Imagina que um visitante do seu site resolve exercer os direitos que a lei garantiu a ele.

Esta página cobre uma parte do quadro. Para o escopo completo da TDPSA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo guia completo da TDPSA e cookies.

Ele quer saber quais dados você tem sobre ele. Quer corrigir uma informação errada. Ou simplesmente quer que tudo seja deletado.

Essa solicitação tem um nome técnico: DSAR. Data Subject Access Request. Em português: Solicitação de Acesso do Titular dos Dados.

E a partir do momento em que a Texas Data Privacy and Security Act entrou em vigor, em 1º de julho de 2024, empresas que atendem residentes do Texas precisam ter um processo estruturado para receber, verificar e responder esse tipo de solicitação dentro dos prazos que a lei estabelece.

Não é um processo opcional. Não é burocracia de empresa grande. É uma obrigação legal com prazo contado, penalidade definida e processo de apelação previsto.

Este artigo vai explicar como funciona o sistema de DSARs na TDPSA, o que é um Portal de Privacidade, por que você precisa de um, como estruturar o seu, e como isso se conecta com as obrigações que o LGPD e o GDPR já estabeleceram para o mercado global.

Vamos do começo.

DSAR é a sigla para Data Subject Access Request, ou seja, qualquer solicitação formal feita por um consumidor para exercer seus direitos de privacidade em relação aos dados que uma empresa possui sobre ele.

O conceito veio do GDPR europeu, mas hoje aparece em praticamente todas as leis modernas de privacidade, incluindo a LGPD no Brasil, a CCPA na Califórnia, e agora a TDPSA no Texas.

A TDPSA codifica os direitos dos consumidores no Subchapter B da lei (Sec. 541.051 a 541.055). E ao criar esses direitos, ela automaticamente cria a obrigação das empresas de recebê-los, verificá-los e respondê-los.

Não basta listar os direitos na sua política de privacidade. Você precisa de um processo real que funcione.

O Sec. 541.051(b) da TDPSA lista cinco categorias de direitos que os consumidores podem exercer a qualquer momento, enviando uma solicitação ao controlador:

Direito de acesso e confirmação: O consumidor pode perguntar se a empresa está processando seus dados e, em caso positivo, ter acesso a eles. Isso está no Sec. 541.051(b)(1).

Direito de correção: O consumidor pode pedir a correção de dados imprecisos ou desatualizados. Isso está no Sec. 541.051(b)(2), que ressalva que a correção deve levar em conta a natureza dos dados e a finalidade do processamento.

Direito de exclusão: O consumidor pode solicitar que seus dados sejam deletados, tanto os que ele forneceu diretamente quanto os que foram obtidos de outras fontes. Isso está no Sec. 541.051(b)(3).

Direito de portabilidade: O consumidor pode pedir uma cópia dos seus dados em formato digital, portátil e utilizável. Isso está no Sec. 541.051(b)(4), com a ressalva de que se aplica quando os dados estão disponíveis em formato digital.

Direito de opt-out: O consumidor pode se opor ao uso dos seus dados para publicidade segmentada, venda de dados pessoais, ou perfilamento com efeitos legais ou similares. Isso está no Sec. 541.051(b)(5).

Cada um desses direitos pode chegar até você como um DSAR. E cada um tem características específicas que impactam como o processo de resposta precisa funcionar.

A LGPD brasileira tem estrutura muito similar no Art. 18, garantindo ao titular: confirmação de existência, acesso, correção, anonimização ou eliminação, portabilidade, revogação do consentimento, e informação sobre compartilhamento com terceiros. As diferenças estão nos detalhes e nos prazos, não na essência.

Um Portal de Privacidade é uma interface centralizada, geralmente uma página ou seção dedicada no site da empresa, onde os consumidores podem:

Saber quais direitos têm.

Enviar solicitações de forma segura.

Acompanhar o status de suas solicitações.

Revogar consentimentos dados anteriormente.

Exercer o opt-out de publicidade segmentada ou venda de dados.

Não é exatamente o que a TDPSA chama por esse nome. A lei fala em "métodos seguros e confiáveis" para recebimento de solicitações. Mas o Portal de Privacidade é a melhor forma de cumprir esse requisito na prática, porque concentra tudo em um único lugar, documenta cada interação, e facilita tanto o lado do consumidor quanto o lado da empresa.

