O Que é OSINT e Como Usar Dados Públicos para Due Diligence

Em fevereiro de 2024, uma empresa de engenharia foi descredenciada por um banco de desenvolvimento regional após auditoria de compliance. O motivo: um dos sócios havia participado de 11 empresas nos últimos 8 anos, 9 delas encerradas por inatividade antes de completar dois anos. Esse dado estava disponível gratuitamente na base da Receita Federal. O banco só o verificou depois do credenciamento.

OSINT, sigla de Open Source Intelligence, é a prática de coletar e cruzar informações disponíveis publicamente para produzir um retrato confiável de um alvo. O termo veio da inteligência militar, mas a metodologia se aplica perfeitamente a due diligence empresarial. No Brasil, o volume de dados públicos é excepcionalmente alto: Receita Federal, PGFN, CGU, TSE, CNJ e Diários Oficiais. A maior parte das empresas usa apenas uma dessas fontes.

O que dados públicos respondem sem custo

A combinação das fontes abertas disponíveis no Brasil responde às perguntas mais relevantes em due diligence de fornecedores e parceiros comerciais:

A empresa existe, está ativa e opera no CNAE que declara?
O sócio tem histórico de empresas problemáticas ou padrão de abertura-fechamento acelerado?
Há sanção federal registrada no CEIS, CNEP ou lista de inidôneos?
O sócio é ou foi candidato a cargo político, critério de PEP?
Há dívida inscrita na PGFN, especialmente FGTS ou previdenciária?
A empresa ou seus sócios aparecem em decisões judiciais relevantes?

Para uma análise de nível básico a intermediário, fontes públicas cobrirão entre 70 e 85% das informações necessárias. O restante depende de registros restritos (cartórios, birôs de crédito, investigação in loco) ou de APIs especializadas com custo. Mas esse percentual gratuito é exatamente onde a maioria dos red flags aparece.

Por que OSINT falha na prática

A maioria dos erros de due diligence não ocorre por falta de dados. Ocorre por metodologia incompleta ou desatualizada. Estes são os quatro padrões de falha mais comuns:

⚠Verificar apenas o CNPJ e ignorar os sócios

A empresa pode estar ativa e sem sanções, mas seus sócios acumulam histórico problemático em outras empresas. A due diligence começa no CNPJ e termina no CPF de cada sócio.

⚠Usar relatório de 2019 para contrato de 2026

Situação cadastral, composição societária e passivo fiscal mudam. Um laudo com mais de seis meses de idade não reflete a realidade atual. Due diligence é snapshot, não histórico permanente.

⚠Parar na situação cadastral sem cruzar outras fontes

CNPJ ativo não significa empresa idônea. Empresas na lista do CEIS continuam com CNPJ ativo na RF. A situação cadastral é apenas a primeira linha de verificação.

⚠Confundir homônimos sem verificar CPF e data de nascimento

João da Silva é um nome comum. Atribuir sanções ou processos ao sócio errado por coincidência de nome contamina a análise e pode gerar responsabilidade legal por informação falsa.

As principais fontes públicas para due diligence no Brasil

Receita Federal (CNPJ)

Dados disponíveis

·Situação cadastral
·Sócios e qualificações
·CNAE e porte
·Capital social
·Endereço e contato

Acesso

Gratuito via API pública

Uso principal

Base de qualquer due diligence empresarial no Brasil

Portal da Transparência

Dados disponíveis

·CEIS: Cadastro de Empresas Inidôneas e Suspensas
·CNEP: Cadastro Nacional de Empresas Punidas
·Servidores públicos federais

Acesso

CSV mensal, download gratuito

Uso principal

Identificar sanções federais e conflitos de interesse

TSE (Tribunal Superior Eleitoral)

Dados disponíveis

·Candidaturas por CPF
·Doações recebidas em campanha
·Filiação partidária

Acesso

dados.tse.jus.br, download gratuito

Uso principal

Avaliar exposição política de sócios (PEP: Politically Exposed Person)

