LGPD em postos de combustíveis: CPF, câmeras e aplicativos

Nos postos de combustíveis, a necessidade de um dado depende do que será feito com ele. Identificar um documento fiscal, conceder pontos e enviar uma oferta são finalidades diferentes. O caminho para organizar a coleta é separar essas decisões no caixa e nos sistemas, informar o cliente e limitar quem acessa cada registro. A câmera da pista também precisa entrar nessa análise, mesmo sem ligação com o cadastro comercial.

A ANP distingue a revenda de combustíveis automotivos de outros agentes do abastecimento em sua página sobre distribuição e revenda.[2] Este artigo trata da jornada do consumidor na unidade. Programas de fidelidade e aplicativos entram quando existentes; as recomendações não pressupõem que toda rede tenha os mesmos canais.

CPF no caixa: pergunte para qual finalidade

O CPF é um dado pessoal porque identifica uma pessoa. Ele não é sensível por si só na classificação do art. 5º da Lei Geral de Proteção de Dados Pessoais, a LGPD.[6] Ainda assim, seu uso pode reunir informações de compras e permitir acesso indevido ao cadastro, o que recomenda cuidado com exposição no balcão e permissões de consulta.

Em postos de combustíveis, a equipe deve distinguir a solicitação para documento fiscal daquela feita para identificar um participante de fidelidade. A LGPD prevê tratamento para cumprir obrigação legal ou regulatória no art. 7º, II, mas não estabelece uma exigência universal de CPF em qualquer abastecimento.[6] A área fiscal precisa verificar a regra concreta, o tipo de documento e a operação antes de classificar um campo como obrigatório.

Revise o texto do terminal e o roteiro do atendente. Se o cliente informa CPF para uma finalidade, o sistema não deve presumir adesão a usos incompatíveis com ela, considerando os princípios do art. 6º.[6] Nos postos de combustíveis, recomenda-se que o recibo, a pontuação e a preferência comercial tenham registros separados, mesmo quando o software reúne tudo na mesma tela.

Matriz de finalidades para postos de combustíveis

Use esta matriz proposta como diagnóstico. Identifique os responsáveis e valide as condições de cada tratamento; a tabela não define automaticamente bases legais. As hipóteses legais estão nos arts. 7º e 11, e a transparência sobre os usos é tratada no art. 9º.[6]

Ponto de coleta	Finalidade delimitada	Dados a examinar	Decisão para o responsável
Caixa ou terminal fiscal	Identificar o documento quando cabível	CPF e dados exigidos na operação	Área fiscal identifica a regra concreta; TI evita reaproveitamento automático em campanhas.
Cadastro de fidelidade	Inscrever participante e atribuir benefícios	Identificador, contato e transações pertinentes	Gestor do programa justifica os campos e explica condições de participação.
Preferências promocionais	Enviar ofertas por canal definido	Contato e preferências necessárias	Marketing registra a base legal, a informação oferecida e como interromper os envios.
Câmeras da unidade	Proteger pessoas e patrimônio	Imagens e horários	Segurança avalia enquadramento, acessos, retenção e liberação de trechos.
Aplicativo, quando usado	Executar funcionalidades escolhidas	Cadastro, eventos de uso e permissões do aparelho	Produto e TI verificam cada função e os destinatários dos dados.

A matriz dos postos de combustíveis fica mais útil quando revela também a integração entre ferramentas. Marque se o CPF informado no caixa alimenta outro cadastro, se o aplicativo recebe compras presenciais e se uma empresa externa monta segmentos de consumidores. Cada passagem precisa ser compreendida; um contrato genérico com o fornecedor não explica o destino efetivo das informações.

Fidelidade: benefício e publicidade têm decisões próprias

Para operar um programa de pontos, defina quais dados são necessários à participação e ao cálculo do benefício. A execução de contrato pode ser avaliada quando o titular participa dessa relação e o tratamento é necessário a ela, conforme o art. 7º, V.[6] Isso não autoriza automaticamente o uso do histórico para qualquer ação publicitária.

