Depois de verificar a identidade do cliente, a empresa tem um cadastro rico: nome, CPF, data de nascimento, endereço, renda declarada, selfie e o resultado da prova de vida. Para o time de crescimento, parece a melhor base de segmentação que existe. Para a Lei Geral de Proteção de Dados (LGPD), a Lei 13.709/2018, é um conjunto de dados com finalidade já informada ao titular. A resposta curta: o dado coletado para cumprir obrigação de prevenção à lavagem de dinheiro ou para prevenir fraude não vira base de marketing por estar no banco. A campanha precisa de base legal própria e de finalidade informada, e a biometria fica fora de qualquer campanha.
Em resumo
- O princípio da finalidade (art. 6º, I, da LGPD) proíbe tratamento posterior incompatível com o propósito informado ao titular.
- A base que sustenta o KYC, obrigação legal (art. 7º, II) ou prevenção à fraude (art. 11, II, "g"), não se estende à campanha.
- O guia de legítimo interesse da ANPD manda reavaliar a base legal quando a finalidade muda e fazer novo teste de balanceamento.
- O operador que faz a verificação não pode usar o dado para finalidade nova; o controlador decide e responde.
O que a finalidade amarra
A LGPD abre a lista de princípios com a finalidade, e o texto já traz a proibição que importa aqui:
finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
O inciso seguinte, a adequação, pede "compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento". O contexto do KYC é a abertura de uma relação regulada: a pessoa entregou documento e rosto porque a instituição precisa saber quem ela é. Usar o mesmo dado para escolher quem recebe oferta de cartão é outro propósito. Ele pode ser legítimo, mas não é o informado.
Há ainda o art. 16, I, que autoriza conservar o dado depois do fim do tratamento para o "cumprimento de obrigação legal ou regulatória pelo controlador". O dado guardado só porque a norma de prevenção à lavagem manda guardar está ali para essa finalidade. Ele não fica disponível para qualquer outra por ainda existir.
Dado por dado: o que sustenta a coleta e o que muda na campanha
O cadastro de KYC não é um bloco único. Cada dado entrou por uma base, e a pergunta da campanha muda conforme o dado.
| Dado coletado no KYC | Base que sustenta a coleta | Pode ir para a campanha? |
|---|---|---|
| Nome e CPF (Circular BCB 3.978/2020, art. 16, § 2º, I) | Obrigação legal ou regulatória (art. 7º, II) | Não pela mesma base; só com base própria e finalidade informada |
| Renda e patrimônio declarados na qualificação | Obrigação legal ou regulatória (art. 7º, II) | Não pela mesma base; o uso para oferta exige base própria |
| Selfie, prova de vida e vetor facial | Prevenção à fraude na identificação (art. 11, II, "g") ou consentimento específico (art. 11, I) | Não: a alínea "g" é limitada a esse fim |
| E-mail e telefone de contato | Execução de contrato (art. 7º, V) | Aviso do serviço sim; oferta exige base própria |
| Resultado da verificação e nível de risco | Obrigação legal (art. 7º, II); no resultado biométrico, prevenção à fraude (art. 11, II, "g") | Não; uso discriminatório é vedado (art. 6º, IX) |
A última linha merece atenção. Na leitura da casa, um resultado de risco usado para negar oferta ou piorar condição comercial sai do campo da prevenção e pode entrar no da discriminação, que a LGPD veda quando ilícita ou abusiva. O mesmo dado que protege o sistema não pode virar critério de segmentação.
Por que a base do KYC não se transfere
A obrigação legal do art. 7º, II, só cobre o que a obrigação pede. A Circular BCB 3.978/2020 manda identificar e qualificar o cliente para prevenir lavagem de dinheiro; ela não pede campanha. A base cai quando a finalidade sai do perímetro da norma que a criou. O detalhe de como escolher a base certa em cada fluxo está em consentimento ou obrigação legal.
