LGPD e campos sensíveis em bases de marketing e cobrança

Bases de marketing e cobrança estão cheias de dados pessoais: CPF, telefone, e-mail, endereço. A LGPD não proíbe usar esses dados. Ela exige que o uso tenha finalidade, base legal e controles proporcionais. Este texto organiza os conceitos que mais aparecem no dia a dia e mostra os controles que ajudam a reduzir a exposição. Ele não substitui a orientação do jurídico da sua empresa.

Dado pessoal e dado pessoal sensível

A LGPD define dado pessoal como informação relacionada a pessoa natural identificada ou identificável (art. 5º, I). CPF, telefone, e-mail, nome e endereço entram aqui.

Dado pessoal sensível é uma categoria específica (art. 5º, II): origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico. O tratamento desses dados tem regras mais restritas (art. 11).

Na operação, muita gente chama CPF e telefone de “campos sensíveis”, e o DeepMiner usa esse nome também. O sentido é prático: são os campos que identificam a pessoa diretamente e que mais causam dano se vazarem. Juridicamente, continuam sendo dados pessoais, com as regras do art. 7º.

Finalidade e base legal

Todo tratamento precisa de uma finalidade legítima, específica e informada ao titular (art. 6º, I) e de uma base legal (art. 7º). As mais citadas em marketing e cobrança são:

• Consentimento (art. 7º, I), comum em comunicações de marketing.
• Execução de contrato (art. 7º, V), quando a mensagem faz parte do serviço contratado.
• Legítimo interesse (art. 7º, IX), que exige avaliar se o uso respeita as expectativas e os direitos do titular.
• Proteção do crédito (art. 7º, X), relevante para operações de cobrança.

Na prática, isso vira campos na base. Um campo de aceite de marketing, por exemplo, entra como filtro em toda estratégia de campanha, para que só quem aceitou receba.

Necessidade: só o que a finalidade pede

O princípio da necessidade (art. 6º, III) limita o tratamento ao mínimo necessário. Em bases de marketing, ele se traduz em duas perguntas: precisamos de todos esses campos? Precisamos de todos esses registros?

Enriquecer a base inteira quando só uma parte vai ser acionada, ou mandar a planilha completa para alguém fazer uma contagem, são exemplos comuns de excesso. Filtrar antes de enriquecer e responder perguntas com agregados em vez de listas reduzem o volume de dados pessoais em circulação.

Quando a IA consulta a base

Assistentes de IA que consultam bases de clientes trazem uma pergunta nova: o que vai para o modelo? No DeepMiner, campos com nome de CPF, CNPJ, telefone, celular ou e-mail são reconhecidos como sensíveis. O modelo recebe o nome e o tipo desses campos, nunca os valores.

Esses campos também têm limites nas consultas. O assistente não agrupa resultados por eles, e os filtros sobre eles aceitam só comparações de igualdade, para que ninguém consiga listar CPFs perguntando. As tabelas dos dashboards não exibem campos sensíveis, e os filtros de fluxo pedem que o valor seja digitado em vez de mostrar a lista de valores da base.

Quem vê o quê

O art. 46 pede medidas de segurança aptas a proteger os dados pessoais de acessos não autorizados. Alguns controles ajudam:

• Isolamento por empresa. No DeepMiner, a plataforma é multi-tenant: os dados de um parceiro nunca aparecem para outro.
• Perfis de acesso. Usuários entram por convite, com os perfis de administrador, operador ou visualizador, e o acesso pode ser revogado.
• Credenciais protegidas. As credenciais dos provedores ficam cifradas, e a URL de webhook de cada provedor guarda só uma assinatura do token.

Direitos do titular

O titular pode pedir confirmação do tratamento, acesso, correção, anonimização, bloqueio ou eliminação, portabilidade e informação sobre compartilhamento, entre outros direitos do art. 18. Ter a base num lugar só, com campo-chave e registros pesquisáveis, facilita encontrar o que pertence a uma pessoa quando o pedido chega.

Quer ver esses controles na prática? Agende uma demonstração.