ANPD abre processo sancionador contra Claro por compartilhamento de dados com a Serasa
- há 4 dias
- 6 min de leitura
Fiscalização aponta indícios de compartilhamento excessivo de dados pessoais, falhas de transparência e dificuldades no exercício dos direitos dos titulares. Caso reforça a importância da governança sobre compartilhamentos de dados com terceiros.
A Agência Nacional de Proteção de Dados (ANPD) instaurou um processo administrativo sancionador contra a Claro para apurar possíveis irregularidades no compartilhamento de dados pessoais de seus clientes com a Serasa.
A decisão foi divulgada pela ANPD em 8 de junho de 2026 e é resultado de uma fiscalização iniciada anteriormente para avaliar uma parceria entre as empresas. Segundo a Agência, o acordo previa o fornecimento de dados de clientes da operadora à Serasa para o desenvolvimento de metodologias de análise de crédito e avaliação de outras condições de mercado.
O caso chama atenção não apenas pelo volume de dados envolvidos, mas principalmente pela discussão sobre até onde uma empresa pode compartilhar dados pessoais de seus clientes com terceiros e quais controles precisam existir para que esse tratamento seja compatível com a LGPD.
O que a ANPD está apurando?
De acordo com a ANPD, entre as possíveis infrações atribuídas à Claro estão o compartilhamento excessivo de dados pessoais, a falta de transparência com os titulares e a dificuldade de acesso ao encarregado pelo tratamento de dados pessoais.
Em declaração divulgada pela própria Agência, o superintendente de Fiscalização da ANPD informou que a Claro teria compartilhado mais de cem dados de cada cliente com a Serasa.
Para a autoridade, a quantidade e a natureza das informações compartilhadas precisam estar relacionadas à finalidade pretendida. O fato de determinado dado estar disponível para a empresa não significa, por si só, que ele possa ser livremente compartilhado com terceiros.
Esse ponto está diretamente relacionado ao princípio da necessidade, previsto na LGPD, segundo o qual o tratamento deve ser limitado ao mínimo necessário para a realização de suas finalidades.
Além disso, o compartilhamento precisa ser transparente. O titular deve conseguir compreender, de maneira acessível, quais dados são tratados, para qual finalidade, com quem são compartilhados e quais são seus direitos.
Compartilhar dados não significa poder compartilhar tudo
O caso envolvendo Claro e Serasa traz uma reflexão importante para qualquer organização que compartilha informações pessoais com fornecedores, parceiros comerciais, plataformas ou outras empresas do grupo econômico.
A LGPD não proíbe o compartilhamento de dados pessoais. O que a legislação exige é que esse tratamento esteja fundamentado em uma hipótese legal adequada e respeite os princípios previstos na própria lei.
Isso significa que, antes de compartilhar uma base de clientes, por exemplo, a organização precisa responder a perguntas como:
Qual é a finalidade específica do compartilhamento?
Quais dados realmente precisam ser enviados?
Existe uma base legal adequada para esse tratamento?
O titular foi informado sobre o compartilhamento?
O terceiro utilizará os dados exclusivamente para a finalidade acordada?
Existem controles contratuais e técnicos para limitar o uso das informações?
Há mecanismos para acompanhar o tratamento realizado pelo terceiro?
Como os titulares poderão exercer seus direitos?
Por quanto tempo os dados permanecerão com o terceiro?
O compartilhamento foi submetido a uma avaliação de riscos?
Essas perguntas fazem parte de uma estrutura de governança de dados pessoais e devem ser consideradas antes da celebração de contratos e parcerias que envolvam informações de titulares.
E o consentimento?
Um ponto importante é não interpretar o caso como uma simples discussão sobre a ausência de consentimento.
A LGPD estabelece diferentes bases legais para o tratamento de dados pessoais, e o consentimento é apenas uma delas. Dependendo da finalidade e das circunstâncias do tratamento, outras hipóteses podem ser aplicáveis.
Por isso, a análise de conformidade não deve partir da pergunta “tem consentimento?”, mas de uma avaliação mais ampla:
“Qual é a finalidade do tratamento, qual base legal o sustenta e o tratamento realizado é necessário, adequado e transparente para essa finalidade?”
Essa distinção é fundamental para evitar uma visão simplificada da LGPD.
A parceria já foi encerrada
Segundo a ANPD, durante a fiscalização foram solicitadas informações às empresas e, posteriormente, o contrato entre Claro e Serasa foi encerrado.
Isso, entretanto, não impede a continuidade da apuração sobre eventuais irregularidades ocorridas durante o período em que o compartilhamento esteve vigente.
A Claro recebeu ainda determinações relacionadas aos contratos de compartilhamento de dados, abrangendo tanto contratos já existentes quanto futuros instrumentos dessa natureza.
E o Serasa?
A atuação da ANPD não se restringiu à Claro.
O Serasa também foi notificado, mas, neste momento, está submetido a um processo de fiscalização, e não ao mesmo processo administrativo sancionador instaurado contra a operadora.
