Ganhar dinheiro online precisa de CPF? Seus dados são seguros?

Para receber dinheiro em reais de uma plataforma online, o CPF entra no caminho de qualquer jeito: a conta que recebe o Pix é aberta com ele. A Circular nº 3.978/2020 do Banco Central do Brasil manda as instituições autorizadas a funcionar pelo BC coletarem, no mínimo, "o nome completo e o número de registro no Cadastro de Pessoas Físicas (CPF)" do cliente pessoa natural. A plataforma que paga costuma pedir o mesmo número por dois motivos que aparecem nas páginas oficiais: conferir que a conta de destino é de quem se cadastrou e impedir que uma pessoa tenha várias contas.

Informar o CPF a quem explica para que o usa não é o risco principal. O risco está em entregar o que dá acesso à conta — senha, código de verificação e token —, que a Federação Brasileira de Bancos (Febraban) descreve como "de uso pessoal, intransferível".

Por que a plataforma pede o CPF: o que dizem as fontes

1. O dinheiro sai para uma conta aberta com CPF

A exigência nasce antes da plataforma. A Lei nº 9.613/1998, de prevenção à lavagem de dinheiro, determina no art. 10, I, que as pessoas sujeitas a ela "identificarão seus clientes e manterão cadastro atualizado". Para bancos e instituições de pagamento, o Banco Central detalhou a regra na Circular nº 3.978, de 23/01/2020: pelo art. 16, § 2º, I, na redação dada pela Resolução BCB nº 119, em vigor desde 1º/09/2021, a identificação do cliente pessoa natural exige, no mínimo, nome completo e CPF.

2. O Pix confere o dono da chave

O Manual Operacional do DICT, o diretório de chaves Pix do Banco Central, na versão 8.5, determina que, para validar uma chave CPF, a instituição deve "verificar se o número informado corresponde ao número utilizado para a abertura da conta". E o manual de Requisitos Mínimos para a Experiência do Usuário, versão 7.3, obriga o aplicativo de quem paga a mostrar, antes da confirmação, o "nome completo, CPF mascarado (ex: ***.777.888-**)" do recebedor, qualquer que seja a chave. Mesmo com chave aleatória, quem paga vê o nome e parte do CPF de quem recebe.

A política de privacidade do PiniOn, atualizada em abril de 2023, escreve a consequência: quem saca para conta bancária "deverá cadastrar o mesmo CPF e demais dados pessoais do titular da conta bancária". As regras de cada tipo de chave estão em qual chave Pix usar para receber de plataformas de recompensas.

3. Um CPF, uma conta: a trava contra fraude

Na tabela de finalidades da mesma política, o PiniOn lista para o CPF: "Permitir o saque pelos usuários em conta bancária, e averiguar existência de outros logins com mesmo CPF". A Central de Ajuda do Kwai, na seção de saque, cita o Artigo III, item 15, das regras da atividade: "um nome e uma informação do CPF só podem ser vinculados a uma conta do Kwai. Nenhum deles pode ser alterado." A mesma resposta pede para verificar se "seus amigos e familiares usaram suas informações do CPF" — se outra pessoa já vinculou aquele CPF, o dono não consegue vinculá-lo à própria conta. Detalhes em como sacar do Kwai por Pix; a análise do PiniOn está em PiniOn paga mesmo?.

4. Idade mínima

Quem paga também confere idade, mas, nas páginas consultadas, não pelo CPF: o Google Recompensa sua Opinião só qualifica usuários que "têm mais de 18 anos e residem nos países em que o app está disponível", sem citar CPF, e o PiniOn usa a data de nascimento e uma declaração de maioridade. O que é normal na checagem com documento e selfie está em app de recompensa pede selfie e documento: é seguro?; a idade de cada app, em como receber Pix sendo menor de idade.

Páginas do PiniOn, do Kwai e do Google consultadas em 25/09/2026. Quem prefere não informar o CPF tem opções mais limitadas, analisadas em ganhar dinheiro online sem CPF é possível?.

