A LGPD se aplica à cobrança sempre que uma operação trata dados de pessoas físicas, como nome, telefone, CPF ou histórico de pagamentos. Para credores, equipes internas e empresas contratadas, reduzir riscos exige definir uma finalidade legítima, limitar os dados ao necessário e controlar quem acessa cada informação.

Na prática, conformidade não depende apenas de obter consentimento. Depende de documentar a base legal adequada, comunicar com discrição, proteger os dados ao longo dos canais e saber como responder a pedidos e incidentes.

Pontos principais para uma cobrança com menos riscos

• Use somente dados necessários para identificar a pessoa, localizar a obrigação e conduzir a negociação.
• Registre a finalidade e a base legal que justificam cada tratamento, sem presumir que consentimento é sempre obrigatório ou suficiente.
• Evite revelar a dívida a terceiros e confira se o canal e o destinatário estão corretos.
• Defina por contrato as responsabilidades do credor e do prestador, além dos controles de acesso, segurança e descarte.
• Prepare um fluxo para atender solicitações dos titulares e avaliar incidentes de segurança.

Quais dados podem ser usados na cobrança?

Trate apenas os dados pessoais necessários para uma finalidade definida. Nome, meios de contato, identificação da obrigação, vencimento e histórico de tentativas podem ser úteis, mas cada campo precisa ter uma justificativa operacional.

Antes de importar ou compartilhar uma base, revise sua origem, atualidade e qualidade. Dados incorretos podem levar a contatos equivocados, ampliar a exposição de informações e prejudicar uma pessoa que não é responsável pela dívida. Evite campos livres com anotações excessivas, informações íntimas ou detalhes sem relação com a negociação.

A Lei Geral de Proteção de Dados apresenta princípios como finalidade, adequação, necessidade, segurança e prevenção. Para a cobrança, isso significa usar informações compatíveis com o objetivo, reduzir excessos e aplicar medidas para evitar acesso ou divulgação indevidos.

Qual base legal pode justificar o tratamento?

Não existe uma única base legal que sirva automaticamente para toda cobrança. A organização deve avaliar o contexto e registrar por que uma hipótese prevista na lei é adequada ao tratamento específico.

Entre as possibilidades estão a proteção do crédito, a execução de contrato e, quando os requisitos forem atendidos, o legítimo interesse. Essa última hipótese exige avaliar finalidade, necessidade e impactos sobre os direitos da pessoa. A orientação da ANPD sobre legítimo interesse ajuda a estruturar essa análise. Dados pessoais sensíveis têm regras próprias e não devem ser incluídos em uma operação por conveniência.

Consentimento não é uma autorização universal para qualquer uso. Se a cobrança se baseia em outra hipótese legal, a empresa deve explicar o tratamento com transparência e respeitar limites, direitos e obrigações aplicáveis.

Como reduzir riscos em cada etapa da operação?

Controles simples, definidos antes do primeiro contato, ajudam a prevenir exposição, erros de destinatário e acessos desnecessários. Um fluxo prático pode seguir estas etapas:

1. Preparar a base: valide a origem, corrija inconsistências e remova campos que não sejam necessários.
2. Restringir acessos: permita que cada profissional consulte apenas os dados exigidos por sua função e revise essas permissões periodicamente.
3. Selecionar canais com cuidado: confirme a identidade do destinatário antes de transmitir detalhes e não exponha a dívida em notificações visíveis a terceiros.
4. Registrar as interações: mantenha histórico proporcional e útil para dar continuidade à negociação, evitando notas excessivas ou subjetivas.
5. Revisar retenção e descarte: defina por quanto tempo as informações são necessárias e documente as exceções relacionadas a obrigações legais ou exercício regular de direitos.

Como usar WhatsApp, e-mail e voz sem expor o devedor?

O canal não muda a necessidade de proteger os dados. Uma mensagem de cobrança deve chegar à pessoa correta, revelar apenas o necessário e oferecer um meio seguro para confirmar a obrigação e negociar.

