A Lei Geral de Proteção de Dados Pessoais (LGPD), Lei 13.709/2018, é um marco na defesa da privacidade no Brasil, elevando o direito à proteção de dados à condição de direito fundamental. Com isso, surge a necessidade de reavaliar práticas comuns no comércio, como a exigência do Cadastro de Pessoas Físicas (CPF) nas compras.

Recentemente, a Lei nº 7.599/2022, do Município do Rio de Janeiro, proibiu os estabelecimentos comerciais de exigir o CPF como condição para o atendimento ao consumidor, reforçando a importância do consentimento e da transparência na coleta de dados pessoais.

A Contrariedade com a LGPD

A coleta indiscriminada do CPF contraria os princípios basilares da LGPD, especialmente os de necessidade, finalidade e transparência. A Lei Municipal nº 7.599/2022 é clara ao vedar a exigência do CPF, preservando o direito do consumidor de ser atendido sem a obrigação de fornecer seus dados pessoais. Esse dispositivo é crucial para evitar práticas abusivas que podem levar ao tratamento inadequado e desproporcional de dados, como o compartilhamento não autorizado de informações e o acesso por pessoas não autorizadas.

De acordo com a LGPD, a coleta de dados pessoais, como o CPF, só pode ocorrer se houver uma base legal que a justifique. Nos casos em que o fornecimento do dado pessoal é mera opção do consumidor, o consentimento é a base que melhor se aplica, mas é uma base legal bastante complexa.

Sem o consentimento explícito e informado, sem vícios, do titular, a exigência do CPF em compras pode ser considerada ilegal. Ademais, mesmo com o consentimento, o tratamento de dados deve ser realizado de maneira proporcional e adequada às finalidades declaradas, respeitando o princípio da minimização.

É possível obter o CPF? Como proceder à coleta correta de Dados Pessoais ?

Os comerciantes, enquanto agentes de tratamento, podem coletar o CPF de seus clientes desde que implementem um sistema de gestão da privacidade de dados. Para estar em conformidade com a LGPD, é fundamental dentre outras medidas, que o comerciante:

1. Forneça Informações Claras e Completas: O consumidor deve ser informado de forma clara sobre a finalidade da coleta do CPF, com detalhes sobre o uso, armazenamento, eventual compartilhamento dos dados e prazo de retenção.
2. Tenha um Aviso de Privacidade: É obrigatório que o estabelecimento disponibilize um aviso de privacidade, detalhando as práticas de tratamento de dados e os direitos do titular.
3. Gestão do Consentimento: O comerciante deve garantir que o consentimento seja coletado de forma livre, informada e inequívoca. Além disso, deve possibilitar a revogação desse consentimento a qualquer momento.
4. Atendimento às Demandas dos Titulares: É necessário que o estabelecimento tenha processos para atender às solicitações dos titulares, como acesso, correção e exclusão de dados.
5. Encarregado de Proteção de Dados: Nos casos em que a lei exigir, o comerciante deve nomear um encarregado de proteção de dados para supervisionar as práticas de tratamento e garantir a conformidade com a LGPD.
6. Prevenção de Tratamentos não autorizados: Devem ser estabelecidas regras rigorosas para evitar tratamentos não autorizados, como o compartilhamento incompatível com as finalidades declaradas e o acesso por pessoas não autorizadas.

Conclusão

A exigência do CPF em compras no comércio sem uma justificativa clara e sem a obtenção de consentimento do consumidor é uma prática que viola os princípios da LGPD e os direitos fundamentais à privacidade. A Lei nº 7.599/2022 do Município do Rio de Janeiro reforça a necessidade de se respeitar esses direitos, impondo uma mudança na forma como os estabelecimentos tratam os dados pessoais. Com a implementação de boas práticas e um sistema de gestão da privacidade de dados, os comerciantes podem continuar a coletar informações de forma legal, transparente e segura, protegendo tanto os consumidores quanto suas próprias operações.

Walter B. Duque
Advogado; DPO (Data Protection Officer) certificado pela
EXIN; Vice-Presidente da Comissão de LGPD da OAB/RJ
Barra da Tijuca; Colunista do jornal Monitor Mercantil.