Ao pedir um cartão, comprar a prazo, financiar um veículo, alugar um imóvel ou contratar um serviço com pagamento posterior, o consumidor normalmente passa por algum tipo de análise. Nesse processo, a empresa pode confirmar dados cadastrais, consultar bancos de dados de proteção ao crédito, verificar o histórico de pagamentos e utilizar modelos estatísticos para estimar o risco da operação. Isso não significa, porém, que qualquer informação possa ser acessada livremente ou usada para qualquer finalidade.

No Brasil, as consultas realizadas por empresas precisam respeitar principalmente o Código de Defesa do Consumidor, a Lei Geral de Proteção de Dados Pessoais e a Lei do Cadastro Positivo. Essas normas procuram equilibrar dois interesses legítimos: o direito da empresa de avaliar o risco antes de vender a prazo e o direito do consumidor à privacidade, à transparência, à correção dos dados e à proteção contra práticas abusivas.

Por isso, a pergunta “o que as empresas podem consultar?” não possui uma resposta única. Tudo depende do tipo de dado, da relação comercial, da finalidade da consulta, da base legal utilizada e das regras específicas do sistema acessado. Uma loja pode consultar informações adequadas à concessão de crédito, mas não deve coletar dados excessivos ou sem relação com a operação. Uma instituição financeira pode acessar determinadas informações do Sistema de Informações de Créditos, mas precisa cumprir requisitos próprios, inclusive autorização expressa do cliente para consultar o SCR.

Por que as empresas consultam dados do consumidor?

A consulta é utilizada para reduzir incertezas. Quando uma empresa entrega um produto antes de receber o pagamento integral, concede um empréstimo ou assume um contrato de longa duração, ela passa a correr risco financeiro. A análise busca estimar se o valor, o prazo e as condições pretendidas são compatíveis com o perfil apresentado.

As informações também podem ser usadas para confirmar identidade, prevenir fraude, cumprir obrigações regulatórias, verificar a consistência do cadastro, definir limites e personalizar condições. Entretanto, cada finalidade deve ser legítima, específica e informada de maneira adequada. A LGPD estabelece princípios como finalidade, adequação, necessidade, transparência, segurança, prevenção e não discriminação, que limitam a forma como dados pessoais podem ser tratados.

A empresa precisa de consentimento para toda consulta?

Não necessariamente. O consentimento é apenas uma das bases legais previstas na LGPD. A lei permite o tratamento de dados pessoais em outras hipóteses, como cumprimento de obrigação legal ou regulatória, execução de contrato, exercício regular de direitos, legítimo interesse e proteção do crédito. A ANPD confirma que a proteção do crédito é uma das hipóteses que podem autorizar o tratamento de dados pessoais não sensíveis.

Isso significa que uma empresa pode, em determinadas situações, consultar informações necessárias à análise de crédito mesmo sem apresentar uma caixa genérica pedindo consentimento. Porém, a existência de uma base legal não libera o uso irrestrito. A empresa ainda precisa respeitar a finalidade, limitar a coleta ao necessário, proteger os dados e informar o titular sobre o tratamento.

Além disso, alguns sistemas possuem regras próprias mais rigorosas. No SCR do Banco Central, por exemplo, a instituição financeira precisa de autorização expressa do cliente para consultar as informações. Portanto, não se deve confundir a base legal geral da proteção do crédito com os requisitos específicos de cada cadastro ou sistema.

Quais dados cadastrais podem ser confirmados?

Empresas normalmente podem solicitar e validar dados básicos necessários para identificar o consumidor e executar a contratação, como nome, CPF, data de nascimento, telefone, endereço e e-mail. Dependendo da operação, também podem pedir documento de identidade, comprovante de endereço, renda, profissão ou informações empresariais.

A Receita Federal oferece serviço oficial para consulta da situação cadastral do CPF e emissão do respectivo comprovante. Essa consulta informa a condição do cadastro perante a Receita, mas não revela score, dívidas, renda, patrimônio ou capacidade de pagamento. Situação “regular” no CPF significa apenas que não há pendência cadastral naquele sistema; não equivale a “nome limpo” nem garante aprovação de crédito.

Mesmo dados básicos não devem ser coletados sem limite. Pedir informações de familiares, localização detalhada ou documentos sem relação com o contrato pode representar excesso.

O que pode aparecer em uma consulta de proteção ao crédito?

