LGPD e os Bureaux de Crédito: Quais Dados Podem Ser Mantidos?
Serasa, SPC, Quod, Boa Vista e outros serviços de informação de crédito trabalham com grandes volumes de dados utilizados para análise de risco, prevenção de fraudes, formação de histórico de pagamentos e apoio às decisões de concessão de crédito.
Esse funcionamento gera uma dúvida cada vez mais comum: depois da Lei Geral de Proteção de Dados, essas empresas ainda podem armazenar informações sobre consumidores sem autorização? Quais dados podem permanecer em seus bancos? Uma dívida antiga pode ficar guardada para sempre? Informações sobre saúde, religião ou comportamento podem ser utilizadas para calcular score?
A resposta exige compreender que o sistema brasileiro possui várias leis funcionando simultaneamente.
A Lei Geral de Proteção de Dados Pessoais — LGPD — disciplina o tratamento de dados de pessoas naturais e estabelece princípios, bases legais, direitos dos titulares e obrigações de segurança.
O Código de Defesa do Consumidor, por sua vez, possui regras específicas para cadastros e bancos de dados utilizados na relação de consumo, inclusive limite temporal para informações negativas.
Existe ainda a Lei nº 12.414/2011, conhecida como Lei do Cadastro Positivo, que disciplina a formação de bancos de dados com informações de adimplemento e histórico de crédito.
Portanto, não existe uma única resposta como:
“Depois de cinco anos todo dado precisa ser apagado.”
Também é incorreto afirmar:
“Com a LGPD, nenhum birô pode guardar meus dados sem meu consentimento.”
A própria LGPD inclui expressamente a proteção do crédito entre as hipóteses legais que podem justificar o tratamento de dados pessoais.
Isso significa que determinados dados podem ser coletados, armazenados, analisados e utilizados sem depender necessariamente de consentimento, desde que exista uma finalidade legítima, base jurídica adequada e respeito às demais normas de proteção de dados.
Por outro lado, a existência dessa base legal não dá autorização ilimitada para armazenar qualquer informação sobre uma pessoa.
Os dados precisam ser necessários, adequados, corretos, transparentes e protegidos. Informações excessivas ou discriminatórias não podem simplesmente ser incorporadas a um banco de dados porque talvez sejam úteis comercialmente.
Este guia explica quais informações podem compor bancos de dados de crédito, quais dados possuem proteção especial, quanto tempo determinadas informações podem permanecer armazenadas e quais direitos o consumidor possui para acessar, corrigir, contestar ou pedir a eliminação de dados.
O que são bureaux ou birôs de crédito?
Birôs de crédito são empresas especializadas em administrar informações destinadas principalmente à avaliação de risco financeiro e à proteção do crédito.
Esses sistemas podem utilizar diferentes conjuntos de informações conforme o produto oferecido.
Entre suas atividades podem estar:
- cadastros de inadimplência;
- Cadastro Positivo;
- pontuação ou score de crédito;
- confirmação de dados cadastrais;
- análise de risco;
- soluções de prevenção a fraudes;
- monitoramento de alterações cadastrais;
- informações destinadas à concessão de crédito e vendas a prazo.
Entretanto, “ter dados” e “poder utilizar qualquer dado para qualquer finalidade” são coisas completamente diferentes.
A LGPD impõe limites sobre finalidade, necessidade, transparência e segurança durante todo o ciclo de tratamento.
A LGPD proíbe os birôs de armazenar dados sem consentimento?
Não.
Esse é um dos maiores equívocos relacionados à Lei Geral de Proteção de Dados.
Consentimento é apenas uma das bases legais previstas pela LGPD.
O artigo 7º estabelece diferentes hipóteses que podem autorizar o tratamento de dados pessoais, incluindo:
- consentimento;
- cumprimento de obrigação legal ou regulatória;
- execução de contrato;
- exercício regular de direitos;
- legítimo interesse, quando preenchidos seus requisitos;
- proteção do crédito.
Para o setor analisado nesta matéria, o ponto mais importante está justamente no inciso X do artigo 7º:
a proteção do crédito é uma base legal autônoma para tratamento de dados pessoais.
