O que a LGPD exige antes de você consultar um CPF

Consultar dado de terceiro é tratamento de dado pessoal

Não existe consulta “neutra”. No momento em que você consulta o CPF de alguém, sua empresa está tratando dado pessoal e assume as obrigações da LGPD — inclusive a de conseguir explicar depois por que fez aquilo.

A pergunta que a lei faz não é “você conseguiu o dado?”, e sim “com que base legal e para qual finalidade?”.

As bases legais que costumam se aplicar

No uso comercial, cinco bases cobrem quase todos os casos legítimos:

• ·Proteção ao crédito — art. 7º, X. A mais usada em venda a prazo.
• ·Prevenção à fraude e segurança do titular — art. 11, II, “g”, e legítimo interesse.
• ·Execução de contrato ou procedimentos preliminares — art. 7º, V. Cobre a análise antes de assinar.
• ·Cumprimento de obrigação legal ou regulatória — art. 7º, II. Compliance, PLD.
• ·Consentimento do titular — art. 7º, I. Frágil e revogável; não é a primeira escolha.

O que não é finalidade legítima

Curiosidade, conferir a vida de um conhecido, checar um vizinho, investigar alguém por conta própria, montar lista de pessoas para prospecção fria. Nada disso passa no teste de finalidade, por mais fácil que seja tecnicamente.

Consultar sem finalidade legítima expõe quem consultou — a responsabilidade é do controlador, ou seja, da sua empresa, não da plataforma.

Minimização: consulte o mínimo que resolve

O art. 6º, III, pede que o tratamento se limite ao necessário. Na prática: se confirmar a identidade resolve, não peça o dossiê completo. Consultar mais “por garantia” é o oposto do que a lei pede — e é o tipo de escolha que fica registrada.

Registro: sem trilha, você não consegue se defender

O art. 37 exige registro das operações de tratamento. Quem consultou, quando, qual documento, com que base legal e para qual finalidade.

Esse registro não serve para o auditor: serve para você. No dia em que um titular perguntar por que foi consultado, a resposta precisa existir e ser específica. “Fazemos análise de crédito” não responde nada; “consultamos em 12/03, base de proteção ao crédito, para a proposta de financiamento nº 4471” responde.

O registro também protege quem trabalha na empresa. Sem trilha, uma consulta feita por curiosidade e uma consulta legítima são indistinguíveis depois do fato — e a empresa responde pelas duas.

Quem é controlador nessa história

Quem decide consultar é controlador. A plataforma que executa a consulta é operadora, e o birô que mantém a base é controlador dos dados dele. Essa distinção não é jurídica-decorativa: define quem responde ao titular.

Na prática, se um titular questiona por que sua empresa consultou o CPF dele, quem precisa ter a resposta é a sua empresa. A plataforma pode fornecer o registro; a justificativa da finalidade é sua.

Direitos do titular que costumam surpreender

O titular pode pedir confirmação de tratamento, acesso aos dados, correção, e informação sobre com quem foram compartilhados. Em cadastro positivo, a Lei 12.414 acrescenta o direito de saber quem consultou e de cancelar o próprio cadastro.

Nada disso é hipotético: pedidos de titular aumentaram desde que a ANPD passou a atuar, e a resposta tem prazo. Uma empresa que consulta e não guarda registro descobre isso no primeiro pedido.