O Sec. 541.055(a) exige que o controlador estabeleça dois ou mais métodos seguros e confiáveis para que os consumidores possam enviar suas solicitações. Esses métodos precisam levar em conta:

As formas pelas quais os consumidores normalmente interagem com a empresa.

A necessidade de comunicações seguras e confiáveis.

A capacidade da empresa de autenticar a identidade de quem faz a solicitação.

Um Portal de Privacidade bem estruturado atende a todos esses requisitos de uma vez só.

O Sec. 541.055(a) é claro: dois ou mais métodos. Na prática, as combinações mais comuns são:

Formulário online no próprio portal mais endereço de e-mail dedicado.

Formulário online mais endereço postal.

Formulário online mais número de telefone com atendimento humano.

O Sec. 541.055(d) faz uma exceção para empresas que operam exclusivamente online e têm relacionamento direto com o consumidor: nesses casos, um endereço de e-mail é suficiente.

Mas atenção: a exceção é para empresas que só existem online e cujo relacionamento com o consumidor é direto. Se você tem presença física, parceiros, ou qualquer estrutura mais complexa, o padrão de dois canais se aplica.

O Sec. 541.052(e) prevê que, se a empresa não conseguir autenticar a solicitação com esforço comercialmente razoável, não é obrigada a atendê-la. Mas pode pedir informações adicionais para verificar a identidade do consumidor.

Isso é um equilíbrio delicado. O processo de autenticação não pode ser tão complicado que se torne uma barreira para o exercício de direitos. Mas também precisa ser suficientemente robusto para evitar que terceiros exerçam direitos em nome de alguém sem autorização.

Boas práticas para autenticação no Portal de Privacidade incluem:

Pedir confirmação via e-mail registrado na base.

Enviar um código de verificação para o contato cadastrado.

Solicitar informações que só o titular genuíno teria acesso.

O portal nunca deve exigir a criação de uma nova conta para que o consumidor exerça seus direitos. Isso está expressamente proibido no Sec. 541.055(b). Mas pode exigir o uso de uma conta já existente.

O Portal precisa explicar em linguagem acessível quais direitos o consumidor pode exercer e o que cada um significa na prática.

Não dá para listar "direito de acesso, direito de correção, direito de exclusão" e achar que está feito. A pessoa precisa entender o que está solicitando. E o processo precisa ser claro o suficiente para que qualquer pessoa, sem conhecimento técnico ou jurídico, consiga completar a solicitação.

Esse princípio de clareza e acessibilidade aparece também na LGPD no Art. 9º: o titular tem direito ao acesso facilitado às informações sobre o tratamento de seus dados, "disponibilizadas de forma clara, adequada e ostensiva."

O Sec. 541.103 da TDPSA exige que, se a empresa processa dados para publicidade segmentada ou os vende a terceiros, isso precisa ser divulgado de forma clara e conspícua, junto com o mecanismo para o consumidor fazer opt-out.

Esse mecanismo precisa estar acessível. E o Portal de Privacidade é o lugar ideal para concentrar esse controle.

Publicidade segmentada é definida no Sec. 541.001(31) como a exibição de anúncios baseados em dados coletados das atividades do consumidor ao longo do tempo e em diferentes sites ou aplicativos. Se o seu site usa pixels de publicidade como Meta Pixel ou Google Ads, você entra nessa definição.

O Portal precisa ter um toggle, link ou botão que permita ao consumidor sinalizar esse opt-out de forma simples e imediata.

O Sec. 541.055(e) reconhece que os consumidores podem designar um agente autorizado para fazer o opt-out em seu nome. Isso inclui tecnologias como o Global Privacy Control (GPC), que é um sinal configurado diretamente no navegador do usuário para indicar sua preferência de não rastreamento.

Se um visitante chegar ao seu site com o GPC ativado, o sistema precisa respeitar esse sinal automaticamente, desde que a empresa consiga verificar que o consumidor é residente do Texas.

Isso é relevante para o funcionamento do aviso de cookies do seu site: a plataforma de gestão de consentimentos precisa ser capaz de detectar e respeitar esse sinal.

