Blocklist entre empresas do mesmo grupo: quando o bloqueio pode atravessar

Um conglomerado tem quatro marcas, quatro CNPJs (Cadastro Nacional da Pessoa Jurídica) e quatro listas de bloqueio. O documento reprovado por adulteração na marca A é aprovado na marca B cinco minutos depois, com a mesma foto e o mesmo aparelho. Se é tudo do mesmo dono, parece óbvio ligar as listas.

A armadilha está aí. "Mesmo grupo econômico" é um fato societário; "mesmo controlador de dados" é uma qualificação da Lei Geral de Proteção de Dados, e as duas coisas quase nunca coincidem. Ligar as listas sem entender essa diferença produz compartilhamento entre controladores sem base legal declarada, sem registro e sem transparência para o titular.

Este texto trata só do que atravessa a fronteira entre empresas. A higiene de cada lista, critério de entrada, prazo e guarda do identificador, é assunto de como manter a blocklist interna e pré-requisito aqui: espelhar lista ruim espalha o defeito.

Mesmo grupo econômico não é mesmo controlador

A Lei 6.404/1976, no artigo 265, prevê que a controladora e suas controladas podem constituir grupo de sociedades por convenção, para combinar recursos ou esforços. Isso não funde as pessoas jurídicas: seguem CNPJs distintos, contratos distintos e relações distintas com cada cliente.

A LGPD, Lei 13.709/2018, usa outro critério. O artigo 5º, inciso VI, define controlador como a pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais, e o inciso VII define operador como quem trata em nome do controlador. O teste é decisório, não societário: se a marca A decide sozinha quem bloqueia e por quanto tempo, ela é controladora, ainda que a holding seja a mesma da marca B.

Daí saem três arranjos:

• Controladores independentes, o caso mais comum: cada empresa decide a sua lista, e mandar uma entrada para a outra é compartilhamento entre controladores.
• Mais de um controlador no mesmo tratamento, quando as empresas decidem juntas finalidades e meios. A LGPD não usa a expressão "controladores conjuntos"; o que ela diz, no artigo 42, § 1º, inciso II, é que os controladores diretamente envolvidos no tratamento do qual decorreram danos ao titular respondem solidariamente. Decidir junto soma responsabilidade, não dilui.
• Operador, quando uma empresa do grupo trata em nome das demais seguindo instrução documentada. Não há compartilhamento entre controladores, mas o operador não pode usar a lista para finalidade própria.

A categoria não é invenção de mercado: o artigo 7º, § 5º, da LGPD fala expressamente do controlador que precisa comunicar ou compartilhar dados pessoais com outros controladores, e exige consentimento específico quando o tratamento se apoia no consentimento, ressalvadas as dispensas legais.

Que base legal sustenta o espelho, e o regime de quem é regulado

Consentimento não serve: pedir autorização a quem se pretende barrar esvazia o controle. Sobram duas rotas.

A primeira é o legítimo interesse, do artigo 7º, inciso IX, da LGPD, delimitado pelo artigo 10, que exige finalidade legítima em situação concreta, restringe o tratamento aos dados estritamente necessários e obriga o controlador a adotar medidas de transparência. O guia orientativo sobre hipóteses legais de tratamento dedicado ao legítimo interesse, publicado pela ANPD (Autoridade Nacional de Proteção de Dados) em fevereiro de 2024, recomenda o teste de balanceamento e é direto quanto ao desfecho: o controlador não deve realizar o tratamento com base no legítimo interesse caso o teste conclua pela prevalência dos direitos e liberdades fundamentais e das legítimas expectativas do titular. Registrar é obrigação autônoma, do artigo 37, que manda controlador e operador manterem registro das operações de tratamento, especialmente quando baseadas no legítimo interesse.

A segunda rota é o cumprimento de obrigação legal ou regulatória, do artigo 7º, inciso II, disponível para quem é regulado. A Resolução Conjunta CMN/BCB nº 6, de 23 de maio de 2023, do Conselho Monetário Nacional e do Banco Central do Brasil, dispõe sobre requisitos para o compartilhamento de dados e informações sobre indícios de fraudes a serem observados por instituições financeiras, de pagamento e demais autorizadas a funcionar pelo Banco Central, e está detalhada em artigo próprio sobre o regime. O limite merece sublinha: ela alcança essas instituições dentro do regime que ela mesma desenha, não autoriza qualquer troca entre quaisquer empresas e não fundamenta o varejo que divide grupo com uma financeira. Nem entre duas reguladas do mesmo grupo o parentesco substitui os requisitos da norma.

