Cada dado do cliente que a loja guarda precisa de uma finalidade e de uma base legal

Para quem é: Dono ou vendedor de loja de veículos que guarda dados e documentos de clientes

Leitura: 11 min
Atualizado: 7 de novembro de 2026
Fontes oficiais: 12 citadas, com o trecho
Revisão prevista: fevereiro de 2027

A dúvida de quase todo mundo

O cliente deixa o RG, o CPF e a CNH para o test drive, o vendedor fotografa tudo pelo celular e as imagens ficam na galeria, junto com as fotos da família. Se o aparelho for roubado, quem responde? Quanto tempo essas fotos podem ficar ali? E o cliente pode exigir que sejam apagadas?

Em uma frase

A loja é a controladora dos dados dos clientes¹ e precisa de uma finalidade e de uma base legal para cada dado que coleta²³. Isso inclui coletar só o necessário, avisar o cliente sobre o uso⁵, atender pedidos de acesso, correção e eliminação⁶⁷ e comunicar à ANPD e aos titulares, em três dias úteis, o incidente que possa causar risco ou dano relevante⁸⁹. O guia explica a lei: não é parecer jurídico nem garante conformidade.

01A loja decide o que fazer com os dados, e por isso responde por eles

A LGPD chama de dado pessoal a informação relacionada a uma pessoa natural identificada ou identificável, e de controlador quem decide o que fazer com esses dados¹. Quando a loja pede o CPF, fotografa a CNH ou guarda o telefone de quem fez uma proposta, ela é a controladora. O despachante ou o sistema de gestão que trata esses dados em nome da loja é operador¹.

1Lei nº 13.709/2018, art. 5º, I, VI, VII e X

Tratamento é toda operação feita com o dado, da coleta à classificação, passando pela recepção e pela utilização¹. Foto de documento no celular do vendedor, ficha de papel na gaveta e histórico de conversa no sistema são, todos, tratamento.

1Lei nº 13.709/2018, art. 5º, I, VI, VII e X

Momento da venda	Dados que costumam aparecer	Pergunta que a lei faz
Primeiro contato	Nome, telefone, interesse em um carro	Para que vou usar este contato?²
Proposta e test drive	CPF, CNH, endereço, foto do documento	Preciso de tudo isso agora, ou só do que esta etapa exige?²
Financiamento	Renda, vínculo de trabalho, dados da proposta	Quem mais vai receber esses dados, e o cliente sabe?⁵
Fechamento e transferência	Documentos do comprador e do vendedor	Alguma norma manda guardar, e por quanto tempo?⁶
Pós-venda e ofertas	Histórico de compra, data de aniversário	Esse contato tem base legal e o cliente sabe como sair da lista?³⁴

02Finalidade e necessidade: guardar só o que serve

Dois princípios organizam quase tudo. A finalidade pede propósitos legítimos, específicos, explícitos e informados ao titular, sem tratamento posterior incompatível. A necessidade limita o tratamento ao mínimo necessário, com dados pertinentes, proporcionais e não excessivos². Na prática: para que serve esta foto da CNH, quem vai vê-la e quando ela sai do celular?

2Lei nº 13.709/2018, art. 6º, I, III e VII

A lei exige também segurança: medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados e contra destruição, perda ou alteração acidentais ou ilícitas². Um celular sem senha, com fotos de documentos na galeria, é o oposto disso.

2Lei nº 13.709/2018, art. 6º, I, III e VII

Três hábitos de balcão, lidos pelos princípios

Pare
Fotografar documentos “por precaução” e deixar na galeria
Coletar e guardar sem finalidade definida contraria a finalidade e a necessidade². Se a foto é necessária para a proposta, o destino dela é o cadastro da loja, e não a galeria do celular pessoal.
Atenção
Usar o telefone da proposta para mandar ofertas de outros carros
O contato foi informado para uma finalidade, e a lei veda o tratamento posterior incompatível com ela². A oferta pode ter base legal própria, mas é preciso pensá-la e avisar o cliente, em vez de improvisar.
Tudo certo
Pedir só o que a etapa exige e dizer para quê
Nome e telefone para a proposta, documentos para a transferência. Cada pedido acompanhado da finalidade, dita ao cliente, é o que a lei espera²⁵.

