LGPD em consultas cadastrais: o guia prático para 2026

Consultar CPF, CNPJ, placa de veículo ou endereço é tratamento de dados pessoais — e a LGPD (Lei 13.709/2018) se aplica desde o primeiro clique. Em 2026, com a ANPD aplicando multas que chegam a R$ 50 milhões por infração, fazer consultas sem base legal definida deixou de ser detalhe e virou risco contábil. Este guia explica, sem juridiquês, como usar consultas cadastrais dentro da lei.

Toda consulta é tratamento de dados pessoais

A LGPD define tratamento como qualquer operação com dados de pessoas naturais — coleta, consulta, uso, transmissão ou armazenamento. Mesmo um endpoint que retorna apenas “CPF regular” está tratando dado pessoal, porque o resultado só faz sentido ligado àquele CPF específico. Para CNPJ, dados de sócios PF caem na LGPD; o restante é público, mas o cruzamento com pessoas naturais reativa a lei.

As 6 bases legais que sustentam uma consulta

Você precisa, antes da consulta, escolher e documentar uma das hipóteses do art. 7º da LGPD. Na prática, as mais usadas em consultas cadastrais corporativas são:

1. Execução de contrato (art. 7º, V) — analisar crédito de quem está assinando contrato com você.
2. Cumprimento de obrigação legal (art. 7º, II) — KYC, prevenção a lavagem de dinheiro, due diligence regulatória.
3. Exercício regular de direitos (art. 7º, VI) — localizar devedor para cobrança ou ação judicial.
4. Legítimo interesse (art. 7º, IX) — prevenção a fraude, validação de terceiro em transação. Exige teste de necessidade e proporcionalidade.

Consentimento (art. 7º, I) raramente é a melhor base para consultas — é revogável a qualquer momento e pesa o ônus da prova sobre você.

O que registrar em CADA consulta

A ANPD não pede que você guarde o resultado da consulta, mas pede que você prove por que consultou. Mantenha um log com:

• Identificador do usuário interno que disparou a consulta
• Documento consultado (CPF, CNPJ, placa, CEP)
• Base legal escolhida e finalidade declarada
• Data, hora e IP de origem
• ID da operação de negócio que motivou (proposta, pedido, contrato)

Esse log é a primeira coisa que a ANPD pede em fiscalização. Sem ele, presume-se tratamento irregular.

Princípios que devem guiar o uso interno

• Finalidade — só consulte para o motivo que você declarou. Não reaproveite retorno de uma consulta de KYC para enriquecer base de marketing.
• Necessidade e minimização — pergunte só o que precisa. Se basta validar que o CPF existe, não puxe score completo.
• Adequação — não use consulta de pessoa física para decidir sobre pessoa jurídica sem nexo claro.
• Transparência — informe na sua política de privacidade que você realiza consultas, com que finalidade e por quanto tempo guarda os logs.

Direitos do titular: o que você precisa estar pronto para responder

O titular pode, a qualquer tempo, pedir confirmação de tratamento (art. 18, I), acesso aos dados (II), correção (III), anonimização ou eliminação quando o tratamento for excessivo (IV) e revisão de decisões automatizadas (art. 20). Reserve até 15 dias para responder com formalidade e canal próprio — e-mail genérico de SAC não basta.

Encarregado (DPO): quando é obrigatório

Se a sua empresa faz consultas cadastrais em volume regular, mesmo que pequena, a recomendação da ANPD é nomear um encarregado pelo tratamento de dados. Para empresas com faturamento anual superior a R$ 4,8 milhões ou que tratem dados sensíveis, é obrigatório.

Como a Cobrativa Consultas opera dentro da LGPD

• Toda consulta exige seleção da base legal e finalidade antes do retorno.
• Logs imutáveis com 5 anos de retenção, exportáveis em CSV para auditoria.
• Acordo de operador assinado conforme art. 39, com cláusulas de segurança e incidente.
• Dados em trânsito e repouso criptografados, sem retenção do conteúdo do retorno após entrega.
• Encarregado próprio, canal dpo@cobrativa.com.br para titulares.

Erros comuns que geram multa

1. Consultar CPF de candidato em processo seletivo sem informá-lo previamente.
2. Compartilhar resultado de consulta com terceiro sem nova base legal.
3. Manter o resultado da consulta indefinidamente em planilha “de apoio”.
4. Usar consulta de cobrança para alimentar campanha de upsell.
5. Não responder em 15 dias a um pedido de titular pedindo o histórico de consultas a seu respeito.

Conclusão

LGPD não impede consultas — exige método. Defina a base legal antes de consultar, registre tudo, minimize o que pede e seja transparente com o titular. Quem opera assim ganha previsibilidade jurídica e ainda toma decisões melhores, porque consulta com propósito.

Conheça a Cobrativa Consultas →