O processo aberto pela ANPD contra a Claro, envolvendo o compartilhamento de dados de clientes com a Serasa, levanta uma discussão importante: o problema não está no compartilhamento de dados, mas na ausência de finalidade, necessidade, transparência e governança. Diante disso, fica a pergunta: se a ANPD pedisse amanhã que sua empresa explicasse todos os compartilhamentos de dados realizados nos últimos anos, você conseguiria responder? A lição para as empresas de telecom é clara: mais do que cumprir a LGPD, é preciso integrar privacidade às decisões comerciais e conseguir comprovar, documentalmente, que os dados estão sob controle.
O caso Claro e Serasa: o que aconteceu?
Segundo fontes públicas da Agência Nacional de Proteção de Dados – ANPD, a Claro mantinha um contrato com a Serasa Experian para fornecer dados de clientes de telefonia fixa, móvel, TV por assinatura e transmissão de dados, sendo tais dados utilizados pela Serasa para desenvolver soluções de análise de crédito e prevenção a fraudes e, como contrapartida, a Claro recebia acesso a essas tecnologias, além de remuneração financeira.
Essa situação foi objeto de fiscalização e, de acordo com o órgão, a Claro como controladora original, isto é, responsável pela coleta dos dados junto ao titular, não teria delimitado finalidades específicas para esse compartilhamento, nem demonstrado a necessidade e a proporcionalidade no volume de dados enviados à Serasa, tampouco garantido que os titulares pudessem exercer os direitos previstos na LGPD.
Na prática, para a ANPD, os clientes titulares daqueles dados não teriam sido informados de forma transparente sobre qual era a finalidade do compartilhamento com a Serasa, e os dados teriam sido tratados de forma incompatível com a finalidade informada no momento da coleta, o que, segundo a Autoridade, contrariaria os princípios da finalidade e adequação. Além disso, a fiscalização apontou o envio de mais dados do que o necessário para atingir a finalidade, o que esbarraria no princípio da necessidade.
Um detalhe sobre essa situação que serve de alerta para as empresas é que o contrato entre as partes já havia sido encerrado ao longo da apuração da ANPD. Assim, como a prática já havia cessado, não havendo mais o que corrigir daqui para frente a apuração passou a ser sobre o que já havia ocorrido, e não sobre um risco em andamento, o que ocasionou a instauração de processo administrativo sancionador contra a Claro. A lição para qualquer empresa é que encerrar uma prática não impede que a Autoridade apure o que já aconteceu.
Vale registrar que se trata de um processo em andamento. A Claro foi intimada a apresentar defesa e, segundo a imprensa, nega as irregularidades, afirmando que os dados foram usados apenas em estudos e análises internas. A Serasa responde a um processo de fiscalização próprio. As análises deste artigo partem do que foi apontado pela ANPD, e não de uma condenação definitiva.
O procedimento de fiscalização apontou diferentes possíveis irregularidades no cumprimento das obrigações previstas na LGPD pela Claro: segundo a ANPD, como consequência da falta de transparência sobre o compartilhamento objeto do contrato, os titulares não teriam conseguido exercer os seus direitos, previstos no art. 18 da LGPD. A fiscalização também apontou que as informações a respeito do encarregado pelo tratamento de dados não estariam disponíveis de forma clara e acessível.
Tem uma armadilha comum aqui, e é ela que a ANPD decidiu não deixar passar: muita empresa acha que está segura porque tem lá no site o nome e o e-mail do encarregado de dados, ou muitas vezes apenas o e-mail. Segundo a ANPD, no caso analisado, as informações existiam, mas para chegar até elas o titular precisava passar por vários cliques, entrar na política de privacidade e vasculhar até encontrar a informação lá no fim, ou seja, um caminho que a maioria das pessoas nunca vai percorrer.
Vale destacar que esse tipo de falha não é isolado, em junho de 2026, a ANPD concluiu o monitoramento nacional com 56 organizações, entre empresas privadas e órgãos públicos, para verificar justamente se eles designavam um encarregado pelo tratamento de dados através de uma consulta aos sites dessas organizações, o resultado foi que 27 (vinte e sete) cumpriram integralmente as exigências, 8 (oito) ficaram com pendências em fase de correção, e 21 (vinte e um) sequer responderam aos pedidos da ANPD, e estão na fila para avaliação de processo administrativo sancionador.
Antes de continuar a leitura, vale fazer o teste na sua própria empresa: quantos cliques um cliente precisa dar até achar as informações do encarregado de dados? Essa informação está na página inicial ou no rodapé do site, ou só aparece ao final da política de privacidade? E, uma vez lá, o cliente encontra o que realmente importa, dado pessoal do responsável e contato direto, ou só um e-mail genérico de atendimento, sem nenhuma identificação de quem responde?