O Sec. 541.053 exige que a empresa tenha um processo de apelação para os casos em que recusar uma solicitação.

Esse processo precisa ser conspicuamente disponível e semelhante ao processo original de solicitação. Ou seja: não dá para esconder o recurso em um PDF de difícil acesso enquanto o formulário de solicitação está na página principal.

A empresa tem 60 dias para responder a uma apelação (Sec. 541.053(c)).

Se a apelação for negada, a empresa precisa fornecer ao consumidor o mecanismo online através do qual ele pode contatar o Procurador Geral do Texas para registrar uma reclamação, conforme o Sec. 541.053(d).

Tudo isso precisa estar documentado no Portal.

A TDPSA é bem específica sobre os prazos para resposta. E descumprir esses prazos é uma violação da lei.

45 dias para resposta inicial (Sec. 541.052(b)): A empresa tem 45 dias após receber a solicitação para responder. Não importa se é solicitação de acesso, exclusão, correção ou portabilidade.

Extensão de mais 45 dias (Sec. 541.052(b)): Quando necessário, levando em conta a complexidade e o número de solicitações, o prazo pode ser estendido uma vez por mais 45 dias. Mas a empresa precisa informar o consumidor sobre a extensão dentro do prazo inicial de 45 dias, junto com a justificativa.

60 dias para resposta à apelação (Sec. 541.053(c)): Se o consumidor recorrer de uma decisão de recusa, a empresa tem 60 dias para responder.

Gratuidade (Sec. 541.052(d)): As respostas precisam ser gratuitas, pelo menos duas vezes por ano por consumidor. Se a solicitação for manifestamente infundada, excessiva ou repetitiva, a empresa pode cobrar uma taxa administrativa razoável ou recusar o atendimento, mas precisa provar que a solicitação se enquadra nessa exceção.

Para agências de marketing digital e empresas que gerenciam múltiplos sites, ter um sistema centralizado de controle de DSARs não é só boa prática. É a única forma de garantir que nenhum prazo seja perdido.

Para cada tipo de solicitação, o processo interno da empresa precisa estar bem definido. Vamos ver como cada direito funciona na prática:

O consumidor quer saber quais dados você tem sobre ele.

O que fazer: verificar a identidade, consultar todos os sistemas onde dados daquele consumidor podem existir (CRM, plataforma de e-mail, ferramentas de analytics, logs de navegação), compilar as informações e entregar em formato legível.

O Sec. 541.051(b)(1) fala em acesso em "formato legível". Isso não significa necessariamente um relatório elaborado, mas precisa ser compreensível por uma pessoa comum.

Isso é muito similar ao que a LGPD prevê no Art. 19: o titular pode obter confirmação de existência de tratamento e acesso aos dados, inclusive com cópia eletrônica integral quando o tratamento se baseia em consentimento.

O mapeamento de dados da empresa precisa estar atualizado para que esse processo seja ágil. Se você não sabe onde seus dados estão, não consegue responder em 45 dias.

O consumidor identificou que algum dado está errado.

O que fazer: verificar a identidade, localizar o dado em questão, avaliar se a correção solicitada é procedente levando em conta a natureza dos dados e a finalidade do processamento (Sec. 541.051(b)(2)), realizar a correção e confirmar para o consumidor.

Um ponto importante: a empresa tem o direito de avaliar se a correção solicitada faz sentido no contexto do dado. Se alguém alega que um histórico de compras está errado, você precisa verificar antes de simplesmente alterar o registro.

O consumidor quer que os dados sejam deletados.

O que fazer: verificar a identidade, localizar todos os dados do consumidor, verificar se há obrigações legais que impeçam a exclusão imediata (como retenção mínima exigida por lei), realizar a exclusão do que for possível e informar o consumidor sobre eventuais limitações.

O Sec. 541.052(f) é importante aqui: a empresa pode cumprir a solicitação de exclusão mantendo um registro mínimo da própria solicitação para garantir que os dados não voltem à base. Isso não é manter os dados, é manter a prova de que foram deletados.

A LGPD trata isso no Art. 18, IV e VI, e o princípio é o mesmo: o titular tem direito à eliminação dos dados tratados com consentimento, com exceções para casos onde a retenção é necessária.

