Investigação da ANPD: o que está acontecendo com a RaiaDrogasil?

Recentemente, a ANPD concluiu o processo de fiscalização contra o grupo RaiaDrogasil, iniciado em 2023. Ao final do processo, a Autoridade Nacional de Proteção de Dados decidiu por instaurar um processo de sanção com auto de infração.

O processo de fiscalização questionava a conduta do grupo quanto à coleta e utilização dos dados pessoais de consumidores, mas especialmente o uso de dados de saúde para direcionar propaganda. Durante o andamento do processo, a ANPD enviou notificações e solicitou documentos e informações. Entre os principais pontos questionados pela Autoridade estão:

1) Perfilamento

O processo de fiscalização questionou o grupo RaiaDrogasil sobre uso de dados pessoais sensíveis dos consumidores para traçar um perfil comportamental. O histórico de compras, na maioria das vezes, nos revela e nos permite inferir dados sobre a saúde ou vida sexual do indivíduo, informações essas que são consideradas como “dado pessoal sensível” pela LGPD e, por isso, requerem maior cuidado por parte das empresas.

2) Compartilhamento de dados para veicular publicidade de terceiros

Havia o compartilhamento de informações com a empresa RD Ads, que fazia parte do grupo RaiaDrogasil e era responsável pela parte de publicidade. A RD Ads mudou de nome (agora se chama Impulso) e até trocou o CEO. Atualmente, não há qualquer menção de vínculo entre a Impulso e o grupo RaiaDrogasil no site da nova empresa.

Dessa forma, a ANPD emitiu uma “solicitação de regularização” para a RaiaDrogasil, cobrando mais informações sobre a RD Ads e o detalhamento da operação.

Outro fator preocupante para a ANPD é que a publicidade não se restringe apenas aos canais de comunicação da RaiaDrogasil, como site e aplicativo, mas também inclui outras plataformas, como Meta, Google, YouTube e TikTok. Ou seja, há o cruzamento da base de dados da RaiaDrogasil com a audiência dessas outras plataformas para a veiculação de anúncios.

3) Utilização da biometria para verificação de identidade

Hoje, a rede de farmácias pertencentes ao grupo RaiaDrogasil exige a biometria dos consumidores para realizar algumas operações. Por exemplo, os consumidores participantes do Programa Univers utilizam a biometria para fins de verificação de identidade.

A ANPD determinou que o grupo utilize meio alternativo e menos invasivo à privacidade dos consumidores, preservando a sua privacidade.

4) Tempo de armazenamento das informações

Segundo o processo de fiscalização, a ANPD emitiu mais uma “solicitação de regularização” em relação ao tempo de armazenamento do histórico de consumo, que pode chegar a 15 anos.

Para a ANPD, esse período deve ser devidamente justificado e os consumidores devem ter acesso facilitado a esse tipo de informação.

Outros órgãos já multaram a rede RaiaDrogasil

Em paralelo à investigação da ANPD, em novembro de 2024 o Procon-MG multou o grupo RaiaDrogasil em R$ 8,5 milhões por solicitar, de forma excessiva, o CPF dos consumidores em troca de desconto nas compras realizadas.

O órgão, em linha com os entendimentos da ANPD, também entendeu que há a captura e armazenamento dos históricos de consumo das pessoas, ou seja, informações sobre a saúde ou vida sexual e, dessa forma, grave ameaça à privacidade. Para o Procon-MG também houve violações à LGPD e ao Código de Defesa do Consumidor, por abuso da boa-fé dos consumidores.

Além da ameaça à privacidade, o Procon-MG aponta para os riscos de vazamento dessas informações, o que pode causar o uso indevido dos dados.

O grupo RaiaDrogasil ainda pode recorrer da decisão do Procon-MG no Judiciário.

Além disso, o Ministério Público Federal abriu inquérito civil para investigar a conduta da rede de farmácias. A investigação visa esclarecer se a exigência de CPF para descontos configura prática abusiva e se o consentimento dos consumidores é coletado devidamente. A investigação ainda está em andamento.

O que acontece agora?

Em fevereiro de 2025, a ANPD concluiu o processo de fiscalização. O processo envolvia o grupo RaiaDrogasil, a Febrafar (Federação Brasileira das Redes Associativistas e Independentes de Farmácias) e o programa de pontos Stix.

Em relação ao grupo RaiaDrogasil, a ANPD decidiu pela abertura de processo sancionador com auto de infração. Isso significa que a ANPD entende que há fortes indícios de violações da LGPD e, ao final do processo, a Autoridade pode emitir sanções contra o grupo. Tais sanções podem ser penalidade financeira, como multa, ou outras penalidades previstas na LGPD, como o bloqueio da base de dados e até a suspensão das atividades da empresa.

Quanto à Febrafar, a ANPD emitiu medida preventiva, ou seja, solicitação de adequação referente à base legal utilizada para justificar o tratamento de dados pessoais; à transparência sobre privacidade e proteção de dados; e ao exercício de direitos do titular de dados em seu site de forma facilitada.

Ainda, a Febrafar deverá atuar para garantir que suas associadas também promovam o acesso facilitado do titular de dados a um canal para o exercício de seus direitos previstos na LGPD.

Em relação à Stix, a ANPD decidiu pelo arquivamento do processo, entretanto, sem prejuízo de novas investigações.

Conclusão

Os pontos questionados pela ANPD são pontos que normalmente aparecem em seus processos e notificações direcionadas aos agentes de tratamento, tais como: transparência, base legal adequada, compartilhamento de dados e direitos dos titulares.

Portanto, a conformidade com a LGPD é vital para todas as empresas que tratam dados pessoais. As sanções aplicáveis pela ANPD, como multas significativas ou a suspensão das atividades, podem ter um impacto profundo nas operações das empresas. Além disso, a transparência e a proteção de dados pessoais fortalecem a confiança dos clientes e garantem uma relação mais saudável e segura.

Quer entender como podemos te ajudar a navegar pelo complexo mundo digital e da proteção de dados? Entre em contato conosco e agende uma conversa – será um prazer te auxiliar.

Vamos construir juntos um futuro mais seguro e responsável no mundo digital! 🚀🔐🌐