Portanto, uma pessoa não pode exigir automaticamente a eliminação de toda informação alegando apenas:
“Eu nunca autorizei o Serasa a possuir meu CPF.”
É necessário descobrir qual dado está sendo tratado, para qual finalidade e com base em qual fundamento legal.
Proteção do crédito não significa autorização ilimitada
A existência de uma base legal não transforma o banco de dados em uma coleção irrestrita de informações pessoais.
O artigo 6º da LGPD estabelece princípios que precisam ser respeitados em qualquer tratamento.
Entre os mais importantes para os birôs estão:
- finalidade: o dado precisa ser utilizado para propósito legítimo, específico e informado;
- adequação: o tratamento deve ser compatível com a finalidade apresentada;
- necessidade: somente dados necessários e proporcionais devem ser tratados;
- qualidade: os dados precisam ser exatos, claros, relevantes e atualizados;
- transparência: o titular deve receber informações claras sobre o tratamento;
- segurança: devem existir medidas contra acessos não autorizados e incidentes;
- não discriminação: o tratamento não pode ter finalidade discriminatória ilícita ou abusiva;
- responsabilização: o agente precisa demonstrar que cumpre as normas.
Portanto, a pergunta correta não é apenas:
“O birô possui uma base legal?”
Também é necessário perguntar:
“Esse dado específico é realmente necessário para aquela finalidade?”
Quais dados cadastrais podem ser mantidos?
Dependendo da finalidade e da base jurídica aplicável, bancos de dados de crédito podem tratar informações de identificação e contato.
No Cadastro Positivo regulamentado pelo Decreto nº 9.936/2019, por exemplo, o padrão de informações enviadas pelas fontes pode incluir:
- nome;
- CPF ou CNPJ;
- endereço residencial ou comercial;
- endereço eletrônico;
- telefone.
Essas informações ajudam a identificar corretamente o titular e a relacionar seu histórico financeiro à pessoa certa.
Mesmo assim, a qualidade dos dados é essencial.
Um telefone antigo, endereço errado ou CPF associado a outra pessoa pode produzir erros de identificação, comunicação e análise.
Quais informações financeiras podem integrar o histórico?
A regulamentação do Cadastro Positivo permite armazenar dados relacionados às operações de crédito e obrigações de pagamento.
Entre eles estão:
- data de concessão do crédito;
- valor concedido;
- valor da obrigação assumida;
- datas de vencimento;
- valores de pagamentos a vencer;
- datas de vencimentos anteriores;
- valores devidos;
- datas em que os pagamentos foram realizados;
- valores pagos integralmente;
- pagamentos parciais.
Esse conjunto forma um retrato do comportamento de pagamento.
Uma pessoa que paga regularmente financiamentos, cartões e serviços pode possuir um histórico diferente daquela que apresenta atrasos recorrentes.
Cadastro Positivo não é a mesma coisa que cadastro de negativados
Essa diferença é fundamental.
O cadastro negativo registra informações de inadimplência.
O Cadastro Positivo trabalha com histórico de crédito e informações de pagamento, incluindo obrigações que foram regularmente cumpridas.
| Cadastro negativo | Cadastro Positivo |
|---|---|
| Destaca inadimplência | Registra histórico de pagamentos |
| Submetido às regras do artigo 43 do CDC | Regulado também pela Lei nº 12.414/2011 |
| Informações negativas possuem limite temporal próprio | Informações de adimplemento possuem limite específico de até 15 anos |
| Pode afetar diretamente a condição cadastral | Pode ser utilizado na formação da nota ou score de crédito |
Confundir os dois sistemas leva a interpretações incorretas sobre prazos e direitos.
O Cadastro Positivo precisa de consentimento?
Desde as mudanças introduzidas pela Lei Complementar nº 166/2019, a abertura do Cadastro Positivo não depende mais do antigo modelo de adesão prévia obrigatória.
O gestor pode abrir o cadastro nas condições previstas em lei, mas precisa comunicar o cadastrado e disponibilizar mecanismos gratuitos para cancelamento.
Isso não significa que todo conteúdo possa ser livremente entregue a qualquer empresa.
