A entrada em vigor da LGPD não proibiu essas consultas e também não tornou obrigatório pedir consentimento para toda análise. A própria lei prevê a proteção do crédito como uma das bases legais que podem justificar o tratamento de dados pessoais. Porém, essa autorização não é ilimitada: a empresa precisa ter uma finalidade legítima, utilizar apenas os dados necessários, garantir transparência, impedir usos discriminatórios e adotar medidas de segurança adequadas.

Portanto, a principal mudança trazida pela LGPD não foi o fim da análise de crédito, mas a necessidade de profissionalizar o tratamento das informações. Consultar por curiosidade, compartilhar relatórios sem controle, armazenar dados indefinidamente ou utilizar informações para finalidade incompatível são práticas que expõem a organização a riscos jurídicos, financeiros e reputacionais.

O que é uma consulta creditícia?

Consulta creditícia é a obtenção e análise de informações para apoiar uma decisão que envolva risco financeiro. Ela pode ocorrer quando uma loja avalia uma compra parcelada, quando uma instituição financeira analisa um pedido de crédito, quando uma distribuidora define o limite de um cliente empresarial ou quando um prestador de serviços verifica a capacidade de pagamento antes de firmar um contrato.

A consulta não se resume à busca por restrições. Conforme o produto contratado e a finalidade da operação, ela pode incluir dados cadastrais, histórico de adimplemento, pontuação, registros negativos, informações públicas permitidas, relacionamento anterior e indicadores produzidos por modelos estatísticos.

A Lei nº 12.414/2011 define os bancos de dados de histórico de crédito como estruturas destinadas a subsidiar a concessão de crédito, as vendas a prazo e outras transações comerciais ou empresariais que impliquem risco financeiro. Essa legislação convive com o Código de Defesa do Consumidor e com a LGPD, formando um conjunto de regras que precisa ser observado por gestores, fontes e consulentes.

A LGPD se aplica aos dados de empresas?

A LGPD protege informações relacionadas a pessoas naturais identificadas ou identificáveis. Por isso, dados estritamente empresariais de uma pessoa jurídica não são, isoladamente, dados pessoais protegidos pela lei. Contudo, uma consulta de CNPJ frequentemente apresenta dados ligados a sócios, administradores, representantes, empresários individuais e responsáveis legais.

Quando uma informação permite identificar uma pessoa física, a LGPD pode ser aplicável. Isso é especialmente relevante para microempreendedores individuais, empresários individuais, avalistas e sócios que aparecem vinculados a operações financeiras.

Assim, uma consulta empresarial não deve ser automaticamente tratada como uma atividade fora da proteção de dados. Nome, CPF, telefone, endereço ou participação societária de uma pessoa natural continuam exigindo finalidade, segurança e controle de acesso. A LGPD define dado pessoal como a informação relacionada a uma pessoa natural identificada ou identificável.

Mesmo quando o relatório apresenta apenas informações da pessoa jurídica, a empresa consulente deve observar contratos, sigilo, segurança da informação, regras setoriais e limitações impostas pelo fornecedor da base.

A proteção do crédito é uma base legal

O artigo 7º da LGPD apresenta as hipóteses que autorizam o tratamento de dados pessoais. Entre elas está a proteção do crédito, inclusive conforme a legislação específica do setor. Essa base permite que dados sejam tratados para avaliar risco, prevenir inadimplência e apoiar transações que realmente envolvam concessão de crédito ou exposição financeira.

Isso significa que uma empresa não precisa obter consentimento em todas as consultas realizadas para uma finalidade creditícia legítima. Solicitar consentimento sem necessidade pode até criar confusão, porque o titular pode acreditar que a revogação obrigará a empresa a apagar dados que precisam ser mantidos por obrigação legal, exercício de direitos, execução contratual ou proteção do crédito.

Entretanto, a existência de uma base legal não funciona como autorização genérica para pesquisar qualquer pessoa. A organização deve demonstrar por que a consulta era necessária, qual operação estava sendo analisada, quem teve acesso ao resultado e como os dados foram utilizados.

A base legal precisa corresponder à finalidade real. Uma consulta apresentada como proteção do crédito não deve ser utilizada para investigar pessoas, formar listas de marketing ou atender à curiosidade de funcionários.

Quando o consentimento pode ser necessário?

