Cadastro Positivo no onboarding: o que a esteira pode fazer com dado de crédito

Toda esteira de onboarding que termina em oferta de crédito convive com uma tentação: a pessoa já está ali, com documento capturado e cadastro aberto, então por que não consultar de uma vez o histórico de crédito? A resposta curta é que verificação de identidade e avaliação de crédito são tratamentos de dados diferentes, com momento, finalidade e regras próprias, e tratá-los como uma coisa só produz passivo jurídico e produto ruim ao mesmo tempo.

A regra do jogo para o dado positivo de crédito no Brasil está na Lei 12.414, de 9 de junho de 2011, o marco do Cadastro Positivo, remodelada pela Lei Complementar 166, de 8 de abril de 2019 (LC 166/2019), que tornou a inclusão automática e transformou o antigo modelo de adesão em direito de saída. Este artigo percorre o que essas normas criaram, quem opera o sistema, quais direitos o cadastrado tem e o que uma esteira de onboarding pode e não pode fazer com esse dado.

Negativo registra a dívida, positivo registra o pagamento

O cadastro negativo é o mais antigo e o mais conhecido: registra o inadimplemento, a dívida não paga que vira anotação restritiva. Quem o disciplina é o Código de Defesa do Consumidor, a Lei 8.078, de 11 de setembro de 1990, cujo artigo 43 garante ao consumidor o acesso às informações arquivadas sobre ele, exige comunicação por escrito quando a abertura do cadastro não for solicitada por ele e proíbe, no parágrafo 1º, informação negativa referente a período superior a cinco anos.

O Cadastro Positivo inverte o sinal: registra o adimplemento. O artigo 2º, inciso VII, da Lei 12.414 define histórico de crédito como o conjunto de dados financeiros e de pagamentos relativos às operações de crédito e obrigações de pagamento adimplidas ou em andamento. A aposta regulatória é simples: quem paga em dia passa a ter como provar isso, em vez de ser avaliado só pela ausência de mancha.

A virada veio com a LC 166/2019. No desenho original de 2011, o cadastro só abria com autorização prévia do cadastrado, e pouca gente aderia. Na redação atual do artigo 4º da Lei 12.414, o gestor está autorizado a abrir o cadastro, fazer anotações e compartilhar informações sem consentimento prévio. Os contrapesos estão nos parágrafos: comunicação ao cadastrado em até trinta dias após a abertura, sem custo e com indicação clara dos canais de cancelamento (parágrafo 4º), e disponibilização a consulentes somente sessenta dias depois da abertura (parágrafo 7º).

Quem é quem: gestor, fonte e consulente

O artigo 2º da Lei 12.414 distribui os papéis. O gestor é a pessoa jurídica responsável pela administração do banco de dados, pela coleta, pelo armazenamento, pela análise e pelo acesso de terceiros às informações. A fonte é quem alimenta o sistema: quem concede crédito ou realiza venda a prazo e, na redação da LC 166/2019, também as instituições autorizadas a funcionar pelo Banco Central do Brasil e os prestadores de serviços continuados de água, esgoto, eletricidade, gás e telecomunicações. O consulente é quem acessa as informações para finalidade permitida pela lei, e o cadastrado é a pessoa cujas informações foram incluídas.

A nuance mais importante para quem consome esse dado está no artigo 4º, inciso IV: o que o gestor pode entregar ao consulente sem autorização é a nota ou pontuação de crédito elaborada a partir do histórico. O histórico detalhado, operação a operação, só sai mediante prévia autorização específica do cadastrado (alínea b), e o parágrafo 8º obriga o gestor a manter procedimentos que comprovem a autenticidade e a validade dessa autorização. Em uma frase: score sem autorização, extrato com autorização.

