Entrei com login social e meus dados foram parar em outras empresas
Foram dois toques para entrar no aplicativo: escolher a conta e confirmar. Nenhum formulário, nenhuma senha nova. Três semanas depois, chegam ofertas de uma corretora, de uma academia e de uma financeira — nenhuma delas contratada por você, todas com seu nome completo escrito do jeito exato que aparece na conta usada no login. A comodidade tem um custo pouco visível: o login social é, ao mesmo tempo, autenticação e transferência de dados. E a segunda parte quase nunca é lida.
O que acontece na tela de permissão
Quando você autoriza o login, o provedor de identidade envia ao aplicativo um conjunto de informações. O mínimo costuma ser identificador, nome e e-mail. Conforme as permissões marcadas, podem ir também foto, lista de contatos, data de nascimento, cidade e outros campos do perfil.
Essa autorização tem base legal própria e finalidade declarada: permitir sua entrada no serviço. Nada nela autoriza, por si, que o aplicativo repasse o que recebeu a terceiros para fins comerciais.
É nesse ponto que a discussão jurídica se instala — entre o que foi autorizado para entrar e o que foi feito depois.
A base legal não viaja junto com o dado
Cada tratamento precisa de uma das hipóteses do art. 7º da LGPD, e a finalidade limita o uso. Um consentimento dado para autenticar não se estende a marketing de parceiros.
O §5º do mesmo artigo é explícito quanto ao ponto: o controlador que obteve consentimento e necessitar comunicar ou compartilhar dados pessoais com outros controladores deverá obter consentimento específico do titular para esse fim, ressalvadas as hipóteses de dispensa previstas na lei.
Ou seja, o repasse a empresas parceiras exige autorização própria, destacada, com finalidade informada. Cláusula genérica escondida em termos de uso — do tipo "podemos compartilhar com parceiros para melhorar sua experiência" — não descreve finalidade específica e é frágil como fundamento.
Como descobrir por onde seus dados saíram
Comece pelo painel de segurança do provedor de identidade. Tanto contas de e-mail quanto redes sociais mantêm uma lista de aplicativos conectados, com data da autorização e permissões concedidas. Ali você vê quais serviços têm acesso ativo e revoga o que não usa mais.
Depois, dirija ao aplicativo o pedido previsto no art. 18, VII: a informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados. Peça a lista com nomes, não com categorias genéricas.
Com a lista em mãos, o pedido de eliminação vai a cada empresa da cadeia — e o art. 18, §6º ainda obriga quem compartilhou a comunicar a eliminação aos agentes que receberam os dados, para que repitam o procedimento.
Revogar o acesso resolve o passado?
Não inteiramente, e é importante entender por quê. Revogar a conexão no painel do provedor interrompe o fluxo de novos dados. O que já foi transmitido continua na base do aplicativo até que você peça a eliminação — ou até que ele elimine por conta própria ao fim do tratamento, conforme o art. 15.
Por isso, a sequência eficaz tem três movimentos: revogar a conexão, pedir a eliminação ao aplicativo e pedir a eliminação a cada terceiro identificado na lista de compartilhamento.
Exemplo: alguém usa login social em um aplicativo de descontos; o aplicativo repassa o cadastro a uma rede de parceiros de anúncios. Revogar o acesso interrompe a atualização do perfil, mas as ofertas só param quando cada parceiro recebe o pedido de eliminação. Sem a lista do inciso VII, essa etapa é impossível — e é justamente por isso que ela costuma ser negada.
Quando cabe reparação e quando não cabe
O aborrecimento de receber propaganda, isoladamente, raramente sustenta indenização. O quadro muda quando há elementos concretos: dado exposto publicamente, uso que revela informação sensível, negativa reiterada de informar os compartilhamentos, ou repasse que resulta em fraude e cobrança indevida.
O art. 42 obriga o controlador ou o operador que, no exercício da atividade de tratamento, causar dano patrimonial ou moral em violação à legislação de proteção de dados a repará-lo. Provar a violação — repasse sem base legal — e o dano concreto é o que separa a reclamação da ação bem-sucedida.
Guarde tudo: capturas das telas de permissão, e-mails de ofertas com data, respostas da empresa e a lista de compartilhamentos. Com esse material organizado, um advogado consegue avaliar a via adequada sem que você precise reunir mais nada, em atendimento conduzido de forma remota.
Perguntas frequentes
Desinstalar o aplicativo revoga o login social?
Não. A autorização permanece registrada no provedor de identidade até que você a remova no painel de aplicativos conectados da própria conta.
O provedor do login responde pelo uso indevido feito pelo aplicativo?
Depende do papel de cada um no tratamento questionado. Quem decidiu a finalidade do repasse responde; o provedor tende a responder quando transmitiu além do autorizado ou manteve permissão que o titular já havia revogado.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.