Nos postos de combustíveis, vale testar a inscrição como um cliente: é possível compreender as condições antes de concluir? A explicação distingue o que faz o programa funcionar de ofertas opcionais? Quando o tratamento depende de consentimento, a manifestação precisa ser livre, informada e inequívoca, com finalidades determinadas; a lei rejeita autorizações genéricas nos arts. 5º e 8º.[6]

Se marketing propuser legítimo interesse, a análise precisa considerar objetivo, necessidade, expectativas do consumidor e salvaguardas. A ANPD descreve esse teste e esclarece que a hipótese não se aplica a dados sensíveis.[4] Ter o contato porque houve uma compra não basta, por si, para concluir que toda campanha é compatível com os direitos do cliente.

Recomenda-se que os postos de combustíveis testem também o caminho inverso: sair de uma lista sem perder indevidamente o acesso a funções independentes. Interromper publicidade não implica eliminar registros fiscais cuja conservação seja devida. As condições de conservação e de eliminação precisam ser analisadas segundo os arts. 16 e 18.[6]

Câmeras: distinguir gravação e identificação biométrica

Uma gravação que permite identificar pessoas envolve dados pessoais. A imagem de uma câmera comum não é automaticamente um dado biométrico; se houver tratamento biométrico vinculado à pessoa, aplica-se a classificação de dado sensível do art. 5º e a análise das hipóteses do art. 11.[6] Essa diferença importa ao avaliar funcionalidades adicionais oferecidas pelo fornecedor.

Para os postos de combustíveis, recomenda-se começar pela finalidade concreta de cada câmera. Verifique o campo de visão, a necessidade de áudio quando existente e os locais em que as imagens podem ser consultadas. Reduzir coleta excessiva deve ser compatível com a segurança física da unidade. A avaliação não pede desligar um controle necessário sem alternativa adequada.

Segurança patrimonial também não autoriza todo uso posterior. Se a empresa avaliar legítimo interesse para imagens comuns, a hipótese exige exame concreto e respeito aos direitos do titular, segundo os arts. 7º e 10.[6] Reconhecimento biométrico exige análise própria; não pode ser justificado por legítimo interesse.[4][6]

Nos postos de combustíveis, uma rotina proposta é limitar a exportação de gravações a pessoas designadas, registrar motivo e destinatário e oferecer informação acessível sobre o monitoramento. A transparência e as medidas de segurança decorrem dos arts. 9º e 46.[6] Defina a retenção conforme finalidade e condições aplicáveis, sem adotar um número universal de dias nem guardar todas as imagens indefinidamente por conveniência.[6]

Aplicativos e fornecedores: conferir o que acontece fora do caixa

Quando há aplicativo, examine o que ele solicita no primeiro acesso e durante o uso. A localização serve para encontrar uma unidade próxima ou acompanha o usuário continuamente? Um benefício depende de acesso à agenda? Essas perguntas ajudam os postos de combustíveis a testar a necessidade de permissões, sem presumir que toda funcionalidade exige todos os dados.

Recomenda-se que TI peça ao fornecedor uma descrição dos dados recebidos por cada integração, incluindo componentes de medição de uso e publicidade. Confira se desativar uma campanha também interrompe o envio de dados correspondente. Uma escolha visível na tela pode perder efeito se o sistema continuar exportando a mesma lista por uma rotina separada.

Os postos de combustíveis e o fornecedor precisam identificar seus papéis em cada operação. Controlador é quem decide sobre o tratamento; operador trata dados em nome do controlador, conforme o art. 5º.[6] A empresa que oferece o aplicativo não é automaticamente apenas operadora, sobretudo quando decide usos próprios.[6] Nos postos de combustíveis, o contrato deve acompanhar essa análise e estabelecer instruções compatíveis com as atividades realmente executadas, observando o art. 39.[6]

Exemplo hipotético: o cadastro nasceu do documento fiscal

Neste exemplo hipotético, uma rede configura o sistema para criar uma conta promocional sempre que o consumidor informa CPF no caixa. O responsável por marketing descobre que não há registro separado da inscrição no programa e que o atendente explicava apenas o uso fiscal.

