LGPD no crédito B2B: o que sua empresa pode (e não pode) fazer com os dados da cadeia

Quem financia a própria cadeia — a indústria que dá prazo ao distribuidor, o distribuidor que parcela para o varejo — acumula, quase sem perceber, um dos ativos de informação mais sensíveis que uma empresa pode carregar: o dossiê de crédito dos seus compradores. Limite, histórico de pagamento, inadimplência, garantias, sócios, avalistas. E boa parte desse acervo circula amparado por uma premissa que parece sólida: "só trabalhamos com CNPJ, a LGPD não é problema nosso".

A premissa está meio certa — e é a metade errada que gera o passivo. A Lei Geral de Proteção de Dados (Lei 13.709/2018) de fato não protege empresas. Protege pessoas naturais. O problema é que todo dossiê de crédito B2B carrega uma camada inteira de pessoas naturais dentro dele. Este texto separa o que a lei alcança na sua operação, quais bases legais sustentam a análise de crédito sem pedir consentimento a ninguém, e quais práticas transformam um programa de crédito bem estruturado em infração.

A LGPD não protege empresas — protege as pessoas dentro delas

Dado pessoal, na definição do Art. 5º, I, da LGPD, é a informação relacionada a pessoa natural identificada ou identificável. O CNPJ do seu comprador, o balanço dele, o histórico de pagamento da empresa, o limite que você concedeu à pessoa jurídica: nada disso é dado pessoal. Essa camada do dossiê está fora do alcance da lei.

A camada seguinte, não. Os sócios e administradores que aparecem no contrato social consultado no onboarding. O avalista pessoa física que garante a duplicata. O beneficiário final (UBO) identificado no KYC. O e-mail nominal do comprador da loja que negocia pedido com você. Tudo isso é dado de pessoa natural — e entra no regime integral da LGPD, com base legal, finalidade, direitos do titular e dever de segurança. No B2B de micro e pequenas empresas o corte é ainda mais fino: no MEI e no empresário individual, o CNPJ está vinculado ao CPF de uma única pessoa, e o dado "da empresa" identifica a pessoa natural por trás dela.

Diagrama conceitual autoral. A pergunta útil não é "atendo PF ou PJ?", e sim "onde há pessoa natural identificável no meu fluxo de crédito?".

Consentimento não é a base do crédito — e insistir nele é um erro

O Art. 7º da LGPD lista dez bases legais para tratar dados pessoais, sem hierarquia entre elas. Consentimento é apenas uma — e, para operações de crédito, a menos adequada. Três outras fazem quase todo o trabalho:

Execução de contrato (Art. 7º, V): cobre os dados necessários para formalizar, faturar, conciliar e cobrar a operação com o comprador. Legítimo interesse (Art. 7º, IX): sustenta prevenção a fraude e gestão de risco da carteira, desde que documentado em um teste de balanceamento — o registro de que o interesse do negócio não atropela direitos do titular. Proteção do crédito (Art. 7º, X): a base desenhada exatamente para análise, concessão e recuperação de crédito, que dispensa consentimento de forma expressa.

Essa terceira base dialoga com a Lei do Cadastro Positivo (Lei 12.414/2011), que — após a alteração da Lei Complementar 166/2019 — tornou automática a inclusão de pessoas físicas e jurídicas nos bancos de dados de histórico de crédito, sem consentimento prévio, garantindo ao cadastrado comunicação posterior, acesso, correção e saída.

Por que consentimento é a pior escolha aqui? Porque ele é revogável a qualquer tempo (Art. 8º, § 5º) — e análise de risco não pode depender de autorização que o analisado retira quando a notícia fica ruim. Pedir consentimento para o que a lei já autoriza cria uma obrigação frágil onde existia fundamento sólido.

O que a sua operação pode fazer

Com as bases certas mapeadas, o repertório é amplo. Consultar birôs e formar score do comprador e dos seus sócios e avalistas está coberto pela proteção do crédito. Automatizar a decisão — motor de crédito que aprova, nega ou define limite sem intervenção humana — é permitido; a lei não proíbe decisão automatizada, ela cria uma contrapartida, que veremos adiante. Reter os dados após o fim da relação para cobrança e defesa em disputa também é legítimo: guarda com finalidade e prazo definidos, tipicamente atrelados à prescrição das obrigações.

O ponto que mais gera dúvida é o funding. Quando o recebível da sua cadeia é cedido a um FIDC ou a uma securitizadora, os dados do sacado e dos garantidores viajam junto com o título — sem eles, o veículo não cobra nem concilia. Essa transferência acompanha a operação e se apoia nas mesmas bases que sustentaram a concessão. O que a LGPD exige é disciplina contratual: o contrato de cessão precisa definir quem responde como controlador (quem decide o que fazer com o dado) e onde há operador (quem trata por conta de outro — o servicer, por exemplo), além de deveres de segurança e de resposta a titulares em cada elo da esteira.

O que a sua operação não pode fazer

O primeiro limite é o desvio de finalidade — onde programas de crédito de cadeia mais escorregam. Dado coletado para analisar crédito serve para analisar crédito. Transformar o dossiê dos compradores em mailing de prospecção, cruzá-lo com o CRM para ações de venda ou cedê-lo a um parceiro "para gerar oportunidades" são usos novos, que exigem base legal própria, avaliada antes — não justificada depois. O segundo limite é a retenção indefinida: dado sem finalidade ativa é passivo acumulado, não ativo.

