Uma ação judicial em Santa Catarina, movida contra uma plataforma B2B que fornece contatos para o setor imobiliário, está servindo de termômetro para um desafio cada vez mais presente na economia digital: de quem é a responsabilidade pela origem de um lead? Quando um consumidor questiona “como conseguiu meus dados?”, a resposta evasiva ou o silêncio já não são mais uma opção viável.

O caso, conforme analisado pelo portal TIInside, expõe a tensão na cadeia de tratamento de dados. De um lado, a plataforma que vende “leads qualificados”; do outro, a empresa que os compra para sua prospecção comercial. A Lei Geral de Proteção de Dados (LGPD) não faz distinção clara, tratando ambos como agentes de tratamento com deveres específicos. A leitura que emerge é que a era da confiança cega no fornecedor terminou. A responsabilidade é, na prática, compartilhada.

A cadeia de responsabilidade

A proliferação de serviços que prometem bases de dados para diversos setores colocou em xeque a diligência das empresas. Para a companhia que contrata uma plataforma de leads, cabe avaliar previamente se o parceiro tem condições de garantir a segurança e, crucialmente, a rastreabilidade da origem daquelas informações. Ignorar essa etapa é assumir um risco jurídico e reputacional que pode se materializar no primeiro contato com o consumidor.

Do lado do fornecedor da base, a obrigação é ainda mais fundamental. É preciso saber de onde vêm os dados que abastecem sua plataforma e se há base legal para seu tratamento. O precedente da primeira sanção aplicada pela Autoridade Nacional de Proteção de Dados (ANPD) à empresa Telekall Inforservice é um lembrete contundente. A governança em privacidade, como dita o artigo 50 da LGPD, deve ser aplicada a todo o conjunto de dados, independentemente de como foram coletados.

Do legítimo interesse à prova granular

No processo catarinense, a defesa baseada no “legítimo interesse” — uma das bases legais previstas na LGPD para tratamento de dados — não foi suficiente para convencer o judiciário. A decisão exigiu a comprovação individualizada da origem dos dados, o momento de sua coleta e uma avaliação concreta da compatibilidade entre a finalidade do tratamento e os direitos dos titulares. Na prática, a régua subiu: políticas de privacidade e relatórios de impacto, embora necessários, não bastam sem a prova factual e granular.

A consequência direta é a necessidade de um Registro de Operações de Tratamento de Dados Pessoais (ROPA) muito mais detalhado e minucioso. O ciclo de vida do dado precisa ser mapeado de ponta a ponta, tornando o processo, como aponta a fonte, “completo (para não dizer ‘complexo’)”. Para muitas empresas cujo modelo de negócio depende da agilidade na geração de leads, este é um desafio operacional e tecnológico significativo, que exige investimentos em sistemas e processos de rastreabilidade.

O debate, portanto, deslocou-se do se é preciso comprovar a origem para o quão detalhada essa comprovação deve ser. A decisão de Santa Catarina, embora não crie jurisprudência nacional, sinaliza uma maior intransigência do judiciário com a opacidade. Para o mercado de dados, a mensagem é clara: a pergunta sobre a origem da informação não é mais retórica e a resposta precisa estar na ponta da língua — e dos registros.

Com reportagem de Brazil Valley

Source · TIInside