A disponibilização do histórico completo de crédito a consulentes possui exigências específicas de autorização.
A legislação diferencia, portanto, a existência do cadastro, a elaboração de uma nota de crédito e a disponibilização do histórico detalhado.
Quem pode consultar informações do Cadastro Positivo?
Não deveria ser qualquer pessoa simplesmente interessada em conhecer a vida financeira de alguém.
A Lei do Cadastro Positivo determina que as informações sejam utilizadas para análise de risco, concessão ou extensão de crédito, vendas a prazo e outras transações comerciais ou empresariais que envolvam risco financeiro.
O Decreto nº 9.936 também determina que as informações sejam acessadas por consulentes que mantenham ou pretendam manter relação comercial ou creditícia com o cadastrado.
Em outras palavras, consultar dados de crédito não deveria funcionar como uma pesquisa de curiosidade sobre vizinhos, funcionários, ex-companheiros ou outras pessoas sem finalidade legítima correspondente.
Quais informações não podem ser usadas para formar score?
A legislação impõe limites expressos.
A Lei do Cadastro Positivo proíbe anotações excessivas, isto é, aquelas que não estejam vinculadas à análise de risco de crédito.
Também estabelece restrições para informações sensíveis.
Não devem ser utilizados para compor uma pontuação de crédito elementos como:
- origem social;
- origem étnica;
- informações de saúde;
- informações genéticas;
- convicções políticas;
- convicções religiosas;
- convicções filosóficas;
- outros elementos protegidos pela legislação específica.
O princípio é simples: uma pessoa não deveria receber crédito mais caro ou pior pontuação porque possui determinada religião, origem étnica ou condição de saúde.
Por que dados sensíveis recebem proteção maior?
A LGPD cria uma categoria especial denominada dados pessoais sensíveis.
Ela inclui informações capazes de produzir riscos maiores de discriminação ou violação de direitos fundamentais.
Seu tratamento segue as hipóteses específicas do artigo 11 da LGPD.
Isso significa que a base legal genérica de “proteção do crédito”, prevista no artigo 7º para dados pessoais comuns, não funciona como uma autorização automática para utilizar informações sensíveis em modelos de risco.
Além disso, a própria legislação do Cadastro Positivo contém proibições expressas sobre o uso de diversas informações sensíveis.
Uma doença pode reduzir meu score?
Informações relacionadas à saúde não deveriam ser utilizadas como variável de pontuação de crédito nos sistemas abrangidos pela Lei do Cadastro Positivo.
Imagine um modelo que atribuísse menor score porque a pessoa realizou tratamento médico ou possui determinada doença.
Além do caráter sensível desses dados, essa utilização criaria forte risco de discriminação.
O mesmo raciocínio vale para religião, origem étnica ou convicção política.
O risco de crédito precisa ser avaliado por informações relacionadas efetivamente à capacidade e ao comportamento financeiro, e não por características pessoais protegidas.
Dados públicos podem ser coletados sem qualquer limite?
Não.
Uma informação estar disponível publicamente não elimina a aplicação da LGPD.
A lei determina que, no tratamento de dados de acesso público, sejam consideradas a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização.
Além disso, eventual tratamento posterior precisa respeitar propósitos legítimos, específicos e os demais direitos do titular.
Isso significa que a lógica:
“Está na internet, então posso usar para qualquer coisa”
não corresponde ao modelo de proteção da LGPD.
Uma informação pública pode ter sido disponibilizada para uma finalidade totalmente diferente de sua utilização comercial em análise de crédito.
Por quanto tempo uma negativação pode permanecer?
O Código de Defesa do Consumidor estabelece que cadastros e bancos de dados não podem conter informações negativas referentes a período superior a cinco anos.
Esse é o conhecido limite dos registros negativos.
Além disso, o CDC estabelece que, consumada a prescrição relativa à cobrança, os sistemas de proteção ao crédito não devem fornecer informações capazes de impedir ou dificultar novo acesso ao crédito nas condições previstas pela lei.
É importante compreender, porém, que esses cinco anos não representam uma ordem de exclusão física de qualquer informação que a empresa possua sobre aquela pessoa em qualquer sistema.
