Diretor de Inclusão Digital e Inovação da OAB-RJ, professor e especialista em Direito Digital e Proteção de Dados e Privacidade, William Rocha comentou a recente decisão da Justiça do Maranhão, que manteve a condenação da Raia Drogasil ao pagamento de R$ 10 milhões por danos morais coletivos, em caso que envolveu a exigência do CPF de consumidores para acesso a descontos.
“Além da indenização, permanece a determinação judicial de que a empresa não condicione descontos à apresentação do CPF. A empresa ainda pode recorrer às instâncias superiores. O caso reacende uma discussão importante sobre os limites da coleta de dados pessoais nas relações de consumo”. Para William Rocha, advogado. “A decisão deve ser analisada para além do setor farmacêutico, porque estabelece um importante alerta sobre a utilização de dados pessoais como contrapartida para vantagens comerciais. O que torna essa decisão especialmente relevante? O ponto central é que ela aproxima, de maneira muito concreta, dos sistemas jurídicos que precisam ser interpretados, conjuntamente: o Código de Defesa do Consumidor e a Lei Geral de Proteção de Dados. Não estamos discutindo simplesmente se uma empresa pode pedir o CPF de um cliente. Estamos discutindo em quais circunstâncias esse dado é solicitado, para qual finalidade e, principalmente, se o consumidor possui efetiva liberdade de escolha”.
Sócio do escritório Terra Rocha Advogados, William Rocha afirmou:
“O acesso a um preço, significativamente, mais vantajoso é condicionado ao fornecimento de um dado pessoal, surge uma questão importante sobre a liberdade dessa manifestação de vontade. A própria decisão tratou a prática como uma forma de coação econômica, especialmente relevante no contexto da aquisição de medicamentos. Então as empresas estão proibidas de solicitar o CPF dos consumidores? Não. É importante fazer essa distinção. A decisão não significa uma proibição genérica da coleta do CPF. Existem diversas situações legítimas nas quais o CPF pode ser solicitado e tratado. O problema está em transformar o dado pessoal em uma espécie de “moeda de troca”, sem que o consumidor compreenda adequadamente o que acontecerá com aquela informação”.
Para o advogado, “programas de fidelidade, clubes de benefícios e cadastros comerciais podem ser perfeitamente legítimos. Mas a empresa precisa saber explicar: por que está coletando o dado, qual a finalidade, qual a base legal utilizada, por quanto tempo pretende mantê-lo e com quem eventualmente poderá compartilhá-lo”:
“O consentimento do consumidor resolve a questão? Nem sempre. Esse é outro aspecto importante. A LGPD possui diversas bases legais para o tratamento de dados pessoais. O consentimento é apenas uma delas.
E, quando a empresa escolhe o consentimento como fundamento, ele precisa atender aos requisitos legais. Não basta simplesmente perguntar ‘CPF?’, no caixa, e considerar que aquela resposta representa autorização para qualquer utilização futura da informação. O consentimento pressupõe uma manifestação livre, informada e inequívoca, relacionada a finalidades determinadas. Se existe uma vantagem econômica relevante condicionada ao fornecimento do dado, é legítimo discutir até que ponto aquela escolha foi realmente livre”.
Sobre a existência de uma questão relacionada ao princípio da necessidade, William Rocha acha que isso é real:
“Sem dúvida. Esse talvez seja um dos ensinamentos mais importantes do caso para as empresas.A LGPD estabelece o princípio da necessidade, que exige a limitação do tratamento ao mínimo necessário para alcançar determinada finalidade. Portanto, antes de perguntar ‘podemos coletar esse dado?’, a organização deveria fazer uma pergunta anterior: ‘precisamos realmente desse dado para realizar essa operação?’ Esse raciocínio muda bastante a lógica de muitos modelos de negócio baseados na coleta indiscriminada de informações. O fato de se tratar de uma farmácia torna o caso ainda mais sensível? Sim, porque o contexto importa muito em proteção de dados. Uma informação isolada pode parecer banal, mas o conjunto de informações relacionadas aos hábitos de consumo em uma farmácia pode permitir inferências relevantes sobre uma pessoa”.