03Base legal: a justificativa de cada tratamento

A lei lista as hipóteses em que o tratamento de dado pessoal é permitido³. Numa loja de veículos, as que mais entram na conversa são a execução de contrato ou de procedimentos preliminares a ele³, o cumprimento de obrigação legal ou regulatória³, o legítimo interesse do controlador, que cede quando prevalecem os direitos e as liberdades fundamentais do titular³, e o consentimento, tratado mais adiante.

3Lei nº 13.709/2018, art. 7º, II, V, IX e § 6º

Exemplos para raciocinar, e não parecer sobre o seu caso.
Tratamento	Base que costuma entrar na conversa	O que conferir antes
Anotar nome e telefone para responder à proposta	Procedimento preliminar de contrato³	Se o contato fica restrito a essa conversa.
Guardar os documentos da venda e da transferência	Obrigação legal ou regulatória, quando uma norma manda guardar³	Qual norma, e por quanto tempo ela manda guardar. O contador e o despachante sabem.
Mandar oferta de outro carro a quem já comprou	Legítimo interesse, se for realmente necessário e não ferir direitos do titular³	Aviso claro e um jeito simples de pedir para sair da lista.

A dispensa do consentimento não desobriga a loja das demais obrigações da lei³. Quem usa o legítimo interesse precisa poder explicar por que ele prevalece, e convém guardar essa explicação por escrito.

3Lei nº 13.709/2018, art. 7º, II, V, IX e § 6º

04O aviso ao cliente e o consentimento

O cliente tem direito a informações claras, adequadas e ostensivas sobre o tratamento: a finalidade, a forma e a duração, quem é o controlador e como contatá-lo, com quem os dados são compartilhados e quais são os direitos do titular⁵. Na loja, o lugar natural é a ficha de cadastro, o formulário do site e a primeira mensagem de WhatsApp.

5Lei nº 13.709/2018, art. 9º, I a V e VII

Consentimento é uma base entre várias, e tem regras próprias: é dado por escrito ou por outro meio que demonstre a manifestação de vontade, cabe à loja provar que o obteve corretamente, e deve se referir a finalidades determinadas, porque autorizações genéricas são nulas⁴. O cliente pode revogá-lo a qualquer momento⁶. Um “concordo com tudo” no fim da ficha não cumpre isso. Para o uso do WhatsApp em ofertas, veja WhatsApp na loja: boas práticas e limites.

4Lei nº 13.709/2018, art. 8º, caput, § 2º e § 4º 6Lei nº 13.709/2018, art. 15, I; art. 16, I; art. 18, I a IV e IX

05O cliente pede acesso, correção ou eliminação

O titular pode pedir, a qualquer momento, a confirmação de que há tratamento, o acesso aos dados, a correção de dados incompletos ou desatualizados e a eliminação de dados desnecessários, entre outros direitos⁶. A loja pequena, que não é obrigada a indicar encarregado, precisa ao menos manter um canal de comunicação com o titular¹². Pode ser um e-mail ou um WhatsApp divulgado na ficha de cadastro.

6Lei nº 13.709/2018, art. 15, I; art. 16, I; art. 18, I a IV e IX 12Resolução CD/ANPD nº 2/2022, art. 11, caput e § 1º

Confirmação ou acesso em formato simplificado
A lei manda providenciar imediatamente⁷.
Declaração clara e completa
Fornecida no prazo de até 15 dias, contados do requerimento do titular⁷.
Incidente de segurança com risco relevante
A comunicação à ANPD e aos titulares deve ser feita em três dias úteis⁹.

Quando o cliente pede para apagar tudo

Recebi o seu pedido e vou conferir o que a loja guarda sobre você. Respondo em até 15 dias.

Por quê: A declaração clara e completa tem de ser fornecida em até 15 dias do requerimento⁷.
O que não for necessário eu apago. Os documentos da venda e da transferência eu preciso manter pelo prazo que a lei exige.

Por quê: O titular pode pedir a eliminação de dados desnecessários⁶, mas a lei autoriza conservar dados para cumprir obrigação legal ou regulatória⁶.
Se você autorizou o envio de ofertas, pode retirar a autorização quando quiser, e eu paro de enviar.

Por quê: O consentimento pode ser revogado a qualquer momento, e a revogação é um dos direitos do titular⁶.

O tratamento termina, entre outros casos, quando a finalidade foi alcançada ou os dados deixaram de ser necessários⁶. A conservação, depois disso, só se justifica por razões como o cumprimento de obrigação legal ou regulatória⁶. Quanto tempo cada documento precisa ficar é decidido pela norma que manda guardá-lo, e o contador e o despachante costumam saber.

