Introdução: sete minutos, um perfil completo
Um sábado de manhã como outro qualquer. Empurra o carrinho, passa o cartão de fidelidade à entrada para ativar as promoções personalizadas, hesita três minutos diante dos iogurtes, leva dois pacotes de fraldas, uma caixa de paracetamol, uma garrafa de vinho. Passa pela caixa de autoatendimento, paga sem contacto, recusa o talão em papel — chegará por e-mail, é mais ecológico.
Sete minutos. E durante esses sete minutos, a cadeia registou: a lista completa e datada do que consome, a presença provável de um bebé em casa, uma indicação sobre a sua saúde, a sua relação com o álcool, o facto de fazer compras sozinho e cedo, a impressão digital do seu cartão bancário, o seu endereço de e-mail e — se a loja estiver equipada com sensores de afluência — a duração exata da sua paragem diante da secção de frescos.
Nada de ilegal nisto, desde que tudo tenha sido corretamente anunciado e consentido. O problema é que quase ninguém sabe o que está a ser recolhido nem, sobretudo, o que é feito depois com esses dados. O talão de compras é hoje um dos documentos mais ricos em informações íntimas que um agregado familiar produz — muito mais revelador do que um histórico de navegação.
Este guia faz o inventário, sem catastrofismo, e indica os gestos que realmente funcionam.
O que um talão de compras diz sobre si
O cabaz como biografia
As cadeias falam de «dados transacionais». Por trás do termo esconde-se uma matéria-prima de uma precisão temível. Um histórico de compras de doze meses permite deduzir, com uma fiabilidade que investigadores de marketing documentam desde os anos 2000:
| O que compra | O que é deduzido |
|---|---|
| Fraldas, boiões de papa, leite infantil | Nascimento, idade da criança ao mês certo |
| Testes, suplementos, produtos de higiene específicos | Estado de saúde, gravidez, menopausa |
| Produtos sem glúten, halal, kosher, vegan | Patologia, religião, convicções |
| Álcool, tabaco, raspadinhas | Perfil de risco, potencial segmentação para seguros |
| Volume total, marcas de primeiro preço | Nível de rendimento e a sua variação ao longo do tempo |
| Horários e frequência das visitas | Ritmo de trabalho, vida a dois ou não |
Várias destas categorias constituem dados sensíveis na aceção do artigo 9.º do RGPD (saúde, religião, orientação). As cadeias não afirmam tratá-los enquanto tal — mas uma inferência estatística chega ao mesmo resultado sem nunca assinalar a casinha.
O caso do talão desmaterializado
Desde agosto de 2023, o fim da impressão automática dos talões de compra entrou em vigor em França (lei antidesperdício para uma economia circular, dita AGEC). Excelente medida ecológica. Efeito colateral raramente sublinhado: ofereceu à grande distribuição um pretexto massivo para recolher endereços de e-mail e números de telefone.
Um talão em papel é anónimo se pagar em dinheiro. Um talão enviado por e-mail nunca o é: liga o seu cabaz a uma identidade estável, reutilizável, revendável dentro de um grupo.
Pode sempre pedir a impressão do talão em papel. A lei proíbe a impressão sistemática, não a impressão a pedido. É um direito, não um favor.
O cartão de fidelidade: o contrato mais desequilibrado da sua carteira
O que dá, o que recebe
O princípio é simples: cede a totalidade do seu histórico de consumo em troca de descontos cuja taxa média real se situa geralmente entre 1 e 3 % do cabaz. É pouco, comparado com o valor de um perfil de consumidor completo no mercado dos dados.
Isso não significa que se deva renunciar aos cartões. Significa que é preciso saber o que se assina.
As perguntas a fazer antes de aderir
- O programa é partilhado entre várias cadeias? Alguns grupos cobrem alimentação, bricolage, eletrónica, perfumaria, combustíveis. Um único cartão, uma visão a 360° do seu agregado familiar.
- Os dados são partilhados com as marcas? Os industriais do agroalimentar compram aos distribuidores análises de cabaz. É legal se for anunciado.
- Qual o prazo de conservação? A CNIL recomenda uma conservação limitada dos dados de fidelização, com eliminação após um período de inatividade (geralmente três anos). Para além disso, a cadeia tem de justificar.
- Existe associação a um cartão de pagamento ou a um crédito renovável? É aí que a criação de perfis muda de natureza, como referimos no nosso artigo sobre scoring financeiro.