O consentimento pode ser utilizado quando o tratamento não se enquadra adequadamente em outra base legal e quando o titular pode escolher de forma livre, informada e inequívoca. Ele não deve ser inserido como uma cláusula genérica para legitimar qualquer utilização futura das informações.

Quando o consentimento for a base escolhida, a empresa precisa registrar como e quando ele foi obtido, informar a finalidade e permitir sua revogação. A LGPD determina que o controlador consiga demonstrar que a autorização foi obtida de forma válida.

No Cadastro Positivo, por exemplo, a legislação permite a formação do cadastro nas condições previstas em lei e autoriza a disponibilização da nota ou pontuação de crédito. Porém, o acesso ao histórico de crédito detalhado depende de autorização prévia e específica do cadastrado. Score e histórico completo, portanto, não devem ser tratados como se fossem exatamente o mesmo produto.

A empresa também deve evitar condicionar um serviço a uma autorização excessiva que não seja necessária para executar a operação solicitada. O cliente não deve ser obrigado a aceitar publicidade ou compartilhamentos adicionais para apenas solicitar uma análise de crédito.

Finalidade: consultar apenas por um motivo legítimo

Um dos principais impactos da LGPD está no princípio da finalidade. A empresa precisa definir previamente para que utilizará os dados. Em consultas creditícias, finalidades legítimas podem envolver análise de proposta, definição de limite, prevenção a fraude, revisão de risco, cobrança de obrigação ou gestão de uma relação contratual.

Não é adequado consultar o CPF de um vizinho, conhecido, funcionário, concorrente ou possível parceiro afetivo por curiosidade. Também não é correto realizar pesquisas em massa sem uma operação comercial concreta, apenas para formar listas de contatos ou investigar a vida financeira das pessoas.

A organização deve relacionar a consulta a uma solicitação, cadastro, pedido, contrato ou processo interno identificável. Esse vínculo ajuda a comprovar que o acesso não foi arbitrário e permite investigar eventuais abusos cometidos por usuários do sistema.

Os princípios da finalidade e da adequação exigem compatibilidade entre a razão informada ao titular e o uso efetivamente realizado pela empresa.

Necessidade: menos dados significam menos riscos

O princípio da necessidade determina que o tratamento seja limitado ao mínimo necessário para alcançar a finalidade. Em vez de adquirir o relatório mais completo por padrão, a empresa deve avaliar quais informações são realmente úteis para cada tipo e valor de operação.

Uma venda pequena pode exigir validações diferentes das utilizadas em um contrato empresarial elevado. A profundidade da consulta deve ser proporcional ao risco. Coletar documentos, telefones, endereços, vínculos e informações financeiras sem utilidade aumenta os custos de armazenamento e amplia as consequências de um vazamento.

A LGPD determina que sejam tratados somente dados pertinentes, proporcionais e não excessivos em relação à finalidade. Esse princípio deve orientar tanto a escolha do produto consultado quanto a criação dos formulários de cadastro.

A minimização também melhora a experiência do cliente. Formulários menores, processos claros e consultas objetivas reduzem burocracia. O objetivo da proteção de dados não é impedir a decisão comercial, mas evitar que o acesso às informações seja excessivo.

Transparência com o cliente

O titular deve receber informações claras sobre o tratamento de seus dados. A política de privacidade, o aviso apresentado no cadastro ou a comunicação contratual devem explicar quem é o controlador, quais categorias de dados são utilizadas, quais são as finalidades, com quem pode ocorrer compartilhamento e como exercer direitos.

Transparência não significa revelar códigos proprietários, fórmulas matemáticas ou segredos comerciais. Significa permitir que o consumidor compreenda, em linguagem acessível, que seus dados serão analisados para uma decisão de crédito e quais consequências podem surgir.

Mensagens genéricas como “autorizo o uso dos meus dados para qualquer finalidade” não oferecem informação suficiente. A comunicação deve ser específica para que a pessoa entenda o processo, mas simples o bastante para não transformar a política de privacidade em um documento incompreensível.

A transparência também deve alcançar os funcionários. Quem possui acesso a uma plataforma de consultas precisa saber quais pesquisas são autorizadas, quais são proibidas e quais consequências podem surgir do uso indevido.