O que a LGPD garante sobre o seu CPF

A Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018) trata o CPF como dado pessoal — "informação relacionada a pessoa natural identificada ou identificável", pelo art. 5º, I. Três regras da redação vigente, conferida em 25/09/2026:

• Base legal, não só consentimento. O art. 7º lista dez hipóteses para tratar dado pessoal: o consentimento é a do inciso I, ao lado de obrigação legal (II), execução de contrato (V) e legítimo interesse (IX), entre outras.
• Finalidade e necessidade. O art. 6º exige tratamento "para propósitos legítimos, específicos, explícitos e informados ao titular" e limitado "ao mínimo necessário".
• Informação à vista. Pelo art. 9º, a finalidade específica, a identificação do controlador e o uso compartilhado dos dados têm de estar disponíveis "de forma clara, adequada e ostensiva".

Descumprir a lei sujeita a empresa às sanções do art. 52, que incluem multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, e chegam à proibição parcial ou total do tratamento de dados.

Exclusão: o direito existe, mas não é absoluto

O art. 18 garante ao titular, "a qualquer momento e mediante requisição", confirmação do tratamento, acesso, correção e informação sobre com quem os dados foram compartilhados; confirmação e acesso em declaração completa têm prazo de até 15 dias (art. 19, II). A eliminação tem limite: o inciso VI do art. 18 cobre os dados "tratados com o consentimento do titular, exceto nas hipóteses previstas no art. 16", e o art. 16 autoriza guardar dados para "cumprimento de obrigação legal ou regulatória pelo controlador".

A Agência Nacional de Proteção de Dados (ANPD), nome dado pela Medida Provisória nº 1.317, de 17/09/2025, convertida na Lei nº 15.352, de 25/02/2026, resume na página de petições que os direitos do titular "não são absolutos e nem sempre poderão ser atendidos pelo controlador", como na exclusão de dados que a empresa tem obrigação legal de guardar. O PiniOn aplica a ressalva: dados de obrigação legal, "bem como dados financeiros", "não serão eliminados". E a política não diz por quantos anos guarda o CPF: fala em reter os dados "pelo tempo necessário para alcançar a finalidade".

Como reclamar: primeiro a empresa, depois a ANPD

"O exercício de direitos deve ser solicitado, primeiro, diretamente ao controlador", diz a ANPD, que só aceita petição de titular com prova dessa tentativa — protocolo, mensagens, e-mails — e não aceita petição anônima. O contato do encarregado costuma estar na política de privacidade, e agentes de pequeno porte podem ser dispensados de indicá-lo. Desde 1º/01/2025, petições seguem só pelo Sistema de Requerimentos, com login gov.br. O art. 18, § 8º, permite ainda recorrer aos órgãos de defesa do consumidor, como o Procon e o Consumidor.gov.br. Mais sobre privacidade nos painéis em seus dados estão seguros em plataformas de pesquisa?.

Onde o CPF não deve ir, e o que nunca se entrega

Em alerta de 06/03/2026 sobre o golpe do falso gerente, a Febraban escreveu que "Senhas pessoais, assim como códigos ou tokens fornecidos pelos aplicativos, são de uso pessoal, intransferível e exclusivos para uso do cliente no aplicativo da instituição". Em 25/04/2024, a federação já registrava que criminosos "até oferecem renda extra para enganar vítimas".

Quem já pagou a taxa encontra o roteiro em "taxa para liberar saque": o golpe mais comum dos apps; os sinais de página clonada estão em como identificar site falso de ganhar dinheiro. Antes de informar o CPF, vale procurar o histórico de pagamento da plataforma no Reclame Aqui.

Como conferir se alguém usou o seu CPF

Cinco serviços, quatro deles públicos e gratuitos, cobrem conta aberta, chave Pix cadastrada, crédito tomado e empresa aberta em nome de outra pessoa (consulta em 25/09/2026):

Conta ou empréstimo desconhecido no Registrato? O Banco Central orienta: "procure a instituição responsável pela informação". O BC Protege+ é, nas palavras do BC em resposta atualizada em 01/12/2025, "uma camada extra de proteção": as instituições "devem continuar verificando a identidade dos clientes". Na Serasa, os alertas automáticos de consulta ao CPF ficam no Serasa Premium, serviço de assinatura.

