LGPD no varejo: dados do cliente no PDV e no crediário

Quase toda loja pede CPF no caixa, anota telefone para avisar sobre a troca e guarda ficha de crediário em pasta ou em sistema. Nada disso é irregular por si, mas tudo isso é tratamento de dado pessoal, e a lei tem exigências específicas sobre como fazer.

Este guia traduz a LGPD para a rotina de uma loja física de pequeno e médio porte: o que você pode coletar, por quanto tempo pode guardar, o que precisa estar visível para o cliente e o que fazer se houver vazamento ou perda de base.

O que conta como dado pessoal na loja

Dado pessoal é qualquer informação que identifique ou permita identificar uma pessoa. Em loja física, isso abrange muito mais do que o cadastro formal: nome e CPF no cupom, telefone anotado em caderno para avisar da encomenda, endereço de entrega, foto no grupo de WhatsApp de clientes, número de contato salvo no celular da loja e a lista de aniversários que a vendedora mantém para mandar mensagem.

Alguns dados exigem cuidado maior. Informação financeira, como histórico de crediário, limite, atraso e negativação, é sensível no uso prático mesmo quando não se encaixa na definição técnica de dado sensível da lei. Já dado de saúde, origem racial, convicção religiosa e biometria são dados sensíveis na definição legal e exigem base específica, o que importa em loja que usa reconhecimento facial ou que registra informação de saúde por algum motivo.

A primeira tarefa prática, então, é um inventário. Liste onde a loja guarda dado de cliente hoje, incluindo os lugares informais: sistema de gestão, planilha no computador do escritório, caderno do balcão, celular da loja, grupo de mensagens, pasta de fichas de crediário. Esse inventário é a base de tudo o que vem depois e leva menos de uma hora para fazer.

Base legal, o conceito que organiza tudo

A LGPD não proíbe tratar dado. Ela exige que cada tratamento tenha uma justificativa prevista em lei, chamada base legal. A maior parte da confusão no varejo vem de tratar consentimento como se fosse a única base, quando na prática ele é apenas uma de várias e quase nunca a mais adequada para a operação principal da loja.

Na rotina de uma loja, quatro bases cobrem quase tudo. Cumprimento de obrigação legal, que sustenta o CPF na nota fiscal e a guarda de documento fiscal pelo prazo exigido. Execução de contrato, que sustenta o cadastro necessário para a venda a prazo, a entrega e a garantia. Legítimo interesse, que pode sustentar prevenção a fraude e controle de troca, com cuidado e registro do raciocínio. E consentimento, que é a base necessária para o que não é preciso para vender, sobretudo comunicação de marketing.

A consequência prática é importante: dado coletado com uma base não pode migrar livremente para outra finalidade. O CPF que o cliente informou para sair na nota fiscal foi coletado por obrigação legal. Usar esse mesmo CPF e o telefone do cadastro para disparar promoção é outra finalidade, e precisa de consentimento específico para isso, obtido de forma destacada.

CPF no caixa e o erro mais comum

O erro mais frequente no varejo é exatamente o descrito acima, e ele costuma nascer de boa intenção. A loja monta uma base com todos os CPFs e telefones que passaram pelo caixa ao longo de dois anos e começa a disparar mensagem de promoção para essa lista. Nenhuma dessas pessoas consentiu com isso, e muitas vão estranhar.

A correção é simples e praticamente não custa nada. Separe no cadastro um campo de aceite específico para receber comunicação, com texto curto e claro, preenchido no momento em que o cliente é perguntado. A pergunta no balcão fica assim: o senhor quer receber as ofertas da loja por WhatsApp? Se o cliente disser que sim, marque o campo com data. Se disser que não, o cadastro continua válido para nota e para troca, só não entra na lista de comunicação.

Exemplo em loja de calçados. A loja tinha 3.100 cadastros acumulados e disparava promoção para todos. A mudança foi parar o disparo para a base antiga, incluir o campo de aceite no atendimento e reconstruir a lista a partir de quem autorizou. Em quatro meses a lista tinha 840 contatos, bem menor, e com taxa de resposta visivelmente melhor, porque era formada por quem pediu para receber. Esse tipo de base também funciona melhor em qualquer esforço de fidelização de cliente.

Crediário exige cuidado maior

Crediário próprio concentra o dado mais sensível que uma loja de varejo costuma guardar: documento, renda declarada, referências pessoais, histórico de pagamento e eventual registro de inadimplência. É também o dado que fica guardado por mais tempo, porque o contrato dura e a cobrança pode se estender.

