O que fazer quando a empresa expõe seus dados ao responder uma avaliação

Por que a resposta pública tem limite de finalidade

Toda empresa que trata dado pessoal fica presa aos princípios listados no art. 6º da Lei Geral de Proteção de Dados, e dois deles decidem esse caso: a informação só pode ser usada para a finalidade que justificou sua coleta, e esse uso deve ficar limitado ao mínimo necessário para atingir tal fim. O número do pedido, o valor da compra e o CPF foram informados para viabilizar a entrega e o pagamento, não para aparecer numa resposta pública de atendimento.

Quando o setor de marketing ou atendimento copia esses dados para supostamente provar que a reclamação é improcedente, ele desvia a informação da finalidade original. É esse desvio, mais do que a resposta em si, que caracteriza o problema — e ele não desaparece porque o texto foi escrito em tom educado.

Onde entra o Código de Defesa do Consumidor nessa resposta pública

O art. 6º do Código de Defesa do Consumidor reúne os direitos básicos do consumidor, e dois deles falam direto com essa situação: o direito à informação adequada e clara, que pressupõe uma resposta que esclareça sem expor, e o direito à efetiva reparação dos danos causados. Uma resposta que cita CPF ou endereço, por exemplo, não informa nada de novo sobre a compra: só expõe.

Há ainda o dever de boa-fé, que a própria LGPD reforça no mesmo art. 6º: tratar o dado do cliente com transparência não significa tratá-lo com exposição. Informar e expor são coisas diferentes, e a empresa que confunde as duas acaba respondendo em duas frentes: pela exposição indevida do dado e pela falha no atendimento que motivou a reclamação original.

Quando a resposta não configura exposição indevida

Nem toda resposta pública incomoda o suficiente para virar caso jurídico. Se a empresa apenas confirma o número do pedido de forma parcial, como os últimos dígitos, para localizar a compra sem revelar mais nada, ou responde de forma genérica sem citar informação que identifique o cliente sozinho, tende a faltar o elemento central: a exposição real de dado pessoal a terceiros.

Também pesa contra o pedido quando o próprio consumidor já havia divulgado os mesmos dados publicamente antes, numa reclamação anterior com foto do produto e do pedido, por exemplo. Nesses casos, a empresa pode alegar que só respondeu ao que já era público, o que enfraquece bastante o pedido de indenização — e, na prática, costuma reduzir a discussão à remoção do conteúdo, sem reparação.

Como pedir a remoção da resposta na própria plataforma

A maioria das plataformas de avaliação, como Google, Reclame Aqui, redes sociais e marketplaces, tem canal para denunciar conteúdo que exponha dado pessoal, e essa via costuma ser mais rápida do que qualquer notificação formal. Antes de denunciar, guarde as capturas de tela certas, porque a remoção às vezes acontece antes de qualquer resposta da empresa e a prova do que foi exposto some junto com o conteúdo apagado:

• A captura da resposta com o endereço da página visível, que prova onde o dado estava publicado e por quem.
• A captura da sua avaliação original, que mostra que você não havia divulgado aquele dado antes.
• O comprovante da compra ou o e-mail do pedido, que liga os números citados na resposta a um cliente identificável.

Em paralelo, uma notificação direta à empresa, por e-mail ao encarregado de dados quando ela informa um, ou pelo próprio canal de atendimento, pedindo a exclusão da resposta e explicando por que aqueles dados não deveriam estar públicos, costuma resolver o caso em poucos dias, sem necessidade de disputa maior.

Quando cabe reclamação formal e indenização

Se a empresa mantém a resposta no ar mesmo depois de notificada, cabe reclamação à ANPD, que fiscaliza o cumprimento da LGPD, e também ao Procon ou ao consumidor.gov.br, plataforma oficial de mediação entre consumidor e fornecedor. Nenhum desses canais impede a ação judicial: eles costumam apenas ser mais rápidos para forçar a remoção do conteúdo enquanto o caso segue seu curso.

A indenização por dano moral cabe quando a exposição causou constrangimento real, por exemplo quando terceiros comentaram o CPF exposto, ou quando o valor pago e o histórico de compras ficaram visíveis para qualquer visitante da página. O Juizado Especial Cível costuma receber esse tipo de pedido sem exigir custas no início, desde que o valor buscado fique dentro do teto de alçada. Formalizar o pedido de remoção com a fundamentação adequada e, depois, cobrar a reparação é tarefa que costuma pedir advogado particular; como toda a prova aqui é digital, a contratação caminha por mensagem, com as capturas de tela, o endereço da página e a procuração eletrônica.

O prazo para cobrar a reparação e de quando ele começa a contar

Quem pretende pedir indenização precisa observar o relógio. Cinco anos é o prazo do art. 27 do Código de Defesa do Consumidor para a pretensão de reparação por dano decorrente de falha na prestação do serviço, e a contagem não começa na data da compra: ela se inicia quando o consumidor toma conhecimento do dano e de quem o causou — no caso, quando percebe a resposta pública com seus dados.

Esperar, porém, cobra um preço prático que o prazo legal não revela. Plataformas removem conteúdo antigo, links deixam de abrir e a captura de tela feita meses depois já não mostra o que a página exibia. Quem registra a exposição no dia em que a encontra preserva a prova mesmo que decida acionar a empresa bem mais tarde.

Uma reclamação sobre atraso que terminou expondo o CPF do cliente

Pense numa situação comum: um cliente reclama publicamente de um atraso na entrega, e a empresa responde citando o número completo do pedido e os quatro últimos dígitos do CPF, alegando que assim comprova que o produto já havia sido despachado. O efeito imediato não é convencer quem lê, é deixar dado de um consumidor identificável exposto para qualquer pessoa que abra a página, inclusive para quem coleta esse tipo de informação combinando nome, pedido e fragmento de documento.

Nesse cenário, a resposta adequada seria confirmar o status da entrega sem citar número de documento algum, resolvendo o restante por canal privado. É essa diferença, entre confirmar o fato e expor o dado, que separa uma resposta correta de uma infração.