Os dados pessoais protegidos pela Lei Geral de Proteção de Dados Pessoais se dividem em dados pessoais (em sentido estrito) e em dados pessoais sensíveis (art. 5º, I e II, da LGPD).
Os dados pessoais em sentido estrito são aqueles relacionados a uma pessoa natural, identificada ou identificável e compreendem, em regra, os dados biográficos e os cadastrais, tais como o nome, a nacionalidade, a data de nascimento, o estado civil, o número de documento (RG, CPF, CNH etc.), o domicílio, entre outros. Contudo, esse enquadramento deve ser feito por exclusão, porque os dados biográficos e cadastrais só podem ser definidos como dados pessoais propriamente ditos quando, na situação concreta, não se encaixarem na definição legal de dados pessoais sensíveis.
Por exemplo, a foto de uma pessoa é, em regra, um dado pessoal. Porém a foto de um candidato em concurso público para vagas de cotas raciais é um dado pessoal sensível.
Da mesma forma, o CPF é um dado pessoal, mas, em determinadas situações pode se tornar um dado pessoal sensível.
A principal situação em que isso ocorre no Brasil está na exigência do CPF para a realização de compras (e, muitas vezes, para a obtenção de um desconto ou promoção) em farmácias e drogarias. Ao relacionar o CPF de uma pessoa às compras de medicamentos e outros produtos ou serviços relacionados à sua saúde, esse dado passa a ser enquadrado no conceito de dado pessoal sensível do art. 5º, II, da LGPD.
Por isso, nesse caso há uma proteção diferenciada do CPF, o que compreende inclusive a necessidade da indicação pelo controlador (farmácia ou drogaria) de uma base legal prevista no art. 11 (e não no art. 7º) da LGPD.
A Lei nº 17.301/2020, do Estado de São Paulo, em vigor desde o dia 02 de dezembro de 2020, possui duas regras sobre esse tema em seu art. 1º:
(a) em regra, proíbe as farmácias e drogarias de exigir o número do CPF de seus clientes, como condição para o ato de compra de produtos e serviços ou para a concessão de promoções (como o desconto no valor do produto comprado ou de outros);
(b) excepcionalmente, autoriza as farmácias e drogarias localizadas no território do Estado a solicitar aos clientes o seu número de CPF, desde que (b.1) prestem informações prévias adequadas e claras acerca da abertura de cadastro ou de registro com os dados pessoais, (b.2) e esclareçam que o seu não fornecimento não impede a concessão de promoções aos consumidores.
O descumprimento dessas regras é sancionado com multa administrativa, que pode ser aplicada em dobro na hipótese de reincidência.
Além disso, o art. 2º da Lei estadual nº 17.301/2020 inclui uma obrigação acessória às farmácias e drogarias, de fixar avisos contendo a frase "Proibida a exigência do CPF no ato da compra que condiciona a concessão de determinadas promoções", em tamanho de fácil leitura e em local de passagem e fácil visualização nos estabelecimentos.
Essa lei estadual de São Paulo pode ser analisada sob dois aspectos.
Em primeiro lugar, em um aspecto formal, é preciso verificar a competência – ou não – do Estado para regular o assunto.
A matéria regulada pela lei estadual envolve questões de Direito Civil (personalidade e dados pessoais) e Comercial (regras de exercício de atividade empresarial), o que se enquadra na competência legislativa privativa da União (art. 22, I, da Constituição).
Porém, também trata de Direito do Consumidor (relação entre as farmácias e drogarias e seus consumidores) e de proteção da saúde, o que se enquadra na competência legislativa concorrente da União, dos Estados e do Distrito Federal (art. 24, V, VIII e XII, da Constituição).