Conforme o produto contratado pela empresa e a base consultada, um relatório pode apresentar dados de identificação, registros de inadimplência, protestos, informações de cheques sem fundos, histórico de consultas, indicadores de risco, score e elementos do Cadastro Positivo. O conteúdo exato varia entre birôs, fontes e modalidades de consulta.

O Código de Defesa do Consumidor determina que cadastros e dados de consumidores sejam objetivos, claros, verdadeiros e redigidos de forma que facilitem a compreensão. Também assegura ao consumidor acesso às informações existentes sobre ele e às respectivas fontes. Registros incorretos, desatualizados ou confusos podem ser contestados.

A empresa que consulta esses dados deve possuir uma finalidade relacionada à relação comercial ou creditícia. O regulamento do Cadastro Positivo estabelece que as informações do cadastrado somente podem ser acessadas por consulentes que mantenham ou pretendam manter com ele uma relação comercial ou de crédito. Isso impede que o histórico seja tratado como uma curiosidade disponível para qualquer pessoa ou empresa sem propósito legítimo.

Registros negativos: dívidas e inadimplência

As empresas podem consultar registros negativos mantidos por bancos de dados de proteção ao crédito, desde que o acesso e o tratamento respeitem a legislação. Esses registros costumam informar a existência de obrigações vencidas e não pagas comunicadas pelo credor.

O CDC estabelece que a abertura de cadastro, ficha, registro e dados pessoais e de consumo, quando não solicitada pelo consumidor, deve ser comunicada por escrito. A legislação também limita o período de permanência de informações negativas e protege o consumidor contra dados inexatos.

Uma dívida existente não autoriza exposição pública ou constrangimento. O relatório deve permanecer restrito às pessoas que realmente participam da análise.

Cadastro Positivo e histórico de pagamentos

O Cadastro Positivo reúne informações de adimplemento e operações de crédito para formar um histórico de pagamento de pessoas físicas e jurídicas. Seu objetivo é permitir uma avaliação mais ampla do comportamento financeiro, sem depender exclusivamente de ocorrências negativas. A Lei nº 12.414/2011 disciplina a formação e a consulta desses bancos de dados, e o Decreto nº 9.936/2019 detalha aspectos de funcionamento e segurança.

O histórico pode envolver dados como datas, valores concedidos ou assumidos e informações sobre o cumprimento das obrigações. Isso não significa que o consulente receba necessariamente todos os detalhes de cada compra. A legislação estabelece limites para a disponibilização e o uso das informações, além de direitos de acesso, correção e cancelamento do cadastro nas condições previstas.

Score de crédito: a empresa pode consultar?

Sim, quando a consulta estiver relacionada a uma finalidade legítima de crédito ou relação comercial e ocorrer dentro das regras do banco de dados. O score é uma estimativa estatística de risco calculada a partir de informações e modelos próprios. Ele não é uma sentença sobre o caráter do consumidor nem uma garantia de pagamento ou inadimplência.

Empresas podem utilizar o score como um dos fatores da decisão, junto com renda, valor solicitado, entrada, relacionamento anterior, garantias e política interna. Por isso, pessoas com a mesma pontuação podem receber respostas diferentes em instituições distintas.

A LGPD prevê o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem interesses do titular, incluindo decisões destinadas a definir perfil de crédito. O titular também pode pedir informações claras e adequadas sobre os critérios e procedimentos utilizados, observados os segredos comercial e industrial.

Consultas anteriores realizadas por outras empresas

Alguns relatórios de crédito podem indicar que houve consultas anteriores ao CPF. Esse histórico pode ser considerado pelos modelos de risco, pois várias solicitações em curto período podem sugerir busca intensa por crédito. Entretanto, uma consulta isolada não comprova endividamento nem fraude.

O consumidor tem o direito de saber quais informações são mantidas e pode investigar empresas que não reconhece. Muitas vezes, a razão social apresentada no relatório é diferente da marca utilizada na loja ou no aplicativo. Também pode se tratar de banco parceiro, correspondente ou plataforma responsável pela proposta.

Quando não houver qualquer relação conhecida, o consumidor deve registrar a ocorrência, entrar em contato com a empresa e perguntar a origem, a finalidade e o canal da solicitação. Se a consulta for indevida, poderá pedir correção e contestar o tratamento.

SCR: empréstimos e financiamentos no sistema financeiro

O Sistema de Informações de Créditos do Banco Central reúne dados sobre operações e compromissos de crédito informados por instituições do Sistema Financeiro Nacional. O consumidor pode consultar o próprio relatório por meio do Registrato. Para que uma instituição consulte os dados de um cliente no SCR, é necessária autorização expressa.