CNJ DataJud

Dados disponíveis

·Processos judiciais por nome ou CPF/CNPJ
·Tribunal, vara e assunto
·Status e data de ajuizamento

Acesso

API gratuita com cadastro

Uso principal

Detectar litígios, execuções fiscais e processos criminais

Diário Oficial

Dados disponíveis

·Contratos públicos
·Nomeações e exonerações
·Penalidades administrativas

Acesso

Querido Diário (API OK Brasil), gratuito

Uso principal

Rastrear menções em atos do governo federal, estadual e municipal

PGFN (Certidão Negativa de Débitos)

Dados disponíveis

·Inscrições em dívida ativa federal
·Valor consolidado e tipo da dívida
·FGTS, previdência e tributos federais

Acesso

dados.pgfn.fazenda.gov.br — mais de 4 milhões de inscrições ativas, download gratuito

Uso principal

Verificar passivo fiscal relevante antes de contratar ou credenciar

CADESP (Secretaria da Fazenda de SP)

Dados disponíveis

·Registro estadual de ICMS
·Situação ativa ou baixada para São Paulo
·CNAE estadual e enquadramento tributário

Acesso

Portal Sintegra SP, gratuito por CNPJ

Uso principal

Validar atuação comercial de empresas paulistas que declaram operar com mercadorias

Querido Diário (OKBrasil)

Dados disponíveis

·Busca por palavra-chave em Diários Oficiais
·Federal, estaduais e municipais
·Histórico desde 2010 para vários entes

Acesso

queridodiario.org — API REST gratuita, sem autenticação

Uso principal

Encontrar menções de empresa ou sócio em penalidades, contratos e atos administrativos

Sinais que justificam investigação aprofundada

Estes padrões, quando identificados, não encerram o processo de due diligence: abrem uma camada adicional de verificação. Nenhum é eliminatório por si só, mas todos exigem resposta documentada antes de prosseguir com a contratação.

Capital social inferior a R$ 5 mil para contrato acima de R$ 100 mil

Descasamento entre capacidade declarada e obrigação assumida

Endereço de coworking com 50 ou mais CNPJs cadastrados

Pode indicar empresa de fachada sem estrutura operacional real

Sócio com mais de 3 empresas encerradas nos últimos 5 anos

Padrão de abertura-fechamento acelerado merece investigação do motivo

CNAE declarado não corresponde ao serviço ou produto contratado

Pode indicar irregularidade fiscal ou fraude na proposta

Empresa com menos de 12 meses de existência para contrato de longa duração

Capacidade financeira e operacional ainda não demonstrada

Sócio ou empresa no CEIS ou CNEP (mesmo sanção antiga)

Sanções expiradas ainda são relevantes para avaliação de histórico

Alteração societária recente antes da proposta (menos de 90 dias)

Troca de sócios próxima ao contrato pode ser estratégica para ocultar histórico

Inscrição ativa na PGFN com valor acima de R$ 50 mil

Passivo fiscal relevante compromete capacidade de entrega e continuidade

Sócio com candidatura ou filiação política ativa (critério PEP)

Exige due diligence aprofundada conforme COAF Resolução 30 e normas Bacen/CVM

Processo trabalhista acima de 10 reclamantes no DataJud

Indica problema sistemático de gestão de pessoal ou informalidade

OSINT e LGPD: o que é permitido

A LGPD (Lei 13.709/2018) não proíbe o uso de dados públicos para due diligence. O art. 7º lista as bases legais para tratamento de dados pessoais sem consentimento, e duas são diretamente aplicáveis:

Inciso V: execução de contrato ou procedimentos preliminares ao contrato. A verificação de um fornecedor antes de assinar é um procedimento pré-contratual legítimo.
Inciso IX: legítimo interesse do controlador. A proteção contra fraude, corrupção e inadimplência configura interesse legítimo desde que os dados coletados sejam proporcionais à finalidade.

