Resposta curta
Se uma empresa ignora ou recusa seu pedido RGPD — uma cópia dos seus dados, o apagamento, uma violação que não explica —, você pode apresentar queixa gratuita a uma autoridade de proteção de dados pelo artigo 77, em geral a do país onde mora ou trabalha: a CNPD em Portugal. Não é preciso ir à Irlanda pela Meta, Google ou TikTok: a sua autoridade recebe a queixa e coopera com a autoridade principal do país do estabelecimento principal da empresa na UE, pelo balcão único do RGPD. Primeiro dê uma chance à empresa: ela deve responder em um mês, prorrogável por mais dois em pedidos complexos. Se a autoridade não informar o andamento em três meses, você pode recorrer à justiça. No Brasil, vale a LGPD, com a ANPD.
Antes da queixa: escreva primeiro à empresa
As autoridades esperam que você tenha tentado primeiro com a empresa. A Data Protection Commission irlandesa (DPC) exige que você tenha levantado a questão diretamente junto da organização; o ICO britânico recomenda isso na maioria dos casos. Pelo artigo 12, a empresa deve dar seguimento ao pedido em um mês. Em pedidos complexos ou numerosos, pode prorrogar por dois meses, mas tem de avisar no primeiro mês e explicar por quê.
Envie o pedido por escrito, pelo contato de privacidade indicado na política de privacidade, e guarde provas: data, cópia e número de referência. Para obter seus dados, veja como fazer um pedido de acesso RGPD; para apagá-los, o direito ao apagamento.
Qual autoridade: a sua, mesmo para Meta, Google ou TikTok
Você pode fazer queixa à autoridade do país onde mora, trabalha ou onde ocorreu a infração. Nos casos transfronteiriços, o balcão único do RGPD faz da autoridade do estabelecimento principal da empresa a autoridade principal; Meta, Google e TikTok, entre outras, têm-no na Irlanda, por isso lidera a DPC. Você continua a tratar com a sua autoridade, na sua língua, e ela coopera com a principal. O Comité Europeu para a Proteção de Dados publica a lista de membros:
| País | Autoridade | Site |
|---|---|---|
| Portugal | Comissão Nacional de Proteção de Dados (CNPD) | cnpd.pt |
| Espanha | AEPD | aepd.es |
| Irlanda | Data Protection Commission (DPC) | dataprotection.ie |
| França | CNIL | cnil.fr |
| Luxemburgo | CNPD | cnpd.lu |
| Alemanha | A autoridade do estado federado onde mora; a BfDI federal lista todas | bfdi.bund.de |
| Áustria | Datenschutzbehörde (DSB) | dsb.gv.at |
| Bélgica | Autoridade de Proteção de Dados (APD/GBA) | autoriteprotectiondonnees.be |
| Países Baixos | Autoriteit Persoonsgegevens | autoriteitpersoonsgegevens.nl |
| Itália | Garante per la protezione dei dati personali | garanteprivacy.it |
| Polônia | UODO | uodo.gov.pl |
| Suécia | IMY | imy.se |
| Reino Unido | Information Commissioner’s Office (ICO), pelo UK GDPR | ico.org.uk · 0303 123 1113 |
| Suíça | Comissário Federal de Proteção de Dados e Informação (FDPIC), pela LPD suíça | edoeb.admin.ch |
| Brasil | Autoridade Nacional de Proteção de Dados (ANPD), pela LGPD | gov.br/anpd |
Como apresentar uma queixa sólida
- Use o formulário online da autoridade; o da DPC está em forms.dataprotection.ie/contact. Não precisa de advogado nem paga taxa.
- Diga o que pediu e quando: “pedido de acesso pelo artigo 15.º, enviado em 2 de setembro”.
- Mostre o que voltou: nenhuma resposta, uma recusa, dados incompletos, uma resposta padrão.
- Indique o direito em causa: acesso (artigo 15.º), apagamento (artigo 17.º), oposição, segurança do tratamento após uma violação.
- Junte as provas que a DPC pede: o pedido, as respostas, capturas, referências.
- Diga o que quer: os dados, o apagamento, uma explicação. Não envie documento de identidade se a autoridade não pedir.
O que acontece depois — e os prazos
| Etapa | Prazo |
|---|---|
| A empresa responde ao pedido | Um mês; mais dois em pedidos complexos, se avisar no primeiro mês (artigo 12.º) |
| A autoridade informa sobre a queixa | Em três meses; se não, você pode recorrer contra a autoridade (artigo 78.º) |
| Compromisso próprio da DPC | Atualização ou resultado em três meses, depois atualizações periódicas |
| Ação judicial contra a empresa | Possível a qualquer momento, inclusive por indenização (artigos 79.º e 82.º) |
A DPC verifica primeiro se o assunto é da sua competência e depois procura uma solução amigável, se tiver probabilidade de resultar. Se não, a autoridade pode rejeitar ou arquivar a queixa, aconselhar, emitir uma ordem ou abrir um inquérito; os inquéritos ficam em geral reservados a falhas graves ou sistêmicas. Os casos transfronteiriços demoram mais porque as autoridades precisam cooperar.
Queixas típicas após uma conta hackeada ou banida
- Sem resposta a um pedido de acesso ao histórico de logins, dispositivos e endereços IP depois de uma invasão.
- Recusa em apagar os dados de uma conta encerrada ou criada em seu nome.
- Uma violação de dados que a empresa não explica; veja o que fazer após um vazamento.
- Dados pessoais em resultados de busca que um site ou buscador não remove; veja remover informações pessoais.
Uma autoridade de proteção de dados não pode restabelecer uma conta suspensa: é uma decisão de moderação, contestada junto da plataforma e pelas vias do DSA. Mas pode obrigar uma empresa a entregar ou apagar seus dados. Combinamos os dois caminhos no nosso trabalho de remoção de resultados e privacidade.
Perguntas frequentes
Tenho de fazer queixa à autoridade irlandesa pela Meta ou TikTok?
Não. Faça queixa à sua autoridade, em português: a CNPD se mora em Portugal. Pelo balcão único, ela coopera com a Data Protection Commission irlandesa, que lidera os casos de empresas com estabelecimento principal na Irlanda.
A queixa RGPD tem custo?
Não. As queixas às autoridades de proteção de dados são gratuitas e não exigem advogado.
Quanto tempo demora?
A autoridade deve informar o andamento em três meses. Casos simples podem terminar antes; casos transfronteiriços costumam demorar mais.
Moro no Brasil. O RGPD vale para mim?
Não diretamente: no Brasil vale a LGPD. Primeiro você faz o pedido ao controlador e, se não houver resposta adequada, pode apresentar petição à ANPD. Brasileiros que moram na UE, por sua vez, estão protegidos pelo RGPD.
Fontes: Regulamento Geral sobre a Proteção de Dados — Regulamento (UE) 2016/679, artigos 12.º, 15.º, 17.º, 56.º e 77.º a 82.º, Comité Europeu para a Proteção de Dados — membros (autoridades nacionais), Data Protection Commission (Irlanda) — tratamento de queixas de particulares, ICO — queixas de proteção de dados (Reino Unido)