Nas duas rotas, a hipótese precisa estar declarada na política de privacidade das duas pontas. O artigo 9º, inciso V, garante ao titular informação sobre o uso compartilhado de dados e a finalidade. Se só a origem menciona o espelho, o cliente da marca B é barrado por um tratamento que nunca lhe foi informado.

Espelhar o mínimo: identificador resumido e código de motivo

A regra é atravessar o mínimo que resolve.

• Só o identificador resumido que a lista interna já guarda, nunca o documento em claro. O que o espelho acrescenta é a derivação idêntica nas duas pontas, com um segredo dedicado a isso e a mais nada.
• Só um código de motivo enumerado, do tipo "documento adulterado confirmado", em vez de texto livre. Não atravessam o dossiê da análise, as imagens, o histórico de atendimento nem o score.
• Autorização explícita de cada organização para participar do espelho, registrada e revogável, em vez de espelho automático por parentesco societário. Vínculo societário não é autorização organizacional para nada.
• Prazo de validade da entrada espelhada, mais curto que o da entrada de origem, com expiração automática. Quem não revalida perde o efeito.
• Trilha de auditoria nos dois lados: quem espelhou, quando, sob qual autorização, e quem consultou.

Tudo isso pressupõe isolamento por padrão, com o espelho como exceção explícita, tema de isolamento de dados entre inquilinos. Na UNIFOKAL, a lista da empresa é um sinal de fraude da verificação, e o espelho entre organizações vinculadas atravessa apenas o identificador resumido e o código de motivo, nunca o documento, e depende de autorização explícita de cada organização.

Suprimir localmente não é desbloquear na origem

São dois verbos, e confundi-los quebra o desenho. Suprimir localmente é quem recebeu o espelho decidir que aquela entrada não produz efeito na casa dela, sem tocar na lista da outra. Remover na origem é quem incluiu apagar a própria entrada, o que esvazia o espelho daí em diante.

Quem recebe precisa do primeiro poder sem depender de ninguém: a decisão sobre o próprio cliente é dela, e o titular pode pedir revisão da decisão automatizada que o afeta, direito do artigo 20 da LGPD. Quem inclui precisa do segundo, porque a entrada é dela.

O que nenhuma pode ter é o poder de apagar a entrada da outra. Suprimir remotamente destrói evidência alheia, e essa evidência pode ser o que a outra é obrigada a manter: a Circular BCB nº 3.978/2020 exige, no artigo 67, que as instituições guardem por no mínimo dez anos as informações coletadas nos procedimentos de conhecimento do cliente. Guardar registro e produzir efeito são coisas separadas, e é essa separação que permite atender o titular sem apagar a memória da fraude.

O que atravessa precisa de critério mais duro

Um falso positivo dentro de casa custa um cliente. Espelhado, custa esse cliente em todas as marcas ao mesmo tempo, e a pessoa some sem reclamar, porque não há onde reclamar. O erro vira padrão de exclusão, agravado por a marca B não ter como julgar uma evidência que não recebeu, e por tanta reprovação ser foto ruim, e não fraude, como em falso positivo em verificação.

Por isso o critério do que atravessa é mais rigoroso que o do que fica em casa. A lista de origem já exige caso confirmado; o espelho exige, além disso, evidência recuperável e uma pessoa identificada, não uma regra automática, assinando a inclusão. Entrada que a origem não conseguiria defender por escrito diante da marca vizinha não sai de casa. Na dúvida, fica local: o custo de não espelhar é uma tentativa a mais para investigar, e o custo de espelhar errado é uma pessoa fora de um grupo inteiro.

Fontes citadas

• Lei 13.709/2018 (LGPD), artigos 5º (incisos VI e VII), 7º (incisos II e IX e § 5º), 9º (inciso V), 10, 20, 37 e 42 (§ 1º, inciso II): LexML
• Lei 6.404/1976, artigo 265, sobre grupo de sociedades: LexML
• Guia orientativo "Hipóteses legais de tratamento de dados pessoais: legítimo interesse", ANPD, fevereiro de 2024, sobre o teste de balanceamento e seu desfecho: gov.br/anpd
• Resolução Conjunta CMN/BCB nº 6, de 23 de maio de 2023, sobre requisitos para o compartilhamento de dados e informações sobre indícios de fraudes pelas instituições autorizadas a funcionar pelo Banco Central do Brasil
• Circular BCB nº 3.978/2020, artigo 67, sobre a guarda das informações de conhecimento do cliente por no mínimo dez anos: gov.br/coaf