LGPD e notas fiscais: como tratar dados do cliente na nota fiscal

A LGPD (Lei Geral de Proteção de Dados) entrou em vigor em 2020 e mudou como as empresas tratam dados pessoais. Mas a nota fiscal pede CPF, endereço, às vezes telefone — como conciliar a lei com a obrigação fiscal? Este guia explica.

A LGPD em resumo

A LGPD (Lei 13.709/2018) regula o tratamento de dados pessoais — qualquer informação que identifique uma pessoa. Ela se baseia em 10 princípios, sendo os mais relevantes para notas fiscais:

1. Finalidade: dados só podem ser usados para um propósito específico
2. Adequação: o uso deve ser compatível com a finalidade
3. Necessidade: só colete o que for necessário
4. Transparência: o titular deve saber como seus dados são usados

Dados na nota fiscal: o que é obrigatório

A SEFAZ exige certos dados do destinatário na NF-e/NFC-e. Estes dados são obrigatórios por lei fiscal — a LGPD não isenta a empresa de cumprir a obrigação fiscal.

NF-e (venda para empresa)

• CNPJ do destinatário (obrigatório)
• Razão social (obrigatório)
• Endereço completo (obrigatório)
• Inscrição Estadual (se contribuinte)

NFC-e (venda para consumidor)

• CPF do consumidor (facultativo, mas necessário para alguns programas)
• Nome (se CPF informado)
• Endereço (se CPF informado)
• Sem identificação: permitido até um limite de valor por UF

NFS-e (nota de serviço)

• CPF ou CNPJ (geralmente obrigatório)
• Endereço (obrigatório na maioria dos municípios)

A conciliação: LGPD vs obrigação fiscal

A LGPD não isenta a empresa de cumprir obrigações fiscais. O Art. 4º da LGPD exclui do seu alcance:

"tratamento de dados para fins exclusivos de segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e instrução de infrações penais"

E mais importante: a obrigatoriedade legal é uma das bases legais para tratamento de dados (Art. 7º, II da LGPD). Ou seja, se a SEFAZ exige CPF na nota, a empresa tem base legal para coletar.

Resumo prático

• Coletar CPF/CNPJ na nota: permitido (obrigação fiscal)
• Usar o CPF para enviar nota por e-mail: permitido (finalidade fiscal)
• Usar o CPF para marketing sem consentimento: NÃO permitido
• Guardar o XML com dados do cliente por 5 anos: permitido (obrigação fiscal)

O que NÃO pode fazer com dados da nota fiscal

1. Usar para marketing sem consentimento

Se você coletou o CPF do cliente na nota, não pode usar para enviar propaganda sem consentimento. A finalidade da coleta foi fiscal — usar para marketing é violação da LGPD.

2. Vender dados para terceiros

Os dados dos clientes coletados na nota não podem ser vendidos ou compartilhados com terceiros para fins comerciais.

3. Manter dados após o prazo legal

A guarda de XMLs é obrigatória por 5 anos. Após esse prazo, se não houver outro motivo legal para manter, os dados devem ser anonimizados ou descartados.

4. Expor dados em comprovante visível

O DANFE impresso contém dados do cliente. Se o comprovante for exposto em local visível (balcão, por exemplo), pode expor dados. O ideal é entregar diretamente ao cliente.

Boas práticas LGPD na nota fiscal

1. Coletar só o necessário

Para NFC-e com consumidor final, o CPF é facultativo (até o limite de valor da UF). Se o cliente não quer informar o CPF, não insista — a nota pode ser emitida sem identificação.

2. Ter política de privacidade

Tenha uma política de privacidade clara, informando que os dados coletados na nota são usados para fins fiscais e guardados pelo prazo legal.

3. Não usar dados da nota para outros fins

Se quiser usar o e-mail do cliente (que pode estar na nota) para enviar newsletter ou promoções, peça consentimento separado — não use o da nota.

4. Proteger os XMLs

Os XMLs contêm dados pessoais. Mantenha-os protegidos:

• Acesso restrito a quem precisa
• Criptografia em trânsito e em repouso
• Backup seguro

No NF-Lion, os XMLs ficam em servidores com criptografia e acesso controlado — você não precisa se preocupar com a segurança física dos arquivos.

5. Nome do encarregado (DPO)

Se sua empresa precisa ter um DPO (Encarregado de Tratamento de Dados Pessoais), informe o contato na política de privacidade. Para pequenas empresas, o DPO pode ser o próprio dono.

E o cliente que se recusa a dar o CPF?

Para NFC-e, o cliente não é obrigado a dar o CPF (até o limite de valor da UF). Se ele se recusa:

• Emita a nota sem identificação (destinatário não identificado)
• Não insista — a LGPD protege o direito de não compartilhar dados

Para NF-e (venda para empresa), o CNPJ é obrigatório — não há como emitir sem. Mas CNPJ é dado público, não dado pessoal sob a LGPD.

Conclusão

A LGPD não impede a coleta de dados na nota fiscal — a obrigação fiscal é base legal suficiente. Mas os dados coletados só podem ser usados para fins fiscais. Usar para marketing sem consentimento, vender dados ou manter além do prazo legal são violações. Com bom senso e um sistema que protege os dados, a conciliação é simples.

Dúvidas sobre LGPD e notas fiscais? Fale com a gente.