O que a LGPD considera dado pessoal?

Dado pessoal é qualquer informação relacionada a uma pessoa natural identificada ou identificável. CPF, nome, telefone, endereço, e-mail e data de nascimento são exemplos evidentes, mas a definição pode alcançar outras informações quando elas permitem identificar ou individualizar uma pessoa.

A LGPD também considera tratamento praticamente qualquer operação realizada com esses dados: coletar, consultar, classificar, armazenar, cruzar, transmitir, compartilhar, modificar e eliminar são exemplos de tratamento.

Por isso, uma empresa que apenas consulta uma base de crédito já está realizando tratamento de dados pessoais. O mesmo ocorre quando ela recebe informações de um bureau, envia histórico de pagamentos ou utiliza os dados para calcular uma pontuação.

A LGPD protege os dados do CNPJ?

A LGPD protege diretamente dados relacionados a pessoas naturais. Informações exclusivamente empresariais sobre uma pessoa jurídica não se transformam automaticamente em dados pessoais apenas porque pertencem a uma empresa.

Entretanto, uma análise de CNPJ frequentemente envolve dados de pessoas físicas: nomes e CPFs de sócios, administradores, avalistas, representantes legais e beneficiários. Essas informações continuam sujeitas à LGPD quando permitem identificar indivíduos.

Assim, em uma análise de crédito B2B, informações como faturamento da empresa e situação cadastral do CNPJ podem possuir tratamento jurídico diferente dos dados pessoais dos sócios utilizados no mesmo relatório.

Proteção do crédito é uma base legal da LGPD

O artigo 7º da LGPD apresenta as hipóteses que permitem o tratamento de dados pessoais. Entre elas está expressamente a proteção do crédito.

Essa previsão é relevante porque demonstra que consentimento não é a única base legal disponível.

Uma instituição financeira, por exemplo, não precisa necessariamente obter uma autorização específica do cliente para cada operação de tratamento que seja legitimamente necessária à proteção do crédito e esteja dentro das regras aplicáveis.

Isso não significa que o consumidor perdeu o controle sobre suas informações. Mesmo quando o consentimento é dispensado, permanecem válidos os princípios e os direitos assegurados pela LGPD.

Quais dados podem ser utilizados em uma análise de crédito?

Não existe uma lista única de informações autorizadas para todas as operações. A legitimidade depende da finalidade e da necessidade.

Em situações adequadas, uma análise pode utilizar informações como:

• nome e CPF necessários à identificação;
• dados cadastrais pertinentes;
• endereço e contatos quando necessários à relação;
• histórico de pagamentos;
• existência de compromissos financeiros;
• dívidas e ocorrências legitimamente registradas;
• pontuações e indicadores de risco;
• informações do Cadastro Positivo dentro das regras específicas;
• dados de operações de crédito legalmente disponíveis;
• renda informada ou comprovada;
• valor e características da operação solicitada;
• relacionamento financeiro com a própria instituição;
• garantias oferecidas;
• dados necessários à prevenção de fraude e autenticação.

O princípio da necessidade determina que o tratamento deve ficar limitado ao mínimo necessário para alcançar sua finalidade, usando informações pertinentes, proporcionais e não excessivas.

Portanto, não basta que determinado dado possa teoricamente ajudar um algoritmo a encontrar uma correlação estatística. A empresa precisa conseguir justificar por que aquela informação é necessária e adequada para a finalidade pretendida.

O que é considerado dado excessivo?

Um dado pode ser verdadeiro e ainda assim ser inadequado para a análise de crédito.

A Lei do Cadastro Positivo determina que somente sejam armazenadas informações objetivas, claras, verdadeiras, de fácil compreensão e necessárias à avaliação econômica do cadastrado. Ela proíbe expressamente informações excessivas, entendidas como aquelas que não estejam vinculadas à análise de risco de crédito.

Imagine uma empresa que pretende conceder um limite de R$ 2 mil a um consumidor. Se determinada informação pessoal não possui relação justificável com a avaliação da capacidade ou do risco de pagamento, sua coleta pode ser excessiva.

O raciocínio é importante para evitar a construção de cadastros gigantescos apenas porque a tecnologia permite armazenar grandes quantidades de informação.

O que são dados pessoais sensíveis?

A LGPD criou uma categoria de proteção reforçada chamada de dados pessoais sensíveis.