O consumidor quer levar seus dados para outro serviço.

O que fazer: verificar a identidade, compilar os dados em formato portátil (CSV, JSON, ou outro formato estruturado e utilizável), e entregar ao consumidor de forma segura.

O Sec. 541.051(b)(4) especifica que o formato precisa permitir que o consumidor transmita os dados para outro controlador "sem impedimentos". Ou seja, não pode ser um PDF não editável ou um formato proprietário que ninguém mais consegue abrir.

O consumidor não quer que seus dados sejam usados para publicidade segmentada ou vendidos.

O que fazer: verificar a identidade, processar o opt-out nos sistemas relevantes (desativar pixels de publicidade, remover da base de leads comercializáveis, ajustar configurações de perfilamento), confirmar para o consumidor e manter registro da solicitação.

Esse é o tipo de DSAR que mais impacta diretamente os processos de marketing da empresa. Porque quando um consumidor faz opt-out de publicidade segmentada, os pixels de terceiros que rastreiam o comportamento dele precisam ser desativados.

Uma plataforma de gestão de consentimentos bem configurada automatiza boa parte desse processo, garantindo que o opt-out se reflita instantaneamente no comportamento dos rastreadores do site.

Nem toda solicitação precisa ser atendida. A TDPSA prevê casos onde a empresa pode recusar.

Mas a recusa tem regras.

O Sec. 541.052(c) determina que, se a empresa recusar uma solicitação, precisa informar o consumidor dentro do prazo de 45 dias, explicando a justificativa e fornecendo instruções sobre como apelar.

Motivos legítimos para recusa incluem:

A empresa não conseguiu autenticar a identidade do consumidor com esforço comercialmente razoável.

A solicitação é manifestamente infundada, excessiva ou repetitiva.

Atender a solicitação exigiria que a empresa divulgasse um segredo comercial.

Os dados solicitados são pseudonimizados e a empresa não consegue associá-los ao consumidor sem esforço desproporcional.

Os dados estão sujeitos a obrigação legal de retenção que impede a exclusão.

O importante é que a recusa seja fundamentada, comunicada adequadamente, e que o consumidor tenha um caminho claro para recorrer.

O Sec. 541.053 exige um processo de apelação estruturado. Na prática, isso significa:

O Portal de Privacidade precisa ter um mecanismo visível e de fácil acesso para que o consumidor que teve seu pedido negado possa recorrer.

O processo de apelação precisa ser tão simples quanto o processo de solicitação original. Se a solicitação foi feita por formulário, a apelação precisa poder ser feita por formulário também.

A empresa tem 60 dias para responder à apelação, com comunicação escrita explicando a decisão e o motivo.

Se a apelação for negada, a empresa precisa fornecer ao consumidor o link para registrar uma reclamação no site do Procurador Geral do Texas, conforme o Sec. 541.053(d).

Esse link está disponível em: consumerprotection.texasattorneygeneral.gov.

Para quem já gerencia DSARs por conta da LGPD ou do GDPR, a estrutura da TDPSA vai soar familiar. Mas há diferenças importantes:

Prazos: A LGPD fala em "prazo definido em regulamento", e a ANPD estabeleceu 15 dias para confirmação de existência de tratamento e acesso simplificado (Art. 19). O GDPR estabelece 30 dias. A TDPSA dá 45 dias, com possibilidade de extensão por mais 45. Ou seja, a TDPSA é mais generosa com o controlador em termos de prazo.

Apelação: A TDPSA tem um processo formal de apelação previsto em lei (Sec. 541.053). A LGPD prevê direito de petição contra o controlador perante a ANPD (Art. 18, §1º). O GDPR prevê recurso à autoridade supervisora nacional. Estruturas diferentes, mas mesma ideia.

Opt-out vs. Opt-in: A LGPD e o GDPR operam mais com a lógica de opt-in: você precisa de consentimento antes de processar dados não necessários. A TDPSA para dados gerais opera com opt-out: você pode processar, mas o consumidor tem o direito de se opor. Exceção: dados sensíveis e dados de crianças precisam de consentimento prévio na TDPSA também.