Qualidade e atualização das informações

Uma consulta só é útil quando os dados são corretos, relevantes e atualizados. Informações erradas podem levar à recusa de um bom cliente, à concessão de crédito para um fraudador ou à associação de uma dívida à pessoa errada.

A LGPD assegura direitos de acesso e correção. A Lei do Cadastro Positivo também permite a impugnação de informação anotada incorretamente e prevê mecanismos para sua correção ou cancelamento.

Empresas que recebem uma contestação não devem apenas responder que “o sistema apresentou aquela informação”. Elas precisam identificar a origem do dado, acionar o fornecedor responsável, corrigir os registros internos e revisar a decisão quando necessário.

Internamente, é recomendável revisar cadastros duplicados, documentos inválidos, telefones desatualizados e divergências entre sistemas. A qualidade das informações protege o consumidor e também melhora os modelos de risco utilizados pela própria organização.

Direitos do titular em consultas de crédito

O titular pode solicitar confirmação da existência de tratamento, acesso aos dados, correção de informações incompletas ou inexatas e informação sobre as entidades com as quais houve compartilhamento. Dependendo da base legal e da situação, também pode pedir bloqueio, anonimização, eliminação ou apresentar oposição.

A LGPD prevê que uma declaração completa de acesso indique a origem dos dados, os critérios utilizados e a finalidade do tratamento, observados os segredos comercial e industrial. A resposta completa deve ser fornecida no prazo legal e sem custo para o titular.

A empresa precisa criar um canal funcional para esses pedidos. Não basta publicar um endereço de e-mail que nunca é respondido. O atendimento deve confirmar a identidade do solicitante, evitar entregar informações a terceiros e manter registro das providências adotadas.

Quando não puder atender imediatamente a solicitação, o controlador deve explicar as razões de fato ou de direito que impedem a providência. A simples ausência de resposta pode aumentar o conflito e levar o titular a procurar a ANPD ou órgãos de defesa do consumidor.

Score de crédito e decisões automatizadas

Scores são estimativas estatísticas utilizadas para auxiliar decisões de crédito. Eles podem considerar diferentes variáveis e apresentar uma probabilidade associada ao comportamento futuro. A pontuação não deve ser interpretada como certeza de pagamento nem como prova de desonestidade.

Quando uma decisão que afeta o interesse do titular é tomada unicamente com base em tratamento automatizado, a LGPD garante o direito de solicitar sua revisão. A lei inclui expressamente decisões destinadas a definir perfis pessoais, profissionais, de consumo e de crédito.

O controlador também deve fornecer, quando solicitado, informações claras e adequadas sobre os critérios e procedimentos utilizados, preservados os segredos comercial e industrial. A ANPD igualmente informa que o titular pode solicitar explicações sobre decisões automatizadas.

Para as empresas, isso exige processos capazes de identificar quais decisões são totalmente automatizadas e como o pedido de revisão será tratado. Operações de maior impacto podem justificar análise humana, especialmente quando existe suspeita de erro, fraude ou dado desatualizado.

Como evitar discriminação nos modelos de crédito?

A LGPD proíbe o tratamento para fins discriminatórios ilícitos ou abusivos. Um modelo pode produzir impacto injusto mesmo sem utilizar diretamente uma categoria sensível, pois algumas variáveis podem funcionar como indicadores indiretos de origem, condição social, saúde ou outras características protegidas.

Por isso, as empresas devem avaliar a qualidade das fontes, testar resultados, monitorar taxas de aprovação e investigar diferenças injustificadas entre grupos. Variáveis sem relação razoável com o risco da operação precisam ser questionadas.

Segredo comercial não elimina a responsabilidade. A organização pode proteger sua metodologia e, ao mesmo tempo, explicar os principais elementos da avaliação, oferecer revisão e permitir a correção de informações.

Modelos transparentes e monitorados tendem a gerar decisões mais consistentes. A auditoria também ajuda a identificar dados desatualizados, regras excessivamente rígidas e situações nas quais determinado indicador passou a prejudicar injustamente parte dos clientes.

Compartilhamento com birôs, plataformas e fornecedores

Uma consulta creditícia normalmente envolve vários participantes: a empresa que solicita a análise, o gestor do banco de dados, fornecedores de tecnologia, empresas antifraude e, em alguns casos, prestadores de armazenamento em nuvem.