O terceiro é o motor de crédito sem porta de saída. O Art. 20 da LGPD dá ao titular o direito de solicitar a revisão de decisões tomadas unicamente por tratamento automatizado — e cita nominalmente o perfil de crédito. O § 1º completa: o controlador deve fornecer informações claras sobre os critérios da decisão, resguardados os segredos comercial e industrial. Traduzindo para a operação: você não precisa abrir o modelo, mas precisa de um canal para o avalista ou sócio pedir revisão e de uma explicação inteligível dos critérios gerais.

O quarto é o silêncio diante de incidente. A Resolução CD/ANPD 15/2024 fixou em 3 dias úteis o prazo para o controlador comunicar à ANPD e aos titulares os incidentes que possam gerar risco ou dano relevante — e dados financeiros estão expressamente entre os que caracterizam esse risco. Um vazamento do dossiê da cadeia é, por definição, um incidente comunicável. Ter um plano de resposta que caiba em três dias úteis deixou de ser sofisticação.

Mapa rápido — uso do dado na operação de crédito B2B e o que o sustenta

Uso do dado	Regime	Fundamento e condição prática
Consultar birô e formar score de sócios/avalistas	Pode	Proteção do crédito (Art. 7º, X, LGPD) + Lei 12.414/2011. Sem consentimento; com transparência e direitos de acesso e correção.
Cobrar, conciliar e faturar a operação	Pode	Execução de contrato (Art. 7º, V). Limitado aos dados necessários para a relação.
Compartilhar dados com FIDC/securitizadora na cessão	Pode	Acompanha a operação cedida. Condição: papéis de controlador/operador e deveres de segurança definidos no contrato de cessão.
Decidir crédito por motor 100% automatizado	Pode	Permitido, com contrapartida: canal de revisão e explicação dos critérios gerais (Art. 20 e § 1º), resguardado o segredo comercial.
Usar o dossiê de crédito para prospecção comercial	Não, assim	Desvio de finalidade. Uso novo exige base legal própria, avaliada antes do uso — não uma justificativa construída depois.
Vender ou ceder a base da cadeia a terceiros fora da operação	Não	Sem base que o sustente na finalidade original. Monetizar dado pessoal da cadeia é infração, não linha de receita.
Guardar tudo, para sempre, "por garantia"	Não	Retenção exige finalidade e prazo (ex.: prescrição para cobrança e defesa). Depois disso, eliminação ou anonimização.

Quadro conceitual autoral, de caráter informativo. Arranjos híbridos ou de fronteira pedem avaliação jurídica do caso concreto.

Quanto custa errar

O Art. 52 da LGPD prevê multa simples de até 2% do faturamento da empresa, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração — mais multa diária com o mesmo teto, e sanções cumuláveis na mesma decisão. Em números: uma distribuidora com faturamento de R$ 120 milhões carrega exposição de até R$ 2,4 milhões por infração. Três infrações autônomas — base legal ausente, desvio de finalidade, incidente não comunicado — são três tetos independentes.

O histórico de aplicação ainda é brando: até o início de 2026, a ANPD havia aplicado multa pecuniária em um único caso, no valor de R$ 14,4 mil, concentrando o restante da atuação em advertências e determinações corretivas, segundo levantamento da Turivius (2026). Ler isso como ausência de risco seria um erro — a dosimetria está publicada (Resolução CD/ANPD 4/2023) e o enforcement cresce.

Para quem opera crédito, aliás, a multa nem é a sanção que mais dói. O mesmo Art. 52 permite o bloqueio dos dados e a suspensão do funcionamento do banco de dados por até 6 meses. Uma esteira de crédito sem acesso à própria base não analisa, não concede e não cobra: é a operação parada, não uma linha de despesa. E há a publicização da infração — para uma empresa que pede à cadeia inteira que confie a ela seus dados financeiros, o anúncio público de que tratou mal esses dados corrói exatamente o ativo que sustenta o programa.

O que fazer com isso

Cinco movimentos colocam um programa de crédito de cadeia em ordem. Um: inventarie a camada PF do seu dossiê — sócios, avalistas, UBOs, contatos nominais — e registre onde cada dado entra, circula e sai; o registro de operações de tratamento é obrigação do Art. 37. Dois: atribua uma base legal a cada finalidade, e resista à tentação do consentimento genérico: proteção do crédito, execução de contrato e legítimo interesse documentado cobrem o núcleo da operação com muito mais solidez. Três: leve a LGPD para os contratos — o do programa com seus compradores (transparência sobre consulta a birôs e compartilhamentos) e o de cessão com o veículo de funding (papéis, segurança, resposta a titulares). Quatro: instale a porta do Art. 20 na régua de crédito: canal de revisão e explicação padrão dos critérios antes que o primeiro avalista negado a exija. Cinco: tenha um plano de incidente que caiba em três dias úteis — descoberta, avaliação de risco, comunicação.

E uma regra de bolso para encerrar: o dado da cadeia trabalha para a decisão de crédito. Qualquer outro uso precisa de fundamento próprio, construído antes — porque na LGPD, ao contrário do que a prática comercial sugere, é muito mais barato pedir permissão do que pedir desculpas.