Cobrança indevida por compartilhamento de dados sem consentimento

O recebimento de ofertas de crédito, seguros e planos que o consumidor nunca solicitou tornou-se rotina, e por trás dessa abordagem costuma existir o tratamento de dados pessoais sem autorização válida. A Lei Geral de Proteção de Dados delimita com rigor quando empresas podem usar nome, telefone, renda e histórico financeiro para fins comerciais, e prevê responsabilização sempre que esse limite é ultrapassado.

Quando o uso de dados para oferta comercial se torna ilegal

A LGPD (Lei 13.709/2018) parte de uma premissa simples: todo tratamento de dado pessoal precisa de uma base legal que o justifique. Oferecer crédito, seguro ou serviço a partir de informações do titular é tratamento de dados e, por isso, exige fundamento previsto na lei. Quando a empresa aborda o consumidor sem qualquer base válida, a conduta deixa de ser mero incômodo comercial e passa a configurar ilicitude apta a gerar dever de reparar.

A ilegalidade aparece em situações recorrentes. A mais comum é o uso de dados coletados para uma finalidade (a contratação de um produto, por exemplo) que depois são reaproveitados para outra finalidade não informada, como a oferta de um empréstimo consignado. Esse desvio contraria o princípio da finalidade, previsto no artigo 6º da LGPD, que exige propósitos legítimos, específicos e informados ao titular antes da coleta.

Outra hipótese frequente é a coleta sem transparência. Quando o consumidor não foi informado de que seus dados seriam usados para abordagem comercial, nem teve acesso claro a quem os recebeu, há violação dos princípios da transparência e do livre acesso. O titular tem direito de saber com quem suas informações foram compartilhadas, e a ausência dessa clareza reforça o caráter irregular da oferta dirigida a ele.

As bases legais que autorizam, e as que não autorizam

A LGPD lista dez bases legais no artigo 7º. Para ofertas comerciais não solicitadas, duas costumam ser invocadas: o consentimento do titular e o legítimo interesse do controlador. Compreender a diferença entre elas é decisivo para saber se a abordagem foi lícita ou se cruzou a fronteira da ilegalidade.

O consentimento precisa ser livre, informado e inequívoco, manifestado para finalidade determinada. Uma autorização genérica, escondida em contrato extenso ou obtida por caixas previamente marcadas, não atende ao padrão legal. Consentir em receber informações sobre um produto não equivale a autorizar o repasse dos dados a parceiros que oferecerão outros produtos, em outros canais e em outro momento.

Consentir em receber informações sobre um produto não autoriza o repasse dos dados a terceiros que oferecerão outros.

O legítimo interesse é a base mais sensível. Ele permite o tratamento quando há interesse real do controlador e expectativa legítima do titular, desde que não prevaleçam os direitos fundamentais deste. A lei exige avaliação prévia, e o marketing direto pode até se apoiar nessa base, mas nunca para dados sensíveis e nunca quando frustra a expectativa razoável de quem forneceu a informação para outro propósito.

Compartilhamento entre empresas e a venda de cadastros

O ponto mais grave costuma estar no compartilhamento de bases de dados entre empresas. Cadastros com nome, telefone, renda estimada e perfil de consumo circulam entre instituições financeiras, correspondentes bancários, seguradoras e empresas de telemarketing. Quando esse repasse ocorre sem base legal e sem informação ao titular, cada empresa da cadeia responde pelo tratamento irregular, e não apenas aquela que iniciou a coleta.

A responsabilidade na cadeia de tratamento é, em regra, solidária. Isso significa que o titular pode acionar qualquer das empresas envolvidas, desde quem coletou o dado até quem o utilizou na abordagem final, sem precisar identificar previamente o responsável exato por cada etapa. Essa lógica protege o consumidor, que dificilmente teria como reconstruir todo o trajeto percorrido por suas informações, e desloca para as empresas o ônus de demonstrar a regularidade de cada repasse realizado.