A estratégia da identidade compartimentada
A solução mais eficaz não é nem a recusa total nem a adesão cega: é a compartimentação.
- Crie um endereço de e-mail dedicado exclusivamente aos programas de fidelização. Não serve para mais nada: nem banco, nem administração, nem contactos pessoais.
- Use um número secundário para as inscrições que o exijam — cartão SIM pré-pago dedicado, ou um serviço de envio de SMS sem registo quando se trata apenas de validar um contacto.
- Indique apenas os campos estritamente obrigatórios. Data de nascimento exata, composição do agregado, profissão: estes campos são quase sempre facultativos, mesmo quando o formulário sugere o contrário.
- Recuse sistematicamente a casinha «partilha com os nossos parceiros». É ela que faz sair os seus dados do perímetro da cadeia.
Um princípio simples: uma identidade por utilização. Um endereço para os impostos, outro para o comércio, outro para inscrições descartáveis. No dia em que um deles vazar, os outros aguentam.
As caixas de autoatendimento: muito mais do que um scanner
O vídeo «antiquebra»
As caixas self-service estão equipadas com câmaras. Oficialmente, servem para combater a quebra desconhecida — o furto, em linguagem clara. A CNIL enquadra estritamente esta utilização: a imagem não pode servir para outra coisa, a conservação deve ser curta (um mês no máximo, na maioria dos casos) e a informação ao cliente tem de estar visível.
Há alguns anos que surgem sistemas mais avançados: análise automatizada dos gestos, deteção de um artigo não lido, comparação entre o peso esperado e o peso verificado. Estes dispositivos constituem um tratamento algorítmico da imagem, e a CNIL recordou por diversas vezes que o vídeo aumentado não pode ser implantado de qualquer maneira — exige uma avaliação de impacto e uma base legal sólida.
O reconhecimento facial: o que é proibido
Ponto importante: o reconhecimento facial em loja, com fins de identificação de clientes ou de deteção de pessoas indesejáveis, é em princípio proibido sem consentimento explícito. A CNIL sancionou cadeias que testaram tais dispositivos. O regulamento europeu sobre a inteligência artificial endureceu, aliás, o enquadramento da identificação biométrica em espaços acessíveis ao público.
Se uma loja o informar de um tratamento biométrico, pode recusar. Se não o informar, isso é, em si mesmo, um incumprimento.
O wi-fi gratuito e o rastreio do percurso
O seu telemóvel, se tiver o wi-fi ativado, emite permanentemente pedidos que contêm um endereço MAC. Caixas instaladas na loja podem contar as passagens, medir os tempos de paragem por corredor, reconstituir um percurso. Os sistemas operativos móveis modernos tornam esse endereço aleatório, o que limita fortemente o seguimento entre visitas — mas nem sempre dentro da mesma visita.
O reflexo útil é banal e gratuito: desative o wi-fi e o Bluetooth antes de entrar, ou coloque o telemóvel em modo de avião durante as compras. Um porta-cartões com bloqueio RFID protege ainda os seus cartões sem contacto de leituras oportunistas na fila de espera.
O drive e as aplicações: a criação de perfis em versão integral
Porque é que o drive sabe mais do que a loja
Fazer compras online é aceitar um nível de granularidade superior. A cadeia deixa de conhecer apenas o que compra, para saber também:
- o que consultou sem comprar;
- o tempo passado em cada ficha de produto;
- as suas substituições aceites ou recusadas;
- a sua morada de entrega exata, o andar, o código do prédio;
- a sua posição GPS, se a aplicação tiver acesso;
- o identificador publicitário do seu telemóvel, que liga as suas compras à sua navegação noutros sítios.
As definições que mudam mesmo alguma coisa
Tanto no Android como no iOS, três ações reduzem o essencial da fuga:
- Recusar o rastreio publicitário ao nível do sistema («Pedir à app para não me seguir» no iOS, eliminação do identificador publicitário no Android).
- Restringir a localização a «durante a utilização», no mínimo, ou mesmo a «nunca»: uma aplicação de compras não precisa de saber onde dorme.
- Usar o site web para telemóvel em vez da aplicação sempre que possível. Um navegador compartimentado recolhe muito menos do que uma aplicação nativa, que tem acesso a identificadores de hardware duradouros.
Para os agregados que queiram ir mais longe, um router doméstico capaz de filtrar os domínios publicitários, ou simplesmente um DNS respeitador da privacidade configurado no router, corta parte dos envios antes mesmo de saírem de casa.
