CPF na LGPD: quando a empresa pode pedir, como exibir e quando mascarar

Quase todo cliente já ouviu a pergunta "CPF?" no caixa, no cadastro de um site ou no atendimento por telefone. E muita empresa já ouviu a resposta de volta: "para que vocês precisam disso?". Se a equipe não sabe responder, o problema não é o cliente desconfiado. É a coleta sem uma finalidade clara.

A dúvida sobre CPF na LGPD costuma aparecer em duas versões opostas. Há quem ache que a lei proíbe pedir o CPF, e há quem ache que, por não ser dado sensível, ele pode ser pedido e exibido à vontade. As duas leituras estão erradas. A LGPD não proíbe a coleta, mas exige finalidade, base legal, necessidade e transparência, além de proteção enquanto o número estiver com a empresa.

Este guia mostra como decidir quando pedir o CPF, como explicar isso ao cliente e como exibir, mascarar e guardar o número em telas, recibos, relatórios e atendimentos.

Não. O CPF é dado pessoal, porque é uma informação relacionada a uma pessoa natural identificada ou identificável (art. 5º, I). Mas ele não está na lista de dados pessoais sensíveis do art. 5º, II, que reúne origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual e dados genéticos ou biométricos. Para entender melhor essa categoria, veja nosso artigo sobre dados pessoais sensíveis na LGPD.

Não ser sensível não significa ser inofensivo. O CPF é um identificador direto: aponta para uma única pessoa sem precisar de nenhuma outra informação. O estudo técnico da ANPD com a análise jurídica da anonimização usa justamente o CPF como exemplo desse tipo de identificador, ao lado do nome completo.

A Lei nº 14.534/2023 reforçou esse papel. Ela estabeleceu o CPF como número único e suficiente para identificar o cidadão nos bancos de dados de serviços públicos, e o número passou a constar de documentos como certidões, carteira de identidade, título de eleitor e CNH. A lei trata de órgãos públicos e registros oficiais e não obriga empresas privadas a pedir o CPF de seus clientes. Mas ajuda a entender por que o número ficou tão valioso: ele é a chave que liga cadastros diferentes da mesma pessoa, o que facilita a vida de quem precisa identificar alguém e também a de quem quer montar perfis ou aplicar golpes.

Não. A LGPD não tem nenhuma regra específica sobre o CPF. O que ela exige vale para qualquer dado pessoal: o tratamento precisa ter um propósito legítimo, específico e informado ao titular (finalidade, art. 6º, I), ficar limitado ao mínimo necessário (necessidade, art. 6º, III) e ser transparente (art. 6º, VI). Também precisa se apoiar em uma das hipóteses legais do art. 7º.

Na prática, a coleta de CPF costuma se apoiar em hipóteses como estas, sempre a depender do caso concreto:

A hipótese escolhida limita o que a empresa pode fazer depois. O CPF coletado porque uma norma exige não fica automaticamente liberado para campanhas de marketing, e o CPF informado para participar de um programa de benefícios não deveria ir parar em uma base comprada por parceiros sem que o cliente saiba. Para aprofundar essa escolha, veja nosso artigo sobre como identificar a base legal adequada para cada tratamento.

A análise precisa ser feita por ponto de coleta, e não para a empresa como um todo. O mesmo cliente pode informar o CPF no cadastro do e-commerce, no balcão da loja, no atendimento telefônico e no formulário de uma promoção, e cada um desses momentos tem uma finalidade diferente. Para cada um, vale responder a estas perguntas:

Algumas situações costumam passar bem por esse teste: análise de crédito, contratos, emissão de documentos que exigem a identificação do cliente e cadastros em serviços regulados. Outras quase nunca passam: cadastro para receber newsletter, pesquisa de satisfação, inscrição em evento gratuito ou troca de produto que pode ser localizada pelo número do pedido.

Nos casos intermediários, o caminho costuma ser tornar o CPF opcional e explicar o que muda se o cliente preferir não informar. Um programa de fidelidade pode oferecer a identificação pelo CPF como conveniência, desde que o cliente saiba o que será feito com o histórico de compras associado a ele.

