Regulação
LGPD na análise de crédito de clientes: o que pode, o que não pode e como se adequar
Analisar o crédito de um cliente PJ quase sempre envolve dados pessoais, mesmo quando o cliente é uma empresa. Veja o que a LGPD permite, quais cuidados ela exige e como organizar a rotina da equipe de crédito para tratar esses dados com segurança.
Resumo em 30 segundos
- A LGPD protege dados pessoais de pessoas naturais. Dados da empresa em si não são dados pessoais, mas a análise de crédito PJ quase sempre envolve sócios, avalistas, administradores e contatos.
- A proteção do crédito é uma base legal própria (art. 7º, X): em regra, não é preciso consentimento para consultar e usar dados com essa finalidade.
- A base legal não dispensa os princípios de finalidade, adequação e necessidade, nem os direitos do titular.
- Quem tem decisão de crédito tomada só por sistema pode pedir revisão e informações sobre os critérios (art. 20).
- Na prática, a adequação passa por minimizar dados, receber documentos por canal seguro, controlar acessos, definir retenção e registrar o que foi feito.
A LGPD se aplica à análise de crédito de empresas?
Sim, na maioria dos casos. A Lei 13.709/2018 (LGPD) protege dados pessoais, definidos como informação relacionada a pessoa natural identificada ou identificável. CNPJ, razão social, faturamento e endereço da sede de uma empresa não são, por si, dados pessoais.
Mas a análise de crédito PJ raramente para no CNPJ. Você consulta o quadro societário, verifica restrições e processos dos sócios, pede documentos de avalistas e fiadores e guarda nome, telefone e e-mail dos contatos do cliente. Tudo isso é dado pessoal.
Há ainda casos em que empresa e pessoa se confundem: no empresário individual e no MEI, os dados da empresa estão diretamente ligados a uma pessoa física. Na dúvida, trate como dado pessoal.
Qual a base legal para usar dados na análise de crédito?
O art. 7º da LGPD lista as hipóteses em que o tratamento de dados pessoais é permitido. O inciso X trata especificamente da proteção do crédito, inclusive quanto ao disposto na legislação pertinente. É a base legal mais natural para consultar e avaliar dados de sócios e garantidores com o objetivo de decidir uma venda a prazo.
Outras bases podem se aplicar a partes do processo. A execução de contrato ou de procedimentos preliminares a pedido do titular cobre, por exemplo, os dados do avalista que assina a garantia. O cumprimento de obrigação legal cobre a guarda de documentos exigidos por lei.
Consentimento não é a base adequada para a análise de crédito. Se o titular pode revogá-lo a qualquer momento, a empresa ficaria sem fundamento para manter dados necessários à decisão e à cobrança.
Princípios que limitam o uso dos dados
Ter uma base legal não autoriza usar qualquer dado de qualquer forma. O art. 6º da LGPD estabelece princípios, entre eles:
- Finalidade: tratar dados para propósitos legítimos, específicos e informados ao titular. Dados coletados para crédito não devem ser reaproveitados para marketing sem outra base legal.
- Adequação: o tratamento deve ser compatível com a finalidade. Consultar protestos de um sócio controlador faz sentido; pesquisar a vida pessoal dele em redes sociais, não.
- Necessidade: usar o mínimo de dados necessário. Se a política só exige consulta dos sócios com mais de determinada participação, não consulte todos.
- Transparência, segurança, prevenção, não discriminação e responsabilização: o titular deve ter informação clara, os dados precisam estar protegidos e a empresa deve conseguir demonstrar que cumpre a lei.
Uma política de crédito escrita ajuda nesse ponto: ela documenta quais dados são consultados, em que situações e por quê.
Quais são os direitos do titular?
O art. 18 garante ao titular, entre outros, os direitos de:
- confirmar a existência de tratamento e acessar os dados;
- corrigir dados incompletos, inexatos ou desatualizados;
- pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- obter informação sobre com quem os dados foram compartilhados.
Na prática, um sócio pode perguntar à sua empresa quais dados dele foram usados na análise do crédito da empresa dele. Sua equipe precisa saber responder: o que foi consultado, de que fonte, quando e para quê. Sem registro, isso vira uma busca em e-mails e planilhas.
O direito de eliminação tem limites: dados podem ser conservados, por exemplo, para cumprimento de obrigação legal ou regulatória e para exercício regular de direitos, como uma cobrança em andamento.
Decisões automatizadas e score de crédito
O art. 20 da LGPD garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo decisões destinadas a definir perfil de crédito. O controlador deve fornecer, quando solicitado, informações claras e adequadas sobre os critérios e procedimentos usados, observados os segredos comercial e industrial.
Isso não proíbe usar score de crédito empresarial ou regras automáticas. Mas recomenda que você:
- saiba explicar, em termos gerais, quais fatores pesam na decisão;
- tenha um caminho para revisão por uma pessoa, normalmente pela alçada de aprovação;
- registre quando a decisão foi automática e quando houve intervenção humana.
