Aos 38 anos, Simone, manicure, recebeu 2 avisos no mesmo dia, sobre uma parcela e um vazamento numa loja, abriu o extrato e achou um contrato que nunca assinou, separou fraude, cadastro e correção em 3 frentes, e só então soube o que a LGPD e a ANPD garantem ao titular

2 notificações chegaram quase juntas ao celular de Simone, manicure autônoma de 38 anos, numa noite fria de julho, numa cidade pequena do interior. A primeira era do aplicativo do banco: parcela de um empréstimo consignado que ela nunca contratou. A segunda vinha de um grupo de vizinhas no aplicativo de mensagens, avisando sobre um vazamento de dados numa loja de cosméticos onde ela havia comprado produtos meses antes.

Ela não reconhecia o nome da financeira.

Ela vive de fazer unhas em casa e organiza o próprio dinheiro em cadernos de anotações. Ao abrir o extrato completo, encontrou o contrato: valor descontado direto de uma conta que nem era a dela, aberta havia poucas semanas. O CPF, o nome completo e a data de nascimento estavam corretos — só o endereço e o telefone de contato eram diferentes dos que ela usa. Foi aí que juntou as duas notícias: os dados vazados provavelmente tinham sido usados para abrir a conta e assinar o contrato em seu nome.

Ela passou a manhã seguinte ligando para a central de atendimento do banco, sendo transferida de setor em setor, até conseguir um protocolo de contestação. No caminho, percebeu que precisava entender 3 coisas separadas ao mesmo tempo: o que a loja fez com os dados vazados, o que o banco fez ao aceitar o contrato sem confirmar quem estava do outro lado, e o que ela mesma podia exigir de cada um. Misturar as 3 frentes numa única reclamação só deixava o atendimento mais lento, porque cada empresa respondia apenas pela parte que lhe cabia.

Sem saber por onde começar, ela separou os prints do extrato, o aviso de vazamento e um comprovante de endereço atual, e foi atrás de entender a quem cobrar o quê.

Quem deve corrigir o cadastro primeiro: a loja que vazou os dados ou o banco que abriu o crédito?

São duas relações diferentes, e por isso duas cobranças diferentes. A empresa que tratou os dados pessoais — no caso, a loja de cosméticos — é quem deve responder, como controladora, a um pedido de informação sobre o que vazou e como isso está sendo tratado. Já o banco ou financeira que abriu o contrato é quem deve receber a contestação formal do empréstimo não reconhecido, já que foi ele quem aceitou a operação sem confirmar que era mesmo a titular do CPF do outro lado.

A Lei Geral de Proteção de Dados garante ao titular o direito de pedir confirmação de tratamento, acesso aos próprios dados, correção de informações incompletas ou desatualizadas e, em alguns casos, eliminação — sempre dirigido ao controlador ou ao encarregado de dados da empresa. Vale registrar por escrito, guardando protocolo, e repetir o pedido ao banco separadamente, pedindo a análise da fraude e a correção do cadastro que consta em seu nome. Os direitos do titular estão detalhados na página da ANPD sobre titulares de dados, que explica cada um desses pedidos.

Contestar o contrato encerra a cobrança de imediato?

Não existe garantia de solução automática. A contestação abre um processo de análise interno da instituição financeira, que pode pedir documentos adicionais, como boletim de ocorrência registrado sobre o uso indevido dos dados, para investigar a origem do contrato. Enquanto isso acontece, é recomendável formalizar por escrito que a dívida está sendo contestada e guardar todos os protocolos de atendimento, evitando pagar parcelas de um contrato que não foi reconhecido sem antes obter uma resposta oficial.

Se ficar demonstrado que a cobrança foi feita por engano — e não houver justificativa razoável da instituição para o erro —, a lei prevê que valores pagos indevidamente podem ser devolvidos em dobro. Isso não significa que toda cobrança questionada será automaticamente revertida dessa forma: depende de como a instituição responde e de como o caso é analisado.

“Eu só queria entender por que meu nome estava numa dívida que eu nunca vi”, repetia a manicure ao atendente do banco, tentando montar a linha do tempo entre o vazamento e o contrato.

Quando vale a pena acionar a ANPD além do banco e da loja?

A Autoridade Nacional de Proteção de Dados recebe petições de titulares quando a empresa não atende, dentro de um prazo razoável, aos pedidos de confirmação, acesso, correção ou eliminação de dados. Ou seja: o caminho normal é primeiro procurar diretamente o controlador — no exemplo, a loja que sofreu o vazamento — e só levar o caso à ANPD se a resposta não vier ou for insuficiente. A eliminação de dados não é um direito absoluto, já que existem obrigações legais de guarda de determinadas informações, mas a correção de dados incorretos e a transparência sobre o que foi vazado podem e devem ser cobradas.

Enquanto isso, dois cuidados ajudam a documentar a situação: registrar boletim de ocorrência sobre o uso indevido dos dados e do CPF, e acompanhar o histórico de crédito para verificar se surgem outras tentativas de contratação. Nenhuma dessas medidas garante, por si só, o cancelamento imediato da dívida — elas servem para reunir prova de que a contratação não partiu da consumidora.

Também ajuda manter um pequeno controle próprio, fora dos aplicativos das empresas envolvidas: data de cada contato, nome de quem atendeu, número de protocolo e resumo do que foi dito. Esse tipo de anotação parece burocrático no início, mas costuma ser o que diferencia uma reclamação que anda de outra que fica repetindo a mesma explicação a cada novo atendente. Quando o assunto envolve dados pessoais e crédito ao mesmo tempo, o histórico organizado facilita tanto a análise do banco quanto uma eventual petição à ANPD, caso a loja não responda dentro de um prazo razoável.

Bancos também têm reforçado mecanismos para identificar e bloquear movimentações suspeitas, tema já detalhado em outra reportagem sobre o bloqueio automático de contas suspeitas, o que mostra como o setor tem lidado com fraudes de identidade em paralelo à análise de cada contestação individual.

Uma história como esta, embora hipotética, mostra o que fazer quando dados pessoais são usados em conta ou contrato não reconhecido: pedir informações e correção, contestar o contrato e reclamar à ANPD quando direitos não forem atendidos. Casos reais variam de acordo com o histórico de cada consumidor e a resposta de cada empresa, por isso a análise individual, com documentos em mãos, é sempre o passo mais importante.