fazer sob a PIPEDA: ele não tem poder de ordem nem poder de aplicar multa administrativa. As sanções pecuniárias existentes são a multa penal da seção 28 e a indenização judicial da seção 16(c). O desenho é bem diferente do brasileiro, em que as multas da LGPD são aplicadas pela própria autoridade.

Isso não torna o assunto barato. Um relatório público, uma ação judicial e a perda de contrato com parceiro que exige conformidade costumam custar mais do que a maioria das multas.

A PIPEDA não prescreve um método de verificação de identidade. Isso parece liberdade e é armadilha, porque a organização fica com dois riscos opostos ao mesmo tempo.

Entregar dado pessoal para a pessoa errada é uma violação de salvaguardas, o que ativa o regime da seção 10.1. Exigir demais para verificar é coletar dado novo, o que contraria o princípio 4.4, que manda limitar a coleta ao necessário para as finalidades identificadas.

O caminho equilibrado tem três níveis, escolhidos pela sensibilidade do que está sendo pedido:

1. Para dado de baixa sensibilidade, confirmação por e-mail já cadastrado, com link de uso único e prazo curto
2. Para dado transacional, confirmação por conta autenticada, exigindo login e segunda etapa
3. Para dado sensível, verificação reforçada, com uma pergunta cuja resposta só o titular saberia a partir do histórico existente

O que não fazer, em nenhum nível: pedir cópia de documento de identidade como padrão de entrada. Isso cria um novo repositório de dado sensível para atender um pedido que quer justamente reduzir exposição.

Se a verificação exigir dado adicional, esse dado tem que ser descartado depois da conclusão do pedido, e o descarte precisa estar previsto no processo. Caso contrário, o remédio virou doença.

Quer ver o portal, o registro de consentimento e o inventário funcionando na mesma base? Conheça a AdOpt.

O portal resolve três problemas ao mesmo tempo: dá o canal escrito que a seção 8(1) exige, cria o carimbo de data que faz o relógio dos trinta dias ser auditável, e centraliza o histórico que você vai precisar se a queixa chegar.

Ela precisa ser encontrável. Link no rodapé, link na política de privacidade, link no painel de preferências de cookies e link na política de cookies. Portal que só existe em uma página não cumpre a função.

O formulário pede o mínimo: identificação, canal de contato, tipo de pedido e descrição livre. Nada de campo obrigatório que não seja usado.

O tipo de pedido merece atenção, porque ele define o fluxo interno. Para PIPEDA, as opções corretas são acesso, correção, retirada de consentimento e reclamação sobre conformidade. Colocar apagamento e portabilidade na lista federal cria expectativa que você não vai conseguir cumprir.

Se a sua operação também atende Quebec, a solução é uma pergunta sobre província de residência que habilita a opção de portabilidade quando a resposta for Quebec.

Toda submissão gera protocolo, com número, data, hora e resumo do que foi pedido, enviado para o canal informado. Esse comprovante é o que fixa o início do prazo e o que evita a discussão de quando o pedido chegou.

O texto do comprovante também é onde você informa o prazo de trinta dias e a possibilidade de extensão. Fazer isso desde o começo reduz muito o volume de cobrança no meio do caminho.

Do lado de dentro, cada pedido precisa de dono, prazo visível e trilha. As etapas mínimas são recebimento, verificação de identidade, busca nos sistemas, revisão jurídica quando houver dado de terceiro, resposta e encerramento.

A etapa de busca é a que consome tempo real, e ela depende inteiramente de algo que existe antes do portal: saber onde o dado mora. Sem inventário de dados, a busca vira arqueologia e o prazo estoura.

O mesmo raciocínio vale para o registro de operações de tratamento. Ele não é burocracia de auditoria, é o índice que permite responder um pedido em dias e não em semanas.

Uma boa resposta a pedido de acesso tem quatro partes: o que foi encontrado, para que é usado, com quem foi compartilhado e o que a pessoa pode fazer a partir dali.

As três primeiras vêm direto do princípio 4.9, que fala em informar a existência, o uso e a divulgação. A quarta é a que transforma o atendimento em relação, e não em protocolo.

O formato importa. Entregar um despejo de banco de dados tecnicamente cumpre e praticamente não informa. Organize por sistema e por finalidade, na mesma linguagem que a política usa.