Sozinho, o CPF não é sensível. Associado a um histórico de compras, pode passar a revelar informações que são. Esse ponto aparece na Nota Técnica nº 6/2025/FIS/CGF/ANPD, em que a área de fiscalização da ANPD analisou redes de farmácias e programas de fidelidade. O documento registra a preocupação de que o histórico de compras em farmácias pode revelar ou permitir inferências sobre dados sensíveis, como os relacionados à saúde, e propõe medidas preventivas e a abertura de processo administrativo sancionador para apurar a suposta criação de perfis comportamentais a partir de dados sensíveis para oferta de publicidade direcionada.

A lição vale para qualquer setor. A pergunta não é só se o CPF é necessário, mas o que ele vai ligar. Um número usado apenas para identificar o cliente em uma compra é uma coisa. O mesmo número usado como chave para juntar compras, localização e comportamento de navegação é outra, com risco bem maior e, muitas vezes, com outra base legal.

Depois de coletado, o CPF passa a aparecer em muitos lugares: tela do sistema, comprovante, e-mail de confirmação, relatório exportado, conversa de atendimento. A regra prática é mostrar o número completo só para quem precisa dele para fazer o próprio trabalho e mostrar parcialmente, ou não mostrar, nos demais casos. Isso decorre dos princípios da necessidade e da segurança (art. 6º, III e VII) e do dever de adotar medidas técnicas e administrativas de proteção (art. 46). A lei não define um formato de máscara; a forma de aplicar é uma decisão técnica da empresa.

Defina por perfil de acesso quem vê o CPF completo. O atendente que precisa confirmar a identidade de um cliente pode trabalhar com o número mascarado e digitar os dígitos informados para conferência. O analista de fraudes talvez precise do número inteiro. Quando o número completo for exibido, o ideal é que a consulta fique registrada, com usuário e horário.

Comprovantes impressos, e-mails de confirmação e PDFs enviados ao cliente circulam fora do controle da empresa. Neles, o CPF mascarado costuma bastar. Evite também colocar o CPF no assunto de e-mails e em nomes de arquivos, que aparecem em notificações, pré-visualizações e listagens.

Planilhas exportadas são uma das formas mais comuns de o CPF sair do sistema e ficar esquecido em pastas compartilhadas. Se o relatório serve para análise, o CPF quase nunca precisa estar nele. Se é preciso uma chave para cruzar dados, use um identificador interno no lugar do número.

Um erro frequente em sistemas é passar o CPF como parâmetro de endereço, em consultas do tipo "?cpf=". Endereços completos costumam ficar gravados em logs de servidores, ferramentas de análise e histórico de navegadores. Prefira enviar o dado no corpo de requisições protegidas e revise o que as aplicações gravam em log.

Para confirmar identidade, peça parte do número, e não o CPF inteiro, e evite ler o número completo em voz alta. Em chats e aplicativos de mensagem, oriente a equipe a não pedir foto de documento quando o CPF digitado já basta para a finalidade.

Mascarar é substituir parte dos dígitos por símbolos, como em 123.***.***-45. O cuidado que mais passa despercebido é a consistência. Se um sistema mostra os três primeiros e os dois últimos dígitos e outro mostra os seis do meio, quem tiver acesso aos dois consegue remontar o número inteiro. O estudo técnico da ANPD sobre técnicas de anonimização aponta esse limite: em dados públicos ou compartilhados, sem um padrão de mascaramento, partes diferentes do número podem ficar visíveis e o dado original pode ser reconstruído.

Por isso, defina um padrão único para toda a empresa, inclusive para fornecedores que exibem dados dos seus clientes, e registre esse padrão em uma norma interna. Revise também modelos de comprovante, relatórios automáticos e telas antigas, que costumam ficar de fora quando a regra muda.