Autenticação: Todas as leis exigem verificação de identidade, mas a TDPSA detalha melhor o processo no Sec. 541.052(e), estabelecendo que a empresa pode recusar uma solicitação que não consiga autenticar.

Para quem quer entender melhor as semelhanças e diferenças entre as principais legislações globais, vale consultar nosso comparativo entre GDPR, LGPD e CCPA.

Toda empresa que lida com volume significativo de dados pessoais precisa de alguém responsável por coordenar o processo de resposta a DSARs.

Na LGPD, essa pessoa se chama encarregado de dados, previsto no Art. 41. No GDPR, é o Data Protection Officer (DPO). Na TDPSA, a lei não exige formalmente a nomeação de um DPO, mas o controlador é o responsável direto por responder às solicitações.

Na prática, para ter um processo de DSAR funcional, você precisa de alguém que:

Receba as notificações de novas solicitações.

Coordene a busca dos dados nos sistemas internos.

Verifique a autenticidade da solicitação.

Tome a decisão de atender ou recusar.

Comunique o resultado ao consumidor dentro do prazo.

Mantenha o registro de cada solicitação e resposta.

Em empresas menores, essa pessoa pode ser o próprio dono ou um funcionário com múltiplas responsabilidades. Em empresas maiores, precisa ser uma função dedicada ou compartilhada com um responsável pelo mapeamento de dados.

Um Portal de Privacidade bem construído não é uma medida reativa. É uma decisão de design.

O conceito de privacy by design diz que a privacidade precisa ser pensada desde o início, integrada à arquitetura do produto ou serviço, não adicionada depois como um remendo.

Aplicando isso ao Portal de Privacidade:

O fluxo de autenticação precisa ser seguro por design, não por gambiarra.

O armazenamento dos registros de DSARs precisa ser segregado dos dados operacionais.

O mecanismo de opt-out precisa se integrar com os sistemas de marketing em tempo real, não por processos manuais.

As respostas precisam ser entregues de forma segura, sem exposição de dados de terceiros.

Empresas que constroem seus Portais de Privacidade com essa mentalidade não só ficam em conformidade mais facilmente como também entregam uma experiência muito melhor para o consumidor que exerce seus direitos.

Não ter um Portal de Privacidade ou não responder DSARs dentro dos prazos é uma violação da TDPSA.

O processo de fiscalização começa com o Procurador Geral do Texas, que tem autoridade exclusiva para aplicar a lei (Sec. 541.151).

O Sec. 541.154 prevê que, antes de entrar com ação, o Procurador Geral envia uma notificação com 30 dias para correção. Se a empresa corrigir e documentar adequadamente, a ação pode não ser ajuizada.

Se não corrigir, a penalidade pode chegar a US$ 7.500 por violação (Sec. 541.155(a)).

E aqui está o ponto que ninguém deve ignorar: a multa é por violação, não por processo. Cada DSAR não atendido dentro do prazo pode ser uma violação separada. Se você recebeu 200 solicitações e não respondeu nenhuma, são 200 violações potenciais.

Ignorar DSARs não é estratégia. É risco financeiro e reputacional desnecessário.

A AdOpt não é apenas um aviso de cookies. Ela é a infraestrutura que suporta o ciclo completo de gestão de consentimentos e privacidade no seu site.

O registro de consentimentos da AdOpt é justamente o que você precisa consultar quando recebe um DSAR: ele documenta o que o usuário aceitou, quando, em qual versão do banner, e com quais configurações.

Quando um consumidor pede acesso aos seus dados ou revogação do consentimento, você precisa de um log confiável. A AdOpt garante isso, com segurança jurídica, de forma automatizada.

E quando o consumidor quer fazer opt-out de publicidade segmentada, a plataforma é capaz de bloquear os cookies de terceiros correspondentes automaticamente, sem que você precise configurar cada caso manualmente.

Mais de 60 mil sites já usam a AdOpt para gerenciar esses processos. Desde o plano gratuito até soluções para grandes operações digitais.

Tá na AdOpt, tá bem.

Quer entender como estruturar o Portal de Privacidade do seu site em conformidade com a TDPSA e demais legislações? Fale com a nossa equipe.