Depois de responder, guarde o pedido, a resposta e as evidências de verificação. A seção 8(8) já obriga a reter o dado objeto do pedido enquanto o titular puder exercer recursos, e o prazo de seis meses da seção 11(3) mais o ano da seção 14(2) dão a medida de quanto tempo o caso pode ficar vivo.

Cinco padrões de falha aparecem em praticamente toda auditoria de portal.

O primeiro é o portal que não conversa com a plataforma de consentimento. A pessoa retira o consentimento no portal e continua sendo rastreada no site, porque a decisão não voltou para o banner e para o gerenciador de tags. Do ponto de vista da cláusula 4.3.8, a retirada não produziu efeito.

O segundo é o relógio que começa tarde. O pedido chega por e-mail no dia 1, alguém abre no dia 12 e o prazo passa a ser contado de lá. A seção 8(3) conta do recebimento, não da leitura.

O terceiro é a extensão comunicada fora do prazo. A seção 8(4) exige que o aviso saia dentro dos trinta dias originais. Avisar no dia 32 não estende nada, apenas documenta o atraso.

O quarto é a recusa sem forma. A seção 8(7) exige resposta escrita, com razões e recursos disponíveis. Recusa por telefone, sem registro, é recusa indefensável.

O quinto é o portal que promete o que a lei federal não dá. Botão de apagar meus dados em um fluxo de PIPEDA gera pedido que você vai ter que negar, e negativa depois de promessa escrita é o cenário perfeito para uma queixa.

Vale detalhar, porque é o pedido mais frequente em operação de marketing. Retirar o consentimento não apaga o histórico, interrompe o tratamento futuro que dependia daquele consentimento.

Isso significa três ações encadeadas: parar o disparo dos rastreadores da categoria retirada, propagar o sinal para as plataformas de mídia e registrar a mudança com data e hora.

A segunda ação é a que quase ninguém faz. Se o consentimento foi retirado no seu site mas o sinal não chega ao Google e ao Meta, a plataforma continua tratando aquele identificador. Quem trabalha com tráfego pago e direitos do titular conhece bem esse buraco.

Portais nascem pensando em acesso e esquecem a correção. É um erro caro, porque a cláusula 4.9.5 usa shall, ou seja, é obrigação, e porque o pedido de correção costuma vir com o cliente já irritado.

O texto da cláusula é direto: demonstrada a inexatidão ou a incompletude do dado pessoal, a organização deve emendar a informação conforme necessário. O verbo demonstrar coloca um ônus no titular, mas ele é leve, não é prova pericial.

Existe uma segunda parte da mesma cláusula que muda a operação. Quando apropriado, a informação emendada deve ser transmitida a terceiros que tenham acesso àquela informação. Ou seja, corrigir no seu banco não basta se você já tinha compartilhado o dado errado.

E existe uma terceira situação, a da divergência não resolvida. Quando a contestação não é resolvida a favor do titular, a substância da contestação não resolvida deve ser registrada pela organização e, quando apropriado, transmitida a terceiros que tenham acesso à informação.

Traduzindo para o portal, isso significa três campos que quase nenhum formulário tem: qual dado está errado, qual é o dado correto e qual evidência sustenta a correção. E significa um estado de pedido que a maioria dos sistemas não prevê: contestação registrada, sem alteração.

Um cliente pede correção do endereço porque mudou de cidade. Simples, corrige e pronto.

Outro cliente pede correção do histórico de compras porque afirma que nunca comprou aquele item. Aqui você tem uma alegação que o seu registro contradiz. Não corrigir é legítimo, mas registrar a contestação e informar isso ao titular é obrigatório pelo desenho da cláusula.

O portal que só tem os estados concluído e recusado não consegue representar esse caso. E é justamente esse caso que vira queixa quando mal tratado.

Se o titular reside em Quebec, o pedido pode chegar sob a P-39.1, e não sob a PIPEDA. A diferença aparece em três pontos que o portal precisa saber tratar.

O primeiro é a portabilidade. O artigo 27 dá o direito de receber o dado pessoal informatizado, coletado junto ao requerente, em formato tecnológico estruturado e de uso corrente. Isso não existe no âmbito federal, e o portal precisa habilitar a opção apenas para quem responde Quebec.

O segundo é o padrão de consentimento. O artigo 14 exige consentimento manifesto, livre, esclarecido e para fins específicos, pedido para cada finalidade. Um pedido de retirada vindo de Quebec pode legitimamente questionar a granularidade do consentimento original.