A LGPD diferencia o controlador, responsável pelas decisões relacionadas ao tratamento, e o operador, que trata os dados conforme as instruções recebidas. O controlador e o operador devem manter registros das atividades e observar suas respectivas responsabilidades.

O contrato com o fornecedor deve estabelecer finalidade, categorias de dados, medidas de segurança, regras de subcontratação, atendimento aos titulares, prazo de retenção, devolução ou eliminação das informações e procedimentos em caso de incidente.

Comprar acesso a uma plataforma não transfere automaticamente toda a responsabilidade para o fornecedor. A empresa consulente continua responsável por controlar seus próprios usuários e justificar suas pesquisas.

Senhas compartilhadas aumentam o risco

Cada funcionário autorizado deve possuir usuário individual. Quando várias pessoas utilizam o mesmo login, a empresa perde a capacidade de identificar quem realizou determinada consulta, exportou um relatório ou acessou dados sem justificativa.

Os níveis de permissão devem acompanhar as funções de cada colaborador. Um vendedor pode precisar conhecer o resultado comercial da análise sem necessariamente acessar todos os detalhes financeiros. Já um analista responsável por revisar casos complexos pode necessitar de informações adicionais.

Acessos de funcionários desligados, afastados ou transferidos precisam ser revogados rapidamente. Auditorias periódicas devem procurar consultas fora do horário, volumes anormais, pesquisas repetidas sobre a mesma pessoa e acessos sem relação com propostas registradas.

Armazenamento e prazo de retenção

A possibilidade de realizar uma consulta não significa que o relatório completo possa ser armazenado indefinidamente. A organização deve definir por quanto tempo precisa manter os dados, considerando finalidade, obrigações legais, defesa em processos e prazos aplicáveis ao contrato.

Quando o relatório completo puder ser substituído por um registro resumido da decisão, talvez não seja necessário conservar todos os detalhes. A empresa pode documentar data da consulta, usuário responsável, produto utilizado, finalidade, resultado e fundamento da decisão, limitando o armazenamento de informações excessivas.

As políticas de retenção devem incluir eliminação segura, bloqueio quando necessário e revisão periódica. Arquivos esquecidos em planilhas, caixas de e-mail, computadores pessoais e pastas compartilhadas costumam aumentar significativamente o risco de exposição.

Quando dados forem corrigidos, eliminados, anonimizados ou bloqueados, a LGPD também prevê comunicação aos agentes com os quais houve compartilhamento, ressalvadas situações de impossibilidade comprovada ou esforço desproporcional.

Segurança da informação nas consultas creditícias

Dados financeiros e cadastrais são atraentes para fraudadores. Uma base contendo CPF, endereço, telefone, renda estimada e informações de crédito pode facilitar golpes, abertura de contas falsas e engenharia social.

Por isso, a LGPD exige medidas técnicas e administrativas capazes de proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas de perda, alteração, destruição ou divulgação.

Entre as medidas recomendadas estão autenticação individual, controle por perfil, senhas fortes, múltiplo fator de autenticação, criptografia, registros de acesso, atualização de sistemas, cópias de segurança, treinamento da equipe e revisão de permissões.

Empresas pequenas não estão dispensadas de segurança. A ANPD disponibiliza guia, checklist e modelo de registro das operações para agentes de tratamento de pequeno porte. As medidas podem ser proporcionais à estrutura, ao volume de dados e ao nível de risco, mas não podem ser simplesmente ignoradas.

O que fazer em caso de vazamento?

Quando ocorre acesso indevido, envio de relatório à pessoa errada, invasão de sistema ou perda de informações, a empresa deve acionar seu plano de resposta. As primeiras etapas incluem conter o incidente, preservar evidências, avaliar quais dados foram afetados, identificar os titulares envolvidos e estimar o risco ou dano.

Nos incidentes capazes de gerar risco ou dano relevante, o controlador deve comunicar a ANPD e os titulares. O regulamento da Autoridade estabelece o prazo de três dias úteis para a comunicação, ressalvada a existência de prazo específico previsto em outra legislação.

A organização também deve corrigir a vulnerabilidade, documentar as decisões e acompanhar possíveis consequências. Esconder o problema ou apagar registros pode agravar a situação.