Mascarar também não é anonimizar. Um CPF mascarado ao lado do nome do cliente continua identificando a pessoa, e o registro continua sendo dado pessoal. O hash simples do CPF também não resolve: como o número tem formato fixo e um universo de combinações pequeno para um computador, dá para recalcular o hash de todos os CPFs possíveis e descobrir o original. Para usar o CPF como chave em bases analíticas, o mais seguro é substituí-lo por um identificador interno ou por um pseudônimo gerado com chave secreta guardada fora da base. A diferença entre essas técnicas está no nosso guia sobre anonimização e pseudonimização.

Vazamentos raramente envolvem só o CPF. Quando o número aparece junto com nome, data de nascimento, endereço ou contatos, o risco de fraude e de uso indevido da identidade aumenta. A Resolução CD/ANPD nº 15/2024 cita fraudes financeiras e roubo de identidade entre os exemplos de situações que podem afetar significativamente os interesses e direitos dos titulares (art. 5º, § 1º). Para que o incidente seja considerado de risco ou dano relevante, esse impacto precisa vir acompanhado de pelo menos um critério da mesma resolução, como dados financeiros, dados de autenticação ou dados em larga escala. O CPF sozinho não é um desses critérios, mas bases grandes com CPF e dados cadastrais exigem uma avaliação cuidadosa.

O titular pode pedir confirmação de que a empresa trata seus dados, acesso a eles, informação sobre com quem foram compartilhados e a anonimização, o bloqueio ou a eliminação de dados desnecessários ou excessivos (art. 18). Se o cliente perguntar por que a empresa tem o CPF dele, a resposta precisa vir do registro das atividades de tratamento, e não da memória de quem está no atendimento: quando o número foi coletado, para qual finalidade, com base em qual hipótese legal e com quem foi compartilhado. Para estruturar esse fluxo, veja nosso artigo sobre como organizar o atendimento aos titulares.

Também ajuda preparar uma explicação curta para a equipe de linha de frente. Um exemplo fictício: "Pedimos o CPF para emitir a nota fiscal e localizar sua compra em caso de troca. Se preferir, podemos seguir sem ele, e nesse caso a troca é feita pelo número do pedido." Cada empresa precisa adaptar a frase à própria realidade, mas ter uma resposta pronta evita improvisos.

Fazer esse levantamento uma vez dá trabalho, mas é possível com planilhas. O difícil é mantê-lo atualizado. Basta um novo formulário de promoção, uma integração com parceiro ou a troca do sistema de atendimento para o CPF passar a circular em um lugar que ninguém registrou.

Na LGPD Cloud, cada ponto de coleta pode ser registrado como atividade de tratamento no Mapeamento de Dados, com finalidade, bases legais, perfis de titulares, sistemas usados, compartilhamentos com terceiros e tempo de retenção. A justificativa para pedir o CPF fica documentada junto com o processo e pode ser revista quando ele mudar. Quando a coleta se apoia no legítimo interesse, como em rotinas de prevenção a fraudes, a avaliação de legítimo interesse (LIA) pode ser feita na própria plataforma, vinculada à atividade, com as perguntas sobre necessidade, expectativa do titular e alternativa menos invasiva.

Se um cliente pedir acesso, informação sobre compartilhamento ou eliminação, o módulo de Direito dos Titulares registra a solicitação com protocolo, controle de prazo e histórico de mensagens, e a equipe responde com base no que está mapeado.

A LGPD não fez do CPF um dado proibido nem um dado sensível. Ela pede que a empresa saiba dizer por que precisa do número em cada ponto de coleta, peça só quando houver motivo, explique isso ao cliente e proteja o dado enquanto ele estiver guardado.

Na maioria das empresas, o ganho mais rápido vem de três ações: retirar o CPF de formulários que não precisam dele, padronizar o mascaramento em todos os canais e tirar o número de relatórios e exportações que circulam sem controle. O resto é manter esse registro atualizado à medida que novos sistemas e campanhas aparecem.

Consulte o texto compilado da LGPD, especialmente os artigos 5º, 6º, 7º, 9º, 18 e 46, o texto da Lei nº 14.534/2023, a Nota Técnica nº 6/2025/FIS/CGF/ANPD sobre o setor farmacêutico e a Resolução CD/ANPD nº 15/2024, que trata da comunicação de incidentes de segurança.