Bureaus de dados entram na mira da ANPD, do STJ e de reguladores globais
ANPD, STJ e autoridades da Califórnia miram bureaus de dados: a chave virou provar a licitude de toda a cadeia de coleta e revenda de dados pessoais.
A Agência Nacional de Proteção de Dados incluiu a comercialização e a agregação de dados pessoais entre as prioridades de fiscalização para 2026-2027, mirando o mesmo mecanismo que sustenta os bureaus de dados: bases formadas a partir de informação colhida por terceiros, sob o guarda-chuva do legítimo interesse.
No Judiciário, o Superior Tribunal de Justiça já separou o que pode circular sem consentimento — o score de crédito — do que exige autorização expressa do titular, e afetou dois recursos repetitivos para uniformizar a tese.
Lá fora, a Califórnia mostra o preço de descumprir o registro de corretoras de dados, com multas diárias e um mecanismo centralizado de eliminação, enquanto a União Europeia mapeia o setor e o mercado testa data clean rooms como alternativa ao dado bruto.
O quadro reforça que a licitude da cadeia de tratamento, da coleta original à revenda, passou a ser o ponto central de escrutínio regulatório e judicial.
A Agência Nacional de Proteção de Dados fechou 2025 anunciando 75 fiscalizações para o biênio 2026-2027, distribuídas pelos quatro eixos do Mapa de Temas Prioritários publicado em dezembro. Entre os alvos declarados está o uso secundário de dados pessoais para publicidade direcionada quando envolve técnicas de perfilização — o cruzamento de informações para construir e comercializar perfis comportamentais.
O ciclo anterior já apontava a mesma direção: o Mapa 2024-2025 havia aberto um eixo dedicado a raspagem de dados e agregadores, com processos que seguem em andamento, segundo levantamento da Confidata. Nenhum dos dois mapas cita nominalmente os bureaus de dados — bureaus de crédito, corretoras e empresas de enriquecimento cadastral —, mas ambos miram o mesmo mecanismo: bases formadas a partir de informação coletada por terceiros.
É nesse mecanismo que está o problema jurídico. Quando um gestor de banco de dados adquire informação de um fornecedor (data provider), herda a responsabilidade de comprovar que a coleta original observou transparência e finalidade compatível — se a origem for obscura, toda a cadeia de tratamento subsequente fica sujeita a questionamento.
Legítimo interesse exige teste de três fases
A hipótese do legítimo interesse, prevista no art. 7º, inciso IX, da LGPD, autoriza o tratamento de dado pessoal sem consentimento quando há interesse do controlador ou de terceiro compatível com o ordenamento jurídico e vinculado a finalidade específica — é a base mais invocada por quem enriquece cadastro cruzando fontes de terceiros.
Em novembro de 2024, a Agência publicou o Guia Orientativo sobre Legítimo Interesse, propondo um modelo de balanceamento em três fases: identificação da finalidade e do interesse envolvido; verificação da necessidade, com checagem de alternativas menos invasivas ao titular; e a ponderação entre o benefício ao controlador e os direitos fundamentais do titular, com as salvaguardas cabíveis.
O guia soma a isso a legítima expectativa do titular — se existe relação prévia entre as partes, a forma como o dado foi coletado e a compatibilidade com o contexto original, segundo detalha a Data Privacy Brasil Research. Para quem compra dado de um fornecedor sem qualquer vínculo direto com o titular, esse costuma ser o ponto mais frágil do teste: a expectativa criada na coleta original raramente cobre o uso posterior por um comprador desconhecido.
STJ separa score de histórico de crédito
O Superior Tribunal de Justiça decidiu, em janeiro, que um gestor de banco de dados pode fornecer a terceiros apenas o score de crédito sem consentimento prévio — mas o histórico de pagamentos e demais informações cadastrais só podem circular com autorização expressa do titular.
A 3ª Turma, sob relatoria da ministra Nancy Andrighi, condenou uma empresa de análise de risco a pagar R$ 11 mil de indenização por repassar o histórico de crédito de uma consumidora sem esse aval, apurou o Conjur.
A distinção segue a Lei do Cadastro Positivo (Lei 12.414/2011), que desde 2019 exige registro dos gestores de banco de dados no Banco Central, com diretor responsável pela base e pela política de segurança da informação — o descumprimento autoriza o Banco Central a cancelar o registro e impedir o acesso a dados de instituições financeiras, conforme resolução do Conselho Monetário Nacional apurada pelo Coad.