Ela inclui informações relacionadas a origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização de caráter religioso, filosófico ou político, saúde, vida sexual e dados genéticos ou biométricos quando vinculados a uma pessoa natural.

Esses dados não utilizam automaticamente as mesmas bases legais dos dados pessoais comuns. O artigo 11 possui hipóteses específicas para seu tratamento.

Isso produz uma consequência essencial para o mercado de crédito: a existência da base legal “proteção do crédito”, prevista no artigo 7º, não representa uma autorização automática para utilizar dados sensíveis em modelos de score.

Dados de saúde podem ser usados para diminuir um score?

Como regra de análise de risco de crédito, utilizar uma doença, diagnóstico ou condição médica para reduzir pontuação apresenta sérios problemas jurídicos.

A Lei do Cadastro Positivo proíbe informações sensíveis e informações não relacionadas ao risco legítimo de crédito. A legislação também impede que dados relacionados à saúde integrem os elementos proibidos utilizados na pontuação do cadastro.

Isso deve ser diferenciado de outro uso completamente distinto: uma instituição pode utilizar determinados dados biométricos ou sensíveis quando isso for indispensável à prevenção de fraude e à segurança do próprio titular em processos de identificação e autenticação, pois essa hipótese aparece no artigo 11 da LGPD.

Usar biometria para confirmar que uma pessoa realmente está contratando um empréstimo é uma finalidade. Utilizar uma característica biométrica ou de saúde para presumir que ela pagará menos suas dívidas seria outra questão completamente diferente.

Origem racial, religião e opinião política podem influenciar crédito?

Essas informações recebem proteção reforçada.

Além das limitações da LGPD, a própria Lei nº 12.414/2011 proíbe determinados dados sensíveis na formação do histórico e estabelece que elementos relacionados à origem social e étnica, saúde, informação genética, sexo e convicções políticas, religiosas e filosóficas não podem ser utilizados na composição da nota ou pontuação de crédito.

A LGPD ainda determina o princípio da não discriminação, proibindo tratamento de dados para finalidades discriminatórias ilícitas ou abusivas.

Um modelo matemático não deixa de ser discriminatório apenas porque a decisão foi tomada automaticamente.

Cadastro Positivo: o que pode ser compartilhado?

O Cadastro Positivo possui regras específicas estabelecidas pela Lei nº 12.414/2011, modificada posteriormente pela Lei Complementar nº 166/2019.

Seu histórico é formado por dados financeiros e de pagamentos relacionados a operações de crédito e obrigações de pagamento adimplidas ou em andamento. Gestores podem compartilhar informações cadastrais e de adimplemento entre bancos de dados nas condições previstas pela lei.

Existe, porém, uma diferença fundamental entre pontuação e histórico completo.

A legislação permite ao gestor disponibilizar ao consulente a nota ou pontuação elaborada com base nas informações armazenadas. Para disponibilizar o histórico de crédito ao consulente, a lei exige autorização específica do cadastrado.

Essa distinção demonstra por que não é correto tratar todo o conteúdo de um bureau como se pudesse ser entregue livremente a qualquer empresa interessada.

O consumidor pode sair do Cadastro Positivo?

Sim. A legislação garante ao cadastrado o direito de solicitar gratuitamente o cancelamento e, posteriormente, a reabertura do cadastro.

Também garante acesso gratuito às informações existentes, incluindo histórico e pontuação, além da possibilidade de impugnar informações incorretas.

O cancelamento possui efeito relevante: as informações do histórico deixam de poder ser usadas pelos gestores para as finalidades previstas pela Lei do Cadastro Positivo, inclusive em determinadas composições de pontuação.

O consumidor pode saber quem consultou seus dados?

No regime específico do Cadastro Positivo, o cadastrado pode solicitar informações sobre as fontes dos dados, gestores com os quais houve compartilhamento e consulentes que tiveram acesso às informações nos seis meses anteriores à solicitação.

A LGPD também garante ao titular informação sobre as entidades públicas e privadas com as quais o controlador realizou uso compartilhado dos seus dados.

Esses mecanismos permitem que o consumidor compreenda melhor como suas informações circulam no mercado.

Dados públicos podem ser usados livremente?

Não.

O fato de uma informação estar disponível publicamente não elimina a LGPD. A própria lei determina que o tratamento de dados cujo acesso seja público considere finalidade, boa-fé e o interesse público que justificou originalmente sua disponibilização.