O limite refere-se especificamente ao tratamento cadastral negativo regulado pelo CDC.
Depois de cinco anos todo dado precisa ser apagado?
Não.
Essa é uma das interpretações mais equivocadas sobre LGPD e crédito.
Uma informação negativa não pode continuar sendo disponibilizada como restrição além dos limites previstos no Código de Defesa do Consumidor.
Porém, pode existir obrigação legal ou outra finalidade legítima que justifique a conservação de determinados registros internos.
A LGPD determina que, ao término do tratamento, os dados sejam eliminados, mas autoriza sua conservação em algumas hipóteses, como cumprimento de obrigação legal ou regulatória.
Também existem regras específicas de guarda para o Cadastro Positivo.
Por isso:
fim da negativação não significa necessariamente destruição instantânea de qualquer registro histórico existente em todos os sistemas da empresa.
E o histórico positivo: quanto tempo pode permanecer?
A Lei nº 12.414/2011 estabelece que informações de adimplemento não podem permanecer nos bancos de dados do Cadastro Positivo por período superior a 15 anos.
Esse prazo é diferente dos cinco anos previstos para informações negativas pelo Código de Defesa do Consumidor.
| Tipo de informação | Regra temporal principal |
|---|---|
| Informação negativa em cadastro de inadimplentes | Máximo de 5 anos, observadas as demais regras do CDC |
| Informação de adimplemento no Cadastro Positivo | Máximo de 15 anos |
Isso demonstra por que não existe uma única “regra dos cinco anos” para todos os bancos de dados de crédito.
Existem dados que podem ser guardados por mais tempo para auditoria?
Sim.
A regulamentação do Cadastro Positivo estabelece obrigações específicas relacionadas à rastreabilidade e auditoria.
O Decreto nº 9.936/2019 determina a manutenção, pelo prazo mínimo previsto na norma, de registros relacionados a autorizações, pedidos de cancelamento, reabertura, exclusão, revogação e correção de anotações.
Esses registros possuem finalidade diferente do uso comercial cotidiano do histórico de crédito.
Uma empresa pode precisar demonstrar anos depois que determinado cancelamento foi solicitado, que uma correção ocorreu ou que existia autorização para determinada consulta.
Por isso, armazenamento para auditoria não deve ser confundido com autorização para continuar utilizando o dado livremente em uma análise comercial.
Qual é a diferença entre guardar e utilizar?
Essa distinção é essencial na LGPD.
Uma empresa pode possuir obrigação de conservar determinado registro por razões legais, regulatórias ou de defesa de direitos.
Isso não significa necessariamente que aquele dado continue disponível para:
- marketing;
- score;
- venda de informações;
- consultas comerciais;
- enriquecimento de cadastros;
- qualquer finalidade diferente da guarda obrigatória.
Em determinadas circunstâncias, um dado pode permanecer arquivado com acesso restrito apenas para cumprimento de obrigação ou auditoria.
A finalidade de conservação delimita também aquilo que pode ser feito durante esse período.
O consumidor pode pedir para apagar todos os dados?
Pode solicitar, mas o pedido não significa automaticamente que tudo deverá ser eliminado.
O artigo 18 da LGPD garante ao titular direitos como:
- confirmar a existência de tratamento;
- acessar os dados;
- corrigir informações incompletas, inexatas ou desatualizadas;
- pedir anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
- questionar tratamentos realizados em desconformidade com a lei.
Entretanto, quando existe obrigação legal de conservação ou outra base jurídica válida, o controlador poderá explicar por que determinado dado não pode ser imediatamente apagado.
Por isso, uma boa solicitação não deveria ser apenas:
“Apague tudo.”
É mais útil perguntar quais dados existem, suas origens, finalidades, bases legais e respectivos períodos de conservação.
Como descobrir quais dados um birô possui?
A LGPD permite solicitar confirmação de tratamento e acesso.
O titular pode pedir uma declaração clara contendo informações como:
- dados tratados;
- origem das informações;
- finalidade;
- critérios utilizados;
- forma e duração do tratamento;
- informações sobre compartilhamento, nas condições legais.
