A LGPD vale para toda empresa ou fundo que compra precatório, porque a operação trata dados pessoais o tempo todo: nome, CPF, telefone, endereço e o valor que cada credor tem a receber. Na prática, cumprir a lei nessa operação passa por quatro cuidados: saber que dados você trata e por quê, escolher a base legal de cada uso, limitar quem vê o quê e ter um caminho claro para quando o credor pede para sair da lista.
Este é um guia de boas práticas para empresas de compra e fundos. Ele não substitui a orientação de um advogado especializado em proteção de dados, e no fim do texto explicamos por quê.
Que dados pessoais uma operação de precatório trata, segundo a LGPD?
Mais do que parece. Uma operação típica junta:
- Dados de identificação: nome, CPF, data de nascimento, às vezes RG e estado civil
- Dados de contato: telefones, WhatsApp, e-mail, endereço
- Dados do crédito: número do processo, tribunal, valor de face, valor atualizado, natureza do crédito
- Dados da negociação: histórico de ligações, anotações dos agentes, propostas enviadas, motivo de recusa
- Documentos: cópias de documentos pessoais, certidões, procurações, dados bancários para o pagamento da cessão
- Dados de terceiros: herdeiros, cônjuge, advogado do processo
Dois pontos pedem atenção extra. O primeiro: valor a receber é um dado sensível no sentido prático, mesmo que a lei não o classifique assim. Um vazamento expõe o credor a golpes, e golpe com precatório é comum. O segundo: anotação de agente também é dado pessoal. E uma anotação sobre saúde é dado pessoal sensível (art. 5º, II): "credor doente, família pressionando para vender" cai nas regras do art. 11, que não aceita o legítimo interesse como base. Registre só o que a negociação realmente precisa e, se registrar, restrinja quem pode ver.
Faça esse inventário uma vez, por escrito. Ele é a base de todo o resto.
Qual é a base legal mais comum nesse contexto?
A LGPD só permite tratar dados pessoais com uma base legal (art. 7º). Numa operação de compra de precatório, três aparecem com mais frequência:
| Uso | Base legal mais comum | Cuidado |
|---|---|---|
| Procurar o credor a partir de listas públicas de precatórios | legítimo interesse (art. 7º, IX) | registrar o teste de balanceamento e ser transparente com o credor desde o primeiro contato |
| Negociar e fechar a cessão com quem demonstrou interesse | procedimentos preliminares e execução de contrato (art. 7º, V) | tratar só o necessário para a proposta e a cessão |
| Enviar conteúdo ou ofertas futuras para quem não negociou | consentimento (art. 7º, I) ou legítimo interesse, conforme o caso | facilitar a saída a qualquer momento |
Um erro frequente é achar que, porque a lista de precatórios é pública, o dado pode ser usado de qualquer jeito. A lei diz o contrário: dado de acesso público deve ser tratado considerando a finalidade, a boa-fé e o interesse público que justificaram a sua divulgação (art. 7º, §3º). Usar uma nova finalidade é possível, mas ela precisa ser legítima e específica, e os direitos do credor continuam valendo (art. 7º, §7º).
Quando a base é o legítimo interesse, a lei pede mais três coisas: usar só os dados estritamente necessários, ser transparente com o titular (art. 10) e manter registro das operações de tratamento (art. 37).
Acesso por perfil: quem vê o quê
O jeito mais direto de reduzir risco é diminuir o número de pessoas que veem cada dado. A LGPD pede medidas de segurança técnicas e administrativas contra acessos não autorizados (art. 46). Na operação de precatório, isso vira regras bem concretas:
- Cada pessoa com o próprio login. Login compartilhado impede saber quem fez o quê.
- Perfis de acesso por função. O agente vê os credores que trabalha. O gestor vê a operação. Quem só acompanha resultado vê sem editar. Dados financeiros da cessão ficam com quem precisa deles.
- Recorte por equipe. Num fundo com rede de brokers, cada broker vê só a própria carteira. Detalhamos esse desenho no post sobre acesso por broker.
- Registro de atividade. Quem mudou o credor de etapa, quem anexou documento, quem alterou valor, e quando. Esse histórico ajuda a investigar um problema e a mostrar o que foi feito se alguém perguntar.
- Saída no mesmo dia. Agente ou broker que deixa a operação perde o acesso no dia em que sai.
