Quanto vale seu CPF? Empresas vendem dados pessoais de clientes

Qual é o seu CPF? Essa é a pergunta que você recebe logo de cara ao chegar ao caixa para fazer a compra de um produto em uma loja. A prática, comum e, muitas vezes, insistente, virou rotina nos estabelecimentos comerciais do país. Em alguns casos, o pedido inofensivo vem ainda carregado de promessas de descontos. Antes de cair na tentação, já parou para pensar se você realmente é obrigado a fornecer seus dados em troca de algo? E mais: você sabe o que pode ser feito com suas informações pessoais?

O CPF (Cadastro de Pessoas Físicas) é considerado um dado pessoal privado, que gera a possibilidade de identificação das pessoas, assim como o email e o número do celular. Portanto, cabe ao próprio indivíduo controlar como ele deve ser coletado, acessado e divulgado. O direito à privacidade é garantido pela LGPD (Lei Geral de Proteção de Dados), que entrou em vigor em 2020. Com a norma, as empresas são obrigadas a criar um sistema de proteção dos dados pessoais.

Apesar disso, a LGPD não impede que o atendente peça os dados dos consumidores em qualquer comércio. A regra apenas estabelece que essa coleta seja transparente para que o cliente saiba com quem as informações serão compartilhadas, o que será de fato feito com elas e quais mecanismos de proteção são oferecidos pelas empresas. O artigo 43 do CDC (Código de Defesa do Consumidor) prevê ainda que o cadastro e o uso desses dados "devem ser objetivos, claros, verdadeiros e em linguagem de fácil compreensão".

Exigência do CPF

A realidade é bem diferente. Em um shopping de Brasília, a professora Carol Cerqueira foi informada de que só poderia efetuar a troca de um produto após fornecer CPF, email e número do celular. “Perguntei diversas vezes em que seriam usados esses dados e não souberam me dizer. Depois que me recusei a fornecê-los, eles colocaram os dados da própria vendedora no sistema para que a troca fosse feita. Era uma exigência do software da loja”, conta.

Para o professor da FGV (Fundação Getulio Vargas) Direito Rio Nicolo Zingales, não há necessidade de tal exigência, já que basta apresentar a nota fiscal para a troca de produto. "Ainda que seja uma estratégia para incentivar os titulares a fornecerem mais dados para receberem promoções e se engajarem com a empresa, isso não pode ser considerado uma prática adequada à LGPD, na medida em que temos o princípio chamado minimização dos dados e, portanto, que se devem coletar apenas os dados estritamente necessários e relacionados à atividade-fim”, ressalta.

O presidente do Procon-DF (Instituto de Defesa do Consumidor do Distrito Federal), Marcelo de Souza do Nascimento, explica que as empresas podem exigir certas informações por questão de segurança, como em compras pela internet. "O que não pode é obrigar o fornecimento, condicionando a venda. O consumidor pode se recusar a fornecer os dados e deve exigir e deixar bem claro, no ato da compra, que não quer que as informações sejam compartilhadas", orienta.

Barganha por desconto

A estratégia de convencimento usada por lojas de roupas, farmácias e diversos estabelecimentos comerciais também é bem parecida quando o assunto são as ações de fidelidade e adesão de pontos. "Informe seu CPF e faremos um simples cadastro para descontos especiais", dizem os atendentes.

Nesses casos, as empresas podem solicitar dados, principalmente quando o consumidor faz o cadastro com o intuito de receber promoções ou registrar a garantia do que comprou. Mesmo assim, é preciso que os motivos fiquem evidentes. "Não basta só pedir e não dar explicações. Mesmo fazendo parte de um programa de fidelização, o consumidor tem o direito de pedir informações sobre como é feito o tratamento dos dados", explica Marcelo de Souza.

Em um posto de gasolina em Brasília, o presidente do Procon-DF conta que, para realizar o abastecimento de seu carro, foi informado de que deveria realizar o pagamento via aplicativo de fidelização. "Eu só teria o desconto se pagasse pelo app da empresa. Como não queria disponibilizar os dados do meu cartão na ferramenta, deletei na mesma hora o aplicativo e não abasteci. Chega uma hora que o consumidor precisa avaliar se realmente vale a pena fornecer seus dados em troca de desconto."

Recusa garantida

O consumidor tem o direito de se recusar a fornecer qualquer tipo de dado pessoal durante uma compra, desde que não exista regulamentação que exija esse tipo de informação, como é o caso da compra de remédios controlados, automóveis e imóveis.

Quem não conseguir realizar uma compra, trocar uma mercadoria ou até mesmo perceber prática abusiva, quando perder grandes descontos após se recusar a fornecer os dados, pode fazer uma denúncia ao Procon. Há ainda a possibilidade de comparecer à Defensoria Pública nos casos de vazamento de dados.

"É muito importante que as pessoas estejam atentas e entendam o valor de mercado que esses dados têm e o que está em jogo. Muita gente não quer ter aborrecimento na hora de comprar e acaba deixando de lado. Mas só vamos conseguir fiscalizar e colocar a LGPD para funcionar se tivermos conhecimento das empresas que estão violando o direito à privacidade", ressalta o presidente do Procon-DF. 

Lei Geral de Proteção de Dados

A LGPD entrou em vigor em 2020, mas as punições só começaram a valer em 2021. Entre as sanções previstas pela ANPD (Autoridade Nacional de Proteção de Dados) — órgão responsável pela regulação e fiscalização da lei — está a advertência, com possibilidade de medidas corretivas. Em caso de multa, a pena pode chegar a 2% do faturamento líquido da empresa no ano anterior, sendo limitada a R$ 50 milhões. A empresa também pode ter o próprio banco de dados bloqueado por até seis meses, inviabilizando a operação.

