Consulta veicular também é dado pessoal, e isso muda tudo
Placa, chassi e número de CNH parecem informações técnicas, quase administrativas. Mas quando esses registros se conectam a um nome, um CPF ou um histórico de condução, eles se tornam dado pessoal para efeitos da LGPD. Isso vale para revendas checando procedência antes de uma compra, bancos avaliando risco de crédito, seguradoras precificando apólice ou locadoras validando um condutor.
Na prática, isso significa que toda consulta desse tipo precisa de uma base legal que a justifique, de limites claros sobre o que é coletado e por quanto tempo, e de capacidade de comprovar, depois, que o processo foi feito de forma correta.
Bases legais típicas para análise de risco, crédito e procedência
Legítimo interesse
É a base mais comum em avaliação de risco e checagem de procedência veicular. Para se sustentar, o legítimo interesse exige finalidade legítima e específica, necessidade real da consulta para aquele objetivo e um teste de proporcionalidade que pese o interesse da empresa contra o impacto na pessoa titular do dado. Documentar esse teste não é burocracia: é a peça que sustenta a defesa da empresa caso a base seja questionada.
Execução de contrato e obrigação legal
Quando a consulta é etapa necessária para formalizar um contrato (financiamento, seguro, locação), a base passa a ser execução de contrato ou de procedimentos preliminares. Em alguns fluxos, como comunicado de venda ou regularização cadastral, a base pode ser cumprimento de obrigação legal, já que normas de trânsito e de proteção ao consumidor impõem a checagem.
Consentimento: use com cautela
O consentimento raramente é a base mais adequada em análise de risco B2B, porque precisa ser livre, informado e revogável a qualquer momento, condição difícil de sustentar quando a consulta é pré-requisito do negócio. Usar consentimento onde o correto seria legítimo interesse ou execução de contrato costuma gerar mais fragilidade jurídica, não menos.
Minimização: pedir só o que o processo realmente precisa
Minimização não é um princípio abstrato, é uma regra de desenho de processo. Antes de qualquer integração, vale mapear qual decisão a consulta vai embasar e restringir a coleta a isso. Uma checagem de procedência para revenda não precisa do mesmo volume de dado que uma análise de crédito para financiamento de frota. Sistemas que devolvem mais campos do que o operador consegue justificar aumentam exposição sem aumentar valor.
Retenção: por quanto tempo guardar o que foi consultado
Reter dado de consulta indefinidamente é um dos erros mais comuns em empresas que lidam com risco e crédito. A LGPD exige que o prazo de guarda esteja atrelado à finalidade: enquanto durar a relação contratual, o processo de cobrança, uma obrigação legal de guarda ou o interesse legítimo declarado. Nunca "para sempre, por via das dúvidas". Definir e documentar uma política de retenção, com prazos por tipo de dado e gatilho de descarte, protege a empresa tanto de fiscalização quanto de incidentes de segurança envolvendo dado que já deveria ter sido eliminado.
Trilha de auditoria: a prova de que o processo foi correto
Ter base legal e minimizar dado não bastam se a empresa não consegue provar isso depois. Uma trilha de auditoria consistente registra quem consultou, quando, qual dado foi retornado, para qual finalidade declarada e sob qual base legal. Esse registro é o que transforma um processo de compliance de intenção em evidência, e é frequentemente o primeiro documento pedido em uma fiscalização ou em resposta a um titular que exercita direito de acesso.
O que exigir de um fornecedor de dados veiculares e de CNH
A responsabilidade pelo tratamento de dado não desaparece quando a consulta é terceirizada a um fornecedor. Antes de integrar qualquer provedor, vale checar:
- Origem declarada e rastreável das informações, com fontes oficiais identificáveis;
- Contrato ou termos que definam claramente papéis de controlador e operador, conforme a LGPD;
- Registro de logs de acesso e consulta disponível para auditoria da própria empresa contratante;
- Política de retenção do fornecedor compatível com a da empresa que consome os dados;
- Segurança de acesso à API, incluindo autenticação e expiração de sessão;
- Canal formal para tratar incidente de segurança e solicitação de titular.
Fornecedor que não responde com clareza a esses pontos transfere risco jurídico para quem contrata, mesmo que o incidente, no fim, tenha se originado do lado dele.
Base legal mal escolhida se resolve com um documento. Dado retido sem necessidade e sem trilha de auditoria se resolve, na maioria das vezes, só depois que algo já deu errado.
Fechamento
LGPD em consulta veicular e de CNH não é sobre evitar consultar. É sobre consultar com finalidade clara, dado mínimo, prazo definido e capacidade de provar cada etapa. Empresas que tratam esses quatro pontos como parte do desenho do processo, e não como camada adicionada depois, chegam mais preparadas tanto para auditoria quanto para o dia a dia de análise de risco. A AvaliService estrutura suas integrações de dados veiculares e cadastrais com essas exigências em mente.
Este conteúdo é informativo e não substitui assessoria jurídica especializada. Decisões sobre base legal, retenção e adequação à LGPD devem ser avaliadas com apoio de profissional habilitado, considerando o contexto específico de cada operação.