Pagar sem contar a sua vida
O meio de pagamento é o eixo da criação de perfis: é ele que permite voltar a ligar um cabaz a uma identidade mesmo sem cartão de fidelidade, através da impressão técnica do cartão bancário.
| Meio de pagamento | Rastreabilidade pela cadeia | Observação |
|---|---|---|
| Dinheiro | Nula | O direito ao pagamento em numerário continua protegido abaixo do limite legal |
| Cartão bancário clássico | Elevada (identificador estável) | Cruzável com o talão |
| Pagamento móvel (Apple Pay, Google Pay) | Média (token variável) | Mas o ecossistema do telemóvel sabe mais |
| Cartão pré-pago | Baixa | Útil para compras sensíveis |
| Cheque | Muito elevada | Nome, banco, assinatura |
Pagar em dinheiro algumas compras por mês — as que tocam na saúde, nas convicções, na vida íntima — basta para quebrar a continuidade de um perfil. Não é clandestinidade, é higiene. Uma carteira compacta basta para tornar o gesto menos incómodo do que parece.
Os seus direitos e como exercê-los realmente
O RGPD não é uma abstração de Bruxelas: aplicado à grande distribuição, dá alavancas muito concretas.
O direito de acesso
Escreva ao encarregado da proteção de dados (DPO) da cadeia — o seu contacto figura obrigatoriamente na política de privacidade. Peça:
- a totalidade do histórico de compras conservado;
- as categorias de dados deduzidos ou inferidos (segmentos de marketing, pontuações);
- a lista dos destinatários, incluindo os parceiros;
- o prazo de conservação aplicado.
A cadeia dispõe de um mês para responder, prorrogável para três em caso de complexidade. O resultado é muitas vezes instrutivo: muitos clientes descobrem que estão classificados em segmentos de nome explícito («família numerosa sensível ao preço», «comprador bio urbano»).
O direito de oposição à criação de perfis
Pode manter o cartão de fidelidade pelas suas vantagens tarifárias e opor-se à criação de perfis para fins de marketing. As duas coisas não são juridicamente indissociáveis: recusar as ofertas personalizadas não o deve privar dos descontos gerais do programa. Se a cadeia afirmar o contrário, é um ponto a denunciar.
O apagamento e a queixa
O direito ao apagamento aplica-se ao encerramento da conta de fidelização. Em caso de ausência de resposta ao fim de dois meses, a queixa online junto da CNIL é gratuita, demora uns dez minutos e desencadeia uma instrução real. Os relatórios anuais da CNIL mostram que o setor do comércio figura regularmente entre os mais visados pelas queixas.
O painel de bordo de uma semana de compras discretas
| Situação | Reflexo a adotar |
|---|---|
| Inscrição num programa de fidelização | Endereço de e-mail dedicado, campos facultativos deixados em branco |
| Pedido de número de telefone na caixa | Recusa educada; o número nunca é obrigatório para pagar |
| Talão desmaterializado proposto | Pedir o talão em papel, ou recusar ambos |
| Entrada na loja | Wi-fi e Bluetooth desativados |
| Compras sensíveis (saúde, intimidade) | Dinheiro, sem passar o cartão de fidelidade |
| Drive ou entrega ao domicílio | Site móvel em vez da aplicação, localização recusada |
| Correio promocional invasivo | Oposição escrita ao DPO e, se houver silêncio, CNIL |
Para aprofundar a lógica geral — perceber o que é um perfil, como se constrói e por que razão resiste — as obras de divulgação sobre a proteção dos dados pessoais publicadas nos últimos anos oferecem uma boa base sem exigir competências técnicas.
Conclusão: discrição não é privação
Nada neste guia consiste em renunciar às promoções, pagar mais caro ou fazer compras mascarado. A questão é outra: trata-se de restabelecer uma reciprocidade. A cadeia sabe exatamente o que obtém de si; você deve saber exatamente o que dá.
Três gestos bastam para mudar o equilíbrio: compartimentar as identidades, recusar os campos facultativos e retirar do perfil contínuo algumas compras por mês, pagando em dinheiro. Demora menos tempo do que procurar lugar para estacionar.
O resto decorre de um princípio que atravessa todos os nossos guias: os dados que não dá nunca vão vazar. Nenhuma política de privacidade, nenhuma promessa de encriptação, nenhum compromisso ecológico vale tanto como essa regra.