Além disso, a Lei do Cadastro Positivo possui direitos específicos.
O cadastrado pode conhecer as informações existentes sobre ele, as respectivas fontes e os gestores com quem houve compartilhamento, além dos consulentes que tiveram acesso às informações dentro do período previsto pela legislação.
É possível descobrir quem consultou meus dados?
No Cadastro Positivo, existe previsão expressa para que o cadastrado obtenha indicação dos consulentes que acessaram suas informações no período previsto pela legislação.
A regulamentação determina que o gestor disponibilize de forma segura informações relativas às consultas realizadas.
Esse mecanismo aumenta a transparência.
Se aparecer uma empresa completamente desconhecida, o consumidor poderá investigar qual relação comercial ou creditícia justificou aquela consulta.
Não significa automaticamente que qualquer consulta desconhecida seja ilegal, mas permite verificar sua finalidade.
O que fazer quando uma informação está errada?
O direito de correção aparece tanto na LGPD quanto na legislação específica de crédito.
Se o consumidor encontrar:
- endereço incorreto;
- dívida que não pertence a ele;
- pagamento não registrado;
- contrato duplicado;
- valor errado;
- telefone de outra pessoa;
- informação desatualizada;
deve solicitar formalmente a correção.
A Lei do Cadastro Positivo possui procedimento próprio para impugnação de informação e determina que a correção ou cancelamento seja propagada aos bancos de dados que receberam aquela informação dentro das condições e dos prazos estabelecidos pela legislação.
Não basta corrigir apenas uma tela interna e deixar o dado incorreto circulando em parceiros.
Posso cancelar meu Cadastro Positivo?
Sim.
A legislação assegura ao cadastrado o direito de solicitar gratuitamente o cancelamento.
O pedido pode ser realizado pelos canais disponibilizados pelo gestor, inclusive meios eletrônicos.
Quando o cadastro é cancelado, as informações do histórico não podem continuar sendo utilizadas pelos gestores para as finalidades previstas na Lei do Cadastro Positivo, inclusive para composição de determinadas pontuações nos termos legais.
Isso não significa apagar outras obrigações legítimas ou impedir que uma dívida inadimplida siga as regras próprias dos cadastros negativos.
Cadastro Positivo e negativação continuam sendo estruturas jurídicas diferentes.
Score é um dado pessoal?
Quando uma pontuação está vinculada a uma pessoa natural identificada, ela integra o universo de informações relacionadas ao titular.
Além disso, a LGPD menciona expressamente decisões automatizadas destinadas a definir perfil de consumo e de crédito.
O titular possui direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.
Também pode solicitar informações claras e adequadas sobre os critérios e procedimentos utilizados, respeitados os segredos comercial e industrial.
Isso não significa que uma empresa seja obrigada a revelar integralmente seu algoritmo ou fórmula matemática secreta.
Existe, porém, direito à transparência suficiente para permitir compreender os principais elementos envolvidos na decisão.
O birô pode saber tudo o que eu compro?
Não deveria existir uma interpretação tão ampla.
A proteção do crédito não autoriza acompanhamento ilimitado de qualquer comportamento de consumo.
O princípio da necessidade determina que o tratamento fique limitado aos dados relevantes e proporcionais para a finalidade pretendida.
Além disso, informações excessivas são expressamente proibidas pela Lei do Cadastro Positivo quando não estão vinculadas à análise de risco de crédito.
Imagine que alguém tente usar detalhes sobre livros comprados, medicamentos utilizados, preferência religiosa ou opinião política para avaliar um pedido de cartão.
A simples possibilidade técnica de coletar essas informações não torna seu uso legítimo.
Dados de CNPJ também são protegidos pela LGPD?
A LGPD define dado pessoal como informação relacionada a uma pessoa natural identificada ou identificável.
Portanto, informações referentes exclusivamente a uma pessoa jurídica não se enquadram automaticamente como dados pessoais pela simples aplicação da LGPD.
Entretanto, bancos de dados empresariais frequentemente contêm informações de pessoas físicas relacionadas à empresa.