Vale destacar que a lei protege quaisquer dados, como endereço, email, idade, estado civil e situação patrimonial, obtidos em qualquer tipo de suporte (papel, eletrônico, informático, som e imagem, entre outros). No caso de contratos de adesão, quando o tratamento de dados pessoais for condição para o fornecimento de produto ou de serviço, o titular deverá ser sempre informado sobre isso.

Lei aplicada

Em julho deste ano, um grupo de farmácias teve a conduta e os processos de atendimento questionados pelo Procon após reclamações de consumidores que foram submetidos ao uso de biometria nas lojas.

O grupo Raia Drogasil informou que decidiu suspender a biometria por gerar desconforto nos clientes, mas ressaltou que o procedimento era feito com o consentimento para a captura de dados e não era usado para oferecer descontos. "Todas as informações coletadas são utilizadas exclusivamente em benefício do próprio cliente, incluindo as promoções personalizadas em categorias relevantes para cada cliente. Nenhuma empresa do grupo econômico comercializa qualquer informação individual de cliente a terceiros", diz trecho da nota.

Graças à Lei 17.301/2021, publicada em março, as farmácias e drogarias de São Paulo não podem exigir o CPF do consumidor para conceder desconto, sob pena de multa de R$ 5 mil.

Práticas abusivas

O professor de direito Nicolo Zingales destaca que essa pressão indevida ao consumidor para que ele libere mais dados do que é necessário para a prestação do serviço, assim como a falta de transparência no tratamento, é prática abusiva que merece atenção por parte dos reguladores e do poder Judiciário. 

"Não podemos depender apenas do consentimento dos consumidores, porque isso não resolve dinâmicas de poderes e de falta de conhecimento que afetam as relações entre os provedores de produtos e serviços e os consumidores. Inclusive, se a pressão for feita em forma de troca de dados para um desconto, ela pode gerar uma situação em que a privacidade se torna um bem de luxo", diz.

Segurança em xeque

Um levantamento feito pela Fundação Dom Cabral mostra que 40% das empresas não estão adaptadas às exigências da LGPD (Lei Geral de Proteção de Dados). "A maioria das empresas ainda não tem o devido cuidado com o tratamento de dados ou com o treinamento de colaboradores", alerta Rodolfo Avelino, especialista em segurança da informação.

Para ele, que é professor do Insper (Instituto de Ensino e Pesquisa), a LGPD é um instrumento importante para que o consumidor se proteja e evite expor suas informações a vazamentos que podem ser usados por fraudadores, mas não é possível confiar completamente na tecnologia usada pelas empresas. "A segurança não é um produto. Gestores acham que somente investir em tecnologia vai garantir que os dados estejam mais protegidos, e não é tão verdade. É preciso investir na sensibilização de todos os níveis operacionais."

Muitas das fragilidades de sistemas comerciais se devem à falta de uma cultura de segurança, afirma Avelino. Até pouco tempo, não havia sensibilização e treinamento corporativo, por exemplo, sobre essa questão. A tecnologia era vista como gasto pelas empresas, e não como investimento. "Hoje, a gente não sai do carro sem acionar o alarme. Não sai de casa sem fechar a porta e as janelas. Mas não temos essa preocupação internalizada sobre dados e o meio digital. Precisamos avançar como um todo", destaca.

O especialista chama a atenção para o fato de que os dados pessoais são a base de um mercado lucrativo e do modelo de negócios de grandes empresas como Google, Meta (dona do Facebook) e Amazon. Muitos consumidores nem se dão conta de que fazem parte disso. "Durante a pandemia, esse cenário se agravou ainda mais com o trabalho em esquema homeoffice. As pessoas passaram a acessar remotamente sistemas, e essa concessão de acesso não foi planejada, tornando os dados ainda mais vulneráveis. Tem gente lucrando com seus dados pessoais, e muitas pessoas nem têm noção disso", afirma.

Por isso, alerta ele, é preciso que os consumidores redobrem os cuidados com as empresas, tanto de forma online quanto presencialmente. "Temos que nos questionar sobre o porquê de preencher formulários ou fornecer certos tipos de dados que não estão relacionados à compra daquele produto ou serviço. Além disso, devemos acompanhar de perto como a empresa tem feito o tratamento desses dados. Caso ocorra um vazamento, por exemplo, o consumidor estará atento e poderá agir imediatamente, trocando senhas e bloqueando fontes de ataque", orienta Avelino.

CPF em perigo

Em janeiro de 2018, a Unidade Especial de Proteção de Dados e Inteligência Artificial do MPDFT (Ministério Público do Distrito Federal e Territórios) começou a investigar redes de farmácias. A suspeita era que os dados estavam sendo vendidos pelas empresas de planos de saúde.

"Imagine que você vai à farmácia, fornece seus dados, que são compartilhados com as empresas de plano de saúde. Ao cruzarem os dados, percebem que você está doente ou consumindo muito determinado produto e decidem cobrar planos mais caros, conforme o seu histórico de consumo. Esse cruzamento permite várias ações que podem prejudicar os consumidores", alerta o professor Rodolfo Avelino.

Os consumidores devem ter ainda mais atenção em relação às informações caracterizadas pela LGPD como sensíveis. Segundo a lei, são "dados pessoais sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural".

Essa classificação se deve à exposição e vulnerabilidade a que o indivíduo está submetido e pode sofrer discriminações ou ter dados imutáveis (como é o caso dos biométricos) vazados e sujeitos a tratamentos desconhecidos. "Os problemas podem ser ainda maiores quando os dados, apesar de não serem sensíveis, permitem o perfilamento do consumidor e a venda desses perfis, sobretudo por empresas chamadas corretores de dados ou data brokers, para muitos atores ativos na publicidade online", alerta Nicolo Zingales, professor da FGV Direito Rio.