Blog

Ofício pedindo dados de cliente: o que entregar e o que recusar

UNIFOKAL8 min de leituraLGPD e compliance

Ordem judicial, requisição do Ministério Público, ofício de delegado e pedido de regulador têm regimes diferentes. Como autenticar, delimitar o escopo e registrar o atendimento.

Chega um e-mail com ofício timbrado pedindo "todos os dados" de um cliente verificado, prazo de quarenta e oito horas, menção a crime de desobediência. Quem opera verificação de identidade guarda imagem de documento, selfie, resultado de checagens e trilha de decisão, exatamente o acervo que investigação e fiscalização procuram.

As duas reações instintivas erram. Entregar tudo rápido é tratamento sem base legal e expõe dados de terceiros que nunca foram alvo. Negar em bloco invocando proteção de dados descumpre a lei quando a autoridade tem competência requisitória expressa.

Este artigo descreve prática de operação e não substitui parecer jurídico: todo ofício concreto passa pelo advogado da empresa.

Ordem judicial, requisição e ofício não são a mesma coisa

Tratar todo pedido como igual é a origem do erro nas duas direções.

  • Ordem judicial é a porta larga. A Lei 12.965/2014, o Marco Civil da Internet, determina no artigo 10, parágrafo 1º, que o provedor só é obrigado a disponibilizar os registros mediante ordem judicial. Provocado pela parte interessada, o artigo 22 exige fundados indícios do ilícito, justificativa motivada da utilidade e o período dos registros.
  • Autoridade policial e Ministério Público, em investigação criminal, têm alcance estreito. A Lei 9.613/1998, no artigo 17-B, dá acesso exclusivamente aos dados cadastrais do investigado que informem qualificação pessoal, filiação e endereço, sem autorização judicial, inclusive os mantidos por instituições financeiras e provedores de internet. A Lei 12.850/2013 repete a fórmula no artigo 15, e o Supremo Tribunal Federal, na Ação Direta de Inconstitucionalidade 4.906, de setembro de 2024, manteve o dispositivo e excluiu qualquer dado além desses três.
  • Autoridade administrativa segue o artigo 10, parágrafo 3º, do Marco Civil, que ressalva os mesmos dados cadastrais aos órgãos com competência legal para requisitá-los. O Decreto 8.771/2016, no artigo 11, exige da autoridade o fundamento legal de competência expressa e a motivação, define dado cadastral como filiação, endereço e qualificação pessoal, isto é, nome, prenome, estado civil e profissão, e veda pedidos coletivos genéricos ou inespecíficos.
  • Sigilo financeiro tem lei própria. A Lei Complementar 105/2001 manda as instituições financeiras conservarem sigilo em suas operações ativas e passivas e serviços prestados, com portas distintas: artigo 3º para o Poder Judiciário, artigo 4º para o Poder Legislativo Federal e as comissões parlamentares de inquérito, artigo 6º para autoridades fiscais com processo administrativo instaurado ou procedimento fiscal em curso.

Um fornecedor de tecnologia não é instituição financeira, mas seu cliente regulado é: o mesmo ofício muda de regime em cada ponta.

Autenticar o pedido antes de responder

Ofício falso é vetor conhecido de engenharia social: timbre é trivial de falsificar, número de processo inventado passa despercebido, e o prazo curto existe para impedir a conferência.

O mínimo são quatro passos. Conferir o número do processo ou do inquérito no sistema do tribunal, nunca no documento recebido. Ligar para o telefone institucional do site oficial, nunca o impresso no ofício. Conferir se o órgão tem previsão legal para requisitar aquilo. E, no caso administrativo, exigir o fundamento legal e a motivação que o artigo 11 do Decreto 8.771/2016 obriga a declarar.

Entregar exatamente o que foi pedido

O recorte é a pessoa requisitada, o período requisitado, os itens requisitados. Nada além.

O excesso não é cooperação, é infração. A Lei 13.709/2018, a LGPD, submete todo tratamento aos princípios de finalidade e necessidade do artigo 6º, e dado fora do alcance da requisição não tem finalidade que o sustente. Pior, o excesso carrega terceiros: um despejo bruto de sessão traz o operador que revisou o caso, endereços de IP de outras pessoas e imagem de fundo com gente que nunca foi investigada.

Pedido genérico do tipo "todos os dados que a empresa possua" merece resposta pedindo especificação: o decreto veda pedidos coletivos genéricos ou inespecíficos. E quando aqueles dados não são coletados, informe: o parágrafo 1º do mesmo artigo manda comunicar o fato à autoridade solicitante e dispensa o fornecimento.

