LGPD na cobrança: bases legais, minimização e retenção de dados pessoais

Cobrar é tratar dados pessoais: nome, CPF, telefones, endereço, histórico de pagamentos, gravações e, com frequência, dados de terceiros. A Lei 13.709/2018 não proíbe nada disso, mas exige que cada operação tenha fundamento, finalidade definida e limite. Ignorar essa exigência acumula risco em duas frentes: a fiscalização da ANPD e a responsabilidade civil perante o titular.

Bases legais aplicáveis à cobrança

O art. 7º da LGPD lista as hipóteses que autorizam o tratamento. Quatro delas sustentam a maior parte das atividades de cobrança, e o consentimento não está entre elas.

Execução de contrato e exercício regular de direitos

O inciso V autoriza o tratamento necessário à execução de contrato do qual o titular é parte. O credor que contata o devedor para cobrar a obrigação assumida está executando o contrato, e a base cobre também o operador que atua em seu nome.

O inciso VI autoriza o tratamento para o exercício regular de direitos em processo judicial, administrativo ou arbitral. Ampara ações de cobrança, execuções, habilitações em recuperação judicial e a defesa em reclamações. Aplica-se também ao cessionário, que exerce direito próprio.

Proteção do crédito e legítimo interesse

O inciso X trata especificamente da proteção do crédito, inclusive quanto ao disposto na legislação pertinente. Sustenta a consulta e a inscrição em cadastros de inadimplentes, observados o art. 43 do CDC e a Lei 12.414/2011, do cadastro positivo.

O inciso IX, detalhado no art. 10, cobre o restante: enriquecimento cadastral para localizar o devedor, análise de propensão a pagamento e segmentação da régua. Não é cláusula aberta: exige finalidade concreta, apenas os dados estritamente necessários, transparência e um teste documentado de balanceamento com as expectativas razoáveis do titular. A ANPD publicou orientação sobre o tema e pode exigir o relatório de impacto previsto no art. 10, § 3º.

Minimização: o princípio que a cobrança mais viola

O art. 6º, III, estabelece o princípio da necessidade: tratamento limitado ao mínimo indispensável para a finalidade. Na cobrança, a violação mais frequente é o excesso de dados de localização, especialmente contatos de familiares, vizinhos e colegas obtidos por enriquecimento. Contatar terceiros sobre a dívida viola simultaneamente a LGPD e o art. 42 do CDC.

Aplicar minimização significa definir, para cada faixa da régua, quais campos são realmente usados, bloquear a importação do que não será usado e restringir o acesso dos operadores ao que a etapa exige.

Informações sobre saúde, que aparecem em justificativas de atraso, são dados sensíveis sob o art. 11 e não devem ser registradas em campos livres do sistema. Modelos de score configuram decisões automatizadas, e o art. 20 assegura ao titular o direito de solicitar revisão e conhecer os critérios utilizados.

Retenção: quando parar de tratar

O art. 15 determina o término do tratamento quando a finalidade é alcançada, e o art. 16 exige a eliminação dos dados após o término, salvo hipóteses como o cumprimento de obrigação legal e o uso exclusivo do controlador com dados anonimizados.

Para a cobrança, a régua de retenção deve considerar os prazos prescricionais do Código Civil, o limite de cinco anos das informações negativas no art. 43 do CDC, a regulação setorial e a possibilidade concreta de litígio. Guardar tudo indefinidamente não é prudência: cada registro mantido sem base amplia o dano em caso de incidente. Gravações de chamadas merecem política própria, com prazo definido, acesso restrito e descarte automatizado.

Direitos do titular na relação de cobrança

O art. 18 assegura ao titular, entre outros, a confirmação da existência de tratamento, o acesso, a correção de dados incompletos ou desatualizados, a eliminação de dados desnecessários e a informação sobre com quem foram compartilhados. O devedor que pergunta de onde a empresa obteve seu novo telefone tem direito à resposta.

O titular não pode exigir a eliminação dos dados que fundamentam um crédito exigível, porque a base não é o consentimento; a recusa, porém, precisa ser fundamentada e registrada.

Cessão de crédito e compartilhamento

Na cessão de carteiras, os dados dos devedores são transferidos ao cessionário, o que o art. 16, III, admite desde que respeitados os requisitos da lei. O contrato de cessão deve definir os papéis de controlador e operador, as finalidades permitidas, as medidas de segurança e a responsabilidade por incidentes. O art. 42 estabelece a responsabilidade solidária do operador que descumpre a lei ou as instruções do controlador.

Sanções e fiscalização da ANPD

O art. 52 prevê advertência, multa simples de até 2% do faturamento do grupo no Brasil no último exercício, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados, suspensão do banco de dados por até seis meses e proibição parcial ou total das atividades de tratamento. A dosimetria segue a Resolução CD/ANPD 4/2023, que pondera gravidade, boa-fé, reincidência, cooperação e política de governança.

Incidentes de segurança com risco relevante aos titulares devem ser comunicados à ANPD e aos afetados, conforme o art. 48 e a Resolução CD/ANPD 15/2024.

O que uma operação conforme tem

Inventário de dados por etapa da régua, base legal atribuída a cada operação, teste de legítimo interesse documentado, política de retenção com descarte automatizado, contratos com operadores e cessionários revisados, canal de atendimento ao titular com prazos e encarregado nomeado. É a diferença entre cobrar com segurança e cobrar com um passivo escondido.