O SCR não é uma lista pública. Um comerciante comum não consegue acessar livremente o relatório detalhado de outra pessoa. O sistema possui regras próprias de acesso e sigilo. O Banco Central explica que a troca de informações segue normas específicas e que a consulta pelas instituições depende da autorização do cliente.

O próprio titular pode consultar empréstimos e financiamentos registrados em seu nome e verificar se existem operações desconhecidas. Os dados possuem ciclos de atualização; por isso, pagamentos recentes podem não aparecer imediatamente no relatório.

Renda, movimentação bancária e Open Finance

Uma empresa pode pedir comprovantes de renda ou faturamento quando essas informações forem relevantes para avaliar a capacidade de pagamento. O consumidor decide se deseja prosseguir com a proposta e fornecer os documentos solicitados, mas a empresa deve explicar a finalidade e proteger o material recebido.

Movimentação bancária detalhada não é uma informação aberta a qualquer empresa. Bancos estão sujeitos a deveres de sigilo, e o compartilhamento de dados financeiros depende de regras específicas. No Open Finance, o compartilhamento ocorre por meio de um processo controlado, para finalidades determinadas, com autenticação e autorização do cliente dentro dos canais das instituições participantes.

Comprovante de renda e compartilhamento legítimo não exigem a entrega de senha, token ou código de autenticação bancária.

Dados sensíveis: saúde, religião, opinião e biometria

A LGPD classifica como sensíveis informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dados genéticos e biométricos vinculados a uma pessoa. O tratamento desses dados segue hipóteses mais restritas do que as aplicáveis aos dados pessoais comuns.

Em uma análise de crédito comum, não existe justificativa automática para consultar religião, opinião política, condição de saúde ou vida sexual. O fato de a LGPD possuir uma base legal denominada “proteção do crédito” não autoriza a utilização indiscriminada de dados sensíveis para classificar consumidores.

A biometria pode ser utilizada para confirmar identidade e prevenir fraude quando houver base legal, transparência e segurança reforçada.

Redes sociais e informações públicas

O fato de uma informação estar publicada na internet não elimina a aplicação da LGPD. Dados manifestamente públicos ainda devem ser tratados com respeito à finalidade, à boa-fé e aos direitos do titular. Uma empresa não deve construir uma análise invasiva ou discriminatória apenas porque encontrou postagens abertas.

Usar redes sociais para confirmar a identidade de um negócio pode ser diferente de coletar opiniões pessoais, relacionamentos e hábitos sem relação com a contratação. A análise deve considerar a expectativa legítima do titular e o contexto em que a informação foi divulgada.

O que as empresas não podem fazer?

• Consultar ou coletar dados sem finalidade legítima relacionada à atividade;
• Usar informações excessivas e sem necessidade para a operação;
• Compartilhar relatórios de crédito com pessoas não autorizadas;
• Manter dados sabidamente incorretos ou impedir a correção;
• Utilizar dados para discriminação ilícita ou abusiva;
• Expor dívidas ou constranger o consumidor perante terceiros;
• Consultar sistemas sigilosos sem cumprir os requisitos específicos;
• Usar dados obtidos para uma finalidade incompatível sem nova base legal;
• Negar informação básica sobre o tratamento de dados;
• Adotar segurança insuficiente e deixar documentos acessíveis indevidamente.

A LGPD exige medidas técnicas e administrativas destinadas a proteger os dados de acessos não autorizados, destruição, perda, alteração, comunicação ou tratamento inadequado. O CDC, por sua vez, garante transparência e correção nos cadastros de consumo.

Quais são os direitos do consumidor?

O titular pode solicitar confirmação de que seus dados são tratados, acesso às informações, correção de dados incompletos ou inexatos, esclarecimentos sobre compartilhamento e informação sobre a possibilidade de negar consentimento quando essa for a base legal utilizada. Também pode exercer outros direitos previstos na LGPD conforme o caso. A ANPD mantém orientações específicas para os titulares.

Nos cadastros de consumidores, o CDC garante acesso aos dados e às fontes. Ao identificar inexatidão, o consumidor pode exigir correção. A Lei do Cadastro Positivo também prevê direitos relacionados ao acesso, à impugnação de informações incorretas e ao conhecimento dos principais elementos considerados na análise de risco.

O exercício desses direitos deve ser gratuito nas situações previstas e não pode ser dificultado artificialmente. A empresa pode precisar confirmar a identidade de quem solicita o acesso para evitar que dados sejam entregues a terceiros, mas a verificação deve ser proporcional.

