# Dado de KYC não é base de marketing: a finalidade não se troca

<https://unifokal.com/blog/dado-de-kyc-nao-e-base-de-marketing>

Guia · UNIFOKAL · 17 de outubro de 2026 · 7 min de leitura · LGPD e compliance

O cadastro verificado tem nome, CPF, renda e selfie, e a tentação é usar tudo na campanha. O que a LGPD e a ANPD dizem sobre mudar a finalidade de cada dado do KYC.

Depois de verificar a identidade do cliente, a empresa tem um cadastro rico: nome, CPF, data de nascimento, endereço, renda declarada, selfie e o resultado da prova de vida. Para o time de crescimento, parece a melhor base de segmentação que existe. Para a Lei Geral de Proteção de Dados (LGPD), a Lei 13.709/2018, é um conjunto de dados com finalidade já informada ao titular. A resposta curta: o dado coletado para cumprir obrigação de prevenção à lavagem de dinheiro ou para prevenir fraude não vira base de marketing por estar no banco. A campanha precisa de base legal própria e de finalidade informada, e a biometria fica fora de qualquer campanha.

**Em resumo**

- O princípio da finalidade (art. 6º, I, da LGPD) proíbe tratamento posterior incompatível com o propósito informado ao titular.
- A base que sustenta o KYC, obrigação legal (art. 7º, II) ou prevenção à fraude (art. 11, II, "g"), não se estende à campanha.
- O guia de legítimo interesse da ANPD manda reavaliar a base legal quando a finalidade muda e fazer novo teste de balanceamento.
- O operador que faz a verificação não pode usar o dado para finalidade nova; o controlador decide e responde.

## O que a finalidade amarra

A LGPD abre a lista de princípios com a finalidade, e o texto já traz a proibição que importa aqui:

> finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
>
> Lei 13.709/2018, art. 6º, I

O inciso seguinte, a adequação, pede "compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento". O contexto do KYC é a abertura de uma relação regulada: a pessoa entregou documento e rosto porque a instituição precisa saber quem ela é. Usar o mesmo dado para escolher quem recebe oferta de cartão é outro propósito. Ele pode ser legítimo, mas não é o informado.

Há ainda o art. 16, I, que autoriza conservar o dado depois do fim do tratamento para o "cumprimento de obrigação legal ou regulatória pelo controlador". O dado guardado só porque a norma de prevenção à lavagem manda guardar está ali para essa finalidade. Ele não fica disponível para qualquer outra por ainda existir.

## Dado por dado: o que sustenta a coleta e o que muda na campanha

O cadastro de KYC não é um bloco único. Cada dado entrou por uma base, e a pergunta da campanha muda conforme o dado.

**o dado do KYC, a base que sustenta a coleta e o uso em marketing (leitura da casa a partir da LGPD)**

| Dado coletado no KYC | Base que sustenta a coleta | Pode ir para a campanha? |
|---|---|---|
| Nome e CPF (Circular BCB 3.978/2020, art. 16, § 2º, I) | Obrigação legal ou regulatória (art. 7º, II) | Não pela mesma base; só com base própria e finalidade informada |
| Renda e patrimônio declarados na qualificação | Obrigação legal ou regulatória (art. 7º, II) | Não pela mesma base; o uso para oferta exige base própria |
| Selfie, prova de vida e vetor facial | Prevenção à fraude na identificação (art. 11, II, "g") ou consentimento específico (art. 11, I) | Não: a alínea "g" é limitada a esse fim |
| E-mail e telefone de contato | Execução de contrato (art. 7º, V) | Aviso do serviço sim; oferta exige base própria |
| Resultado da verificação e nível de risco | Obrigação legal (art. 7º, II); no resultado biométrico, prevenção à fraude (art. 11, II, "g") | Não; uso discriminatório é vedado (art. 6º, IX) |

A última linha merece atenção. Na leitura da casa, um resultado de risco usado para negar oferta ou piorar condição comercial sai do campo da prevenção e pode entrar no da discriminação, que a LGPD veda quando ilícita ou abusiva. O mesmo dado que protege o sistema não pode virar critério de segmentação.

## Por que a base do KYC não se transfere

A obrigação legal do art. 7º, II, só cobre o que a obrigação pede. A Circular BCB 3.978/2020 manda identificar e qualificar o cliente para prevenir lavagem de dinheiro; ela não pede campanha. A base cai quando a finalidade sai do perímetro da norma que a criou. O detalhe de como escolher a base certa em cada fluxo está em [consentimento ou obrigação legal](https://unifokal.com/blog/consentimento-ou-obrigacao-legal).