A direção decide suspender a inclusão automática em campanhas enquanto avalia a origem dos cadastros. A área fiscal verifica os registros necessários à sua finalidade; marketing revisa os contatos aptos a receber ofertas, e TI separa os eventos no sistema. A consequência prática pretendida é evitar que uma coleta com motivo específico produza uma adesão presumida, sem apagar indiscriminadamente informações que ainda precisam ser conservadas.

Para testar a mudança nos postos de combustíveis da rede, a equipe simula compra com identificação fiscal, inscrição voluntária e interrupção das ofertas. O teste verifica os efeitos em cada destino, inclusive na ferramenta do fornecedor. A correção só está operacionalmente demonstrada quando o fluxo corresponde às escolhas registradas.

Uma rotina de revisão para a administração

Escolha um responsável por cada finalidade da matriz e mantenha registro das decisões. A LGPD exige registros das operações de tratamento no art. 37, especialmente quando baseadas em legítimo interesse.[6] Para os postos de combustíveis, a proposta é revisar também situações que alteram a coleta: troca de sistema, campanha com parceiro, instalação de câmera e lançamento de uma função no aplicativo.

O atendimento deve saber a quem encaminhar dúvidas sobre cadastro e imagens. O art. 18 prevê direitos como acesso e correção, com condições próprias para eliminação.[6] Recomenda-se verificar a identidade proporcionalmente e evitar exigir uma cópia integral de documento para toda solicitação. No caso de imagens, considere os dados de outras pessoas antes de definir a forma de atendimento.

Como a TOGETHER apoia a revisão da jornada

A metodologia da TOGETHER Privacy & Tech começa pelo data mapping: mapear a coleta, os usos e os destinatários dos dados. Nos postos de combustíveis, o trabalho acompanha caixa, fidelidade, câmeras e aplicativos para direcionar tempo e recursos às decisões que afetam a operação. O plano de adequação à LGPD ajuda a conectar esses achados à organização do programa.

A consultoria em LGPD pode apoiar a matriz de finalidades, a avaliação dos fornecedores e a revisão das informações oferecidas ao consumidor. O DPO as a Service dá suporte contínuo a solicitações de titulares e mudanças em campanhas ou tecnologia, sem transferir as responsabilidades de quem decide sobre o tratamento.[6]

Riscos urgentes e obrigações com prazo não aguardam o mapa completo. Converse com a TOGETHER para revisar primeiro os pontos em que uma mesma coleta alimenta usos diferentes, preservando o atendimento e a segurança da unidade.

Dúvidas do caixa, do marketing e da segurança

Posso exigir CPF só porque o sistema pede?

A configuração do software não demonstra uma obrigação legal. Nos postos de combustíveis, valide a finalidade e a regra concreta com o responsável fiscal quando esse for o motivo informado. Necessidade e base legal precisam sustentar a coleta, conforme os arts. 6º e 7º.[6]

A placa “ambiente monitorado” resolve a LGPD das câmeras?

Sozinha, não. A informação sobre monitoramento integra a transparência, mas a operação também exige finalidade, hipótese legal e medidas de segurança adequadas.[6] Recomenda-se disponibilizar explicação acessível sobre o uso das imagens e um canal para dúvidas, além de limitar acessos internos.

O fornecedor pode reaproveitar a lista de pontos em campanhas próprias?

Esse uso precisa de avaliação específica de finalidade, base legal, transparência e responsabilidades.[6] Não presuma autorização porque o fornecedor já hospeda o programa. Verifique o contrato e os fluxos efetivos antes de compartilhar dados para uma finalidade própria dele.

Se eu cancelar o aplicativo, todos os dados serão apagados?

O cancelamento não determina, sozinho, a eliminação de todo registro. É preciso avaliar o término de cada tratamento, os direitos do titular e as hipóteses de conservação dos arts. 15, 16 e 18.[6] A resposta deve explicar o que foi eliminado, interrompido ou conservado e o motivo correspondente.