LGPD em consultas cadastrais: guia prático para empresas

Consulta cadastral é uma operação de tratamento de dados pessoais quando envolve pessoa natural identificada ou identificável. Isso vale para CPF e também para informações de sócios, representantes, contatos e processos associados a uma empresa. A conformidade depende do contexto e não apenas da origem do dado.

Dado público não significa uso livre

A própria ANPD esclarece que a LGPD também se aplica a dados de acesso público e aos tornados manifestamente públicos pelo titular. Finalidade, boa-fé, necessidade, transparência e direitos continuam relevantes. Reunir muitas fontes em um perfil novo pode aumentar o risco e exigir controles adicionais.

Quais bases legais podem aparecer

A base legal deve refletir a finalidade concreta. Entre as hipóteses do artigo 7º da LGPD estão execução de contrato ou procedimento preliminar, cumprimento de obrigação legal, exercício regular de direitos, legítimo interesse e proteção do crédito. Consentimento é apenas uma das bases e não deve ser usado de forma artificial quando não for livre ou puder ser retirado sem consequência indevida.

Checklist antes de realizar uma consulta

1. Descreva a decisão ou processo que justifica a consulta.
2. Identifique a base legal adequada com apoio de privacidade ou jurídico quando necessário.
3. Selecione apenas produtos e campos necessários para aquela finalidade.
4. Confirme que usuário e empresa estão identificados e autorizados.
5. Informe regras de uso, proíba consultas pessoais ou curiosidade e treine a equipe.
6. Defina prazo de retenção para resultado, relatório e log.
7. Avalie fornecedor, fontes, segurança, suboperadores e canal para atender titulares.

O que registrar no log de auditoria

Um registro útil identifica empresa, usuário, data e hora, titular consultado, produto, finalidade declarada, fornecedor ou fonte, resultado técnico e eventual exportação. O log não deve reproduzir mais dados pessoais do que o necessário. Ele precisa de controle de acesso, integridade e retenção definida.

Minimização na prática

Se a decisão exige apenas confirmar situação cadastral de um CNPJ, não há motivo automático para coletar telefones pessoais, processos ou dados de veículo. Catálogos por finalidade, perfis de acesso e relatórios com campos selecionados reduzem exposição. Exportação em massa deve ser excepcional e monitorada.

Como responder aos direitos dos titulares

A empresa deve ter canal para confirmação de tratamento, acesso, correção e demais direitos do artigo 18. Nem todo pedido resulta em eliminação imediata: obrigações legais, exercício de direitos e outras bases podem justificar retenção. A resposta deve explicar o tratamento e os limites aplicáveis de modo claro.

Controles de segurança essenciais

• Contas individuais, autenticação forte e revisão periódica de acessos.
• Criptografia em trânsito e proteção de relatórios armazenados.
• Bloqueio de compartilhamento de senha e limitação de exportações.
• Alertas para volume atípico, consultas repetidas e acesso fora do padrão.
• Plano de resposta a incidente e processo para comunicar controlador, titulares e ANPD quando aplicável.
• Contrato com instruções, confidencialidade, suboperadores, devolução e descarte dos dados.

Erros comuns em consultas corporativas

• Usar uma única finalidade genérica para qualquer consulta.
• Permitir pesquisa por curiosidade ou para assunto pessoal.
• Comprar a consulta mais completa sem demonstrar necessidade.
• Guardar relatórios indefinidamente em downloads, e-mail ou planilhas.
• Acreditar que fonte pública elimina obrigações de privacidade.
• Não conseguir identificar quem acessou ou compartilhou a informação.