Mesmo dados tornados manifestamente públicos pelo titular continuam sujeitos aos princípios e direitos previstos na legislação.

Isso significa que uma empresa não deve simplesmente coletar grandes quantidades de informações de redes sociais, processos, sites e bases abertas para montar um perfil de crédito sem analisar a compatibilidade dessa utilização com a finalidade original e os direitos do titular.

Redes sociais podem ser usadas para calcular score?

A questão exige cautela.

Se uma instituição utiliza informações obtidas de redes sociais, precisa identificar uma base legal adequada e demonstrar que os dados são necessários, proporcionais e compatíveis com a finalidade.

Uma postagem pública não se torna automaticamente um dado adequado à avaliação de crédito. Informações sobre religião, política, saúde, vida pessoal ou características sem relação legítima com risco não devem ser transformadas em variáveis apenas porque são tecnicamente acessíveis.

O princípio da necessidade e a obrigação de não discriminação funcionam como barreiras contra a coleta indiscriminada.

Sigilo bancário continua existindo com a LGPD?

Sim. A LGPD não eliminou as regras de sigilo financeiro.

A Lei Complementar nº 105/2001 estabelece que as instituições financeiras devem conservar sigilo sobre suas operações ativas, passivas e serviços prestados. A própria lei apresenta situações específicas em que determinadas trocas de informações não configuram violação do sigilo.

Entre as hipóteses previstas estão trocas cadastrais entre instituições financeiras conforme as normas regulatórias, informações destinadas a entidades de proteção ao crédito nas condições aplicáveis e fornecimento de dados financeiros e de pagamentos para gestores de histórico de crédito conforme legislação específica.

Portanto, a existência de uma base legal na LGPD não significa que qualquer funcionário de um banco possa entregar extratos ou movimentações detalhadas a terceiros.

SCR do Banco Central e análise de crédito

O Sistema de Informações de Créditos, SCR, registra operações de crédito e garantias informadas pelas instituições participantes ao Banco Central. O sistema é uma importante fonte de informações sobre exposição e relacionamento de crédito.

Esses dados não são equivalentes a uma simples lista pública disponível para qualquer empresa. O acesso e utilização seguem as normas do sistema financeiro.

O próprio titular pode consultar suas informações por meio dos serviços disponibilizados pelo Banco Central e verificar operações relacionadas ao seu CPF ou CNPJ.

Se houver divergência, a instituição responsável pelo envio da informação deve ser procurada para análise e eventual correção.

Open Finance permite compartilhar tudo?

Não. No Open Finance, o compartilhamento de dados cadastrais e transacionais ocorre a partir de manifestação ativa do cliente e consentimento para finalidades determinadas dentro do ecossistema.

O cliente decide iniciar o compartilhamento entre instituições participantes e autoriza determinadas categorias de informações.

Isso pode permitir que um banco conheça melhor o histórico financeiro mantido em outra instituição e, eventualmente, utilize esse conjunto na oferta e análise de produtos.

Porém, consentir com determinado compartilhamento no Open Finance não significa autorizar utilização ilimitada ou eterna para qualquer finalidade diferente da informada.

O consentimento resolve qualquer compartilhamento?

Não. Consentimento é apenas uma das bases legais.

Quando ele for a base utilizada, precisa representar manifestação livre, informada e inequívoca para finalidade determinada. Autorizações genéricas são consideradas inválidas pela LGPD.

Além disso, se um controlador tiver obtido dados com base em consentimento e pretender comunicá-los a outro controlador, a LGPD prevê consentimento específico para o compartilhamento, salvo quando existir uma hipótese legal que dispense essa autorização.

Portanto, colocar em um contrato uma frase genérica como “autorizo o uso dos meus dados para qualquer finalidade” não transforma qualquer tratamento futuro em legítimo.

Legítimo interesse também pode ser usado?

Em determinadas situações, sim. O legítimo interesse é outra base legal prevista pela LGPD para dados pessoais não sensíveis.

Entretanto, a empresa precisa demonstrar uma finalidade legítima, analisar a expectativa do titular, limitar o tratamento aos dados necessários e assegurar transparência. A ANPD também destaca que o legítimo interesse não é aplicável aos dados pessoais sensíveis.

Para atividades diretamente relacionadas à avaliação de crédito, a existência da base específica de proteção do crédito deve ser considerada antes de tentar enquadrar automaticamente qualquer operação como legítimo interesse.

