LGPD na cobrança: base legal, minimização e retenção sem mistério

A Lei Geral de Proteção de Dados não impede a cobrança. Ela exige que os dados sejam tratados com propósito, na medida certa e por tempo definido.

Base legal

O artigo 7 da LGPD lista as hipóteses. Para cobrança, duas se aplicam: execução de contrato (inciso V) e proteção do crédito (inciso X). Não é preciso consentimento para cobrar uma dívida contratual. É preciso registrar a base legal e informar o titular na política de privacidade.

Quem é quem

A empresa credora é a controladora: decide o que cobrar e de quem. A assessoria de cobrança é operadora: trata os dados em nome do credor, conforme o contrato e o acordo de tratamento de dados (DPA). Ambas respondem por segurança.

Minimização

Cobrança precisa de nome, documento, contato, valor, vencimento e origem. Não precisa de diagnóstico médico, matrícula do aluno ou motivo do empréstimo. Envie o mínimo. Em clínicas, use referências genéricas no título.

Verificação de identidade

Revelar a dívida para a pessoa errada é vazamento. Antes de citar valores, confirme nome e um dado que só o titular sabe. Se não confirmar, a mensagem é neutra.

Retenção

Título pago ou cancelado não precisa ficar para sempre. Defina um prazo (por exemplo, o prazo prescricional aplicável) e apague ou anonimize depois. Registros de auditoria seguem prazo próprio.

Direitos do titular

Acesso, correção e eliminação quando cabível. A pessoa cobrada pode pedir ao credor ou à assessoria. Tenha um fluxo e um encarregado (DPO) indicado.

Segurança

Criptografia em trânsito e em repouso, isolamento entre clientes, acesso com dois fatores, logs sem dados pessoais em claro e backups cifrados. Na NegociarHoje, CPF, telefone, e-mail e endereço são cifrados por campo com chave por cliente, e o isolamento é testado a cada mudança.