Como saber quem consultou seus dados?

O primeiro passo é acessar os canais oficiais do birô ou instituição responsável pelo relatório. Procure áreas relacionadas a consultas em seu nome, histórico de crédito ou privacidade. Em seguida, anote a razão social, a data e o tipo de ocorrência.

Se não reconhecer a empresa, pesquise se ela pertence a um grupo econômico ou atua como parceira de uma marca conhecida. Depois, entre em contato por um canal oficial e peça informações sobre a proposta ou relação comercial que motivou a consulta.

Nos casos que envolvam bancos, contas ou empréstimos, o próprio consumidor pode usar o Registrato para conferir relacionamentos e operações registrados em seu nome. O acesso a relatórios de outra pessoa exige autorização ou representação adequada, pois não se trata de informação pública.

Como contestar uma consulta ou dado incorreto

1. Registre a prova: salve a tela, a data, o nome da empresa e o relatório.
2. Procure a fonte: entre em contato com quem realizou ou enviou a informação.
3. Peça explicação: solicite finalidade, origem dos dados e identificação da proposta.
4. Apresente documentos: envie comprovantes quando houver pagamento, fraude ou erro cadastral.
5. Guarde protocolos: registre datas, atendentes e respostas.
6. Acione o birô: siga o procedimento de contestação do banco de dados.
7. Use canais de defesa: procure Procon ou Consumidor.gov.br quando a solução não ocorrer.
8. Recorra à ANPD: nos temas de proteção de dados, siga o procedimento oficial depois de tentar exercer o direito perante a empresa.

A ANPD orienta que o titular procure primeiro o controlador para exercer seus direitos. Se não houver resposta adequada, poderá utilizar os canais da autoridade nas hipóteses previstas.

Consulta legítima também exige segurança

Mesmo quando a consulta é permitida, a empresa deve controlar quem acessa o relatório. Funcionários precisam utilizar credenciais individuais, e os acessos devem ser compatíveis com suas funções. Relatórios não devem ficar impressos sobre balcões, ser enviados para contas pessoais ou permanecer armazenados sem prazo e justificativa.

Uma política interna deve definir quais consultas são realizadas, quem pode acessá-las, por quanto tempo os dados serão mantidos e como o titular poderá exercer seus direitos.

Checklist antes de fornecer seus dados

• Confirme o nome e o CNPJ da empresa;
• Verifique se o site ou aplicativo é oficial;
• Pergunte quais dados serão consultados;
• Leia a autorização antes de aceitar;
• Não forneça senha bancária ou código de autenticação;
• Evite enviar documentos por canais pessoais de atendentes;
• Guarde a proposta, os termos e os protocolos;
• Desconfie de promessas de crédito garantido mediante pagamento antecipado;
• Revise permissões concedidas em aplicativos;
• Acompanhe consultas e contratos registrados em seu nome.

Conclusão

Empresas podem consultar dados necessários para identificar o consumidor, prevenir fraude e avaliar uma relação comercial ou de crédito. Isso pode incluir situação cadastral, registros de inadimplência, histórico positivo, score e informações fornecidas pelo próprio interessado. Contudo, cada acesso precisa ter finalidade legítima, base legal, necessidade, transparência e segurança.

Nem tudo está aberto para qualquer empresa. Informações do SCR exigem autorização expressa do cliente; dados sensíveis possuem proteção reforçada; movimentação bancária é submetida a regras de sigilo e compartilhamento; e até dados publicados na internet continuam sujeitos aos princípios da LGPD.

O consumidor não precisa escolher entre crédito e privacidade. Ele tem direito de saber como seus dados são usados, acessar registros, corrigir erros, contestar consultas suspeitas e pedir revisão de decisões automatizadas nas condições previstas. A empresa, por sua vez, pode proteger-se contra inadimplência e fraude, mas deve fazê-lo de maneira proporcional e responsável.

Antes de fornecer documentos ou autorizar uma consulta, confirme a identidade da empresa e leia a finalidade apresentada. Depois da contratação, acompanhe o CPF, guarde protocolos e investigue movimentações desconhecidas. Informação e vigilância são as melhores ferramentas para evitar que uma consulta legítima se transforme em abuso ou que uma tentativa de fraude permaneça despercebida.

Este conteúdo tem finalidade informativa e não substitui orientação jurídica individualizada. As circunstâncias de cada caso podem alterar a análise dos direitos e das obrigações envolvidos.