LGPD em cadastros de promoções: dados, direitos e cuidados

A LGPD protege seus dados nos cadastros de promoções: a empresa precisa justificar o que coleta, informar como usa as informações e permitir o exercício dos seus direitos. Participar de um sorteio não equivale a autorizar qualquer propaganda, compartilhamento ou armazenamento por tempo indeterminado. Essas regras continuam valendo depois do encerramento da campanha.

Antes de preencher o formulário, procure a identificação do responsável, a política de privacidade e um canal para solicitações. Este guia explica o que conferir, quais são as bases legais e como agir diante de coleta excessiva ou uso indevido. O portal é informativo: não organiza promoções nem recebe pedidos em nome das empresas.

Que dados estão protegidos e quem responde por eles

Nome, CPF, telefone, endereço e e-mail são dados pessoais. Fotos, localização e identificadores digitais também podem identificar alguém, diretamente ou em conjunto com outras informações. Dados sobre saúde, origem racial, religião e biometria vinculada a uma pessoa recebem proteção específica como dados pessoais sensíveis. CPF e informações bancárias não são classificados automaticamente como sensíveis pela LGPD, mas exigem cuidados de segurança.

O controlador decide as finalidades e os meios essenciais do tratamento. Em uma campanha, costuma ser a empresa promotora. O operador trata dados em nome do controlador, como uma prestadora contratada para administrar inscrições. Uma agência ou plataforma não é necessariamente apenas operadora: seu papel depende das decisões que efetivamente toma.

Procure o contato do encarregado ou o canal de privacidade indicado pela empresa. Algumas organizações podem estar dispensadas de indicar encarregado conforme a regulamentação aplicável, mas isso não elimina a obrigação de oferecer canal de comunicação ao titular. Terceirizar o formulário não afasta as responsabilidades previstas na lei.

Bases legais: consentimento não é a única possibilidade

O artigo 7º da LGPD prevê diferentes bases legais para dados pessoais comuns. A empresa deve identificar uma hipótese adequada para cada finalidade; não basta escrever que todo uso está autorizado porque o participante aceitou o regulamento. Entre as hipóteses que podem ser pertinentes estão:

• Consentimento: manifestação livre, informada e inequívoca para finalidade determinada. Autorizações genéricas são nulas; cabe ao controlador demonstrar que o obteve validamente.
• Obrigação legal ou regulatória: tratamento necessário para cumprir exigência efetivamente aplicável à promoção. A empresa deve explicar qual obrigação justifica a coleta ou conservação.
• Execução de contrato ou procedimentos preliminares: quando o dado for necessário à relação contratual com o titular ou a procedimentos solicitados por ele, observadas as circunstâncias concretas.
• Legítimo interesse: exige finalidade legítima, necessidade e ponderação com direitos e expectativas do titular. Não é uma autorização geral para explorar a base de participantes.
• Exercício regular de direitos: pode fundamentar a conservação de registros necessários à defesa em processos, sem legitimar novos usos comerciais.

Marketing não depende sempre de consentimento: outra base pode ser cabível, como o legítimo interesse, desde que seus requisitos sejam atendidos. Tampouco o silêncio ou a ausência de oposição equivalem automaticamente a consentimento. Dados sensíveis seguem as hipóteses específicas do artigo 11; o legítimo interesse do artigo 7º não serve de fundamento para tratá-los.

O que precisa estar claro antes do aceite

Pelos princípios do artigo 6º, a coleta deve respeitar finalidade, adequação, necessidade, transparência e segurança. Leia o regulamento para entender a participação e o aviso de privacidade para compreender o tratamento dos dados. Os documentos podem se complementar, mas um não substitui automaticamente o outro.

O aviso deve permitir identificar as finalidades, a forma e a duração do tratamento, o controlador e seus contatos, o compartilhamento e suas finalidades, além das responsabilidades dos agentes e dos direitos do titular. Expressões como “melhorar sua experiência” não esclarecem, sozinhas, por que dados serão entregues a parceiros comerciais.

Se a propaganda for baseada em consentimento, procure uma escolha específica, separada da aceitação das regras da promoção e sem marcação automática. Condicionar a participação a um uso desnecessário dos dados pode comprometer a liberdade do consentimento. Não trate essa exigência apenas como uma condição comercial que basta aceitar ou recusar: ela pode ser questionada.

Compartilhar dados com a agência que operacionaliza inscrições é diferente de entregá-los a outras empresas para ofertas próprias. A empresa precisa justificar cada operação e informar suas finalidades. Quando o compartilhamento entre controladores depender de consentimento, este deve ser específico, ressalvadas as hipóteses legais de dispensa.

O que é razoável pedir em cada etapa

A necessidade depende da finalidade e do momento da campanha. CPF pode ser necessário para identificar participantes, prevenir duplicidades ou atender exigências aplicáveis; sua presença não prova abuso. A empresa, porém, deve conseguir explicar a necessidade, em vez de pedir todos os documentos preventivamente.

Por exemplo, imagine uma promoção de viagem que pede passaporte de todos os inscritos antes da apuração, embora o documento só seja necessário para emitir a viagem do contemplado. Cabe questionar por que não solicitar essa informação apenas ao ganhador, em canal seguro e no momento adequado. O mesmo raciocínio vale para endereço completo, documentos de acompanhante e informações de saúde.