Exemplos:
- nome de sócios;
- CPF de representantes;
- telefone pessoal de administrador;
- endereço residencial de empresário;
- dados de garantidores;
- informações relacionadas a empresário individual ou MEI que identifiquem diretamente uma pessoa natural.
Nesses casos, o tratamento desses dados pessoais continua sujeito às regras correspondentes.
Dados vazados podem ser utilizados por um birô?
A origem ilícita ou inadequada de uma base de dados é um problema relevante.
A empresa não deveria simplesmente adquirir listas vazadas e incorporá-las a seus produtos sob a justificativa de que trabalha com proteção do crédito.
Os princípios de finalidade, adequação, necessidade, segurança, transparência e responsabilização permanecem aplicáveis.
Além disso, os agentes de tratamento devem adotar medidas técnicas e administrativas para proteger os dados contra acessos não autorizados, destruição, perda, alteração ou divulgação indevida.
O tratamento precisa possuir origem e finalidade juridicamente justificáveis.
O que acontece em caso de vazamento?
A LGPD impõe obrigações relacionadas à segurança da informação.
Incidentes que possam gerar risco ou dano relevante aos titulares podem exigir comunicação às autoridades e aos próprios afetados conforme as regras aplicáveis.
No Cadastro Positivo, o Decreto nº 9.936 também possui disciplina específica para incidentes envolvendo informações dos cadastrados.
Para uma empresa que administra milhões de registros financeiros, segurança não é apenas questão de tecnologia.
Ela envolve:
- controle de acesso;
- rastreabilidade;
- gestão de usuários;
- prevenção a vazamentos;
- auditoria;
- resposta a incidentes;
- governança de dados.
O consumidor pode reclamar diretamente à ANPD?
A LGPD permite que o titular exerça seus direitos diretamente perante o controlador e também peticione perante a autoridade responsável pela proteção de dados nas condições aplicáveis.
Além disso, quando a relação possui natureza de consumo, permanecem disponíveis os mecanismos do Sistema Nacional de Defesa do Consumidor.
Dependendo do problema, o consumidor pode procurar:
- o próprio birô;
- o encarregado de proteção de dados;
- a empresa que forneceu a informação;
- Procon;
- Consumidor.gov.br, quando aplicável;
- ANPD;
- Poder Judiciário.
Antes de reclamar, organize documentos e deixe claro qual dado está incorreto ou qual direito não foi atendido.
Checklist: quero saber o que um birô possui sobre mim
- Identifique o birô responsável.
- Procure o canal de privacidade ou proteção de dados.
- Solicite confirmação da existência de tratamento.
- Peça acesso aos dados pessoais.
- Pergunte a origem das informações.
- Solicite a finalidade de cada categoria relevante.
- Pergunte qual base legal fundamenta o tratamento.
- Solicite informações sobre compartilhamento.
- Verifique quem consultou seu histórico quando esse direito for aplicável.
- Confira nome, CPF, endereço e telefone.
- Verifique contratos e obrigações registrados.
- Confira datas de pagamento.
- Identifique informações negativas antigas.
- Veja se o prazo legal foi respeitado.
- Confira o Cadastro Positivo.
- Analise se existem dados excessivos.
- Conteste qualquer informação incorreta.
- Peça bloqueio ou eliminação de dado desnecessário ou tratado irregularmente.
- Guarde o protocolo.
- Acompanhe a resposta.
- Se necessário, utilize os órgãos de defesa competentes.
Principais mitos sobre LGPD e birôs de crédito
“Sem meu consentimento nenhum dado pode ser tratado”
Falso. A proteção do crédito é uma das bases legais expressamente previstas na LGPD.
“Depois de cinco anos tudo precisa ser apagado”
Falso. O limite de cinco anos está relacionado às informações negativas reguladas pelo CDC. Existem outras regras de conservação e finalidades distintas.
“Cadastro Positivo também só pode guardar cinco anos”
Falso. A Lei nº 12.414 estabelece limite de até 15 anos para informações de adimplemento.
“Se está na internet, o birô pode usar livremente”
Falso. Dados públicos continuam sujeitos aos princípios e às regras de tratamento da LGPD.
