Consulta de crédito | Quem pode consultar, e para quê

Consultar o histórico de crédito de alguém parece um ato técnico: uma chamada de API, um CPF, uma resposta. Para a lei brasileira, é um ato com dono, motivo e responsabilidade. A Lei 12.414/2011, a lei do Cadastro Positivo, diz quem pode consultar, para quê, e quem responde quando a consulta causa dano ao cadastrado.

Este artigo lê esses dispositivos na redação vigente, depois da Lei Complementar 166/2019, e traduz o que eles pedem do fluxo de quem consulta. O artigo sobre o Cadastro Positivo no onboarding cobre os papéis de gestor e fonte e os direitos do cadastrado; aqui o foco é o consulente, a ponta que faz a pergunta.

Quem pode perguntar: a relação com o cadastrado

O artigo 15 é curto e decisivo: "As informações sobre o cadastrado constantes dos bancos de dados somente poderão ser acessadas por consulentes que com ele mantiverem ou pretenderem manter relação comercial ou creditícia."

A regra tem duas saídas legítimas. A primeira é a relação que já existe: o cliente da carteira, o tomador de um contrato em andamento. A segunda é a relação pretendida: quem está no meio de uma proposta, de um cadastro para crédito, de uma venda a prazo. O que fica de fora é a consulta sem relação nenhuma, feita por curiosidade, por prospecção fria ou para montar uma base.

O Decreto 9.936/2019, que regulamenta a lei, repete a regra no artigo 9º e acrescenta o outro lado no parágrafo único: o gestor do banco de dados mantém políticas e controles para garantir que as informações sejam acessadas somente por consulente que atenda a esse requisito. Na prática, o gestor vai pedir ao consulente que declare a relação, e o consulente precisa ter como sustentar essa declaração consulta a consulta.

Para quê: as duas finalidades do artigo 7º

O artigo 7º diz para que a informação pode ser usada, e a lista é fechada. O inciso I permite a realização de análise de risco de crédito do cadastrado. O inciso II permite subsidiar a concessão ou extensão de crédito e a realização de venda a prazo ou outras transações comerciais e empresariais que impliquem risco financeiro ao consulente.

A Lei Geral de Proteção de Dados, a LGPD, conversa com essa lista. O artigo 7º, inciso X, dela autoriza o tratamento de dado pessoal "para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente", e a legislação pertinente inclui justamente a Lei 12.414. A base legal existe, mas vem com a finalidade amarrada: o dado obtido para análise de crédito não serve de variável de marketing, de segmentação de campanha ou de enriquecimento de cadastro para outro produto.

Quem responde: a responsabilidade solidária

O artigo 16, na redação dada pela Lei Complementar 166/2019, fecha o raciocínio: o banco de dados, a fonte e o consulente são responsáveis, objetiva e solidariamente, pelos danos materiais e morais que causarem ao cadastrado, nos termos do Código de Defesa do Consumidor.

Duas palavras pesam. Objetiva quer dizer que não é preciso provar culpa: basta o dano e o nexo com a consulta. Solidária quer dizer que o cadastrado pode cobrar de qualquer um dos três, inclusive do consulente, que é quem fez a pergunta. Consultar sem relação, ou usar a resposta fora da finalidade, deixa de ser um risco só do gestor e passa a ser do consulente também.

O que isso pede do fluxo de quem consulta

Traduzidas para a engenharia, as três regras viram quatro controles.

O primeiro é declarar a finalidade antes da consulta, e não depois. Se o fluxo sabe que vai consultar crédito, a finalidade escolhida entre as duas do artigo 7º é parte da configuração desse fluxo, visível para quem audita.

O segundo é declarar a relação na própria consulta. A relação muda de titular para titular: um é cliente, outro é proposta. Por isso ela é dita a cada vez, por quem opera, e fica gravada junto da consulta.

O terceiro é conferir a identidade antes de perguntar. A relação é com uma pessoa, e não com um número de CPF digitado. Consultar o crédito de um CPF cuja identidade ainda não foi confirmada é perguntar sobre alguém com quem, possivelmente, ninguém tem relação nenhuma. O caminho natural é o crédito entrar depois da verificação de identidade aprovada, e não antes.

O quarto é registrar cada consulta. O artigo 10, inciso IV, do decreto pede ao gestor rastreabilidade auditável nos sistemas de guarda e acesso. O consulente que também registra, do lado dele, qual consulta foi feita, com qual finalidade, qual relação e sobre qual verificação, tem a prova pronta quando o cadastrado pergunta ou o órgão fiscaliza. O artigo sobre a autorização de consulta ao SCR mostra a mesma lógica de guarda aplicada ao Sistema de Informações de Crédito do Banco Central.

Na UNIFOKAL, por exemplo, as consultas de crédito de pessoa seguem esse desenho: o fluxo declara a finalidade, a sessão declara a relação com o titular, só titular aprovado na verificação é consultado, e cada consulta entregue fica registrada, sem o CPF no registro.

Perguntas frequentes

Posso consultar o crédito de um lead que ainda não pediu nada?

A lei exige relação mantida ou pretendida com o cadastrado. Um lead que iniciou uma proposta de crédito ou de compra a prazo está numa relação pretendida; um contato frio, sem proposta nenhuma, não está.

A autorização do titular substitui a relação?

Não para o artigo 15, que fala da relação do consulente com o cadastrado. A autorização específica do artigo 4º, inciso IV, é uma exigência a mais para o histórico detalhado, e não dispensa a relação.

Fontes citadas

• Lei 12.414/2011, Cadastro Positivo, artigos 4º, inciso IV, 7º, 15 e 16, este na redação da Lei Complementar 166/2019: planalto.gov.br
• Decreto 9.936/2019, artigos 9º e 10, inciso IV: planalto.gov.br
• Lei 13.709/2018, Lei Geral de Proteção de Dados Pessoais, artigo 7º, inciso X: planalto.gov.br
• Lei Complementar 166/2019: planalto.gov.br