Pergunta frequente
Posso pedir CPF e endereço do ganhador do sorteio? E a LGPD?
Atualizado em 22/09/2026 · Tempo de leitura: ~6 min
Resumo rapido
Pode pedir o que for necessário para entregar o prêmio e cumprir obrigação fiscal, e só isso. A LGPD não proíbe coletar — exige finalidade declarada, mínimo necessário, canal privado e descarte quando a finalidade acabar. Pedir documento no comentário público é o erro clássico e deve ser evitado sempre.
A LGPD não proíbe, ela organiza
A Lei Geral de Proteção de Dados não impede que você colete dados de um ganhador. Ela estabelece condições: você precisa ter uma base legal para coletar, precisa declarar para que serve, precisa pedir só o que é necessário para aquela finalidade, precisa proteger o que recebeu e precisa descartar quando a finalidade se esgota.
Num sorteio, a base legal costuma ser direta: a execução do que foi prometido no regulamento, e o cumprimento de obrigação legal quando há imposto ou nota fiscal envolvidos. Não é preciso consentimento formal separado para pedir o endereço de quem ganhou um produto físico — o envio é a própria razão pela qual a pessoa participou.
O que muda é a forma de pedir e o que acontece depois.
Que dados pedir, e só esses
Para prêmio físico: nome completo, endereço com CEP e um telefone de contato para a transportadora. Ponto. Data de nascimento só se houver restrição de idade no regulamento, e nesse caso basta a confirmação de maioridade, não a data inteira.
Para prêmio em dinheiro ou de valor alto, entra o CPF, porque há obrigação fiscal do promotor. Aqui a coleta é legítima e necessária — e é bom explicar isso ao ganhador, que muitas vezes estranha o pedido justamente porque golpes pedem a mesma coisa.
O que não pedir nunca: foto de documento sem necessidade concreta, dados bancários quando o prêmio não é dinheiro, senha de qualquer coisa. Se o prêmio é um produto, não existe motivo para ver a identidade de ninguém.
O erro mais comum: pedir em público
Acontece toda semana: o organizador anuncia o ganhador e escreve 'me manda seu CPF e endereço aqui nos comentários'. Isso expõe dados pessoais de alguém publicamente, é indefensável sob a LGPD e, além disso, entrega ao golpista todos os dados de que ele precisa para se passar por você.
O caminho correto é sempre canal privado: mensagem direta, e-mail ou um formulário com link enviado em particular. Se você usa formulário, ele precisa dizer em uma linha para que serve o dado e por quanto tempo será guardado.
Vale também avisar o ganhador de que você nunca pedirá senha nem pagamento para liberar o prêmio. Como golpe de falso sorteio é comum, essa frase protege os dois lados.
Quanto tempo guardar
O endereço serve até o prêmio chegar. Depois disso, a finalidade se esgotou e o dado deveria ser apagado — e isso inclui apagar a conversa do WhatsApp, a planilha improvisada e o e-mail com a foto do comprovante.
A exceção é o que tem prazo legal próprio. Documento fiscal emitido em nome do ganhador segue a regra contábil, não a sua conveniência, e fica guardado pelo prazo aplicável.
Sobre a lista de participantes: ela é composta de nomes de usuário públicos, que já estavam visíveis no post. Publicar a lista no certificado de auditoria é o que dá transparência ao sorteio e não expõe nada que não estivesse exposto. Isso é bem diferente de publicar CPF ou endereço.
Gratis ate 200 participantes · Verificacao SHA-256 publica
Perguntas relacionadas
Preciso de consentimento formal dos participantes?
Para o sorteio em si, o regulamento aceito ao participar já cumpre o papel, e os dados usados são públicos — o nome de usuário do comentário. Consentimento separado importa quando você quiser usar os dados para outra coisa, como enviar promoções depois.
Posso usar os participantes do sorteio para montar uma lista de marketing?
Essa é uma finalidade diferente da que levou a pessoa a participar, então exige consentimento próprio e claro. Na prática, é preciso pedir e deixar recusar — não dá para tratar a participação como autorização.
Publicar a lista de participantes fere a LGPD?
Publicar nomes de usuário que já estavam visíveis no post público é o que torna o sorteio auditável e não expõe dado novo. O cuidado é não incluir nada além disso: nunca CPF, telefone, endereço ou e-mail.
O ganhador pode pedir para não ser divulgado?
Pode, e é bom prever isso no regulamento. Você pode anunciar apenas o primeiro nome ou o usuário parcialmente oculto, mantendo a auditoria válida — o certificado continua registrando o resultado completo para quem quiser conferir.