Dado cadastral, registro e conteúdo têm portas distintas

A lei separa três camadas, e confundi-las é o que faz entregar de menos ou de mais.

Dado cadastral é a porta mais larga, limitada a qualificação pessoal, filiação e endereço, acessível a autoridade administrativa competente e à investigação criminal sem ordem judicial.

Registro de conexão e registro de acesso a aplicações, definidos no artigo 5º do Marco Civil, dependem da ordem judicial do artigo 10, parágrafo 1º, e têm prazos próprios, menores que o do acervo de verificação: um ano pelo artigo 13, dever do provedor de conexão, e seis meses pelo artigo 15, o dever de quem opera a aplicação. Os prazos estão detalhados na guarda de logs pelo Marco Civil.

A terceira camada é o conteúdo e o acervo de verificação: imagem do documento, selfie, dados extraídos, resultado biométrico. O artigo 10 do Marco Civil sujeita a guarda e a disponibilização de dados pessoais e de conteúdo de comunicações privadas à preservação da intimidade e da vida privada, e o parágrafo 2º condiciona o conteúdo de comunicações privadas a ordem judicial. É a camada mais protegida, e nenhuma porta administrativa a alcança: requisição de dado cadastral não autoriza entregar selfie, imagem de documento ou resultado biométrico. A hipótese da Lei Complementar 105/2001, artigo 1º, parágrafo 3º, inciso IV, pela qual não viola o sigilo a comunicação de ilícitos penais ou administrativos às autoridades competentes, é o caminho da comunicação espontânea feita pela instituição obrigada, não uma porta para atender ofício que pede o acervo.

Registrar o atendimento e decidir sobre o aviso ao titular

O artigo 37 da LGPD obriga controlador e operador a manter registro das operações de tratamento, e o artigo 6º, inciso X, positiva a prestação de contas. Responder a ofício é operação de tratamento, e a empresa precisará demonstrar que agiu certo.

O registro útil tem seis campos: quem pediu, o que foi pedido com o ofício anexado, o que foi entregue item a item, quando, quem autorizou e sob qual fundamento legal. Na UNIFOKAL, por exemplo, a trilha de auditoria registra quem consultou e quem exportou cada verificação, a evidência que transforma suposição em prova.

Avisar o titular pode ser vedado ou postergado. Ele tem, pelo artigo 18 da LGPD, o direito de saber com quem seus dados foram compartilhados, assunto do artigo sobre direitos do titular em KYC. Mas o artigo 23 do Marco Civil permite ao juiz determinar segredo de justiça, inclusive quanto aos pedidos de guarda de registro, e a Lei 9.613/1998, no artigo 11, inciso II, manda a pessoa obrigada comunicar ao COAF, o Conselho de Controle de Atividades Financeiras, abstendo-se de dar ciência do ato a qualquer pessoa, inclusive àquela a que a informação se refira. Esse dever é do cliente regulado, não do fornecedor de tecnologia. A decisão é do jurídico, caso a caso, e o padrão seguro é não avisar antes dela.

A evidência acompanha o horizonte do acervo a que se refere. Para a instituição regulada, esse horizonte é o do artigo 67 da Circular BCB 3.978/2020: no mínimo dez anos de conservação das informações de conhecimento do cliente, contados do primeiro dia do ano seguinte ao fim do relacionamento.

Quem responde, e por que o fluxo vem antes do ofício

Improviso sob prazo curto produz a entrega errada, então o fluxo precisa estar escrito antes do primeiro ofício, com três papéis separados. O encarregado pelo tratamento de dados pessoais, do artigo 41 da LGPD, é o canal de contato e quem aciona o processo, com as atribuições descritas no artigo sobre o encarregado de dados. O jurídico decide o mérito. Operações executa a extração dentro do escopo aprovado, sem consulta livre ao banco.

O artigo 4º, inciso III, da LGPD afasta da lei o tratamento feito para fins exclusivos de segurança pública e de investigação e repressão de infrações penais, remetido a legislação específica pelo parágrafo 1º. Isso descreve o tratamento da autoridade e não dispensa a empresa privada de base legal para entregar: costuma ser o artigo 7º, inciso II, obrigação legal ou regulatória, ou o artigo 7º, inciso VI, exercício regular de direitos em processo judicial, administrativo ou arbitral. Nomear qual delas sustentou a entrega é parte da resposta.

Fontes citadas