6Lei nº 13.709/2018, art. 15, I; art. 16, I; art. 18, I a IV e IX

06Se o celular com os documentos for roubado

Só o controlador tem a obrigação de comunicar o incidente à ANPD, e ela se aplica quando o fato puder acarretar risco ou dano relevante aos titulares⁸. A própria ANPD dá um exemplo que descreve o balcão de uma loja: a perda ou o roubo de dispositivos com cópia de documentos de identificação e dados de contato pode expor as pessoas a fraudes financeiras e a roubo de identidade⁸.

8Comunicação de Incidente de Segurança: dúvidas frequentes, perguntas 1 e 2

Registre e tente conter
Anote quando e como o fato ocorreu, bloqueie o aparelho a distância, se possível, e troque as senhas. Quanto antes o registro, mais fácil avaliar o risco.
Avalie o risco
Veja quais dados estavam no aparelho, de quantas pessoas, e se o caso pode acarretar risco ou dano relevante aos titulares⁸.
Comunique no prazo
A comunicação à ANPD e aos titulares tem prazo de três dias úteis⁹.
Complete depois, se faltar informação
Quando o controlador não dispõe de todas as informações, a comunicação pode ser complementada de maneira fundamentada, no prazo de vinte dias úteis⁹.

07Loja pequena: o que muda e o que não muda

A Resolução CD/ANPD nº 2/2022 traz regras diferenciadas para agentes de tratamento de pequeno porte: microempresas, empresas de pequeno porte e startups, incluído o microempreendedor individual¹⁰. Ficam de fora do tratamento diferenciado quem realiza tratamento de alto risco para os titulares ou tem receita bruta acima do limite da Lei Complementar nº 123¹⁰.

10Resolução CD/ANPD nº 2/2022, arts. 2º e 3º: agentes de pequeno porte, art. 2º, I e II; art. 3º, I e II

O que não muda: a dispensa ou flexibilização de obrigações não isenta a loja pequena das bases legais, dos princípios e dos direitos dos titulares¹¹. O que muda: ela não é obrigada a indicar encarregado¹², mas precisa do canal de comunicação com o titular. A resolução dispensa ou flexibiliza outras obrigações da loja pequena¹¹. Os prazos citados neste guia são os da regra geral, e a loja pequena pode ter regras próprias para eles: vale conferir o texto da resolução, com um profissional.

11Resolução CD/ANPD nº 2/2022, art. 6º 12Resolução CD/ANPD nº 2/2022, art. 11, caput e § 1º

08Seis perguntas e três ideias que parecem verdade

Antes de dizer que a loja cuida dos dados, responda

0 de 6 conferidos

Para que cada dado coletado é usado, e ele é necessário para isso².
Qual é a base legal de cada tratamento, e quem decidiu isso³.
O cliente foi avisado sobre finalidade, compartilhamento e direitos⁵.
Existe um canal para o cliente pedir acesso, correção ou eliminação¹².
Os celulares e os sistemas têm senha, e os documentos não ficam soltos na galeria².
Alguém sabe o que fazer, e em quanto tempo, se um aparelho com documentos for roubado⁹.

Mito
Só empresa grande precisa se preocupar com a LGPD.

Fato
A regra para agentes de pequeno porte flexibiliza algumas obrigações, mas não isenta de bases legais, princípios e direitos dos titulares¹¹.
Mito
Se o cliente me passou o documento, posso usar para o que quiser.

Fato
A finalidade precisa ser informada ao titular, e o tratamento posterior não pode ser incompatível com ela².
Mito
Basta o cliente assinar um termo genérico de consentimento.

Fato
Autorizações genéricas para o tratamento de dados pessoais são nulas, e cabe à loja provar que obteve o consentimento de forma correta⁴.

Perguntas frequentes

Preciso nomear um encarregado (DPO) na loja?

Os agentes de tratamento de pequeno porte não são obrigados a indicar encarregado, mas precisam disponibilizar um canal de comunicação com o titular¹². Uma loja que realiza tratamento de alto risco, ou que passa do limite de receita, fica fora desse tratamento diferenciado¹⁰. Na dúvida sobre o seu enquadramento, consulte um profissional.

Posso guardar a foto do documento do cliente?

Ela precisa de finalidade, de base legal e do mínimo necessário²³. A foto da CNH para o test drive, por exemplo, serve àquela etapa. Deixá-la na galeria do celular depois, sem finalidade, contraria os princípios da finalidade e da necessidade².