O verdadeiro problema não é o compartilhamento de dados
Compartilhar dados pessoais com outra empresa não é, por si só, ilegal, o problema apontado no caso Claro e Serasa não foi o compartilhamento em si, mas o que teria faltado antes, durante e depois dele. Sobre essa questão é importante lembrar do caso referente ao compartilhamento de dados entre as operadoras de telecomunicações e o Instituto Brasileiro de Geografia e Estatística – IBGE, que através da Medida Provisória nº 954/2020, estabeleceram o compartilhamento de dados pessoais, como nome, telefone e endereço de milhões de brasileiros, com a finalidade de realizar pesquisas estatísticas durante a pandemia.
Ocorre que o Supremo Tribunal Federal – STF, por meio da Ação Direta de Inconstitucionalidade nº 6.387, suspendeu os efeitos da medida provisória pois considerou que embora existisse a legitimidade da finalidade pretendida, a medida não atendia aos parâmetros de necessidade e proporcionalidade, tampouco oferecia nível adequado de segurança, ou seja, faltava dizer com precisão por que precisava ser a base inteira de clientes e não uma amostra, e, também, demonstrar como esses dados seriam protegidos no dia a dia, antes do compartilhamento.
Para que haja legalidade no compartilhamento de dados pessoais, é necessário observar os seguintes requisitos, que servem como checklist: a) formalização e registro; b) definição do objeto e da finalidade; c) base legal; d) duração do tratamento; e) transparência e garantia dos direitos dos titulares; f) medidas de prevenção e segurança, que será detalhado nos próximos parágrafos.
De início o compartilhamento precisa estar documentado num instrumento jurídico válido (ex:. contrato), com cláusulas claras sobre responsabilidade de cada parte por tratamento irregular, descumprimento contratual, instruções ilícitas, falha de segurança, compartilhamento indevido, subcontratados; Identificação de quem é o controlador e operadora e se há nessa relação controladoria conjunta; Objetivo do compartilhamento; Medidas de segurança que serão adotadas; Mecanismos de fiscalização e penalidades em caso de descumprimento, dentre outras.
Quanto ao objeto e finalidade, o tratamento deve estar vinculado a propósitos legítimos, específicos, explícitos e previamente informados ao cliente titular daquele dado, de modo que a utilização daqueles dados permaneça compatível com aquilo que lhe foi comunicado. E, dentro desse compartilhamento, só podem circular os dados estritamente necessários para alcançar a finalidade estabelecida, não podendo abranger informações que extrapolam esse limite.
É justamente nesse ponto que se evidencia uma das falhas apontadas pela ANPD no caso em comento. Quando a organização percebe que uma nova relação contratual vai servir a uma finalidade diferente da que já está estabelecida nas políticas da empresa, o que pode ser feito é efetivar essas alterações antes de seguir adiante, atualizando os documentos e, se for o caso, buscando um novo consentimento do titular. E é aqui que a discussão sobre finalidade puxa o próximo ponto, que também precisa ser resolvido antes da formalização: a base legal.
Isto é, todo tratamento de dados precisa se apoiar numa das hipóteses prevista no artigo 7, da LGPD, sem uma base legal expressa e adequada ao caso concreto, mesmo uma finalidade bem definida não tem onde se sustentar juridicamente. Ademais, o compartilhamento não pode durar para sempre, o instrumento jurídico precisa prever quando ele termina.
Isso porque o titular daquele dado precisa saber, de forma clara e acessível, que seus dados estão sendo compartilhados, com quem, para quê e por quanto tempo. E precisa conseguir exercer direitos básicos como acesso, correção e oposição, inclusive sabendo a quem recorrer. Esse caso traz uma lição muito grande: não basta informar de forma genérica para demonstrar uma possível legalidade.
Por fim, a empresa precisa adotar medidas de prevenção e segurança compatíveis com o risco do tratamento, antes, durante e após o compartilhamento, esse não foi o foco do Auto de Infração contra a Claro, mas foi justamente um dos pontos que derrubou a MP 954/2020, no caso do IBGE, explicado acima.
Esse checklist é o mapa técnico, mas raramente empresas de grande porte erram por não conhecer os conceitos e noções básicas que qualquer área jurídica de uma operadora de telecom já domina. O que costuma quebrar a cadeia, na prática, são duas coisas bem mais simples de acontecer e mais difíceis de perceber dentro da própria empresa.
A primeira é quando o dado pessoal passa a ser tratado como ativo comercial. No caso que estamos discutindo, segundo o Auto de Infração nº 1/2026/CGS/SFI, a parceria entre a Claro e a Serasa não era só comercial, mas envolvia também contrapartida financeira. Ou seja, quando o dado deixa de ser só informação necessária para prestar um serviço e passa a ser um ativo que gera receita dentro da organização, o incentivo comercial tende a empurrar para compartilhar mais, não menos, na direção oposta da LGPD.