Score pode ser calculado automaticamente?

Sim. Sistemas automatizados são amplamente compatíveis com atividades de análise, desde que respeitem a legislação.

A LGPD, entretanto, garante ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses. A lei menciona expressamente decisões destinadas a definir perfil de consumo e de crédito.

Quando solicitado, o controlador deve fornecer informações claras e adequadas sobre os critérios e procedimentos utilizados, preservados os segredos comercial e industrial.

Isso significa que a instituição não precisa entregar o código-fonte do algoritmo, mas também não deve usar a expressão “segredo comercial” como argumento para impedir completamente o exercício dos direitos do titular.

O algoritmo pode utilizar informações indiretas para contornar proibições?

Esse é um dos desafios mais importantes da análise automatizada.

Uma empresa não deveria utilizar diretamente origem racial para calcular score. Mas um modelo também pode criar problemas se utilizar outras informações como substitutos capazes de produzir discriminação ilícita ou abusiva.

A LGPD estabelece expressamente o princípio da não discriminação. Além disso, quando a empresa se recusa a fornecer informações sobre um sistema automatizado alegando segredo comercial, a ANPD pode realizar auditoria para verificar aspectos discriminatórios do tratamento.

Portanto, governança de modelos de crédito precisa avaliar não apenas quais dados aparecem formalmente no banco de dados, mas também os resultados e impactos produzidos.

Dados incorretos podem continuar sendo compartilhados?

Não deveriam.

A LGPD estabelece o princípio da qualidade dos dados, garantindo exatidão, clareza, relevância e atualização conforme a finalidade. O titular também possui direito de solicitar a correção de informações incompletas, inexatas ou desatualizadas.

Quando ocorre correção, eliminação, anonimização ou bloqueio, o controlador deve comunicar os agentes com os quais realizou compartilhamento para que adotem o mesmo procedimento, salvo impossibilidade comprovada ou esforço desproporcional.

No Cadastro Positivo, existe ainda direito específico de impugnar informação erroneamente anotada e exigir sua correção ou cancelamento dentro das condições previstas na legislação.

Quais dados não devem ser usados na análise de crédito?

De forma prática, os principais sinais de irregularidade incluem:

• informações sem relação justificável com risco de crédito;
• dados excessivos para a finalidade;
• dados falsos, incompletos ou desatualizados;
• informações obtidas de forma ilícita;
• dados sensíveis utilizados para discriminação;
• saúde utilizada indevidamente para reduzir score;
• religião utilizada como fator de risco;
• origem racial ou étnica utilizada para classificação;
• opinião política ou convicções pessoais usadas para concessão;
• informações genéticas como elemento de pontuação;
• dados públicos reutilizados de forma incompatível com sua finalidade;
• informações bancárias sigilosas compartilhadas fora das hipóteses permitidas;
• dados de terceiros sem relação legítima com a operação;
• dados mantidos indefinidamente sem necessidade ou fundamento.

A Lei do Cadastro Positivo reforça várias dessas limitações ao proibir informações excessivas e sensíveis e ao restringir os elementos que podem participar da pontuação de crédito.

O titular pode descobrir de onde vieram seus dados?

Sim. A LGPD garante confirmação do tratamento e acesso aos dados. Em uma solicitação completa, o controlador deve fornecer declaração contendo a origem das informações, os critérios utilizados e a finalidade do tratamento, respeitados os segredos comercial e industrial. A lei estabelece prazo de até 15 dias para essa declaração completa, salvo regulamentação setorial específica.

O titular também possui direito de saber com quais entidades públicas e privadas houve uso compartilhado.

Isso é especialmente importante quando uma negativa de crédito parece baseada em uma informação que o consumidor não reconhece.

Como solicitar informações a um banco ou bureau?

Uma solicitação objetiva costuma produzir resultados melhores.

O consumidor pode pedir:

1. confirmação de que seus dados estão sendo tratados;
2. acesso às informações existentes;
3. origem dos dados;
4. finalidade do tratamento;
5. entidades com as quais houve compartilhamento;
6. correção de dados incorretos;
7. bloqueio ou eliminação de dados excessivos ou irregulares;
8. informações sobre decisão exclusivamente automatizada;
9. revisão da decisão automatizada quando cabível.

Esses direitos aparecem nos artigos 18, 19 e 20 da LGPD.

