Bases legais na análise de crédito: por que consentimento não resolve tudo

2026-05-05 | IBeGI

Regulação

## Introdução As **bases legais da LGPD no crédito** são um dos pontos mais mal compreendidos pelas empresas. Em muitos projetos de adequação, a primeira reação é tentar pedir consentimento para tudo. No setor de crédito, essa estratégia costuma ser frágil, porque boa parte do tratamento de dados é necessária para analisar risco, executar contrato, cumprir norma regulatória, proteger o crédito ou exercer direitos. A LGPD não exige consentimento para todo tratamento de dados pessoais. Ela exige que exista uma hipótese legal adequada para cada finalidade. Essa distinção é decisiva para bancos, financeiras, varejistas com crediário, fintechs, birôs e empresas de cobrança. ## Base legal se define por finalidade O primeiro passo é abandonar a ideia de uma base legal única para todo o relacionamento. Um contrato de crédito pode gerar várias operações de tratamento, cada uma com lógica própria. Na proposta inicial, podem existir dados necessários para identificação, análise cadastral e avaliação de capacidade de pagamento. Na formalização, há dados ligados à execução do contrato. Na gestão da carteira, entram informações de pagamento, atraso, renegociação e comunicação. Em determinadas instituições, há obrigações regulatórias. Na prevenção a fraude, podem existir validações específicas. Na cobrança judicial, a base se desloca para o exercício regular de direitos. A pergunta correta é: **qual é a finalidade concreta deste tratamento?** Só depois vem a escolha da base legal. ## Por que consentimento pode ser inadequado O consentimento precisa ser livre, informado, específico e revogável. Essa característica o torna pouco adequado para tratamentos essenciais ao crédito. Imagine uma instituição que dependa de consentimento para manter dados necessários à execução de um contrato de financiamento. Se o cliente revogar o consentimento, a empresa ainda precisa administrar o contrato, cumprir deveres regulatórios, registrar pagamentos, prevenir fraude e eventualmente cobrar valores devidos. Isso mostra que, na prática, a base correta provavelmente não era consentimento. Consentimento funciona melhor quando o titular tem escolha real. Exemplos: - receber ofertas personalizadas não essenciais; - participar de campanha comercial específica; - permitir compartilhamento opcional com parceiro; - autorizar uso de dados para finalidade nova e destacada; - habilitar fluxos que dependam expressamente de autorização, como determinados compartilhamentos no Open Finance. No núcleo da operação de crédito, a base costuma ser outra. ## Bases comuns no ciclo de crédito Algumas hipóteses legais aparecem com frequência no setor: **Execução de contrato ou procedimentos preliminares** Pode sustentar coleta e tratamento necessários para analisar uma proposta solicitada pelo titular, formalizar a operação e administrar o contrato. **Cumprimento de obrigação legal ou regulatória** Aplica-se quando a empresa precisa tratar dados para cumprir norma, reporte obrigatório, exigência regulatória, obrigação contábil, fiscal ou determinação de autoridade. **Proteção do crédito** É uma base relevante para análise de risco, prevenção de inadimplência, compartilhamento regular com birôs e gestão de informações associadas à concessão e recuperação de crédito. **Legítimo interesse** Pode ser útil em hipóteses específicas, desde que envolva dados não sensíveis, expectativa legítima do titular, necessidade demonstrada e teste de balanceamento. **Exercício regular de direitos** É importante para cobrança judicial, defesa em processos, produção de prova e atuação administrativa ou arbitral. ## O legítimo interesse não é um atalho O legítimo interesse merece atenção especial. Ele não deve ser usado como “coringa” para qualquer situação em que a empresa não quer pedir consentimento. A boa prática exige um teste de balanceamento. Esse teste deve verificar: - qual é o interesse legítimo da empresa; - se o tratamento é necessário para atingir esse interesse; - quais impactos existem para o titular; - quais salvaguardas reduzem riscos; - se o titular poderia razoavelmente esperar aquele uso. Além disso, legítimo interesse não deve ser usado para dados pessoais sensíveis. Em crédito, isso é relevante porque modelos de risco, segmentação e automação podem, direta ou indiretamente, encostar em atributos delicados. Quando isso ocorrer, a organização deve revisar a base legal, a necessidade e o risco de discriminação. ## O risco de misturar crédito com marketing Um dos maiores problemas práticos está na mistura entre análise de crédito e marketing. Dados coletados para conceder crédito não devem ser automaticamente reaproveitados para campanhas, venda cruzada, enriquecimento de audiência ou publicidade personalizada. A finalidade “proteção do crédito” serve ao crédito. Ela não transforma qualquer dado financeiro em insumo livre para prospecção comercial. Para campanhas, a empresa precisa avaliar origem da base, expectativa do titular, canal, opt-out, frequência, conteúdo e eventual necessidade de consentimento. Essa separação é essencial para evitar contaminação regulatória. Uma operação de crédito juridicamente defensável pode se tornar problemática quando a base é usada para uma finalidade comercial incompatível. ## Como documentar O gestor deve construir uma matriz simples: | Finalidade | Dados tratados | Base legal | Sistemas | Terceiros | Retenção | |---|---|---|---|---|---| | Análise de proposta | Dados cadastrais e financeiros necessários | Procedimentos preliminares / proteção do crédito | CRM, motor de crédito | Bureau, antifraude | Prazo definido | | Gestão do contrato | Dados contratuais e de pagamento | Execução de contrato | Core, cobrança | Operadores | Prazo contratual/regulatório | | Cobrança judicial | Documentos necessários à prova | Exercício regular de direitos | Jurídico | Escritório, Judiciário | Prazo processual | O importante é que essa matriz reflita a operação real. Documentos genéricos não protegem uma prática desorganizada. ## Conclusão A LGPD não manda pedir consentimento para tudo. Ela exige precisão. No crédito, a escolha correta da base legal depende da finalidade, do tipo de dado, do papel da empresa e do contexto regulatório. Para o setor, maturidade significa sair do “termo genérico” e entrar na governança por processo. **Fontes oficiais para link externo:** - [LGPD — Lei nº 13.709/2018, texto compilado](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709compilado.htm) - [ANPD — Guia Orientativo sobre Legítimo Interesse](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia_orientativo_hipoteses_legais_tratamento_de_dados_pessoais_legitimo_interesse) - [Banco Central — Open Finance](https://www.bcb.gov.br/estabilidadefinanceira/openfinance) ---