- Nada de base em planilha solta. Planilha baixada no computador de alguém, mandada por WhatsApp ou em pendrive é o caminho mais comum de vazamento. Se a base precisa sair do sistema, combine quem pode exportar e por quê.
No prosprec, por exemplo, cada pessoa entra com o próprio login, os perfis separam administrador, agente e visualizador, o acesso pode ser recortado por equipe e cada movimentação do credor fica registrada na linha do tempo dele. Isso ajuda nas práticas acima, mas a responsabilidade de cumprir a LGPD é de quem trata os dados, ou seja, da empresa ou do fundo.
O que fazer quando o credor pede para sair da lista?
Vai acontecer, e o jeito de responder diz muito sobre a operação. A LGPD garante ao titular uma série de direitos (art. 18), entre eles confirmar se a empresa trata dados dele, acessar esses dados, corrigir o que estiver errado e pedir a eliminação do que for desnecessário ou excessivo. Ele também pode se opor ao tratamento feito sem consentimento quando houver descumprimento da lei (art. 18, §2º).
Um roteiro prático:
- Registre o pedido na hora, no cadastro do credor, com data e canal.
- Pare o contato comercial imediatamente. Nenhum agente deve ligar de novo enquanto o pedido é analisado.
- Marque o credor como "não contatar", de um jeito que valha para a operação inteira. Se só o agente que recebeu o pedido souber, outro agente vai ligar semana que vem. Ou outra lista vai trazer o mesmo credor de volta.
- Responda ao credor dizendo o que foi feito com os dados dele.
- Avalie o que pode ser eliminado e o que precisa ser guardado por obrigação legal ou para defesa em processo. Na dúvida, fale com o encarregado ou com o jurídico.
O item 3 é o mais esquecido. Quando a empresa importa uma lista nova, o credor que pediu para sair volta como se fosse novo. A checagem precisa acontecer na importação, pelo CPF ou pelo número do processo.
E se houver um vazamento?
O controlador precisa comunicar à ANPD e aos titulares o incidente de segurança que possa causar risco ou dano relevante (art. 48). A regulamentação da ANPD (Resolução CD/ANPD nº 15/2024, art. 6º) fixou um prazo curto para essa comunicação: em regra, 3 dias úteis a partir do momento em que a empresa sabe que o incidente afetou dados pessoais. E mesmo o incidente que não precisa ser comunicado deve ficar registrado. Ter um plano escrito antes (quem decide, quem comunica, quais dados foram expostos) faz diferença nesses dias.
A lei também pede um encarregado pelo tratamento de dados, com nome e contato publicados, de preferência no site (art. 41). É ele quem recebe os pedidos dos credores e fala com a ANPD.
Por que este guia não substitui orientação jurídica
A escolha da base legal depende de como cada operação capta, usa e guarda os dados. Uma empresa que compra listas de terceiros tem riscos diferentes de uma que trabalha só com indicação. Um fundo que compartilha dados com brokers tem outros. O que está aqui é um ponto de partida para organizar a operação. A decisão final sobre bases legais, prazos de retenção e documentos (registro de operações, relatório de impacto, política de privacidade) precisa passar por um advogado que conheça a sua operação.
Perguntas frequentes
Posso ligar para um credor que encontrei numa lista pública de precatórios?
A lista pública não autoriza qualquer uso, mas também não proíbe o contato. O caminho mais comum é o legítimo interesse, com teste de balanceamento registrado, contato transparente (quem é a empresa, como obteve o dado) e uma saída fácil para quem não quiser ser procurado.
Preciso pedir consentimento para guardar o CPF do credor?
Não necessariamente. Para negociar e formalizar a cessão, a base costuma ser a execução de contrato ou procedimentos preliminares a pedido do titular. O que importa é ter uma base legal para cada uso e não guardar mais do que precisa.
O fundo é responsável pelo que o broker faz com os dados?
Depende de quem decide como os dados são tratados. Se o broker trabalha dentro do ambiente do fundo, seguindo as regras do fundo, o fundo tende a ser o controlador e responde por isso. Vale definir os papéis em contrato com cada broker.
Usar um sistema resolve a LGPD?
Não. Um sistema com login individual, perfis de acesso e registro de atividade ajuda muito nas medidas de segurança. Mas base legal, transparência com o credor, resposta aos pedidos e encarregado são responsabilidades da empresa ou do fundo.
Leia também: fundo de precatório: como controlar a rede de brokers sem perder a governança e como organizar uma operação de compra de precatórios.