LGPD na cobrança: base legal, contatos e terceiros

A cobrança de dívidas não depende do consentimento do devedor para tratar os dados dele. A LGPD tem uma base legal própria para isso, a “proteção do crédito”, ao lado da execução do contrato. O consentimento ainda conta em dois casos. O WhatsApp só permite mensagens a quem deu o número à empresa e aceitou recebê-las, e a lei paulista inclui a cobrança no cadastro de bloqueio de telemarketing. Até agora, a Autoridade Nacional de Proteção de Dados (ANPD) não aplicou nenhuma sanção ligada a cobrança, e o risco mais concreto para quem digitaliza a cobrança está nos tribunais, que vêm condenando credores por mandar cobranças a parentes, colegas e números que não são do devedor.

Este é o segundo artigo da série sobre a digitalização da operação de cobrança. Ele trata da primeira decisão da operação: que dados de contato usar e com que regras.

A base legal: proteção do crédito#

O artigo 7º da Lei Geral de Proteção de Dados lista as hipóteses em que dados pessoais podem ser tratados. Para a cobrança, três interessam:

• Execução de contrato (inciso V): cobrar o que o próprio contrato prevê, com os dados que o cliente informou ao contratar.
• Proteção do crédito (inciso X): a hipótese mais específica para a cobrança, “inclusive quanto ao disposto na legislação pertinente”.
• Legítimo interesse (inciso IX): para o que vai além disso, como usar um contato que o cliente não forneceu. Exige finalidade concreta, só os dados “estritamente necessários” e transparência (artigo 10), e o registro das operações (artigo 37).

O “exercício regular de direitos” (inciso VI) fala em processo judicial, administrativo ou arbitral, e serve à cobrança judicial, não à régua.

O direito de oposição também é mais estreito do que se costuma dizer. Pelo artigo 18, §2º, o titular pode se opor a um tratamento feito sem consentimento “em caso de descumprimento” da lei. Ele não dá ao devedor o direito de mandar parar a cobrança de uma dívida devida.

Que contatos usar#

A base legal autoriza tratar os dados do devedor dentro de limites. O guia da ANPD sobre legítimo interesse, de 2024, pede que se considere a legítima expectativa do titular, e um dos critérios é a fonte da coleta, isto é, se o dado veio do próprio titular, de terceiros ou de base pública. Na prática da operação, isso separa três situações:

• o telefone e o e-mail que o cliente informou no contrato ou atualizou depois;
• o contato obtido por enriquecimento de base, que o devedor nunca deu ao credor;
• o contato de referência, que o cliente indicou como de outra pessoa.

A primeira é o caso mais simples. As outras duas exigem justificar o uso, e o WhatsApp impõe uma restrição a mais, tratada adiante.

Há também o dever de corrigir. As condenações mais recentes vieram de cobranças mantidas depois de alguém avisar que o número não era do devedor.

Terceiros: onde estão as condenações#

A ANPD não aplicou, até outubro de 2026, nenhuma sanção ligada a cobrança, segundo a lista de processos sancionadores do órgão. Os tribunais decidem o tema com base no Código de Defesa do Consumidor, que proíbe expor o inadimplente a ridículo ou constrangimento (artigo 42) e trata como crime a cobrança que o exponha injustificadamente (artigo 71).

Três decisões ajudam a desenhar a regra da operação:

• Em 2021, o TJDFT condenou um banco que mandou mensagens de cobrança a terceiros pelo WhatsApp e fixou multa diária para o caso de novos contatos com familiares.
• Em 2023, o TJDFT condenou uma financeira e sua assessoria que procuraram parentes da cliente. O banco alegou que ela tinha indicado os contatos, mas não provou. Essa prova depende de guardar a origem de cada contato.
• Em 2026, o TJSC condenou um banco que mandou mensagens e boleto com nome, CPF, endereço e dados da dívida a um número que não estava no contrato, mesmo depois dos pedidos do cliente, por exposição de dados.

Nenhuma dessas decisões vem do Superior Tribunal de Justiça. Não encontramos precedente do STJ específico sobre mensagem de cobrança a terceiros. O tema está nas turmas recursais e nos tribunais estaduais, com valores baixos por caso. Numa operação digital, porém, o mesmo erro de cadastro se repete em escala.

Onde o consentimento volta a contar#

No WhatsApp. A política de mensagens do WhatsApp Business só permite contatar uma pessoa se ela deu o número à empresa e confirmou que aceita receber mensagens dela. Na versão em português, atualizada em 23/09/2026, essa regra ficou em inglês no meio do texto: “You may only contact people on WhatsApp if: (a) they have given you their mobile phone number”. Um número obtido por enriquecimento de base, ou indicado como referência, não cumpre a primeira condição, seja qual for a base legal pela LGPD. A política da plataforma tem outros pontos que afetam a cobrança, tratados no quarto artigo desta série.

Em São Paulo. A Lei estadual 17.832, de 2023, que consolidou as leis paulistas de defesa do consumidor, inclui “serviços de cobrança” no cadastro de bloqueio de telemarketing e conta como contato o envio de mensagens de aplicativos ligados à linha telefônica. A exceção criada em 2024 vale para ligações. Para uma base com números de São Paulo, a régua precisa consultar esse cadastro.

Assessorias e compradores de carteira#

A operação digital raramente fica só com o credor. Pela LGPD, a assessoria de cobrança que age em nome do credor é operadora (artigo 5º, VII) e deve seguir as instruções dele (artigo 39). Quem compra a carteira e decide por conta própria como cobrar passa a ser controlador. Os dois respondem por danos (artigo 42). Na prática, o contrato com a assessoria precisa dizer que contatos ela pode usar, de onde podem vir e o que fazer quando alguém avisa que o número não é do devedor.

A multa da ANPD pode chegar a 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração (artigo 52), mas nunca foi aplicada a um caso de cobrança. O custo que já aparece é o das condenações individuais, multiplicado pelo volume.

O que isso pede da operação#

• Registrar a origem de cada contato: informado pelo cliente, atualizado por ele, obtido de terceiros ou indicado como referência.
• Usar no WhatsApp só números que o próprio devedor forneceu, com aceite para receber mensagens.
• Tratar o aviso de “não sou eu” como correção obrigatória do cadastro, com prazo, e não como mais um contato sem sucesso. O artigo sobre registro de acionamentos de cobrança trata desse tipo de resultado.
• Consultar o cadastro de bloqueio paulista para números de São Paulo.
• Pôr as mesmas regras no contrato com as assessorias.

O próximo artigo trata da segunda decisão: quem vai para o digital e quem fica com o atendente.

Fontes#

• Lei 13.709/2018 (LGPD), texto compilado, artigos 5º, 7º, 10, 18, 37, 39, 42 e 52.
• Código de Defesa do Consumidor, artigos 42 e 71.
• ANPD, Guia Orientativo: Hipóteses legais de tratamento de dados pessoais, Legítimo Interesse, 2024; decisões em processos sancionadores.
• WhatsApp, Política de Mensagens do WhatsApp Business, versão de 23/09/2026.
• São Paulo, Lei 17.832/2023, artigo 127.
• Notícias oficiais dos tribunais: TJDFT, processos 0741973-73.2020.8.07.0016, 0741566-96.2022.8.07.0016, 0731822-19.2022.8.07.0003, 0762395-30.2024.8.07.0016 e 0727925-24.2025.8.07.0020; TJSP, apelação 1009022-46.2020.8.26.0590; TJSC, Vara de Penha, 2026.