Farmácias podem pedir o CPF do cliente, mas há limites claros estabelecidos pela Lei Geral de Proteção de Dados (LGPD) para a coleta, o armazenamento e o uso dessas informações. A prática é comum no varejo farmacêutico brasileiro, utilizada para fins como programas de fidelidade, emissão de nota fiscal e controle de compras de medicamentos sujeitos a restrições.
No entanto, exigir o dado sem justificativa legal ou reter informações sem o consentimento adequado do titular pode expor o estabelecimento a sanções aplicadas pela Autoridade Nacional de Proteção de Dados (ANPD).
O que é a LGPD
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) regula o tratamento de dados pessoais no Brasil, tanto no ambiente digital quanto no físico. Ela se aplica a qualquer empresa que colete, armazene, use, compartilhe ou elimine dados de pessoas naturais, incluindo estabelecimentos do varejo farmacêutico de todos os portes¹.
O CPF é considerado um dado pessoal pela LGPD, pois permite a identificação direta do indivíduo. Por isso, sua coleta precisa estar amparada em uma das bases legais previstas na lei, como o consentimento do titular, o cumprimento de obrigação legal ou regulatória, ou a execução de contrato do qual o titular seja parte².
Quando a farmácia pode pedir o CPF
O pedido de CPF em farmácias é legítimo em diversas situações. A seguir, os principais contextos em que a solicitação encontra respaldo legal ou regulatório:
- Emissão de nota fiscal eletrônica (NF-e): o CPF pode ser solicitado para identificação do consumidor na nota fiscal, conforme normas da Receita Federal. Nesse caso, a base legal é o cumprimento de uma obrigação legal.
- Compra de medicamentos controlados: a legislação sanitária, regulamentada pela Agência Nacional de Vigilância Sanitária (Anvisa), exige a identificação do comprador e, em muitos casos, do portador da receita médica para a dispensação de medicamentos sujeitos a controle especial³.
- Programa de fidelidade: quando a farmácia oferece benefícios como descontos ou pontos acumulados mediante cadastro, o CPF pode ser coletado com base no consentimento do cliente. Nesse caso, a participação no programa deve ser voluntária e o cliente deve ser claramente informado sobre como seus dados serão usados.
- Ressarcimento junto a planos de saúde: em compras cobertas por convênios, o CPF é necessário para fins de identificação e processamento junto às operadoras.
Quando a farmácia não pode exigir o CPF
A LGPD proíbe a coleta de dados pessoais sem finalidade legítima, específica e informada ao titular. Na prática, isso significa que a farmácia não pode condicionar a venda de um produto à entrega do CPF quando não há base legal que justifique a exigência.
O Procon-SP e o Procon de outros estados já autuaram estabelecimentos por essa prática, entendida como abusiva à luz do Código de Defesa do Consumidor (CDC) e da LGPD⁴. O consumidor tem o direito de comprar qualquer produto de venda livre sem fornecer dados pessoais que não sejam exigidos por lei.
Além disso, a recusa em vender com base na não apresentação do CPF, quando este não é obrigatório para aquela transação, pode configurar venda casada, prática vedada pelo artigo 39 do CDC.
LGPD nas farmácias: obrigações práticas
A adequação à LGPD vai além do momento do balcão. O varejo farmacêutico precisa estruturar processos internos que garantam o tratamento responsável dos dados coletados. Entre as principais obrigações:
- Transparência: o cliente deve ser informado, de forma clara e acessível, sobre quais dados são coletados, com qual finalidade e por quanto tempo serão armazenados.
- Consentimento registrável: quando a base legal for o consentimento, ele deve ser obtido de forma livre, informada e inequívoca, preferencialmente com registro.
- Segurança da informação: a farmácia é responsável por proteger os dados armazenados contra acessos não autorizados, vazamentos e uso indevido.
- Direitos do titular: o cliente pode solicitar a correção, exclusão ou portabilidade dos seus dados a qualquer momento. A farmácia tem obrigação de responder a essas solicitações.
- Indicação de encarregado (DPO): empresas que tratam dados em larga escala devem designar um encarregado de proteção de dados, o chamado Data Protection Officer (DPO), responsável por intermediar a comunicação entre a empresa, os titulares e a ANPD⁵.
Sanções previstas pela LGPD
O descumprimento das regras pode resultar em sanções aplicadas pela ANPD, que incluem advertência, multa simples de até 2% do faturamento da empresa no Brasil — limitada a R$ 50 milhões por infração —, bloqueio ou eliminação dos dados pessoais tratados irregularmente e publicização da infração⁶.
Embora a fiscalização ainda esteja em fase de consolidação no país, o risco reputacional de um episódio de uso indevido de dados pode ser ainda mais impactante do que a sanção financeira, especialmente para farmácias que constroem sua relação com o cliente com base na confiança.
O caminho da adequação
Para farmácias e drogarias que ainda não iniciaram o processo de adequação à LGPD, o ponto de partida recomendado é o mapeamento dos dados pessoais tratados pelo estabelecimento, identificando quais são coletados, em que momento, com qual finalidade e quem tem acesso a eles.
A partir desse diagnóstico, é possível definir políticas internas, treinar a equipe de atendimento e revisar contratos com fornecedores e parceiros tecnológicos que acessem informações dos clientes. O investimento em conformidade protege o estabelecimento juridicamente e fortalece a relação de confiança com o consumidor, um ativo cada vez mais valorizado no varejo de saúde.
Referências
1. Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais). Presidência da República. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. Acesso em: 19/06/2026.
2. Autoridade Nacional de Proteção de Dados (ANPD). Guia orientativo: bases legais para o tratamento de dados pessoais. Disponível em: www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia_orientativo_hipoteses_legais_tratamento_de_dados_pessoais_legitimo_interesse. Acesso em: 19/06/2026.
3. Agência Nacional de Vigilância Sanitária (Anvisa). RDC nº 471/2021 e legislação correlata sobre medicamentos sujeitos a controle especial. Disponível em: www.in.gov.br/en/web/dou/-/resolucao-rdc-n-471-de-23-de-fevereiro-de-2021-304923190. Acesso em: 19/06/2026.
4. Procon-SP. Orientações ao consumidor sobre coleta de dados pessoais no varejo. Disponível em: www.procon.sp.gov.br/wp-content/uploads/2020/12/Cartilha-LGPD-2020_11dez.pdf. Acesso em: 19/06/2026.
5. ANPD. Guia para definição de encarregado pelo tratamento de dados pessoais (DPO). Disponível em: www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia-orientativo-para-definicoes-dos-agentes-de-tratamento-de-dados-pessoais-e-do-encarregado. Acesso em: 19/06/2026.
6. Lei nº 13.709/2018, art. 52. Sanções administrativas. Presidência da República. Disponível em: www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. Acesso em: 19/06/2026.
Foto: Shutterstock
Leia também
48,6% dos clientes estão satisfeitos com programas de fidelidade das farmácias, diz pesquisa