Em notificações que podem aparecer na tela bloqueada ou ser lidas por outra pessoa, evite incluir CPF completo, valor detalhado ou descrição sensível da dívida. Em ligações, confirme com quem está falando antes de divulgar informações. Automatizações e inteligência artificial também precisam de limites: dados acessíveis, respostas permitidas, registros e encaminhamento para atendimento humano devem ser definidos.

Não use insistência, exposição pública ou linguagem que constranja o destinatário. Revise modelos de mensagens e roteiros de voz antes de ativar campanhas, e acompanhe reclamações e erros para ajustar a operação.

Quem responde pelo tratamento: credor ou prestador?

Controlador é quem toma decisões sobre o tratamento; operador trata dados em nome do controlador, seguindo suas instruções. A função de cada parte depende do que realmente faz, não apenas do título usado no contrato.

Por isso, credor e prestador devem definir por escrito finalidades, instruções, acessos, medidas de segurança, regras de subcontratação, retenção e resposta a solicitações ou incidentes. O artigo 42 da LGPD prevê reparação de danos causados por tratamento em desacordo com a lei, conforme as circunstâncias e a atuação dos agentes envolvidos.

Se houver incidente que possa gerar risco ou dano relevante, o controlador deve avaliar a comunicação à ANPD e às pessoas afetadas. A orientação da ANPD sobre incidentes descreve o procedimento de comunicação. Ter um plano interno ajuda a identificar o ocorrido, conter o problema e reunir as informações necessárias.

Como a escolha do modelo de cobrança afeta os cuidados?

O modelo de contratação muda a rotina e a divisão operacional do trabalho, mas não elimina a necessidade de esclarecer responsabilidades e proteger os dados. Na Kollecta, a Assessoria de Cobrança Digital assume os acionamentos e opera com a marca Kollecta em evidência; a Orquestração de Cobrança Digital configura canais e uma IA personalizada em modelo de marca branca para a operação do contratante.

Em qualquer modelo, o alinhamento entre as partes deve esclarecer quem define as finalidades, quais dados serão acessados, como os canais serão usados e como solicitações ou incidentes serão tratados. A avaliação do fornecedor deve incluir essas respostas, junto com controles técnicos, processos e regras contratuais, e não apenas a tecnologia ou o canal de contato.

Perguntas frequentes

O que é a LGPD e como ela se aplica à cobrança?

A LGPD é a Lei nº 13.709/2018, que estabelece regras para o tratamento de dados pessoais no Brasil. Na cobrança, ela orienta como credores e prestadores podem coletar, consultar, compartilhar, proteger e conservar informações usadas para localizar o devedor e negociar o pagamento.

É preciso pedir consentimento para cobrar uma dívida?

A cobrança pode se apoiar em uma base legal adequada ao caso, como proteção do crédito, execução de contrato ou legítimo interesse, quando aplicável. A escolha depende da finalidade e dos dados tratados, deve ser documentada e não elimina a obrigação de respeitar os direitos do titular.

O que o artigo 18 da LGPD estabelece?

O artigo 18 assegura direitos como confirmar o tratamento, acessar e corrigir dados e, em certas condições, solicitar anonimização, bloqueio ou eliminação. O pedido deve ser analisado conforme a base legal e as obrigações aplicáveis; a existência de uma dívida não torna todo dado automaticamente eliminável.

O que diz o artigo 42 da LGPD?

O artigo 42 prevê a obrigação de reparar danos causados por tratamento de dados pessoais em violação à legislação. A responsabilidade depende das circunstâncias e da atuação de cada agente, por isso contratos, instruções documentadas e controles de segurança ajudam a esclarecer deveres, sem afastar responsabilidades legais.

É permitido informar terceiros sobre a dívida de alguém?

Não é uma prática segura revelar a existência ou os detalhes da dívida a familiares, colegas ou outras pessoas. Direcione a comunicação ao próprio devedor, confirme o destinatário antes de informar dados e limite o conteúdo da mensagem ao necessário para identificar a cobrança e oferecer um canal de negociação.