A tese ainda não está fechada: dias depois, a mesma Corte afetou dois recursos repetitivos — REsp 2.226.946/SP e REsp 2.226.097/SP, sob relatoria do ministro Raul Araújo — para definir se o compartilhamento de dado pessoal não sensível sem aviso prévio é lícito e se gera dano moral presumido, suspendendo processos semelhantes em tramitação, segundo a Machado, Meyer, Sendacz e Opice.
A base que permite repassar o score sem consentimento é o art. 7º, inciso X, da LGPD, que trata da proteção ao crédito — mas advogados já apontavam, desde 2020, que a fórmula de cálculo do score goza de proteção como segredo comercial, o que tensiona esse dispositivo com a garantia de informação clara sobre o tratamento, prevista no art. 9º, observados os segredos comercial e industrial, segundo artigo publicado na LexLatin.
Multas por registro incorreto se acumulam
Nos Estados Unidos, o Estado da Califórnia oferece um retrato do que a fiscalização de bureaus de dados pode custar. Desde 1º de janeiro, a Califórnia opera o DROP (Delete Request and Opt-out Platform), sistema que permite a qualquer residente pedir, de uma só vez, a eliminação de seus dados em todas as corretoras registradas no estado.
O mecanismo funciona pela California Privacy Protection Agency (CPPA), autoridade que assumiu o registro de data brokers em 2024, com a chamada Delete Act.
O custo de operar fora do registro já apareceu em decisões concretas: a Rickenbacher Data foi multada em US$ 42 mil por não se registrar, a S&P Global pagou US$ 62 mil por 313 dias de atraso, e um corretor da Flórida enfrenta proposta de multa de US$ 46 mil, à razão de US$ 200 por dia de irregularidade, apuraram a Crowell & Moring e a Clark Hill.
No dia 3 de setembro, a CPPA foi além: publicou aviso de execução dedicado a corretoras que registram informação incorreta sobre si mesmas, alertando que a multa diária de US$ 200 incide mesmo sobre dado impreciso, e citou mais de uma dúzia de ações já abertas contra empresas não registradas, entre elas General Motors, Ford e Datamasters.
A pressão não vem só da Califórnia. Em fevereiro, a Federal Trade Commission enviou carta de alerta a 13 corretoras de dados sobre a Lei de Proteção de Dados Americanos contra Adversários Estrangeiros, que proíbe a venda de informação sensível — saúde, dado financeiro, biometria, geolocalização — a países como China e Rússia; o descumprimento abre caminho a multas de até US$ 53.088 por infração.
Clean rooms tentam blindar o dado bruto
Na Europa, o Comitê Europeu para a Proteção de Dados publicou, em março, um estudo de mercado sobre corretoras de dados encomendado pela autoridade belga de proteção de dados. O documento propõe uma metodologia para identificar e tipificar data brokers e faz uma primeira avaliação de risco por modelo de negócio, descrevendo o setor no país como diverso e com níveis de risco variados entre os diferentes tipos de corretora.
Do lado das empresas, a resposta técnica que ganha tração é a data clean room: em vez de entregar listas com CPF, telefone e e-mail, o fornecedor disponibiliza um ambiente controlado em que cada parte cruza sua própria base com a da outra sem visualizar o registro individual do lado oposto, recorrendo a criptografia e, em alguns provedores, à injeção de ruído estatístico — a chamada privacidade diferencial —, descreve a IAPP.
No Brasil, o movimento é puxado pelo mercado publicitário: estudo do IAB Brasil já apontava a tecnologia como resposta ao fim dos cookies de terceiros e às exigências da LGPD, reunindo agências, veículos e plataformas de mídia em torno do modelo.
A ressalva permanece: cruzar bases ainda depende de um identificador comum, em geral o e-mail, e a falta de padronização entre provedores deixa em aberto se todo acordo respeita finalidade e consentimento, ou apenas troca a exposição do dado bruto pela exposição do resultado do cruzamento.
Revisão editorial: Ricardo Nery
Compilado produzido com apoio de automação a partir das fontes listadas, com edição e revisão humanas antes da publicação.
Na data de 16 de setembro de 2026, momento da publicação desta notícia compilada, todos os links estavam disponíveis. Não nos responsabilizamos nem controlamos eventuais alterações, remoções das URLs ou modificações no conteúdo das fontes consultadas.