Os direitos do cadastrado

O artigo 5º da Lei 12.414 lista os direitos, e cada um deles vira requisito de processo para quem consulta:

• Cancelamento ou reabertura do cadastro quando solicitado, de graça, por telefone, meio físico ou eletrônico. O gestor que recebe o pedido tem até dois dias úteis para atender e repassar a solicitação aos demais gestores (parágrafos 4º a 6º).
• Acesso gratuito, independentemente de justificativa, a tudo o que existe sobre ele no banco de dados, inclusive o histórico e a nota ou pontuação de crédito (inciso II).
• Impugnação de informação anotada erroneamente, com correção ou cancelamento em até dez dias em todos os bancos de dados que compartilharam a informação (inciso III).
• Conhecer os principais elementos e critérios considerados na análise de risco, resguardado o segredo empresarial (inciso IV).
• Solicitar ao consulente a revisão de decisão realizada exclusivamente por meios automatizados (inciso VI).

Para quem monta esteira, o inciso VI é o que mais morde: se a recusa saiu de um modelo sem humano no circuito, o pedido de revisão chega a quem consultou, não ao gestor. A Lei Geral de Proteção de Dados Pessoais, a LGPD, tem previsão paralela no artigo 20 da Lei 13.709/2018, e as duas convergem no mesmo requisito de engenharia: decisão de crédito precisa ser explicável e revisável.

A base legal da LGPD para proteção ao crédito

A LGPD admite, no artigo 7º, inciso X, o tratamento de dados pessoais para a proteção do crédito, sem consentimento. É uma hipótese autônoma, mas não é salvo-conduto: ela convive com a lei setorial, e onde a Lei 12.414 exige autorização específica, caso do histórico detalhado, a hipótese da LGPD não a dispensa. O mapa completo de qual base sustenta cada fluxo está no artigo sobre consentimento e obrigação legal por fluxo.

E a própria Lei 12.414 fecha a finalidade no artigo 7º: as informações dos bancos de dados só podem ser utilizadas para análise de risco de crédito do cadastrado e para subsidiar concessão ou extensão de crédito e realização de venda a prazo ou outras transações que impliquem risco financeiro. Usar dado do Cadastro Positivo para outra coisa, enriquecer campanha de marketing ou ranquear leads, não é zona cinzenta: é uso fora da finalidade que a lei escreveu.

O que a esteira pode e não pode fazer

Momento e finalidade separam os dois tratamentos. A verificação de identidade responde "essa pessoa é quem diz ser" e roda no início do relacionamento, sob as obrigações de conheça seu cliente, o KYC (Know Your Customer). A consulta de crédito responde "que risco de crédito essa pessoa representa" e só se justifica quando existe decisão de crédito de verdade: proposta de limite, parcelamento, pós-pago.

Disso decorrem regras práticas. A esteira pode consultar a nota no passo em que o crédito é decidido, registrar qual decisão dependeu da consulta e explicar a recusa nos termos do artigo 5º, inciso IV. A esteira não pode consultar score de todo cadastro novo "para já ter", porque consulta sem decisão de crédito não cabe na finalidade do artigo 7º; não pode barrar a abertura de uma conta sem componente de crédito com base em score; e não pode reaproveitar o dado de crédito como sinal de identidade ou de fraude. A qualificação de renda e patrimônio tem régua e fontes próprias, e as posições reais de dívida dentro do sistema financeiro moram em outro registro, o Sistema de Informações de Créditos (SCR) do Banco Central, com porta de acesso própria: o retrato de endividamento do SCR.

O desenho que sobrevive a questionamento respeita a ordem: identidade primeiro, sob a norma de KYC; crédito depois, no passo do crédito, sob a Lei 12.414 e com a hipótese do artigo 7º, inciso X, da LGPD documentada. Cada consulta com finalidade anotada, cada recusa com explicação possível.

Fontes citadas

• Lei 12.414/2011 (Cadastro Positivo), artigos 2º, 4º, 5º e 7º: planalto.gov.br
• Lei Complementar 166/2019, que instituiu a inclusão automática com direito de saída: planalto.gov.br
• Lei 13.709/2018 (LGPD), artigos 7º, inciso X, e 20: planalto.gov.br
• Lei 8.078/1990 (Código de Defesa do Consumidor), artigo 43: planalto.gov.br