*Por Guilherme Gonçalves Pereira
A origem dos dados pessoais utilizados em operações comerciais voltou ao centro do debate sobre a Lei Geral de Proteção de Dados (LGPD). A questão ganha relevância especialmente no mercado B2B, em que plataformas fornecem informações e leads para empresas que, posteriormente, utilizam esses dados para entrar em contato com potenciais clientes.
Uma ação judicial que tramitou em Santa Catarina colocou esse problema em evidência. Titulares de dados questionaram como suas informações haviam sido obtidas depois de receberem contatos de corretores imobiliários interessados em anunciar um imóvel supostamente relacionado a eles. Mais do que discutir o mérito específico da decisão, o episódio chama atenção para as responsabilidades existentes na cadeia de tratamento de dados entre plataformas, fornecedores e empresas que utilizam essas informações.
Plataformas que fornecem os chamados “leads qualificados” estão presentes em diferentes segmentos. Elas coletam, organizam ou recebem dados que posteriormente são disponibilizados a terceiros interessados em oferecer produtos ou serviços ao consumidor. É geralmente no primeiro contato comercial que surge uma pergunta simples, mas que pode se tornar complexa do ponto de vista regulatório: “Como conseguiram meus dados?”.
A circulação de informações pessoais em vazamentos, bases comerciais e tentativas de fraude tornou-se frequente, mas isso não elimina o direito do titular de conhecer a procedência dos dados utilizados por determinada empresa. Uma resposta genérica ou a simples orientação para desconsiderar a mensagem pode não ser suficiente diante das obrigações previstas na LGPD.
A legislação assegura ao titular uma série de direitos relacionados ao tratamento de seus dados. Entre eles está o acesso às informações por meio de declaração clara e completa que indique, entre outros pontos, a origem dos dados pessoais. Identificar essa origem pode envolver diferentes situações, dependendo da operação da empresa. Os dados podem ter sido fornecidos diretamente pelo titular, inseridos por terceiros, obtidos em campanhas digitais, coletados em bases de dados abertos ou recebidos por meio de parceiros comerciais.
É nesse ponto que a conformidade com a LGPD passa a envolver tanto a empresa responsável pelo contato com o potencial cliente quanto a plataforma que forneceu as informações. O artigo 50 da lei prevê a possibilidade de implementação de programas de governança em privacidade aplicáveis ao conjunto de dados pessoais tratados, independentemente da forma como ocorreu a coleta.
Para a empresa que realiza diretamente a abordagem comercial, existe a necessidade de avaliar previamente os fornecedores utilizados na operação. Isso significa verificar se a plataforma contratada consegue demonstrar a procedência das informações, as condições em que foram obtidas e as medidas adotadas para garantir a regularidade do tratamento. Caso um titular solicite esclarecimentos, a empresa que utiliza os dados precisa ter condições de responder de maneira objetiva.
A responsabilidade também alcança a plataforma que mantém ou fornece uma base estruturada de dados. Nesse caso, é necessário conhecer as fontes que alimentam o sistema e avaliar se as informações podem ser utilizadas para a finalidade pretendida. O tema já apareceu na atuação sancionadora da Agência Nacional de Proteção de Dados (ANPD), inclusive no primeiro processo que resultou em aplicação de sanção pela autoridade, envolvendo a empresa Telekall Inforservice.
Outro dispositivo relevante é o artigo 46 da LGPD, que determina a adoção de medidas técnicas e administrativas capazes de proteger os dados pessoais contra acessos não autorizados, destruição, perda, alteração, comunicação indevida ou qualquer forma de tratamento inadequado ou ilícito. Essas medidas podem envolver políticas internas, controles de acesso, processos de segurança da informação e tecnologias destinadas a reduzir os riscos associados ao tratamento dos dados.
No caso analisado pela Justiça catarinense, uma das discussões envolveu a possibilidade de utilização do legítimo interesse como base legal para o tratamento, hipótese prevista nos artigos 7º e 10 da LGPD. A decisão, porém, destacou a ausência de comprovação individualizada da origem dos dados dos autores, do momento em que foram incluídos na base estruturada e de uma avaliação concreta sobre a compatibilidade entre a finalidade alegada pela empresa e os direitos dos titulares.
O entendimento reforça que a existência de políticas internas de segurança e privacidade, testes de balanceamento, relatórios de impacto, treinamentos e auditorias de fornecedores pode não ser suficiente se a empresa não conseguir reconstruir o ciclo de vida das informações utilizadas. Dependendo da interpretação adotada, será necessário identificar de maneira mais granular de onde cada dado veio e em que circunstâncias foi incorporado à base.
Esse cenário aumenta a importância do registro das operações de tratamento de dados pessoais, conhecido como ROPA, sigla em inglês para Record of Processing Activities. O artigo 37 da LGPD estabelece que os agentes de tratamento devem manter registros das operações realizadas, especialmente quando o tratamento estiver baseado no legítimo interesse.
Na prática, o ROPA funciona como um mapeamento das atividades que envolvem dados pessoais dentro da organização. Entre os exemplos estão processos de abordagem comercial, recebimento de currículos, relacionamento com clientes e tratamento de reclamações. O registro deve permitir identificar como e de onde os dados foram coletados, a finalidade para a qual são utilizados, com quem são compartilhados, como e onde são armazenados e em que momento ocorre sua eliminação.
Quando os dados chegam por diferentes canais, cada uma dessas entradas também precisa ser considerada. O objetivo é permitir que a organização reconstrua o caminho percorrido pelas informações e consiga explicar a finalidade de cada tratamento, avaliar se os dados utilizados são realmente necessários, identificar a base legal aplicável e definir medidas de segurança proporcionais aos riscos da operação.
A questão se torna ainda mais sensível no caso de plataformas que capturam informações disponíveis na internet. Dados acessíveis publicamente, inclusive aqueles divulgados pelo próprio titular, não podem ser automaticamente interpretados como livres para qualquer utilização. A análise precisa considerar de onde a informação foi retirada, quando ela entrou na base, em qual contexto estava originalmente disponível e se a nova finalidade é compatível com as circunstâncias em que o dado foi tornado público.
Esse tipo de registro também está relacionado ao princípio da responsabilização e prestação de contas, previsto no artigo 6º da LGPD. O dispositivo exige que os agentes de tratamento sejam capazes de demonstrar a adoção de medidas eficazes para o cumprimento das normas de proteção de dados.
Assim, a responsabilidade sobre a origem das informações não deve ser analisada apenas sob a perspectiva de quem mantém a base de dados. A empresa que contrata uma plataforma e utiliza os dados também precisa avaliar as condições em que essas informações foram obtidas. Quanto maior a complexidade da operação e o volume de dados tratados, maior tende a ser a necessidade de rastreabilidade e documentação.
No ambiente B2B, portanto, saber de onde veio determinado dado pessoal deixa de ser apenas uma questão operacional. A capacidade de demonstrar essa origem pode se tornar elemento central para justificar a legalidade do tratamento, atender aos direitos dos titulares e demonstrar conformidade perante a ANPD ou o Poder Judiciário.
*Guilherme Gonçalves Pereira é advogado, sócio do escritório Moraes & Gonçalves Advogados, coordenador da Certificação Executiva para DPOs do Instituto Nacional de Proteção de Dados (INPD) e especialista em Direito Digital, compliance e gestão de privacidade.