O terceiro é o regime de sanção, que muda o cálculo de risco. A Commission d'accès à l'information pode aplicar sanções administrativas de até CAD 10 milhões ou 2% do faturamento mundial, o que for maior. No campo penal, o teto vai a CAD 25 milhões ou 4% do faturamento mundial do exercício anterior, e dobra em reincidência.

Repare na diferença estrutural. No âmbito federal, o Commissioner não aplica multa. Em Quebec, o regulador aplica. Uma operação que trata os dois como se fossem o mesmo risco está calibrando errado.

A pergunta de província no formulário resolve boa parte disso, e ela precisa vir com uma explicação curta de por que está sendo feita. Perguntar onde a pessoa mora sem justificar é coletar dado sem finalidade declarada.

Existe um cruzamento que pega equipes despreparadas. Quando acontece uma violação de segurança, o volume de pedidos de acesso sobe, e os dois processos passam a competir pelo mesmo time.

O regime de incidente da PIPEDA está nas seções 10.1 a 10.3. A seção 10.1(1) obriga a reportar ao Commissioner toda violação de salvaguardas de segurança quando for razoável crer que ela cria risco real de dano significativo. A seção 10.1(3) obriga a notificar os indivíduos afetados.

O prazo é assim que praticável, depois que a organização determina que a violação ocorreu. Não há prazo numérico como as setenta e duas horas do GDPR.

A seção 10.3(1) obriga a manter registro de toda violação de salvaguardas, e não apenas das que atingem o padrão de risco. O prazo de guarda desse registro é de vinte e quatro meses, e ele está na seção 6 do Breach of Security Safeguards Regulations, o SOR/2018-64, contado do dia em que a organização determinou que a violação ocorreu.

Dano significativo é definido na seção 10.1(7) e inclui dano corporal, humilhação, dano à reputação ou a relacionamentos, perda de emprego ou de oportunidade profissional, prejuízo financeiro, roubo de identidade, efeito negativo no registro de crédito e dano ou perda de propriedade.

Por que isso importa para o portal? Porque a notificação de incidente gera uma onda de pedidos, e porque a seção 8(8) manda reter o dado objeto de pedido enquanto o titular puder exercer recursos. Uma rotina de descarte disparada logo depois de um incidente pode apagar exatamente o que você precisava manter.

A regra prática é simples: quando um incidente é declarado, a rotina de descarte automático dos registros envolvidos é suspensa até a poeira baixar.

Portal sem métrica não melhora, e algumas métricas dizem mais do que outras.

• Tempo médio até a primeira resposta, que deve ser muito menor do que trinta dias
• Percentual de pedidos que precisaram de extensão pela seção 8(4), que revela se o inventário está bom
• Percentual de pedidos recusados, com o motivo agrupado pelas hipóteses da seção 9
• Percentual de pedidos que travaram na verificação de identidade, que revela atrito desnecessário
• Volume por tipo de pedido, separando acesso, correção, retirada de consentimento e reclamação

A segunda métrica é a mais reveladora. Extensão frequente não é sinal de pedido complexo, é sinal de que ninguém sabe onde o dado está. Ela é o termômetro do inventário disfarçado de indicador de atendimento.

A quarta métrica costuma surpreender. Quando muita gente abandona na verificação, o problema quase nunca é segurança, é exigência desproporcional. E exigência desproporcional contraria o princípio 4.4.

Compare o número de retiradas de consentimento registradas no portal com o número de identificadores efetivamente removidos das plataformas de mídia no mesmo período. Se os dois números não batem, a retirada não está produzindo efeito.

Essa comparação é desconfortável na primeira vez que alguém faz. Também é a única forma honesta de saber se o processo funciona ou se apenas parece funcionar.

O portal automatiza a entrada e o relógio. Ele não automatiza julgamento, e existem três decisões que sempre serão humanas.

A primeira é o enquadramento da recusa nas hipóteses da seção 9. Decidir se um dado de terceiro é destacável exige olhar o conteúdo, não uma regra.

A segunda é a avaliação do pedido de correção contestado, que precisa distinguir erro de registro de discordância sobre o fato.

A terceira é a decisão de estender o prazo, que precisa acontecer com folga suficiente para o aviso sair dentro dos trinta dias originais.

