Nos últimos tempos, ao finalizar uma compra em lojas, farmácias e supermercados, é cada vez mais comum que os funcionários peçam que o cliente informe seu CPF em troca de um desconto. Mas isso é correto? Quando o comerciante pode e quando não pode pedir CPF em troca de desconto? Quem responde a essas perguntas é o professor de Direito da FGV, Nicolo Zingales, que integra a equipe do Centro de Tecnologia e Sociedade (CTS) da instituição.

Segundo o docente, especialista na Lei Geral de Proteção de Dados (LGPD), em uma farmácia, por obrigação legal, o que pode ser exigido é a receita médica para remédios controlados, o que pode incluir a identificação do individuo e informação sensível sobre a sua saúde. Caso a receita não seja necessária, o consumidor não precisa fornecer dado nenhum. O mesmo vale em supermercados, pontua o especialista.

Com relação aos descontos, o professor da FGV esclarece que os estabelecimentos podem condicionar o fornecimento de descontos à informação prévia do CPF. No entanto, os valores devem ser razoáveis e o procedimento deve ser feito com transparência sobre a utilização desses dados. "A depender do montante, podem ser equiparados à chantagem", explica.

Além disso, segundo o especialista, existe uma grande falta de informação sobre as finalidades do tratamento dos dados pessoais envolvidos na associação do CPF aos produtos comprados, o que é expressamente exigido pela LGPD. Somando a isso, algumas farmácias passaram a utilizar termos de consentimento pré-preenchidos, o que pode ser questionado pela LGPD por não ser livre e inequívoco. De acordo com Zingales, a lei também considera nulo o consentimento obtido com base em informações fornecidas ao titular que tenham conteúdo enganoso ou abusivo ou que não tenham sido apresentadas previamente com transparência, de forma clara e inequívoca.

"Segundo o direito de proteção aos consumidores, pode-se considerar abusiva qualquer prática contratual que coloque o consumidor em desvantagem exagerada, ou seja incompatível com a boa-fé ou a equidade. A mesma presunção legal de vulnerabilidade e hipossuficiência do consumidor aparece na LGPD em relação aos titulares de dados e às empresas controladoras/operadoras de dados", esclarece Nicolo Zingales.

As sanções da nova LGPD passaram a valer no dia 1º de agosto e desde então, a Autoridade Nacional de Proteção de Dados (ANPD) poderá aplicar as sanções previstas na Lei nº 13.709/2018. O prazo inicial era fevereiro de 2020, mas a data foi adiada pela Lei nº 14.010/2020 (que dispõe um Regime Jurídico Emergencial e Transitório as relações jurídicas de Direito Privado (RJET) no período da pandemia do coronavírus).

Entre as punições previstas, a que mais preocupa as empresas é a aplicação de multas, que podem chegar a R$50 milhões. Também será possível bloquear o tratamento de dados, o que pode inviabilizar modelos de negócio que não protejam as informações pessoais dos clientes.

Nesse sentido, o professor da FGV acredita que, a partir de agosto, haverá a aceleração de processos de adequação nas empresas, o que, na avaliação do docente, ainda caminha lentamente no Brasil, especialmente quando se afasta a atenção das grandes empresas. "A implementação das sanções gerará a sensação de "urgência e necessidade" nesse percurso", completa o especialista.

Segundo o docente, há um movimento ainda lento e embrionário nesse processo de adequação das empresas. No entanto, ele acredita que será inegável o ganho das empresas com a nova LGPD, que estarão mais seguras, e os titulares de dados também ganharão, com mais mecanismos aptos a garantir o exercício de seus direitos.

"Grandes empresas iniciaram seus programas de conformidade à LGPD antecipadamente, não apenas por uma questão de recursos, mas muito por pressões do mercado externo - movimentação e exigência que vêm sendo assimiladas internamente e que, em um futuro próximo, serão cruciais para continuidade ou início de parcerias ou contratações entre empresas", pondera Nicolo Zingales.