A comercialização de listas de contatos merece atenção especial. A venda de cadastros, prática ainda disseminada, dificilmente encontra amparo na LGPD quando os titulares jamais consentiram com a transferência ou sequer sabem que seus dados foram negociados. O fornecedor que adquire a lista e a utiliza não se exime da responsabilidade sob o argumento de que apenas comprou a informação de um terceiro.

Dados financeiros exigem cautela redobrada. Informação sobre renda, score de crédito e histórico de pagamentos, ainda que não classificada como dado sensível em sentido estrito, revela aspectos íntimos da vida econômica do titular. Empregá-la para segmentar ofertas de crédito a quem está em situação de vulnerabilidade financeira amplia o potencial lesivo da conduta e eleva o dever de cuidado de quem trata o dado.

Reparações que o titular pode buscar

O titular que teve seus dados usados de forma irregular dispõe de um conjunto amplo de medidas, que vão do plano administrativo ao judicial. A escolha depende do objetivo concreto: cessar a prática, obter informação sobre o tratamento, ser indenizado, ou combinar tudo isso em uma única estratégia de atuação.

No plano administrativo, é possível registrar reclamação perante a Autoridade Nacional de Proteção de Dados, que pode determinar a regularização e aplicar sanções ao infrator. O titular também exerce diretamente os direitos previstos no artigo 18 da LGPD, exigindo do controlador a confirmação do tratamento, o acesso aos dados, a informação sobre os compartilhamentos realizados e a eliminação das informações tratadas sem consentimento.

No plano judicial, cabe pedido de obrigação de fazer, para cessar o tratamento e excluir os dados, cumulado com pedido de indenização. Os tribunais têm reconhecido o dano moral decorrente do tratamento irregular, sobretudo quando há exposição, insistência abusiva de contatos ou uso de dado financeiro sensível. A responsabilidade na LGPD independe, em regra, de demonstração de culpa, o que facilita a posição do titular.

A atuação coletiva também merece consideração. Quando a prática atinge um grande número de consumidores, associações e o Ministério Público podem propor ação civil pública para cessar o tratamento irregular e buscar reparação difusa. Esse caminho amplia o alcance da resposta jurídica e costuma pressionar a empresa a rever rotinas internas, beneficiando todos os titulares afetados, e não apenas aquele que tomou a iniciativa individual de reclamar.

A reparação não se limita ao dano moral. Havendo prejuízo material, como contratação induzida por oferta baseada em dado irregular, ou despesas para conter o uso indevido, esse prejuízo também é indenizável. A reunião de provas é decisiva: registros das ofertas, mensagens recebidas, gravações de ligações e protocolos de reclamação compõem o conjunto que sustenta o pedido perante o juízo.

Leia tambem:

Perguntas Frequentes

Receber oferta de crédito que eu nunca pedi já é ilegal por si só?

Não automaticamente. A ilegalidade depende da ausência de base legal válida para o uso dos dados. Se a empresa tratou suas informações sem consentimento adequado, fora da finalidade informada na coleta, ou sem amparo em legítimo interesse devidamente avaliado, a oferta passa a ser irregular e pode gerar direito a reparação. O contexto da coleta é o que determina a resposta.

Como descobrir quem repassou meus dados?

A LGPD assegura o direito de acesso e de informação sobre compartilhamentos. O titular pode requerer ao controlador, por escrito, a confirmação do tratamento e a lista das entidades com as quais os dados foram compartilhados. A recusa ou a resposta evasiva reforça a irregularidade e serve de fundamento tanto para reclamação à autoridade competente quanto para a ação judicial cabível.

Tenho direito a indenização mesmo sem prejuízo financeiro?

Sim, é possível. O dano moral pelo uso irregular de dados pessoais não exige perda econômica, bastando a violação do direito à proteção de dados e à privacidade, especialmente diante de exposição, insistência abusiva de contatos ou tratamento de informações financeiras. O valor é fixado conforme a gravidade da conduta, a extensão do uso indevido e as demais circunstâncias do caso concreto.