” Por isso, programas de fidelização no setor farmacêutico exigem especial cautela. Dependendo das informações tratadas e das correlações realizadas, podemos chegar a dados ou inferências relacionados à saúde, matéria que recebe proteção ainda mais rigorosa da LGPD. A discussão, portanto, não termina no CPF. Precisamos observar todo o ciclo de vida do dado: coleta, associação com histórico de compras, perfilização, compartilhamento, armazenamento, segurança e descarte. Qual é a principal mensagem da decisão para o varejo?
A mensagem é que proteção de dados precisa chegar ao balcão, ao caixa, ao aplicativo, ao site e ao programa de fidelidade. Muitas organizações fizeram sua adequação à LGPD produzindo políticas de privacidade, termos e documentos jurídicos. Isso é importante, mas não suficiente”.
“A verdadeira conformidade aparece na operação cotidiana. É preciso verificar como o funcionário solicita o dado, quais informações são apresentadas ao consumidor, quais sistemas recebem essas informações, quais tratamentos são realizados posteriormente e se o consumidor possui alternativas reais. A decisão pode produzir reflexos para outros setores? Certamente, o caso deve ser acompanhado por empresas de diferentes segmentos. A discussão não interessa apenas às farmácias.
Supermercados, lojas, aplicativos, plataformas digitais, programas de pontos, clubes de vantagens e empresas que oferecem preços diferenciados mediante identificação do consumidor precisam revisar seus modelos. O princípio é, relativamente, simples: benefício comercial não autoriza coleta indiscriminada de dados pessoais. Quanto maior a capacidade de uma empresa de conhecer, cruzar e analisar o comportamento de seus clientes, maior deve ser também sua responsabilidade sobre esses dados. O consumidor pode simplesmente se recusar a fornecer o CPF? Como regra, quando não existe obrigação legal ou necessidade efetivamente vinculada à operação, o consumidor deve poder compreender por que o dado está sendo solicitado e quais são as consequências de não fornecê-lo.
É justamente aí que transparência e liberdade de escolha se tornam fundamentais. A experiência de compra não deveria transformar a proteção de dados em um obstáculo para o consumidor exercer seus direitos. E o que as empresas deveriam fazer a partir desse precedente? Revisar seus processos. Não apenas suas políticas de privacidade. É recomendável mapear todos os pontos em que dados são solicitados ao consumidor e perguntar: qual dado coletamos? Para quê? Com qual base legal? Ele é realmente necessário? O consumidor está adequadamente informado? Há compartilhamento? Qual o prazo de retenção? Existe uma alternativa menos invasiva? Esse exercício é uma aplicação prática dos princípios de finalidade, adequação, necessidade, transparência e responsabilização previstos na LGPD. Qual é, afinal, a principal lição desse caso? A principal lição é que dado pessoal não deve ser tratado como moeda invisível de uma relação de consumo. O consumidor pode até receber um desconto financeiro naquele momento, mas precisa compreender qual é a contrapartida informacional envolvida. Quando uma empresa transforma dados em ativo econômico, ela assume também deveres jurídicos proporcionais ao valor e aos riscos desse tratamento. A LGPD não impede inovação, programas de fidelidade ou estratégias comerciais. Ela exige que essas práticas sejam construídas com transparência, necessidade, segurança e respeito à autodeterminação informativa do consumidor.
O caso da Raia Drogasil é, portanto, mais do que uma discussão sobre pedir ou não o CPF no caixa. É um alerta sobre os limites da economia orientada por dados e sobre uma pergunta que deverá aparecer cada vez mais nas relações de consumo: quanto dos nossos dados pessoais estamos entregando em troca de um desconto?”, concluiu William Rocha.
About the Author