A segunda é uma falha de processo, não de conhecimento. Em situações como essa, é comum que a parceria seja negociada pela área comercial do início ao fim, sem a pessoa responsável por dados pessoais dentro da organização, que, na melhor das hipóteses, só é chamada no fim, para dar o aval a um contrato comercial praticamente fechado. Não é que as empresas desconheçam a regra, é que a regra não faz parte do processo de decisão desde a concepção, para que sejam feitos os ajustes necessários. Para as empresas, esse é o ponto prático mais importante do caso: a pergunta não deveria ser só “nosso jurídico conhece de LGPD?”, e sim, “o encarregado de dados participa da negociação de qualquer parceria que envolva dado de cliente desde o começo, respeitando dessa forma o chamado privacy by design?”.
Esse não é um problema exclusivo de uma empresa, empresas em geral lidam, o todo o tempo, com parceiros que querem e precisam dos dados de clientes para prestar os seus serviços, no entanto, cada uma dessas parcerias e/ou contratações deveria passar por uma due diligence para verificar a conformidade e seguir esses requisitos para a formalização. A diferença entre uma operadora que compartilha dados dentro da legalidade e uma que passa a ser fiscalizada não está em compartilhar ou não, está em conseguir provar, requisito por requisito, que fez isso da forma certa.
Nesse sentido, a pergunta que toda empresa deveria se fazer antes que a ANPD faça é a seguinte: Se a ANPD pedisse amanhã que sua organização explicasse todos os compartilhamentos de dados pessoais realizados nos últimos anos, você conseguiria responder?
Não se trata de uma questão meramente hipotética. No caso analisado, foi um pedido de explicações sobre um contrato específico que revelou lacunas, e é o que tende a acontecer com frequência nos próximos anos com outras pequenas, médias e grandes empresas. Se a resposta da sua empresa a essa pergunta não é um “sim” imediato e documentado, reestruturar todos os pontos soltos é a solução mais adequada no momento.
O que as empresas de telecom deveriam fazer agora?
Diagnosticar é o primeiro passo, mas o diagnóstico sem plano de ação não protege ninguém na próxima fiscalização. Para sair do diagnóstico e entrar efetivamente em conformidade, estes são 6 passos iniciais que podem orientar a organização na construção de um plano de ação consistente:
– Revisar o mapa de compartilhamento de dados: Não só o inventário interno de dados que a empresa guarda, mas especificamente todo o fluxo que sai da empresa para terceiros: cada parceria comercial, cada integração via API, cada exportação recorrente de base de clientes. Um inventário que lista só o que a empresa tem e ignora para onde a empresa manda, deixa de fora justamente o ponto central do caso. – Auditar terceiros e parceiros: Não basta presumir que o parceiro também está em conformidade é preciso pedir evidências concretas, antes de seguir enviando dados, e repetir essa checagem periodicamente, não só uma vez na assinatura do contrato. – Revisar contratos vigentes: indo além da cláusula genérica de confidencialidade, todo contrato que envolve dado pessoal precisa detalhar responsabilidade de cada parte, finalidade, base legal, segurança exigida, o que acontece se subcontratar, prazo e forma de eliminação dos dados, protocolo em caso de incidente, dentre outras questões. – Testar os direitos dos titulares na prática: Faça um pedido real de acesso, correção ou exclusão, como um cliente comum faria, e acompanhe o resultado, isso mostra se o processo funciona de verdade ou só existe no papel da política de privacidade descritos e não correspondem a operação. – Simular resposta a uma fiscalização: Simule uma fiscalização, solicite documentos que seriam exigidos, confronte políticas, contratos, registros e práticas reais e identifique onde a organização não consegue explicar, comprovar ou demonstrar como realiza determinado tratamento. – Informações sobre o encarregado: A identificação de quem é o responsável e como entrar em contato com ele, devem estar disponíveis logo no primeiro acesso à página de privacidade.
Assim, para cada não conformidade identificada, estabeleça uma medida corretiva, responsável, prazo, prioridade e evidência esperada de implementação. Afinal, a próxima grande questão para as empresas não será apenas se elas cumprem a LGPD, mas se conseguem demonstrar, diante de um regulador, que sabem exatamente onde estão seus dados, por que os tratam, com quem os compartilham e quais os mecanismos possuem para proteger os titulares.
Confira também por que IA e cibersegurança são os próximos desafios da Lei Geral de Proteção de Dados (LGPD) e ouça o Podcast Canaltech sobre o assunto.
What do you feel about this post?
Like
Love
Happy
Haha
Sad