A LGPD vale se a loja só usa planilha e WhatsApp?

Vale. A lei define tratamento como toda operação realizada com dados pessoais, e a coleta e a classificação já bastam para caracterizá-lo¹. Planilha e conversa de WhatsApp com nome, telefone e documentos de clientes entram na conta.

Em quanto tempo preciso responder ao cliente que pede os dados?

Em formato simplificado, imediatamente. Por declaração clara e completa, no prazo de até 15 dias do requerimento⁷. Mantenha o canal de contato visível¹² e registre a data em que o pedido chegou.

Fontes e como conferir

Cada número e cada regra deste guia vem destas páginas oficiais. O trecho copiado de cada uma está logo abaixo do link, para você conferir sem sair daqui. Lido no site oficial em 07/11/2026.

1Lei nº 13.709/2018 (LGPD), art. 5º: definições

Presidência da República · art. 5º, I, VI, VII e X

Ver o trecho oficial
I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável [...] VI - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais; VII - operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador [...] X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação
2Lei nº 13.709/2018 (LGPD), art. 6º: princípios

Presidência da República · art. 6º, I, III e VII

Ver o trecho oficial
I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível [...] III - necessidade: limitação do tratamento ao mínimo necessário [...] dados pertinentes, proporcionais e não excessivos [...] VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração
3Lei nº 13.709/2018 (LGPD), art. 7º: hipóteses de tratamento

Presidência da República · art. 7º, II, V, IX e § 6º

Ver o trecho oficial
II - para o cumprimento de obrigação legal ou regulatória pelo controlador [...] V - quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular [...] IX - quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular [...] § 6º A eventual dispensa da exigência do consentimento não desobriga os agentes de tratamento das demais obrigações
4Lei nº 13.709/2018 (LGPD), art. 8º: consentimento

Presidência da República · art. 8º, caput, § 2º e § 4º

Ver o trecho oficial
deverá ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular [...] Cabe ao controlador o ônus da prova de que o consentimento foi obtido em conformidade com o disposto nesta Lei [...] O consentimento deverá referir-se a finalidades determinadas, e as autorizações genéricas para o tratamento de dados pessoais serão nulas
5Lei nº 13.709/2018 (LGPD), art. 9º: acesso às informações sobre o tratamento

Presidência da República · art. 9º, I a V e VII

Ver o trecho oficial
informações sobre o tratamento de seus dados, que deverão ser disponibilizadas de forma clara, adequada e ostensiva [...] I - finalidade específica do tratamento; II - forma e duração do tratamento, observados os segredos comercial e industrial; III - identificação do controlador; IV - informações de contato do controlador; V - informações acerca do uso compartilhado de dados pelo controlador e a finalidade [...] VII - direitos do titular
6Lei nº 13.709/2018 (LGPD), arts. 15, 16 e 18: término do tratamento e direitos do titular

Presidência da República · art. 15, I; art. 16, I; art. 18, I a IV e IX

Ver o trecho oficial
I - verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários [...] autorizada a conservação para as seguintes finalidades: I - cumprimento de obrigação legal ou regulatória pelo controlador [...] a qualquer momento e mediante requisição: I - confirmação da existência de tratamento; II - acesso aos dados; III - correção de dados incompletos, inexatos ou desatualizados; IV - anonimização, bloqueio ou eliminação de dados desnecessários [...] IX - revogação do consentimento
7Lei nº 13.709/2018 (LGPD), art. 19: confirmação e acesso

Presidência da República · art. 19, caput, I e II

Ver o trecho oficial
A confirmação de existência ou o acesso a dados pessoais serão providenciados, mediante requisição do titular: I - em formato simplificado, imediatamente; ou II - por meio de declaração clara e completa, que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, observados os segredos comercial e industrial, fornecida no prazo de até 15 (quinze) dias, contado da data do requerimento do titular.
8Comunicação de Incidente de Segurança: dúvidas frequentes (quem comunica, critérios e exemplo)

ANPD · perguntas 1 e 2

Ver o trecho oficial
Somente os controladores sujeitos à Lei Geral de Proteção de Dados têm obrigação de comunicar os incidentes à ANPD. [...] Possa acarretar risco ou dano relevante aos titulares dos dados. [...] A perda, roubo ou destruição acidental de documentos ou dispositivos de armazenamento de dados [...] cópia de documentos de identificação oficial e dados de contato pode expor as pessoas a sérios riscos reputacionais, a fraudes financeiras e a roubo de identidade.
9Comunicação de Incidente de Segurança: prazo da comunicação (Resolução CD/ANPD nº 15/2024)