Dados de crianças e adolescentes exigem observância de seu melhor interesse e das regras do artigo 14. Não forneça documentos de filhos ou acompanhantes apenas porque aparecem em um formulário genérico. Confira se a participação é permitida e por que cada informação é necessária.

Direitos do titular previstos no artigo 18

Você pode exercer seus direitos perante o controlador, mediante requerimento seu ou de representante legalmente constituído. O artigo 18 assegura:

1. Confirmação da existência de tratamento.
2. Acesso aos dados pessoais.
3. Correção de dados incompletos, inexatos ou desatualizados.
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
5. Portabilidade a outro fornecedor, mediante solicitação expressa, conforme regulamentação e respeitados os segredos comercial e industrial.
6. Eliminação dos dados tratados com consentimento, ressalvadas as hipóteses de conservação do artigo 16.
7. Informação sobre entidades públicas e privadas com as quais houve uso compartilhado.
8. Informação sobre a possibilidade de não consentir e as consequências da negativa.
9. Revogação do consentimento.

A portabilidade não significa transferência automática de qualquer cadastro promocional. Sua aplicação depende dos requisitos legais e regulatórios. A oposição também tem contorno próprio: o titular pode opor-se ao tratamento realizado com fundamento em hipótese de dispensa de consentimento quando houver descumprimento da LGPD.

Revogar consentimento é gratuito e deve ser facilitado. Isso não torna ilícito retroativamente o tratamento anterior nem obriga a apagar registros mantidos legitimamente por outra base. Se a empresa precisar conservar documentos para obrigação legal, deve explicar a retenção e restringir o uso à finalidade que a justifica, em vez de manter propaganda indefinidamente.

Como fazer uma solicitação que possa ser acompanhada

Use o canal oficial de privacidade e indique a promoção, o e-mail usado no cadastro, o pedido concreto e uma forma de resposta. Por exemplo: “Solicito acesso aos meus dados, informação sobre as entidades com que foram compartilhados e revogação do consentimento para publicidade. Caso algum registro precise ser conservado, peço indicação da justificativa e do período aplicável”.

Guarde a mensagem, a data e o protocolo. A empresa pode precisar confirmar sua identidade para evitar entregar dados a terceiros, mas deve usar meios proporcionais. Não envie cópia integral de documentos a um perfil de rede social sem verificar quem recebe e por qual motivo.

Confirmação e acesso podem ser fornecidos imediatamente em formato simplificado ou por declaração clara e completa em até 15 dias, nos termos do artigo 19. Não aplique esse prazo indistintamente a todos os direitos: outras solicitações seguem as regras pertinentes. Se não puder adotar imediatamente a providência, o controlador deve apresentar as razões ou informar que não é agente responsável, indicando outro sempre que possível.

Quando e como recorrer à ANPD

Se o pedido ao controlador não for atendido satisfatoriamente, procure no portal oficial da ANPD o serviço de petição de titular. Anexe a tentativa anterior, a resposta recebida ou o registro da falta de resposta e explique qual direito considera violado. Consulte no próprio serviço os requisitos e a forma de identificação vigentes.

A denúncia de descumprimento da LGPD tem finalidade distinta: comunica possível infração, como coleta excessiva sistemática ou ausência de canal de atendimento. A petição de titular se refere ao exercício de um direito individual perante determinado controlador. A ANPD considera essas manifestações em sua atuação fiscalizatória, mas não funciona como serviço de indenização nem garante uma solução individual imediata.

Em uma relação de consumo, Procon e plataformas de atendimento também podem ajudar. Para reparação de danos, pode ser necessária a via judicial. Se a suspeita envolver fraude na própria campanha, consulte o guia dos canais para denunciar sorteios irregulares, pois fiscalização de promoções e proteção de dados têm competências diferentes.

Cuidados práticos e sinais de coleta abusiva

Antes de enviar dados, confirme o endereço do site por um canal independente da mensagem recebida. O cadeado de conexão indica criptografia, não honestidade. Um formulário hospedado por terceiro não é automaticamente fraudulento, mas precisa identificar o responsável e explicar o tratamento. Faça também a verificação de CNPJ e histórico da empresa.

Desconfie de pedidos de senha, código de autenticação, acesso remoto ao celular ou dados completos de cartão para inscrição gratuita. Não forneça essas informações. Documentos sem justificativa, autorização para uso irrestrito e ausência de contato do controlador também exigem esclarecimento antes de prosseguir.

Um e-mail secundário reduz a exposição do endereço principal e facilita acompanhar mensagens promocionais, mas não impede vazamentos nem anonimiza você. Se houver criação de conta, use senha exclusiva. Salve a versão do regulamento, o aviso de privacidade, as escolhas feitas e o comprovante de inscrição.

Após um possível vazamento, pergunte ao controlador quais dados foram afetados e quais medidas adotou. Proteja contas relacionadas, altere senhas comprometidas e monitore tentativas de fraude. Nem todo incidente exige comunicação aos titulares: a obrigação legal se refere aos que possam acarretar risco ou dano relevante, conforme a regulamentação. Se já houver prejuízo ou roubo de conta, siga também as providências para vítimas de golpe de sorteio.

Próximos passos

Só conclua o cadastro quando entender quem trata seus dados, para quais finalidades e como exercer direitos. Guarde os comprovantes, registre pedidos pelo canal oficial e recorra à ANPD quando cabível. Excluir dados, parar publicidade e denunciar fraude são providências diferentes: escolha a adequada ao problema e preserve os respectivos protocolos.