A Agência Nacional de Proteção de Dados (ANPD) diz o mesmo para o legítimo interesse. O guia de fevereiro de 2024 sobre essa hipótese legal é explícito: "caso haja o uso dos dados pessoais para outra finalidade, legítima e concreta, o controlador deverá reavaliar qual a hipótese legal adequada para fundamentar o tratamento de dados para essa nova finalidade. Caso o controlador decida utilizar a hipótese do legítimo interesse, recomenda-se elaborar outro teste de balanceamento para a nova finalidade." Entre os fatores da legítima expectativa do titular, o guia lista "a finalidade pretendida da coleta dos dados e a sua compatibilidade com o tratamento baseado no legítimo interesse". Quem entregou o documento para abrir conta dificilmente espera que ele alimente segmentação. O passo a passo do teste está em legítimo interesse e balanceamento.
A biometria fica fora de qualquer campanha
Selfie e vetor facial são dado sensível. Quando a coleta se apoia na alínea "g" do art. 11, II, o texto já diz o limite: "garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos". O guia da ANPD repete: a hipótese é "limitada para o atendimento a uma finalidade específica". Não há, no art. 11, hipótese sem consentimento que sustente usar rosto para marketing.
Atenção
O consentimento específico e destacado do art. 11, I, existe, mas consentimento para biometria em campanha teria de ser livre, separado do cadastro e revogável a qualquer momento. Pedi-lo no mesmo passo da verificação, como condição para abrir a conta, não é livre.
Quem pode decidir a finalidade nova
No contrato de verificação, a empresa que contrata é a controladora e o fornecedor é o operador. O guia da ANPD sobre agentes de tratamento dá o exemplo de um pagamento e conclui: "O operador dessa transação, seja ele qual for, não poderá utilizar os dados fornecidos para novas finalidades que não aquelas determinadas pelo controlador." A regra vale nos dois sentidos. O fornecedor não usa o seu cadastro para nada além da verificação, e a decisão de dar ao dado uma finalidade nova é sua, com a base, o aviso e o risco que vêm junto. Na UNIFOKAL, a página de segurança e LGPD diz isso por escrito: o cliente é o controlador, a casa entra como operadora e a biometria é usada só na verificação pedida.
O caminho se a empresa quer usar o cadastro em marketing
Há caminho, desde que separado do KYC:
- Escolher a base da campanha antes de tocar no dado. Consentimento, se for a base, tem de "referir-se a finalidades determinadas", e "as autorizações genéricas para o tratamento de dados pessoais serão nulas" (art. 8º, § 4º).
- Se a base for legítimo interesse, usar só os dados estritamente necessários (art. 10, § 1º), fazer o teste de balanceamento para a finalidade nova e garantir transparência (art. 10, § 2º).
- Informar o titular antes. Quando o tratamento original dependia de consentimento, o art. 9º, § 2º, manda informar previamente a mudança de finalidade, e o titular pode revogar.
- Deixar biometria, resultado de risco e dado de qualificação fora da base da campanha.
- Registrar a decisão no inventário de operações de tratamento, que o art. 37 exige, e que este blog explica em registro das operações de tratamento.
O reuso legítimo existe, mas é outro: reaproveitar a verificação para não pedir o mesmo documento duas vezes, dentro da mesma finalidade de identificação. Esse está em reuso de verificação e minimização.
Fontes citadas
- Lei 13.709/2018, Lei Geral de Proteção de Dados Pessoais, arts. 6º, 7º, 8º, 9º, 10, 11 e 16, texto compilado no Planalto
- Autoridade Nacional de Proteção de Dados, Guia orientativo Hipóteses legais de tratamento de dados pessoais, Legítimo interesse, fevereiro de 2024, em gov.br/anpd
- Autoridade Nacional de Proteção de Dados, Guia orientativo para definições dos agentes de tratamento de dados pessoais e do encarregado, versão 2.0, Exemplo 8, em gov.br/anpd
- Banco Central do Brasil, Circular BCB 3.978/2020, versão consolidada, art. 16, em normativos.bcb.gov.br