Na análise de leis específicas (estaduais e municipais) sobre as atividades de drogarias e farmácias, o STF possui os seguintes entendimentos:
- Os Municípios têm competência legislativa para regular o horário de funcionamento de farmácias e drogarias, com fundamento no interesse local (Súmula Vinculante nº 38; Rcl 35075 AgR, 1ª Turma, rel. Min. Roberto Barroso, j. 27/09/2019, DJe 09/10/2019; AI 629125 AgR, 1ª Turma, rel. Min. Dias Toffoli, j. 30/08/2011, DJe 11/10/2011; RE 408373 AgR, 2ª Turma, rel. Min. Joaquim Barbosa, j. 23/05/2006, DJ 16/06/2006);
- Os Estados têm competência legislativa para regular a comercialização de artigos de conveniência e outros produtos por drogarias, com fundamento no art. 24, XII, da Constituição, que prevê a competência legislativa concorrente sobre a defesa da saúde (ADI 4955, Pleno, rel. Min. Dias Toffoli, j. 24/09/2014, DJe 14/11/2014; ADI 4954, Pleno, rel. Min. Marco Aurélio, j. 20/08/2014, DJe 29/10/2014);
- Os Estados não têm competência legislativa para regular a concessão obrigatória de descontos, por farmácias e drogarias, a determinadas pessoas (como os idosos), por violar o princípio constitucional da livre iniciativa (RE 418458, decisão monocrática, rel. Min. Cármen Lúcia, j. 09/12/2014, DJe 12/12/2014; RE 585453, decisão monocrática, rel. Min. Dias Toffoli, j. 14/09/2012, DJe 21/09/2012).
Assim, primeiro é preciso definir um enquadramento legislativo da matéria, para definir a competência – ou não – do Estado para a sua regulação.
Em segundo lugar, em um aspecto material, apesar de a lei estadual de São Paulo não ser propriamente uma norma de proteção de dados (mas reguladora de uma atividade empresarial por determinadas pessoas jurídicas), a LGPD já regula de forma ampla essa e outras relações de consumo que compreendam a coleta de dados do consumidor pelo fornecedor na prestação de um serviço ou no fornecimento de um produto.
Na situação específica de farmácias e drogarias, a informação do número do CPF deve ter uma base legal, que, por envolver um dado pessoal que se torna sensível no caso, deve ser prioritariamente o consentimento do titular (art. 11, I, da LGPD).
Por isso, o consentimento deve ser informado, expresso (manifestação positiva da vontade do titular), realizado por escrito, é revogável e deve constar de uma cláusula exclusiva, com finalidade específica e limitada (tendo em vista que não há poder absoluto e genérico para o tratamento dos dados pessoais), de acordo com o art. 8º da LGPD.
Logo, não é mais suficiente a mera declaração oral do CPF no ato da compra, mas depende de um registro escrito. Ainda, o consentimento não deve ser uma condição para assinatura do contrato, tampouco pode ser imposto como uma cláusula de “tudo ou nada”, ou seja, que a sua prestação seja indispensável para a prestação de um serviço ou o fornecimento de um bem ao titular dos dados pessoais (o que pode caracterizar a abusividade da cláusula).
A utilização de outra base legal do art. 11 deve ser acompanhada da comprovação de sua indispensabilidade. Por exemplo, a exigência do CPF como meio para o cumprimento do contrato de compra e venda de medicamentos é uma base legal adequada e justifica a dispensa do consentimento?
Além disso, o titular tem o direito de conhecimento do que será feito com o seu CPF e outros dados pessoais e a finalidade do tratamento (será informado para outras farmácias e drogarias – da mesma rede ou de outras –, os seus hábitos de comora serão repassados para os laboratórios farmacêuticos e para os planos de saúde, ou será usado apenas para a obtenção de descontos e promoções?). Da mesma forma, o consumidor titular de dados pessoais tem o direito de ser informado sobre o seu direito de não fornecer o consentimento para informar o número do CPF e sobre as consequências da negativa (art. 18, VIII, da LGPD).
Portanto, o fornecimento de CPF para a realização de compras em farmácias e drogarias passou a ter uma regulação nova (e as empresas precisam se adequar a ela) desde a entrada em vigor da Lei Geral de Proteção de Dados Pessoais.