Um plano testado previamente permite uma resposta mais rápida. Ele deve definir responsáveis, fornecedores que precisam ser acionados, meios de contato com os titulares, critérios para avaliação de risco e procedimentos para preservar provas.

Relatório de Impacto à Proteção de Dados

Operações de crédito que utilizam grandes volumes de dados, perfilamento, cruzamento de fontes, inteligência artificial ou decisões capazes de afetar significativamente o consumidor podem apresentar risco elevado.

Nesses contextos, a elaboração de um Relatório de Impacto à Proteção de Dados Pessoais pode ser uma boa prática e também poderá ser exigida pela ANPD nas hipóteses previstas na LGPD.

O relatório descreve os tipos de dados tratados, a metodologia de coleta, as medidas de segurança, os riscos aos direitos e as salvaguardas adotadas. A ANPD recomenda sua elaboração em contextos nos quais as operações possam gerar alto risco aos direitos fundamentais e às liberdades civis dos titulares.

Em um novo motor de crédito, por exemplo, o relatório pode avaliar necessidade das variáveis, possibilidade de discriminação, precisão das fontes, explicabilidade, prazo de retenção, revisão humana e resposta a incidentes.

LGPD e Cadastro Positivo

O Cadastro Positivo possui legislação própria e reúne informações de adimplemento de pessoas naturais e jurídicas para a formação de histórico de crédito. A Lei nº 12.414/2011 estabelece direitos, deveres e formas de acesso, enquanto a LGPD acrescenta princípios gerais de proteção, segurança, transparência e responsabilização.

A pontuação elaborada com base nas informações de adimplemento pode ser disponibilizada aos consulentes nas condições legais. Já o histórico detalhado exige autorização específica do cadastrado.

O cadastrado pode conhecer os principais elementos considerados para a análise de risco, solicitar correção de informações, pedir revisão de decisão realizada exclusivamente por meios automatizados e solicitar o cancelamento do cadastro pelos canais previstos.

Portanto, a LGPD não substitui a Lei do Cadastro Positivo. As duas normas devem ser interpretadas em conjunto, juntamente com o Código de Defesa do Consumidor e as regras específicas do setor.

Consultas de CPF por terceiros são permitidas?

A consulta pode ser legítima quando existe finalidade relacionada à proteção do crédito, prevenção a fraude, execução de contrato ou outra base legal adequada. Porém, ter acesso técnico a uma plataforma não significa poder pesquisar qualquer CPF.

A empresa deve restringir as consultas a operações reais e manter evidências da finalidade. Uma boa prática é exigir o número do pedido, da proposta, do contrato ou uma justificativa antes de liberar a pesquisa.

Auditorias periódicas podem identificar usuários com volume incomum, consultas fora do horário ou pesquisas sem relação com clientes. Alertas automáticos também podem ser utilizados para detectar padrões suspeitos.

O uso por curiosidade, perseguição, investigação pessoal ou formação de lista comercial não vinculada à finalidade original pode violar a LGPD, os contratos firmados com o fornecedor e os direitos do titular.

Marketing não é proteção do crédito

Dados obtidos para analisar risco não devem ser automaticamente reutilizados para publicidade. Uma empresa não pode adquirir uma consulta completa e aproveitar telefones, e-mails, endereços ou informações econômicas para criar campanhas sem avaliar uma base legal própria e informar adequadamente o titular.

A finalidade de marketing é diferente da finalidade de proteção do crédito. Mesmo quando a empresa já possui relacionamento com o cliente, ela precisa respeitar as expectativas legítimas, oferecer mecanismos de oposição quando aplicáveis e evitar abordagens invasivas.

Separar os bancos de dados comerciais dos relatórios creditícios reduz a chance de desvio de finalidade. As equipes de vendas devem receber apenas as informações necessárias para apresentar uma proposta, sem acesso irrestrito a detalhes financeiros.

A empresa também deve impedir a exportação de relatórios para planilhas utilizadas em campanhas. Essa prática cria cópias descontroladas e dificulta atender pedidos de correção, bloqueio ou eliminação.

Responsabilidade e sanções

O tratamento irregular pode gerar obrigação de reparar danos patrimoniais, morais, individuais ou coletivos. Nas relações de consumo, continuam aplicáveis as regras de responsabilidade previstas na legislação consumerista. Dependendo da participação de cada agente, controladores e operadores podem responder pelos danos.