Com base nos artigos da TDPSA:

Dois ou mais canais de envio de solicitações (Sec. 541.055(a)), como formulário online mais e-mail dedicado.

Mecanismo de autenticação de identidade (Sec. 541.052(e)), suficientemente robusto sem se tornar uma barreira.

Informações claras sobre cada direito disponível, escritas em linguagem acessível para o consumidor comum.

Formulário ou processo específico para opt-out de publicidade segmentada (Sec. 541.103), integrado ao sistema de gestão de rastreadores do site.

Suporte ao Global Privacy Control (Sec. 541.055(e)), detectado automaticamente pelo sistema de cookies.

Prazo de resposta de 45 dias documentado e monitorado (Sec. 541.052(b)), com alertas internos antes do vencimento.

Processo de extensão de prazo documentado (Sec. 541.052(b)), com comunicação automática ao consumidor quando utilizado.

Processo de recusa documentado (Sec. 541.052(c)), com justificativa e instruções de apelação.

Processo de apelação conspicuamente disponível (Sec. 541.053), com prazo de 60 dias para resposta.

Link para reclamação ao Procurador Geral do Texas (Sec. 541.053(d)), incluído na comunicação de negação de apelação.

Registro de todas as solicitações e respostas, com data, canal, decisão e prazo cumprido.

Gratuidade garantida para pelo menos dois atendimentos por consumidor por ano (Sec. 541.052(d)).

Processo para dados de crianças menores de 13 anos (Sec. 541.001(5) e (29)), com rota específica para consentimento parental.

Integração com ferramentas de marketing para que opt-outs se reflitam automaticamente nos sistemas de publicidade e CRM.

Política de privacidade linkada no portal, atualizada e com as informações exigidas pelo Sec. 541.102.

1. Toda empresa que atende o Texas precisa de um Portal de Privacidade?

A TDPSA exige que o controlador estabeleça dois ou mais métodos para receber solicitações (Sec. 541.055(a)). Um Portal de Privacidade é a forma mais eficiente de cumprir esse requisito, mas não é o único formato possível. Uma combinação de e-mail dedicado e formulário de contato pode ser suficiente para empresas menores. O que não é aceitável é não ter nenhum canal estruturado.

2. Em quanto tempo preciso responder a um DSAR de um residente do Texas?

45 dias a partir do recebimento da solicitação, conforme o Sec. 541.052(b). O prazo pode ser estendido uma vez por mais 45 dias em casos complexos, desde que o consumidor seja informado dentro do prazo inicial. Para apelações, o prazo é de 60 dias (Sec. 541.053(c)).

3. Posso cobrar do consumidor para atender um DSAR?

Não na maioria dos casos. O Sec. 541.052(d) garante gratuidade para pelo menos dois atendimentos por consumidor por ano. Apenas em casos de solicitações manifestamente infundadas, excessivas ou repetitivas a empresa pode cobrar uma taxa razoável ou recusar o atendimento, mas precisa provar que a solicitação se enquadra nessa exceção.

4. O que acontece se eu negar um DSAR sem justificativa adequada?

O Procurador Geral do Texas pode investigar e, após notificação com 30 dias para correção, aplicar penalidades de até US$ 7.500 por violação (Sec. 541.155(a)). Além disso, o consumidor pode registrar reclamação no portal do Procurador Geral para escalar a questão.

5. Um portal de privacidade para TDPSA funciona também para LGPD e GDPR?

Com ajustes, sim. A estrutura central de recebimento, verificação, resposta e registro de solicitações é a mesma nas três legislações. As diferenças estão nos prazos, nas categorias de direitos específicas, e em algumas obrigações adicionais de cada lei. Um portal bem construído com os controladores e operadores corretamente definidos consegue atender múltiplas jurisdições a partir de uma única estrutura.

Quem tem um processo de DSAR funcionando não está apenas evitando multa. Está dizendo para o consumidor: os seus dados pertencem a você. E quando você quiser saber o que temos, corrigir algo, ou apagar tudo, a gente vai responder. Dentro do prazo. Sem complicação.

Tá na AdOpt, tá bem.

Pronto para estruturar o Portal de Privacidade do seu site e estar em conformidade com a TDPSA? Fale com a nossa equipe.