ANPD · perguntas 4 e 5

Ver o trecho oficial
a comunicação à ANPD e ao(s) titular(es) deverá ser realizada pelo controlador no prazo de três (3) dias úteis [...] poderão ser complementadas, de maneira fundamentada, no prazo de vinte dias úteis, a contar da data da comunicação
10Resolução CD/ANPD nº 2/2022, arts. 2º e 3º: agentes de pequeno porte

ANPD · art. 2º, I e II; art. 3º, I e II

Ver o trecho oficial
agentes de tratamento de pequeno porte: microempresas, empresas de pequeno porte, startups [...] incluído o microempreendedor individual [...] Não poderão se beneficiar do tratamento jurídico diferenciado previsto neste Regulamento os agentes de tratamento de pequeno porte que: I - realizem tratamento de alto risco para os titulares [...] II - aufiram receita bruta superior ao limite estabelecido no art. 3º, II, da Lei Complementar nº 123, de 2006
11Resolução CD/ANPD nº 2/2022, art. 6º: o que a dispensa não afasta

ANPD · art. 6º

Ver o trecho oficial
A dispensa ou flexibilização das obrigações dispostas neste regulamento não isenta os agentes de tratamento de pequeno porte do cumprimento dos demais dispositivos da LGPD, inclusive das bases legais e dos princípios, de outras disposições legais, regulamentares e contratuais relativas à proteção de dados pessoais, bem como direitos dos titulares.
12Resolução CD/ANPD nº 2/2022, art. 11: encarregado e canal de comunicação

ANPD · art. 11, caput e § 1º

Ver o trecho oficial
Os agentes de tratamento de pequeno porte não são obrigados a indicar o encarregado pelo tratamento de dados pessoais exigido no art. 41 da LGPD. § 1º O agente de tratamento de pequeno porte que não indicar um encarregado deve disponibilizar um canal de comunicação com o titular de dados

Redação SóDeLoja. Atualizado em 7 de novembro de 2026; revisão prevista até fevereiro de 2027. Como produzimos os guias.

Este guia traz informação geral, baseada nas fontes acima, e não substitui a orientação de um advogado, de um despachante ou do órgão de trânsito para o seu caso. Encontrou um erro? Fale com a gente: corrigimos e anotamos a data.

Conhecer o SóDeLoja para lojistas

Ver agora

Continue por aqui

Para lojistas Como usar o WhatsApp na loja sem violar regras? Trate cada número como dado pessoal: dê um motivo para usá-lo, tenha base legal para as ofertas e deixe o cliente sair quando quiser. O que a mensagem promete obriga a loja, e a cobrança não pode expor o cliente a ridículo nem ameaçá-lo. As regras da própria Meta para o WhatsApp não foram lidas na fonte oficial: confira a política vigente antes de usar listas ou automações. 12 min de leitura Para lojistas Como a loja se protege de comprovante falso e de falso comprador? Nada sai do pátio antes de o crédito aparecer na conta bancária da loja: comprovante é só imagem, e a Polícia Civil do Amazonas orienta verificar a conta antes de entregar. Se o cliente pedir o dinheiro de volta, a Agência Brasil noticia a recomendação de usar a função de devolução do aplicativo, e não um Pix novo para a chave que ele indicar. No test drive, confira a CNH, porque entregar a direção a quem não é habilitado é crime. 13 min de leitura Para lojistas Quais documentos para abrir uma loja de veículos? Abrir uma loja de veículos passa por consulta prévia de viabilidade, registro com CNPJ e licenças do município, mais as obrigações do ramo. Para aderir ao Renave, a atividade principal do CNPJ precisa ser compatível com a compra e venda de veículos; para vender carros usados a varejo, o CNAE é o 4511-1/02. O Código de Trânsito exige livro de registro de entrada e saída, que um sistema eletrônico pode substituir. 8 min de leitura Para lojistas O que é o Renave e quem precisa se cadastrar? O Renave é o sistema eletrônico que registra a entrada e a saída de veículos, novos ou usados, nas lojas, e substitui os livros físicos exigidos pelo Código de Trânsito. A resolução chama de obrigatória a adesão de quem vende veículos novos. Quem vende só usados deve manter o registro de entrada e saída, em livro ou pelo Renave, e o sistema pesa no gravame de venda financiada e na consignação. 8 min de leitura