“Informações de saúde podem melhorar a análise do banco”
A legislação impõe fortes restrições ao uso de dados sensíveis e a Lei do Cadastro Positivo proíbe a utilização de informações de saúde para a finalidade de avaliação de risco nos termos previstos.
“A LGPD obriga a revelar a fórmula completa do score”
Não. Existe direito a informações sobre critérios e procedimentos, mas a legislação também protege segredos comercial e industrial.
“Cancelar Cadastro Positivo apaga minhas dívidas”
Não. O cancelamento do histórico positivo não elimina obrigações legítimas nem invalida automaticamente registros negativos regularmente existentes.
Conclusão
A relação entre LGPD e birôs de crédito é mais complexa do que simplesmente perguntar se uma empresa possui autorização para guardar um CPF.
A Lei Geral de Proteção de Dados criou um sistema baseado em finalidades, princípios, bases legais e direitos dos titulares.
Dentro desse sistema, a proteção do crédito é expressamente reconhecida como fundamento que pode autorizar o tratamento de dados pessoais.
Isso permite que o mercado de crédito continue funcionando sem exigir consentimento individual para toda operação relacionada a dados cadastrais e financeiros.
Entretanto, essa possibilidade possui limites claros.
Os dados precisam ser necessários, adequados, verdadeiros, transparentes e utilizados para finalidades legítimas.
Informações excessivas não podem ser incorporadas simplesmente porque poderiam melhorar algum modelo estatístico.
Dados sensíveis recebem proteção especial e diversas categorias, como informações de saúde, origem étnica e convicções religiosas ou políticas, possuem restrições expressas no contexto da formação de histórico e pontuação de crédito.
Também é essencial distinguir os diferentes bancos de dados.
Um cadastro negativo não é a mesma coisa que Cadastro Positivo.
O Código de Defesa do Consumidor estabelece que informações negativas não podem permanecer registradas por período superior a cinco anos.
Já a Lei do Cadastro Positivo permite que informações de adimplemento integrem os bancos de dados por até 15 anos.
Além disso, registros destinados exclusivamente a auditoria ou cumprimento de obrigações podem possuir regras específicas de conservação.
Portanto, completar cinco anos não significa que qualquer informação existente em qualquer servidor deva ser automaticamente destruída.
O que precisa ser analisado é:
qual é o dado, para qual finalidade está sendo conservado, qual base legal justifica a guarda e se ele continua sendo utilizado dentro dos limites permitidos.
A LGPD também fortaleceu os direitos do titular.
O consumidor pode solicitar confirmação de tratamento, acessar suas informações, corrigir dados inexatos ou desatualizados e questionar dados desnecessários, excessivos ou tratados irregularmente.
No Cadastro Positivo, existem ainda direitos específicos para conhecer fontes, compartilhamentos, principais critérios utilizados na análise de risco e, nas condições legais, os consulentes que acessaram informações do cadastrado.
Decisões automatizadas também não estão fora do alcance da proteção de dados.
Quando uma decisão baseada exclusivamente em tratamento automatizado afeta os interesses do titular, inclusive na definição de perfil de crédito, existe direito de solicitar revisão e informações sobre os critérios e procedimentos utilizados, observada a proteção aos segredos empresariais.
Para o consumidor, a melhor estratégia não é simplesmente exigir “apague todos os meus dados”.
Primeiro descubra quais informações existem.
Depois identifique a origem, finalidade, base legal, período de armazenamento e empresas com as quais ocorreu compartilhamento.
Se o dado está correto e possui finalidade legítima, sua manutenção pode ser juridicamente permitida.
Se está incorreto, excessivo, desatualizado ou sendo utilizado para finalidade incompatível, existem mecanismos para contestação e correção.
Por fim, a LGPD não acabou com os sistemas de análise de crédito. Ela modificou a maneira como dados precisam ser tratados.
Os birôs podem manter informações necessárias à proteção e análise de crédito, mas não possuem autorização para construir um arquivo ilimitado sobre a vida das pessoas. A regra moderna é proporcionalidade: guardar o que possui finalidade legítima, pelo período justificável, com transparência, segurança e respeito aos direitos do titular.