A ANPD também pode aplicar sanções administrativas, como advertência, multa simples ou diária, publicização da infração, bloqueio e eliminação dos dados relacionados à irregularidade.

A multa simples pode alcançar até 2% do faturamento da pessoa jurídica de direito privado, do grupo ou conglomerado no Brasil, limitada a R$ 50 milhões por infração, conforme os critérios legais e o regulamento de dosimetria.

Além das sanções formais, uma falha pode causar perda de clientes, interrupção de contratos, bloqueio de fornecedores e danos à reputação. Em operações de crédito, confiança é um ativo essencial.

Como adequar uma empresa que realiza consultas?

A adequação começa pelo mapeamento. A organização deve identificar quais consultas realiza, quem solicita, quais dados são recebidos, onde ficam armazenados, com quem são compartilhados e quando são eliminados.

Depois, precisa associar cada atividade a uma finalidade e base legal. A justificativa “sempre fizemos assim” não demonstra conformidade. As decisões precisam estar ligadas à legislação, aos contratos e às necessidades reais do negócio.

Também é necessário revisar contratos, política de privacidade, formulários, permissões de usuários, prazos de retenção e procedimentos de atendimento. Os sistemas devem registrar o usuário, a data, o produto consultado e a justificativa da pesquisa.

O treinamento é indispensável. Funcionários precisam compreender que um relatório de crédito não é uma informação pública de uso livre. Erros humanos, como envio ao destinatário errado ou compartilhamento em grupo de mensagens, podem causar incidentes relevantes.

Checklist de conformidade para consultas creditícias

• Defina a finalidade de cada tipo de consulta.
• Escolha e documente a base legal aplicável.
• Solicite apenas dados proporcionais ao risco da operação.
• Utilize fornecedores confiáveis e contratos atualizados.
• Crie usuários individuais e proíba senhas compartilhadas.
• Registre data, responsável e justificativa de cada acesso.
• Controle a exportação, impressão e o envio de relatórios.
• Estabeleça prazo de retenção e descarte seguro.
• Mantenha canal para acesso, correção e revisão.
• Revise decisões tomadas exclusivamente por sistemas automatizados.
• Teste modelos para identificar resultados discriminatórios.
• Implemente autenticação, criptografia e monitoramento.
• Prepare um plano de resposta a incidentes.
• Treine equipes comerciais, financeiras e de atendimento.
• Realize auditorias periódicas nas consultas efetuadas.

Benefícios da conformidade para as empresas

A LGPD não deve ser vista somente como custo. Um processo organizado melhora a qualidade das informações, reduz fraudes, evita consultas desnecessárias e aumenta a confiança dos clientes.

A conformidade também facilita a integração com parceiros que exigem padrões mínimos de privacidade e segurança. Grandes empresas, instituições financeiras e plataformas digitais frequentemente avaliam a maturidade de proteção de dados antes de fechar contratos.

Quando a empresa explica por que analisa os dados, oferece canais de correção e protege os relatórios, a análise de crédito se torna mais transparente. Isso reduz conflitos e permite que erros sejam corrigidos antes de causar perda de venda ou reclamação.

A governança também melhora as decisões internas. Ao saber quais dados realmente contribuem para a avaliação de risco, a organização pode eliminar variáveis inúteis, simplificar processos e direcionar investimentos para informações de maior qualidade.

Conclusão

A LGPD não acabou com as consultas creditícias. Ela estabeleceu limites e responsabilidades para que a análise de risco seja realizada de maneira legítima, necessária, segura e transparente. A proteção do crédito é uma base legal, mas não autoriza pesquisas indiscriminadas, armazenamento eterno ou compartilhamento sem controle.

Empresas devem conhecer seus fluxos de dados, selecionar fornecedores confiáveis, restringir acessos, garantir a qualidade das informações e respeitar os direitos do titular. Decisões automatizadas precisam de mecanismos de explicação e revisão, enquanto operações de maior risco podem exigir avaliações de impacto mais aprofundadas.

Ao integrar LGPD, Código de Defesa do Consumidor e legislação do Cadastro Positivo, a organização transforma a privacidade em parte da gestão de crédito. O resultado é uma operação mais confiável, capaz de proteger clientes, reduzir perdas e apoiar um crescimento sustentável.