A situação do CPF também pesa no Pix

O Manual do DICT considera irregulares, para pessoa física, as situações suspensa, cancelada, titular falecido e nula, e manda a instituição observá-las ao registrar, alterar, portar ou excluir chaves. Pela Receita Federal, "suspenso" indica cadastro com informações incorretas ou incompletas. Já "pendente de regularização" — situação em que, segundo a Receita, "alguma declaração de imposto de renda não foi enviada" — não está na lista do DICT.

Três ideias erradas sobre CPF e renda extra

"Vão abrir conta no meu nome só porque informei o CPF"

Abrir conta exige mais que o número: a Circular nº 3.978/2020 manda a instituição "verificar e validar a identidade do cliente", inclusive, se necessário, confrontando as informações com bancos de dados públicos e privados. Contra a conta aberta com dados de outra pessoa servem o BC Protege+ e o relatório de contas do Registrato.

"Meu CPF vai ficar negativado"

Responder pesquisa ou receber Pix não cria dívida, e negativação depende de dívida. O risco real é alguém tomar crédito com dados vazados, e o relatório de Empréstimos e Financiamentos (SCR) do Registrato mostra o crédito que o sistema financeiro informa ao Banco Central.

"Informar o CPF me obriga a pagar imposto"

Imposto depende de rendimento, não de cadastro: a obrigação de declarar segue critérios anuais da Receita Federal que olham rendimentos, bens e operações em bolsa, entre outros, tema de como declarar renda de plataformas de recompensas no Imposto de Renda.

O CPF foi parar em site suspeito: o que fazer, na ordem

1. Avise o banco se digitou senha, código ou token no site: a Febraban orienta medidas como "bloqueio do app e senha de acesso".
2. Abra o Registrato e confira contas, chaves Pix e empréstimos; o que não reconhecer, leve à instituição responsável.
3. Ative o BC Protege+ se não pretende abrir conta nova tão cedo; dá para ativar ou desativar quando quiser.
4. Impeça a inclusão do CPF em CNPJ no serviço da Receita Federal.
5. Peça à empresa a confirmação do tratamento e a lista de com quem ela compartilhou os dados (LGPD, art. 18, I e VII). Incidente de segurança que possa causar risco ou dano relevante obriga o controlador a avisar a ANPD e o titular (art. 48).
6. Registre boletim de ocorrência se houve uso indevido e guarde prints e protocolos: a ANPD pede prova da tentativa feita junto à empresa.

Conclusão: o CPF é a porta do Pix, não a chave da conta

Receber em reais numa conta no Brasil passa pelo CPF, porque conta e chave Pix são amarradas a ele por norma do Banco Central. A pergunta útil antes do cadastro é se a política de privacidade diz para que a plataforma usa o número e com quem o compartilha. Senha, código e token ficam só com o titular. Para começar, veja como ganhar dinheiro na internet.

📚 Fontes desta página

Todas consultadas em 25/09/2026.

• Arts. 5º, 6º, 7º, 9º, 16, 18, 19, 48 e 52: LGPD — Lei nº 13.709/2018, texto compilado; nome da ANPD: Medida Provisória nº 1.317/2025, convertida na Lei nº 15.352/2026.
• Petição de titular: ANPD — Denúncia / Petição de Titular.
• Identificação de clientes: Lei nº 9.613/1998, art. 10; nome e CPF no cadastro: Circular nº 3.978/2020, versão consolidada.
• Chave CPF e situações irregulares: Manual Operacional do DICT, versão 8.5; nome e CPF mascarado antes de pagar: Requisitos Mínimos para a Experiência do Usuário, versão 7.3.
• Registrato, relatórios do Registrato e BC Protege+, do Banco Central; respostas sobre relatório incorreto e limites do BC Protege+.
• Situações do CPF: Receita Federal — Meu CPF; bloqueio em CNPJ: gov.br — Impedir/Permitir participação do meu CPF no CNPJ.
• Febraban: golpe do falso gerente (06/03/2026) e golpes com o uso do celular (25/04/2024).
• Plataformas: PiniOn — Política de Privacidade; Kwai — Central de Ajuda, Saque; Google — Recompensa sua Opinião, qualificação.
• Relatório de R$ 19,90 e alertas no Serasa Premium: Serasa — relatório de consultas ao CPF.