Uma locação começa com uma ficha cadastral e termina com uma pasta de documentos: identidade, comprovante de renda, dados do fiador, vistorias com fotos, contratos. Tudo isso é dado pessoal, e a Lei 13.709/2018, a LGPD, regula cada etapa — coleta, uso, guarda e descarte. A lei não impede a imobiliária de pedir o que precisa; exige que se peça o necessário, com finalidade definida, e que se saiba quem responde por esses dados.
A locação movimenta dados pessoais — e a lei alcança quem os trata
A LGPD define dado pessoal como “informação relacionada a pessoa natural identificada ou identificável” (art. 5º, I). Nome, CPF, renda, dados bancários, a foto do cômodo com os pertences do inquilino — tudo se enquadra. Tratamento é “toda operação realizada com dados pessoais”, da coleta à eliminação (art. 5º, X): receber uma ficha por aplicativo de mensagens já é tratamento.
A lei distribui papéis. O controlador é a pessoa “a quem competem as decisões referentes ao tratamento de dados pessoais” (art. 5º, VI); o operador é quem “realiza o tratamento de dados pessoais em nome do controlador” (art. 5º, VII). O guia da Agência Nacional de Proteção de Dados sobre agentes de tratamento diz que “o elemento distintivo é o poder de decisão” e que cabe ao controlador definir a finalidade, “a natureza dos dados pessoais tratados” e “a duração do tratamento”, inclusive “o estabelecimento de prazo para a eliminação dos dados”. Na locação administrada, quem toma essas decisões — em regra, a imobiliária que seleciona o inquilino e gere o contrato — é o controlador. O proprietário pode ser controlador ao lado dela, quando participa das decisões, ou apenas destinatário do resultado; o contrato de administração é o que define isso.
A ficha cadastral do candidato: o que pode ser pedido
O princípio que governa a ficha é o da necessidade: “limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados” (art. 6º, III). A finalidade é avaliar se o candidato pode assumir a locação e garanti-la. Identificação, renda, referências e situação da garantia servem a isso; o resto não.
A base legal não é o consentimento. É a hipótese do art. 7º, V: o tratamento é permitido “quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados”. A ficha é o procedimento preliminar, pedido pelo candidato ao se propor à locação. Não é preciso colher um “aceite” — mas a dispensa do consentimento “não desobriga os agentes de tratamento das demais obrigações previstas nesta Lei” (art. 7º, § 6º).
Dados sensíveis — origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico (art. 5º, II) — não são necessários para avaliar um inquilino. Ficha que os pergunta viola a necessidade e esbarra no princípio da não discriminação (art. 6º, IX).
Consulta a birô de crédito e a processos
A consulta a cadastros de inadimplentes e a processos em nome do candidato tem duas bases na lei: a dos procedimentos preliminares ao contrato (art. 7º, V) e a do tratamento “para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente” (art. 7º, X). Duas regras a acompanham. A transparência: o candidato tem direito a “informações claras, precisas e facilmente acessíveis sobre a realização do tratamento” (art. 6º, VI), e a ficha deve dizer que a consulta será feita e a quais cadastros. E a qualidade dos dados: o candidato pode pedir “correção de dados incompletos, inexatos ou desatualizados” (art. 18, III) — uma negativa baseada em registro antigo ou de homônimo é o erro que essa regra quer evitar.
Dados do inquilino e do fiador durante o contrato
Assinado o contrato, a base legal passa a ser a sua execução (art. 7º, V). O fiador é titular de dados tanto quanto o inquilino, mas não é parte da locação — é parte da fiança, uma das garantias que a Lei do Inquilinato admite (Lei 8.245/1991, art. 37, II). A coleta dos dados dele se justifica pela execução desse contrato e pelo interesse legítimo do locador em avaliar a garantia (art. 7º, IX), com o limite da lei: “somente os dados pessoais estritamente necessários para a finalidade pretendida poderão ser tratados” (art. 10, § 1º).
Três deveres alcançam quem guarda esses dados: adotar “medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados” (art. 46); manter registro das operações de tratamento (art. 37); e atender ao inquilino e ao fiador que pedirem confirmação do tratamento e acesso aos dados (art. 18, I e II).
Quando a locação termina: o que se elimina e o que se guarda
O tratamento termina, entre outras hipóteses, com a “verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada” (art. 15, I). Segue-se a eliminação: “Os dados pessoais serão eliminados após o término de seu tratamento” (art. 16), autorizada a conservação para “cumprimento de obrigação legal ou regulatória pelo controlador” (art. 16, I).