Quem atende precisa saber três coisas de cor: o prazo é de trinta dias contados do recebimento, o silêncio equivale a recusa e toda recusa vai por escrito com razões e recursos. O resto pode estar em procedimento consultável.

E vale escrever os modelos de resposta com antecedência, revisados uma vez pelo jurídico, em vez de redigir cada resposta do zero sob pressão de prazo. Modelo pronto reduz erro e reduz tempo, e a personalização fica onde ela realmente importa, que é no conteúdo encontrado.

A cláusula 4.1 do Anexo 1 diz que a organização é responsável pelo dado sob seu controle e deve designar um ou mais indivíduos responsáveis pelo cumprimento dos princípios. É obrigação, escrita com shall. A cláusula 4.1.2 acrescenta que a identidade dessa pessoa deve ser informada quando solicitada.

Não existe na PIPEDA o regime de independência, qualificação e notificação ao regulador que o GDPR criou para o DPO. Mas a função existe e precisa de nome e de contato público. As responsabilidades de um encarregado de dados descrevem esse papel de ponte entre jurídico, tecnologia e marketing.

Na prática, atender DSAR exige uma equipe pequena e treinada, não uma pessoa heroica. O artigo sobre encarregado e equipe descreve bem essa divisão, e quem não tem estrutura interna encontra em DPO como serviço um caminho viável, lembrando que a responsabilidade continua sendo da organização.

Uma distinção que evita confusão no atendimento: quem responde ao titular é quem determina as finalidades do tratamento, e não o fornecedor que apenas processa. A diferença entre controlador e operador é conceitual na LGPD, e sob a PIPEDA aparece na cláusula 4.1.3, que mantém a organização responsável pelo dado transferido a terceiro para processamento.

Um portal do titular bem feito não é uma ilha. Ele é a ponta visível de três coisas que existem antes dele.

A primeira é o inventário: sem saber quais sistemas guardam dado de pessoa identificável, nenhuma busca fecha em trinta dias.

A segunda é o registro de consentimento: sem saber o que aquela pessoa aceitou, em que data e sob qual versão de texto, não há como responder o que foi tratado e com qual fundamento.

A terceira é o bloqueio efetivo dos rastreadores. Sem ele, a retirada de consentimento vira promessa. É por isso que a plataforma de gestão de consentimento e o portal precisam ser a mesma base de dados, e não dois produtos que trocam planilha.

Do lado do documento público, o portal precisa aparecer na política de privacidade com o caminho exato. Se você ainda está montando esse documento, um gerador de política resolve o primeiro rascunho e libera o tempo para o que realmente demora.

E vale desenhar tudo isso antes, e não depois do primeiro pedido. É a lógica de privacy by design aplicada a um processo que quase sempre nasce reativo.

Quem já opera portais para outros mercados encontra bastante paralelo. O portal do titular sob a CCPA e o portal do Texas usam a mesma arquitetura, com direitos e prazos diferentes.

Vale ver a linha do tempo inteira, porque ela mostra onde o processo aperta.

No dia 1, o titular preenche o formulário e recebe o protocolo automático, com data, hora e resumo. O relógio dos trinta dias começa aqui.

No dia 2, o sistema envia o link de verificação de identidade, com uso único e validade de quarenta e oito horas. A escolha do método segue a sensibilidade do que foi pedido.

No dia 3, verificada a identidade, o pedido entra na fila com dono definido e prazo visível. A busca dispara nos sistemas mapeados no inventário.

Entre os dias 4 e 12, as áreas devolvem o que encontraram. Esse é o trecho que estoura quando não existe inventário, porque cada área descobre onde procurar durante a busca.

No dia 15, o material passa por revisão. Se houver dado de terceiro não destacável, entra a análise da seção 9 e a decisão sobre destacar ou recusar parcialmente.

No dia 20, a resposta é montada em linguagem clara, organizada por sistema e finalidade, com o que foi encontrado, para que serve, com quem foi compartilhado e o que a pessoa pode fazer a seguir.

No dia 22, a resposta é enviada pelo canal informado e o caso é encerrado, com arquivamento do pedido, da resposta e das evidências de verificação.

Se em algum ponto ficar claro que trinta dias não bastam, o aviso de extensão precisa sair antes do dia 30, nunca depois, com novo prazo, razões e menção ao direito de reclamar ao Commissioner.

