ANPD sanciona Claro por compartilhamento excessivo de dados: o que sua instituição pode aprender com esse caso

A Agência Nacional de Proteção de Dados (ANPD) iniciou um processo para sancionar a Claro por irregularidades graves no compartilhamento de dados pessoais de clientes com a Serasa, sem consentimento explícito e sem transparência adequada.

Essa não é uma notícia sobre telecom. É uma notícia sobre o que acontece quando uma instituição grande, com milhões de clientes, não trata dados pessoais com a devida diligência.

O que a Claro fez e por que a ANPD está investigando

A Claro compartilhou mais de 100 dados pessoais de cada cliente (nome, CPF, endereço, histórico de pagamentos, informações de consumo) com a Serasa, uma empresa de análise de crédito. O problema: os clientes não foram informados de forma clara sobre isso, e muitos não tinham dado consentimento explícito para esse compartilhamento.

A ANPD identificou que:

• a Claro não oferecia mecanismos claros para que clientes pudessem se opor ao compartilhamento;
• a comunicação sobre o tratamento de dados era insuficiente e confusa;
• havia dificuldade para clientes acessarem o Encarregado de Proteção de Dados (DPO) da empresa;
• o compartilhamento era excessivo em relação ao que era necessário.

Agora a ANPD está investigando também a Serasa, para avaliar se a empresa estava ciente das irregularidades e se cumpriu com suas obrigações como receptora desses dados.

A multa pode chegar a R$ 50 milhões ou 2% do faturamento anual da Claro – o que é significativo.

Por que isso importa para sua instituição mesmo que você não seja uma operadora de telecom

Você pode estar pensando: "Mas eu não sou uma operadora de telecom. Isso não tem nada a ver comigo."

Tem tudo a ver.

Os princípios que a ANPD está aplicando à Claro valem para qualquer organização que trata dados pessoais: escolas, igrejas, ONGs, plataformas, empresas de qualquer tamanho.

1. Transparência real (não apenas formal)

A Claro tinha política de privacidade. Tinha termos de serviço. Mas a ANPD entendeu que a comunicação não era clara o suficiente para que o cliente realmente entendesse o que estava acontecendo com seus dados.

Se sua instituição trata dados de pessoas – clientes, alunos, usuários, pacientes –, a pergunta é: eles realmente entendem o que você faz com os dados deles? Ou você tem uma política de privacidade que ninguém lê?

2. Consentimento explícito quando necessário

A Claro compartilhava dados sem que o cliente tivesse dado consentimento claro e específico para aquele compartilhamento.

Se sua instituição compartilha dados com terceiros – fornecedores, parceiros, plataformas –, você tem consentimento explícito de quem os dados pertencem? Ou você assume que "está tudo nos termos de serviço"?

3. Acesso ao DPO (Encarregado de Proteção de Dados)

A ANPD criticou a Claro porque clientes tinham dificuldade em acessar o DPO da empresa para questionar o tratamento de seus dados.

Se sua instituição tem um DPO (ou deveria ter), ele é realmente acessível? Ou é um cargo que existe só no papel?

4. Proporcionalidade

A Claro coletava mais de 100 dados por cliente. A ANPD questionou: por quê? Você realmente precisa de tudo isso?

Muitas instituições caem na armadilha de coletar "tudo que pode" e depois pensar em usar. A ANPD quer ver que você coleta apenas o necessário, pelo tempo necessário.

O que a ANPD está sinalizando e por que você deve prestar atenção

Esse caso mostra que a Agência não está apenas fiscalizando pequenas infrações. Está questionando as práticas de grandes empresas, em casos onde há compartilhamento de dados em larga escala.

E se está questionando a Claro, vai questionar qualquer instituição que:

• não comunica de forma clara o que faz com dados;
• compartilha dados sem consentimento explícito;
• torna difícil para as pessoas exercerem seus direitos (acessar dados, corrigir, deletar, se opor);
• coleta dados de forma desproporcional.

Como sua instituição pode se antecipar checklist prático para hoje

Não espere ser denunciada ou fiscalizada para revisar suas práticas. Faça agora:

1. Revise sua política de privacidade: ela é clara o suficiente para que uma pessoa comum entenda, ou é juridiquês que ninguém lê? Teste com alguém fora da área jurídica.
2. Mapeie todos os compartilhamentos de dados: com quem você compartilha dados? Tem consentimento explícito? Tem contrato de processamento de dados (DPA)?
3. Garanta acesso ao DPO: se você tem um DPO, certifique-se de que ele é realmente acessível (email, telefone, formulário). Se não tem, considere designar alguém ou contratar um DPO terceirizado.
4. Revise a coleta: você realmente precisa de todos os dados que coleta? Ou pode reduzir? Quanto tempo você os mantém?
5. Documente tudo: a ANPD quer ver que você pensou sobre privacidade. Ter documentação de decisões, políticas e processos é prova de diligência.

O papel da educação em privacidade por que treinamento é defesa

Casos como o da Claro mostram que não basta ter uma política de privacidade. É necessário que toda a organização – desde gestão até operação – entenda por que privacidade importa e como aplicar na prática.

Se a Claro tivesse investido em educação contínua sobre LGPD e privacidade para suas equipes, talvez esse caso não tivesse acontecido.

Na sua instituição, quantas pessoas entendem realmente o que é LGPD? Quantas sabem o que fazer se alguém pedir acesso aos seus dados? Quantas entendem por que não podem compartilhar dados de forma aleatória?

Quer preparar sua instituição antes de aparecer em um caso como o da Claro?

A Academia Lirolla oferece trilhas de formação em LGPD, privacidade e governança de dados para escolas, igrejas, projetos sociais, plataformas educacionais e instituições que lidam com dados sensíveis. Conteúdos práticos, atualizados e auditáveis, alinhados com as diretrizes da ANPD.

Comece pela educação. A melhor forma de responder a um caso como o da Claro é mostrar que sua instituição se antecipa aos riscos.