Solicitação de CPF por farmácias entra na mira da ANPD

Pense bem antes de digitar seu CPF para realizar uma compra em uma farmácia. Seu histórico de compras pode dizer muito sobre sua saúde e, por isso, há quem se interesse por ele, operadoras de planos de saúde, por exemplo.

Em 2018, o Ministério Público de Minas Gerais e o grupo que controla a Drogaria Araújo firmaram um termo de ajuste de conduta pelo qual a empresa comprometeu-se a cessar a prática de solicitar o CPF do consumidor. Ela havia sido multada com base no Código de Defesa do Consumidor.

Com a entrada em vigor da Lei Geral de Proteção de Dados, em setembro de 2020, esperava-se que a prática fosse deixada de lado. Mas não é o que se vê quando realizamos compras em outras drogarias ou em supermercados. O CPF é solicitado para a participação em programas de fidelidade, em sorteios ou para a concessão de descontos.

E o que há de irregular nisso? Em geral, dois pontos: - a falta de transparência sobre a utilização daquele dado e o desconto no preço de um produto ser condicfionado ao fornecimento do CPF. Em algumas situações o valor do desconto só é informado após a digitação dos dados no caixa.

Após reiteradas denúncias de órgãos de defesa do consumidor e da imprensa, a Autoridade Nacional de Proteção de Dados (ANPD) realizou um estudo sobre os processos de adequação e conformidade do tratamento de dados pelo setor varejista farmacêutico no Brasil. Foram analisadas as políticas de privacidade de alguns grupos com maior abrangência territorial e com número de clientes significativo.

 

 

O resultado não foi dos melhores. Falta de transparência sobre o tratamento de dados, utilização dos dados para finalidades diferentes daquelas indicadas aos consumidores (titulares) e até falta de conhecimento sobre os conceitos e princípios da LGPD. As conclusões constam de uma nota técnica divulgada pela agência no último dia 11/05.

Algumas políticas de privacidade analisadas, por exemplo, preveem que a coleta de dados visa ao perfilamento (profiling) publicitário e à vinculação do histórico de compras a programas de fidelidade. O problema é que para isso, citam apenas o consentimento do titular como base legal. Ocorre que o consentimento não basta. O controlador de dados que os requisita deve informar de forma clara a finalidade daquele tratamento. Isso dá ao titular melhores condições de se opor a determinado uso. 

Outas drogarias pesquisadas colhiam a biometria dos consumidores como forma de validação de sua identidade. Em suas políticas de segurança citavam a prática como mecanismo de segurança. Para a ANPD, a conduta fere o princípio da finalidade previsto na LGPD, pois os dados biométricos não são a única forma de verificação de identidade. Além disso, para a agência, outros meios de segurança menos gravosos poderiam ser utilizados.

Até agora, a ANPD vem preferindo um posicionamento mais pedagógico a uma postura punitiva, apesar da divulgação recente do regulamento sobre a dosimetria de penas.

Nesta toada, ela sugeriu que as associações que representam o setor de drogarias adotem um posicionamento mais ativo quanto à adoção de práticas adequadas à LGPD. Deixou a entender, porém, que a fiscalização poderá ser mais rígida. A nota técnica também pode ser um indicativo de que a agência adotará uma fiscalização setorial.