A Agência Nacional de Proteção de Dados (ANPD) diz o mesmo para o legítimo interesse. O guia de fevereiro de 2024 sobre essa hipótese legal é explícito: "caso haja o uso dos dados pessoais para outra finalidade, legítima e concreta, o controlador deverá reavaliar qual a hipótese legal adequada para fundamentar o tratamento de dados para essa nova finalidade. Caso o controlador decida utilizar a hipótese do legítimo interesse, recomenda-se elaborar outro teste de balanceamento para a nova finalidade." Entre os fatores da legítima expectativa do titular, o guia lista "a finalidade pretendida da coleta dos dados e a sua compatibilidade com o tratamento baseado no legítimo interesse". Quem entregou o documento para abrir conta dificilmente espera que ele alimente segmentação. O passo a passo do teste está em [legítimo interesse e balanceamento](https://unifokal.com/blog/legitimo-interesse-e-balanceamento).

## A biometria fica fora de qualquer campanha

Selfie e vetor facial são dado sensível. Quando a coleta se apoia na alínea "g" do art. 11, II, o texto já diz o limite: "garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos". O guia da ANPD repete: a hipótese é "limitada para o atendimento a uma finalidade específica". Não há, no art. 11, hipótese sem consentimento que sustente usar rosto para marketing.

> **Atenção**
>
> O consentimento específico e destacado do art. 11, I, existe, mas consentimento para biometria em campanha teria de ser livre, separado do cadastro e revogável a qualquer momento. Pedi-lo no mesmo passo da verificação, como condição para abrir a conta, não é livre.

## Quem pode decidir a finalidade nova

No contrato de verificação, a empresa que contrata é a controladora e o fornecedor é o operador. O guia da ANPD sobre agentes de tratamento dá o exemplo de um pagamento e conclui: "O operador dessa transação, seja ele qual for, não poderá utilizar os dados fornecidos para novas finalidades que não aquelas determinadas pelo controlador." A regra vale nos dois sentidos. O fornecedor não usa o seu cadastro para nada além da verificação, e a decisão de dar ao dado uma finalidade nova é sua, com a base, o aviso e o risco que vêm junto. Na UNIFOKAL, a página de [segurança e LGPD](https://unifokal.com/seguranca) diz isso por escrito: o cliente é o controlador, a casa entra como operadora e a biometria é usada só na verificação pedida.

## O caminho se a empresa quer usar o cadastro em marketing

Há caminho, desde que separado do KYC:

1. Escolher a base da campanha antes de tocar no dado. Consentimento, se for a base, tem de "referir-se a finalidades determinadas", e "as autorizações genéricas para o tratamento de dados pessoais serão nulas" (art. 8º, § 4º).
2. Se a base for legítimo interesse, usar só os dados estritamente necessários (art. 10, § 1º), fazer o teste de balanceamento para a finalidade nova e garantir transparência (art. 10, § 2º).
3. Informar o titular antes. Quando o tratamento original dependia de consentimento, o art. 9º, § 2º, manda informar previamente a mudança de finalidade, e o titular pode revogar.
4. Deixar biometria, resultado de risco e dado de qualificação fora da base da campanha.
5. Registrar a decisão no inventário de operações de tratamento, que o art. 37 exige, e que este blog explica em [registro das operações de tratamento](https://unifokal.com/blog/registro-das-operacoes-de-tratamento).

O reuso legítimo existe, mas é outro: reaproveitar a verificação para não pedir o mesmo documento duas vezes, dentro da mesma finalidade de identificação. Esse está em [reuso de verificação e minimização](https://unifokal.com/blog/reuso-de-verificacao-e-minimizacao).

## Fontes citadas

- Lei 13.709/2018, Lei Geral de Proteção de Dados Pessoais, arts. 6º, 7º, 8º, 9º, 10, 11 e 16, texto compilado no [Planalto](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm)
- Autoridade Nacional de Proteção de Dados, Guia orientativo Hipóteses legais de tratamento de dados pessoais, Legítimo interesse, fevereiro de 2024, em [gov.br/anpd](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia_orientativo_hipoteses_legais_tratamento_de_dados_pessoais_legitimo_interesse)
- Autoridade Nacional de Proteção de Dados, Guia orientativo para definições dos agentes de tratamento de dados pessoais e do encarregado, versão 2.0, Exemplo 8, em [gov.br/anpd](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia-orientativo-para-definicoes-dos-agentes-de-tratamento-de-dados-pessoais-e-do-encarregado)
- Banco Central do Brasil, Circular BCB 3.978/2020, versão consolidada, art. 16, em [normativos.bcb.gov.br](https://normativos.bcb.gov.br/Lists/Normativos/Attachments/50905/Circ_3978_v6_P.pdf)