A Agência pretende avaliar, entre outros pontos, a transparência oferecida aos titulares e os mecanismos disponibilizados para o exercício dos direitos previstos na LGPD.
A fiscalização também analisará se a política de privacidade do Serasa informa adequadamente quem compartilha dados com a empresa e com quem os dados tratados pela empresa são compartilhados. Caso sejam identificadas irregularidades, o procedimento poderá avançar para uma fase sancionadora.
Quais podem ser as consequências para a Claro?
A abertura do processo não significa que a Claro já tenha sido condenada ou sancionada.
A empresa ainda possui direito à defesa e à apresentação de provas. A ANPD informou que Claro e Serasa receberam prazo de dez dias úteis, contado a partir do recebimento da intimação, para apresentar suas manifestações.
Caso as infrações sejam confirmadas ao final do processo, poderão ser aplicadas sanções administrativas previstas no artigo 52 da LGPD, conforme a infração e as circunstâncias analisadas pela autoridade.
Entre as possibilidades estão:
advertência;
multa simples de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração;
publicização da infração;
bloqueio dos dados pessoais envolvidos na infração;
eliminação dos dados pessoais relacionados à infração;
entre outras medidas previstas na legislação.
Portanto, é importante diferenciar processo sancionador de sanção efetivamente aplicada. Neste momento, a ANPD está apurando os fatos e a responsabilidade da empresa.
O que esse caso ensina para as empresas?
Mais do que uma discussão envolvendo duas grandes empresas, o caso traz um alerta para organizações de todos os setores.
O compartilhamento de dados pessoais com terceiros precisa deixar de ser tratado apenas como uma questão contratual ou operacional.
Ele deve fazer parte da estratégia de Privacidade, Segurança da Informação e Governança de Dados da organização.
Antes de compartilhar informações pessoais, é recomendável que a empresa tenha, no mínimo:
Finalidade claramente definida
O motivo do compartilhamento precisa estar documentado e ser compatível com o tratamento originalmente realizado.
Minimização dos dados
Somente os dados necessários para alcançar a finalidade definida devem ser compartilhados.
Base legal documentada
A empresa precisa identificar e registrar a hipótese legal que sustenta o tratamento, considerando as características específicas da operação.
Transparência com os titulares
Políticas de privacidade, avisos e demais mecanismos de transparência devem refletir adequadamente os compartilhamentos realizados.
Contratos com terceiros
Os instrumentos contratuais devem estabelecer responsabilidades, finalidades, limites de utilização, requisitos de segurança, confidencialidade, retenção, eliminação e apoio no atendimento aos direitos dos titulares.
Gestão de riscos
Compartilhamentos relevantes devem ser submetidos a avaliações de risco e, quando aplicável, a análises de impacto à proteção de dados.
Monitoramento contínuo
Não basta avaliar o terceiro no momento da contratação. É necessário acompanhar se o parceiro continua utilizando os dados dentro das condições estabelecidas.
Um alerta para a maturidade em proteção de dados
O caso Claro e Serasa reforça uma mudança importante no cenário brasileiro: adequação à LGPD não significa apenas possuir políticas, contratos e documentos.
É necessário demonstrar que os princípios da legislação estão incorporados aos processos reais da organização.
Um contrato pode prever determinada finalidade, enquanto uma integração de sistemas pode transferir informações além do necessário. Uma política de privacidade pode mencionar compartilhamentos de forma genérica, enquanto o titular não consegue identificar efetivamente com quem seus dados são utilizados.
É justamente nessa diferença entre documentação e prática que surgem riscos relevantes.
A atuação da ANPD demonstra que operações de compartilhamento de dados estão no radar da autoridade e podem ser analisadas sob diferentes perspectivas: finalidade, necessidade, transparência, direitos dos titulares, atuação do encarregado, segurança e governança.
O que sua empresa deve revisar?
Diante desse cenário, empresas que realizam compartilhamento de dados pessoais com terceiros devem aproveitar o caso como oportunidade para revisar seus próprios processos.
Uma boa avaliação pode começar pelo mapeamento de todos os terceiros que recebem dados pessoais e pela identificação:
quem recebe → quais dados recebe → por que recebe → qual base legal sustenta o tratamento → por quanto tempo mantém os dados → com quem compartilha → quais controles existem → como o titular é informado.
Se essas respostas não estiverem claras, documentadas e coerentes com a operação realizada, existe uma oportunidade importante de melhoria na governança de privacidade.
O processo envolvendo Claro e Serasa ainda terá seus desdobramentos, mas a mensagem para o mercado já é relevante: compartilhar dados pessoais exige justificativa, proporcionalidade, transparência e controle.
A LGPD não trata o dado pessoal como um ativo que pode circular livremente entre empresas. Seu uso deve estar vinculado a uma finalidade legítima e aos princípios que orientam toda a atividade de tratamento.
Privacidade não termina quando o dado sai da sua empresa. A responsabilidade sobre o tratamento continua exigindo governança.
Comentários