E o Cadastro Positivo?
A Lei 12.414/2011 regula os bancos de dados com informações de adimplemento (o histórico de pagamentos em dia), de pessoas naturais e jurídicas. A Lei Complementar 166/2019 mudou a lógica: a inclusão no cadastro positivo passou a ser automática, e o cadastrado pode pedir o cancelamento a qualquer momento (o chamado opt-out).
Para quem concede crédito, isso significa que dados de comportamento de pagamento podem estar disponíveis por meio dos gestores de bancos de dados, com regras próprias de acesso. Em linhas gerais, a nota ou pontuação de crédito pode ser consultada para análise de risco, enquanto o histórico detalhado tem regras de acesso mais restritas. A lei também garante ao cadastrado o direito de conhecer os principais elementos e critérios considerados na análise de risco.
Segurança e incidentes
O art. 46 obriga os agentes de tratamento a adotar medidas de segurança, técnicas e administrativas, para proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.
Para uma equipe de crédito, os riscos mais comuns são simples: contrato social e documentos de sócios circulando por e-mail e aplicativos de mensagem, planilhas com CPF compartilhadas sem controle, acesso amplo a análises por quem não precisa. Se houver incidente de segurança que possa causar risco ou dano relevante aos titulares, a empresa deve comunicá-lo à ANPD e aos titulares.
Checklist de LGPD para a equipe de crédito
| Prática | O que fazer |
|---|---|
| Minimizar dados | Definir na política quais dados de sócios e garantidores são consultados e em que faixas de limite |
| Canal seguro para documentos | Receber contrato social, balanço e documentos pessoais por canal controlado, não por e-mail solto ou mensagem |
| Controle de acesso | Dar acesso às análises só a quem decide ou aprova, com usuários individuais |
| Retenção | Definir por quanto tempo guardar cada tipo de dado e eliminar o que não é mais necessário |
| Registro | Manter trilha de quem consultou, quando, com qual finalidade e qual decisão foi tomada |
| Transparência | Informar, em contrato ou aviso de privacidade, que dados de sócios e garantidores são usados para análise de crédito |
| Revisão humana | Garantir que decisões automáticas possam ser revistas por uma pessoa com alçada |
| Fornecedores | Avaliar como birôs de crédito e sistemas contratados tratam e protegem os dados |
O art. 37 exige que controlador e operador mantenham registro das operações de tratamento. Para crédito, uma trilha de auditoria bem feita cumpre boa parte desse papel e ainda protege a empresa em disputas comerciais. Veja como isso se encaixa no processo completo em análise de crédito de cliente PJ.
O que é a ANPD?
A Autoridade Nacional de Proteção de Dados é o órgão responsável por zelar pela proteção de dados pessoais, editar regulamentos, fiscalizar e aplicar as sanções previstas na LGPD. Desde a Lei 14.460/2022, é uma autarquia de natureza especial.
As sanções da LGPD incluem advertência, multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, limitada a R$ 50 milhões por infração, publicização da infração, bloqueio e eliminação dos dados, entre outras. A ANPD também publica guias orientativos que ajudam a interpretar a lei na prática.
Perguntas frequentes
Preciso de consentimento para consultar dados de sócios na análise de crédito?
Em regra, não. A LGPD prevê a proteção do crédito como base legal própria (art. 7º, X). Ainda assim, o uso deve ter finalidade clara, ser limitado ao necessário e respeitar os direitos do titular.
Dados de CNPJ são protegidos pela LGPD?
Dados exclusivamente da pessoa jurídica, como razão social e CNPJ, não são dados pessoais. Mas dados de sócios, administradores, contatos e garantidores são, assim como os dados de empresários individuais e MEIs, que se confundem com os da pessoa física.
Posso negar crédito com base apenas em um score automático?
Pode, desde que a decisão tenha fundamento legítimo. Porém, o titular afetado por decisão tomada unicamente por tratamento automatizado pode pedir revisão e informações sobre os critérios usados, conforme o art. 20 da LGPD.
Por quanto tempo posso guardar os dados da análise de crédito?
Enquanto forem necessários para a finalidade, como a relação comercial e a cobrança, ou quando houver obrigação legal ou exercício regular de direitos que justifique a guarda. Defina prazos por tipo de documento e elimine o que não for mais necessário.
O cliente pode pedir para sair do Cadastro Positivo?
Sim. Desde a Lei Complementar 166/2019, a inclusão é automática, mas o cadastrado pode solicitar o cancelamento a qualquer momento ao gestor do banco de dados.
Fontes
- Lei 13.709/2018, Lei Geral de Proteção de Dados (Planalto)
- Lei 12.414/2011, Cadastro Positivo (Planalto)
- Lei Complementar 166/2019 (Planalto)
- Autoridade Nacional de Proteção de Dados (ANPD)
Este conteúdo é informativo e resume práticas de mercado e normas públicas. Não constitui assessoria jurídica, contábil ou financeira nem substitui a orientação de profissionais habilitados.