Três cuidados fazem a maior diferença. Primeiro, guarda física com acesso restrito: pasta de ficha em gaveta trancada, não em balcão aberto. Segundo, acesso digital por usuário nomeado, de forma que seja possível saber quem consultou a ficha de quem. Terceiro, informar o cliente no momento da contratação sobre o que será feito com o dado, incluindo consulta a birô de crédito e eventual registro de inadimplência, o que já é prática no setor e precisa estar no contrato de forma legível.

Vale também um ponto que costuma passar: referência pessoal é dado de terceiro. Quando a ficha pede o telefone de dois conhecidos, a loja passa a tratar dado de pessoas que não são suas clientes e que não foram informadas. O mínimo aqui é não usar esse contato para nada além da finalidade declarada, nunca para divulgação, e orientar a equipe nesse sentido. A operação do crediário em si está detalhada em crediário próprio no varejo.

O que a regra de pequeno porte simplifica

A Resolução CD/ANPD número 2 de 2022 criou um regime simplificado para agentes de tratamento de pequeno porte, categoria que abrange microempresa, empresa de pequeno porte, MEI, startups e algumas iniciativas sem fins lucrativos, desde que não realizem tratamento de alto risco.

O que a resolução flexibiliza, em linhas gerais, inclui a dispensa de indicar formalmente um encarregado de proteção de dados, prazos mais longos para responder a pedidos de titulares e requisitos simplificados de registro das operações de tratamento. O que ela não faz é isentar a loja de responsabilidade. Continuam valendo a necessidade de base legal, o dever de informar o titular, o dever de segurança e a obrigação de comunicar incidente relevante.

• Faça o inventário de onde a loja guarda dado de cliente, incluindo caderno e celular.
• Defina a base legal de cada coleta e registre essa decisão em uma página.
• Separe consentimento de marketing do cadastro operacional, com data do aceite.
• Restrinja acesso à base de clientes e de crediário por usuário nomeado.
• Defina prazo de guarda por tipo de dado e descarte o que passou do prazo.
• Tenha um caminho simples para o cliente pedir correção ou exclusão do dado.

Acesso da equipe e tempo de guarda

Em loja pequena, o risco mais provável não é ataque externo sofisticado, é acesso interno sem controle. Senha compartilhada entre vendedores, computador do escritório com a planilha de clientes aberta, celular da loja com o WhatsApp dos clientes e sem bloqueio de tela. Nenhum desses casos envolve má intenção necessariamente, mas todos colocam a base de clientes fora de controle.

As medidas que funcionam são operacionais, não técnicas. Usuário individual por pessoa no sistema, com permissão proporcional à função, porque o operador de caixa não precisa listar a base inteira de clientes. Senha trocada quando alguém sai da equipe, no mesmo dia. Bloqueio de tela no computador e no celular da loja. E backup, que protege contra perda de dado, que também é um incidente de proteção de dados e não só um problema de TI, assunto tratado em segurança digital nas empresas.

Sobre tempo de guarda, a regra é guardar enquanto houver finalidade ou obrigação legal, e descartar depois. Documento fiscal tem prazo próprio definido pela legislação tributária. Cadastro de cliente sem compra há muitos anos e sem contrato em aberto não tem finalidade que justifique guarda indefinida. Definir um prazo, mesmo que simples, e cumpri-lo vale mais que uma política extensa que ninguém executa.

O que fazer em caso de vazamento

Incidente de segurança com dado pessoal inclui mais situações do que a loja imagina: notebook do escritório roubado com a base de clientes, celular da loja perdido, pasta de fichas de crediário extraviada, planilha enviada por engano para o contato errado, e ataque de ransomware que torna a base inacessível.

A sequência prática tem quatro passos. Primeiro, conter: trocar senhas, revogar acessos, isolar o equipamento afetado. Segundo, registrar o que aconteceu, quando foi descoberto, quais dados e quantas pessoas foram afetadas, com data e hora. Terceiro, avaliar o risco para os titulares, porque incidente que pode causar dano relevante exige comunicação à Autoridade Nacional de Proteção de Dados e aos titulares afetados. Quarto, corrigir a causa, não só o sintoma.

O prazo e o formato da comunicação são definidos pela ANPD em regulamentação própria, e vale consultar o site da autoridade no momento do incidente em vez de confiar em prazo decorado. O mais importante na hora é o registro: loja que documentou o que aconteceu e o que fez em resposta está em situação muito melhor que a que agiu bem e não anotou nada.