Guarde protocolos e respostas. Se a empresa não solucionar a questão, o titular pode avaliar os canais de defesa do consumidor e da Autoridade Nacional de Proteção de Dados conforme a natureza do problema.

Boas práticas para empresas que fazem análise de crédito

Para bancos, fintechs, varejistas e empresas B2B, adequação à LGPD não deveria se limitar a colocar uma política de privacidade no site.

Uma política responsável precisa mapear a origem das informações, identificar a base legal de cada tratamento e controlar quem possui acesso.

Algumas medidas importantes são:

• definir claramente a finalidade da análise;
• coletar apenas dados necessários;
• documentar as bases legais utilizadas;
• separar dados comuns e sensíveis;
• manter informações atualizadas;
• criar procedimentos de correção;
• controlar compartilhamentos com terceiros;
• avaliar fornecedores de dados;
• proteger APIs e bancos de dados;
• registrar acessos e consultas relevantes;
• monitorar modelos automatizados;
• testar riscos de discriminação;
• estabelecer prazo de retenção;
• oferecer canais claros aos titulares;
• manter documentação capaz de demonstrar conformidade.

A LGPD estabelece expressamente princípios de segurança, prevenção, responsabilização e prestação de contas.

Uma empresa pode vender uma base de CPFs para análise de crédito?

Não existe uma autorização genérica para comercializar qualquer base apenas porque os dados contêm nomes e CPFs.

Quem fornece e quem recebe os dados precisam avaliar origem, finalidade, base legal, transparência e compatibilidade do tratamento.

Uma lista obtida irregularmente não se torna lícita simplesmente porque o comprador pretende utilizá-la para “análise de crédito”.

Também deve existir especial cuidado com bases enriquecidas com informações pessoais retiradas de múltiplas fontes, porque o cruzamento pode produzir perfis muito mais invasivos do que cada informação isoladamente.

LGPD impede empresas de combater fraudes?

Não. A legislação não foi criada para impedir segurança financeira.

A LGPD contempla diferentes bases capazes de justificar atividades legítimas, e o artigo 11 prevê expressamente tratamento de dados sensíveis quando indispensável à prevenção à fraude e à segurança do titular em processos de identificação e autenticação eletrônica, observados os direitos e liberdades fundamentais.

Isso permite, por exemplo, utilizar tecnologias apropriadas para verificar se a pessoa que está solicitando crédito realmente é quem afirma ser.

O que a lei procura impedir é transformar a prevenção de fraude em justificativa genérica para coleta ilimitada de informações sem relação com a segurança.

Conclusão

A LGPD não proibiu a análise de crédito e tampouco determinou que todas as consultas dependam de consentimento. A proteção do crédito é uma base legal expressamente prevista no artigo 7º da Lei nº 13.709/2018.

Entretanto, essa base não autoriza o tratamento irrestrito de informações pessoais.

Bancos, financeiras, bureaus e empresas precisam respeitar finalidade, adequação, necessidade, qualidade, transparência, segurança e não discriminação. Dados excessivos ou sem relação legítima com risco não devem compor uma análise apenas porque estão disponíveis tecnologicamente.

Dados sensíveis recebem proteção ainda maior. A base legal de proteção do crédito não aparece entre as hipóteses do artigo 11 para dados sensíveis. Além disso, a Lei do Cadastro Positivo proíbe o uso de diversas informações sensíveis e não relacionadas ao risco na composição do histórico e da pontuação.

O Cadastro Positivo permite circulação de determinadas informações de adimplemento dentro de um regime específico, mas o histórico completo não se confunde com a pontuação: sua disponibilização ao consulente exige autorização específica do cadastrado.

O sigilo bancário também continua válido. Existem hipóteses legais de troca de informações entre instituições e de fornecimento para sistemas de risco e gestores de histórico, mas isso não transforma movimentações financeiras em dados livremente disponíveis.

Para o consumidor, a LGPD oferece instrumentos importantes: acesso, correção, informação sobre compartilhamentos e revisão de determinadas decisões exclusivamente automatizadas.

Para empresas que realizam análises, a regra prática é simples: não perguntar apenas se é tecnicamente possível obter um dado. É necessário perguntar se existe uma finalidade legítima, uma base jurídica adequada e uma necessidade real para utilizá-lo.

Quanto mais sofisticados se tornam os modelos de crédito e inteligência artificial, maior é a importância de garantir que precisão estatística, privacidade e não discriminação caminhem juntas.