Repare que a folga real do processo está entre os dias 12 e 20. É pouco, e ela desaparece por completo quando o inventário não existe.

Se você quer montar esse fluxo sem descobrir os buracos no primeiro pedido real, vale conversar com quem já implantou isso em operações com tráfego canadense. Veja os planos da AdOpt.

Vale terminar com um argumento que raramente aparece em material de conformidade, porque ele é comercial e não jurídico.

Um portal do titular bem feito responde uma pergunta que o cliente faz em silêncio: o que essa empresa sabe sobre mim? Empresa que responde bem essa pergunta reduz atrito de conversão, porque transparência mensurável é sinal de confiança.

Existe também um efeito interno pouco comentado. O primeiro pedido real sempre revela sistemas que ninguém lembrava, integrações antigas que continuam recebendo dado e planilhas que deveriam ter sido apagadas há anos. O portal é o teste de estresse mais barato que existe do seu mapa de dados.

E existe o efeito contratual. Parceiro grande, distribuidor e cliente corporativo pedem evidência de processo antes de assinar, e a lista de perguntas costuma incluir prazo de atendimento e canal de titular. Ter isso pronto encurta ciclo de venda.

Nenhum desses três benefícios aparece na lei. Todos aparecem no resultado, e eles são a razão pela qual vale fazer o portal antes de precisar dele.

A tentação de deixar para depois é grande, porque o volume de pedidos costuma ser baixo no começo. O problema é que o prazo de trinta dias não é proporcional ao volume.

Quando o primeiro pedido chega sem processo montado, a organização gasta os trinta dias descobrindo onde o dado está, e não respondendo. E se estourar, a seção 8(5) transforma o atraso em recusa, mesmo que a intenção fosse atender.

Montar o processo com calma custa algumas semanas de trabalho organizado. Montar sob prazo custa o dobro e ainda produz uma resposta pior.

Trinta dias contados do recebimento do pedido, conforme a seção 8(3). A seção 8(4) permite estender por até mais trinta dias em hipóteses específicas, desde que o aviso saia dentro dos trinta dias originais, informando o novo prazo, as razões e o direito de reclamar ao Commissioner. Se a organização não responde no prazo, a seção 8(5) considera o pedido recusado, o que abre caminho para queixa ao regulador.

Não existe direito geral de apagamento na PIPEDA. O que a lei garante é acesso pelo princípio 4.9, correção pela cláusula 4.9.5 e retirada de consentimento pela cláusula 4.3.8, que interrompe o tratamento futuro sem apagar o histórico. Em circunstâncias limitadas, o OPC reconheceu em agosto de 2025 um direito de desindexação de resultados de busca pelo nome. Em Quebec, existe portabilidade pelo artigo 27 da P-39.1.

A PIPEDA não prescreve método, o que transfere a decisão para a organização. O equilíbrio correto usa o nível mínimo de verificação compatível com a sensibilidade do dado pedido, porque exigir demais contraria o princípio 4.4, que manda limitar a coleta. Confirmação pelo e-mail já cadastrado resolve a maioria dos casos. Evite pedir documento de identidade como padrão, e descarte qualquer dado adicional coletado assim que o pedido for concluído.

A lei não exige portal, exige que o pedido seja feito por escrito, pela seção 8(1), e que a organização ajude quem precisa de ajuda para prepará-lo, pela seção 8(2). O portal é o desenho que cumpre as duas coisas e ainda carimba a data do recebimento, o que torna o prazo de trinta dias auditável. Sem ele, o pedido chega por e-mail solto e o relógio começa a correr sem ninguém perceber.

A seção 8(5) equipara o silêncio à recusa. A partir daí o titular pode apresentar queixa ao Commissioner, e o prazo dele é de seis meses contados da recusa ou do fim do prazo de resposta, conforme a seção 11(3). O Commissioner investiga e emite relatório em até um ano, pela seção 13(1). Depois disso, o titular pode levar o caso à Corte Federal, que pode ordenar correção de práticas e conceder indenização.

• PIPEDA Canadá e cookies, o guia completo da lei federal canadense
• Política de cookies para PIPEDA, com o que precisa constar no documento

Se você quer montar o portal do titular e o registro de consentimento na mesma base, sem descobrir os buracos no primeiro pedido real, agende trinta minutos com a nossa especialista.