Consultoria chilena, app em português e cadastro de fornecedores PJ
A FinWise é uma consultoria financeira sediada em Santiago, no Chile, sem filial, empregados ou representante no Brasil. Em março, lançou um aplicativo de controle de gastos em português, com preços em reais, suporte por WhatsApp e publicidade no Instagram direcionada a usuários brasileiros. O app já tem 180 mil usuários no Brasil; os pagamentos são processados por uma adquirinte brasileira e os dados ficam em servidores no Chile e nos Estados Unidos. A empresa também mantém um cadastro de fornecedores pessoas jurídicas brasileiras, com CNPJ, endereço e nome dos sócios, usado para análise de crédito antes de contratar. Na última reunião, o jurídico chileno concluiu que a LGPD não incide, "porque a empresa não está no Brasil" e "porque CNPJ não é dado pessoal". O time brasileiro de marketing, por sua vez, quer iniciar uma newsletter semanal com base em legítimo interesse, sem aviso de privacidade e sem opção de descadastro.
1. A LGPD se aplica à FinWise? Explique os critérios de aplicação territorial e o efeito de os dados estarem armazenados no Chile e nos Estados Unidos.
Read the worked answer
O argumento do jurídico não se sustenta. O Art. 3º adota critério objetivo e não exige estabelecimento no Brasil: a lei se aplica a qualquer operação de tratamento realizada por pessoa natural ou jurídica, de direito público ou privado, independentemente do meio, do país da sede ou do país onde estejam localizados os dados, desde que (I) a operação seja realizada em território nacional, (II) a finalidade seja oferecer ou fornecer bens e serviços a indivíduos localizados no Brasil ou (III) os dados tenham sido coletados no território nacional.
Aqui os três gatilhos aparecem juntos: o app é oferecido em português a usuários no Brasil (II), os dados são coletados no Brasil quando o usuário instala e usa o app (III) e uma adquirinte brasileira participa do fluxo de pagamento (I). O armazenamento no Chile ou nos EUA não afasta a LGPD; ao contrário, transforma a operação em transferência internacional, que precisa se apoiar em um dos mecanismos dos Arts. 33 a 36 - cláusulas contratuais padrão, cláusulas específicas, normas corporativas globais, decisão de adequação ou as hipóteses legais do Art. 33 - conforme o regulamento de transferência internacional da ANPD.
Nenhuma exclusão do Art. 4º se aplica: não é tratamento doméstico, jornalístico, artístico ou acadêmico, nem de segurança pública. Não ter representante no Brasil também não impede a incidência da lei, embora a empresa deva indicar encarregado e divulgar seu contato (Art. 41).
2. O cadastro de fornecedores com CNPJ, endereço e nome dos sócios está fora do alcance da LGPD, como sustenta o jurídico? Avalie e indique a base legal adequada para a análise de crédito.
Read the worked answer
A afirmação está parcialmente errada. O titular, na LGPD, é sempre pessoa natural (Art. 5º, I); dados de pessoa jurídica, em si, não são dados pessoais. Mas o cadastro descrito contém nome dos sócios, endereço e provavelmente CPF, e-mail e telefone de pessoas de contato - todos dados pessoais, plenamente alcançados pela lei. Em MEI e firma individual a fronteira é ainda mais tênue, porque o CNPJ identifica uma pessoa natural, e há forte entendimento de que os dados são pessoais.
Para a análise de crédito, a base mais direta é a proteção do crédito (Art. 7º, X), que permite o tratamento de dados necessários à concessão ou ao acompanhamento de crédito. Alternativas: execução de contrato ou procedimentos preliminares a pedido do titular (Art. 7º, V) e legítimo interesse (Art. 7º, IX), este último com teste de balanceamento documentado. O ideal é escolher uma base por finalidade, registrar no ROPA e informar os titulares.
Se a análise de crédito alcançar dados sensíveis - por exemplo, informação de saúde do sócio -, o legítimo interesse não serve, porque o rol do Art. 11 é taxativo e não o inclui. Nesse caso, só consentimento específico ou outra hipótese do Art. 11, o que raramente se justifica em análise de crédito.
3. A newsletter pode ser disparada com fundamento em legítimo interesse, sem aviso de privacidade e sem descadastro? Indique o que precisa ser feito.
Read the worked answer
Não como está. O legítimo interesse (Art. 7º, IX) não é cheque em branco: exige finalidade legítima e concreta, necessidade do tratamento e expectativa legítima do titular, tudo demonstrado em avaliação de balanceamento documentada. Além disso, a transparência (Art. 6º, VI) e o dever de informação (Art. 9º) são obrigatórios em qualquer base legal - a ausência de aviso já é violação autônoma.
Aqui o titular é consumidor de um app de finanças; marketing promocional não decorre naturalmente da relação de controle de gastos. A expectativa precisa ser demonstrada, não presumida. Sem histórico de comunicação e sem aviso prévio, o risco de a base ser considerada inadequada é alto.
Caminho recomendado: (i) definir se a newsletter é institucional (ligada ao serviço) ou publicitária; se publicitária, o consentimento (Art. 7º, I) é a base mais segura para 180 mil usuários; (ii) se optar por legítimo interesse, documentar o teste, limitar frequência, usar dados mínimos, oferecer descadastro simples em cada mensagem e informar finalidade, base legal e canal do encarregado; (iii) lembrar que o titular pode se opor a tratamentos fundados em hipóteses de dispensa de consentimento (Art. 18, §2º); (iv) se a finalidade mudar, informar previamente e reavaliar a base.