Na locação, a razão para guardar depois do fim é a possibilidade de cobrança ou de defesa. A pretensão relativa a aluguéis prescreve em três anos (Código Civil, art. 206, § 3º, I), e a lei admite o tratamento “para o exercício regular de direitos em processo judicial, administrativo ou arbitral” (art. 7º, VI). Contrato, vistorias e comprovantes têm razão jurídica para ficar enquanto uma disputa é possível. O excedente não tem: fichas de candidatos não escolhidos, cópias que não provam nada, dados de fiadores de contratos encerrados sem pendência. A lei descreve um prazo definido, com descarte ao final — não a pasta que nunca se esvazia.
Quem responde quando o dado vaza
A lei é direta: “O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo” (art. 42). A solidariedade vale em dois casos: o operador responde solidariamente “quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador” (art. 42, § 1º, I), e “os controladores que estiverem diretamente envolvidos no tratamento do qual decorreram danos ao titular dos dados respondem solidariamente” (art. 42, § 1º, II). Quem paga tem regresso contra os demais, “na medida de sua participação no evento danoso” (art. 42, § 4º).
Para o proprietário, a pergunta é se ele é controlador ao lado da imobiliária. O guia da Agência resume os critérios: há controladoria conjunta quando “mais de um controlador possui poder de decisão sobre o tratamento”, quando “há interesse mútuo” sobre “um mesmo tratamento” e quando ambos “tomam decisões comuns ou convergentes sobre as finalidades e elementos essenciais do tratamento” — e, configurada, “a responsabilidade dos controladores será solidária, nos termos do art. 42, §1º, II”. Quem recebe e guarda as fichas, decide critérios de seleção ou fixa o prazo de guarda está nessa posição; quem apenas recebe o resultado da seleção, não. Por isso o contrato de administração precisa dizer quem faz o quê.
As excludentes são três, e o ônus de prová-las é do agente: que “não realizaram o tratamento de dados pessoais que lhes é atribuído”; que “não houve violação à legislação de proteção de dados”; ou que “o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro” (art. 43). Responde pelo vazamento “o controlador ou o operador que, ao deixar de adotar as medidas de segurança previstas no art. 46 desta Lei, der causa ao dano” (art. 44, parágrafo único). Havendo incidente “que possa acarretar risco ou dano relevante aos titulares”, o controlador deve comunicá-lo à Agência Nacional de Proteção de Dados e ao titular (art. 48).
O que o contrato de administração precisa prever
O contrato entre proprietário e imobiliária é o lugar de resolver, antes do problema, as perguntas que a lei faz depois dele. Cinco cláusulas bastam.
Papéis. Quem é controlador e quem é operador, ou se ambos são controladores — quem coleta, quem decide, quem acessa. É a cláusula que define a solidariedade do art. 42.
Ficha. Quais dados a imobiliária pede ao candidato e ao fiador, com o limite da necessidade e a vedação de dados sensíveis.
Consultas. Quais cadastros serão consultados e como o candidato é informado.
Guarda e descarte. Por quanto tempo cada documento fica guardado, quem tem acesso e o que se faz com as fichas dos candidatos não escolhidos.
Incidente e fim da administração. Como uma parte comunica à outra um vazamento, em que prazo, e o destino dos dados quando a administração termina — devolução ao proprietário, transferência à nova administradora ou eliminação. Sem isso, a troca de imobiliária vira uma disputa sobre a pasta.
O post sobre o contrato de administração imobiliária trata das demais cláusulas desse instrumento; esta é a parte dele que a LGPD escreve.
Perguntas frequentes
A imobiliária precisa do meu consentimento para pedir a ficha cadastral?
Não. A base legal é a execução de contrato e os procedimentos preliminares a ele (art. 7º, V). O que ela precisa é limitar a ficha ao necessário, informar a finalidade e as consultas, e guardar os dados com segurança.
Posso me recusar a informar religião, saúde ou filiação a partido na ficha?
Sim. São dados sensíveis (art. 5º, II) sem relação com a finalidade de avaliar um inquilino. Pedi-los viola o princípio da necessidade (art. 6º, III).
Por quanto tempo a imobiliária pode guardar meus documentos depois que saí do imóvel?
Enquanto uma cobrança ou defesa for possível — a pretensão relativa a aluguéis prescreve em três anos (CC, art. 206, § 3º, I) —, contrato, vistorias e comprovantes podem ficar guardados (arts. 16, I, e 7º, VI). Depois, a regra é a eliminação (arts. 15 e 16). O prazo concreto deve constar do contrato de administração.
Se a imobiliária vaza os dados, o proprietário responde?
Depende de ele ser controlador ao lado dela — de participar das decisões sobre os dados (art. 42, § 1º, II). Quem só recebe o resultado da seleção está em posição diferente de quem guarda fichas, decide critérios ou fixa prazos de guarda. O contrato de administração define esses papéis.
Este conteúdo é informativo e não substitui a análise do caso concreto.
Contato: (51) 9 9533-5274 · schaan@schaanadvocacia.com
Gaysita Schaan Ribeiro — OAB/RS 31.724 e OAB/SC 79.300-A