O art. 7º, §4º, é ainda mais direto: dados tornados manifestamente públicos pelo titular dispensam consentimento. Informações cadastrais da Receita Federal, candidaturas no TSE e participações societárias foram tornadas públicas por determinação legal. Não há violação de privacidade em consultá-las.

Obrigações regulatórias que tornam due diligence compulsória

COAF Res. 30Obriga due diligence de PEP e PLD-FT para instituições financeiras e DNFBPs (contadores, advogados, imobiliárias, joalherias). Inclui verificação de TSE e fontes públicas.

Bacen Circular 3.978Exige procedimentos KYC (Know Your Customer) para abertura de conta e relação comercial com pessoa jurídica, incluindo identificação de beneficiários finais.

CVM Resolução 50Gestores e intermediários do mercado de capitais devem realizar due diligence de clientes e contrapartes, com ênfase em PEPs e sanções internacionais.

Susep Circular 612Seguradoras e corretoras de seguros obrigadas a PLD-FT com verificação de sócios e PEPs em operações relevantes.

O processo de investigação em 7 etapas

Coleta de dados de entrada

Reúna todo dado disponível sobre o alvo: razão social completa, CNPJ, nome dos sócios, CPF quando disponível, e-mail, telefone e endereço. Cada dado é uma chave de busca nas fontes que vêm a seguir. Quanto mais dados de entrada, menor a margem de erro por homonímia.

Verificação cadastral na Receita Federal

Confirme situação cadastral, CNAE principal, capital social declarado, sócios com qualificações e endereço registrado. Compare com o que a empresa apresentou na proposta: qualquer divergência é o primeiro sinal de alerta e deve ser documentada antes de prosseguir.

Histórico societário dos sócios

Para cada sócio, levante o histórico completo de participações: quantas empresas abertas, em quais anos, qual a proporção de encerradas sobre o total. Um sócio com 10 empresas abertas tem histórico diferente de um com 10 empresas abertas e 9 encerradas. A velocidade e o padrão importam tanto quanto os números brutos.

Sanções federais: CEIS e CNEP

Consulte o Portal da Transparência com o CNPJ e o CPF de cada sócio. O CEIS lista empresas suspensas ou inidôneas para contratar com o governo. O CNEP lista punições por improbidade, corrupção e fraude. Sanções expiradas ainda são relevantes para avaliar histórico de comportamento.

Verificação política no TSE

Busque cada sócio no cadastro do TSE por CPF. Candidaturas, filiações e doações recebidas determinam se o sócio é uma Pessoa Politicamente Exposta (PEP). Esse status exige procedimentos específicos em contratos com instituições financeiras, seguradoras e empresas reguladas pelo Banco Central ou CVM.

Dívida ativa federal na PGFN

Acesse dados.pgfn.fazenda.gov.br para verificar inscrições em dívida ativa federal pelo CNPJ. Avalie o valor consolidado, o tipo de dívida (FGTS, previdência, tributos) e a data de inscrição. Dívidas previdenciárias e de FGTS são sintomas diretos de problemas com folha de pagamento.

Processos judiciais no DataJud

Consulte a API do CNJ com o CNPJ e o CPF dos sócios. Filtre por assuntos relevantes: execução fiscal, ação trabalhista, recuperação judicial, falência, improbidade. Um único processo de falência requerida ou dezenas de reclamações trabalhistas são sinais que mudam a decisão de contratação.

Limitações reais e quando ir além

Fontes abertas têm limites explícitos e vale conhecê-los. O CPF de sócios na Receita Federal é mascarado por padrão (art. 198 do CTN). Processos em segredo de justiça não aparecem no DataJud. Dívidas bancárias e protestos em cartórios exigem consulta direta ou acesso a birôs de crédito. Bens imóveis requerem pesquisa individualizada nos cartórios de registro: alguns estados como São Paulo (ARISP) têm portal online por CPF, mas a maioria ainda exige consulta presencial.

Para contratos acima de R$ 1 milhão, admissão de executivos em posições sensíveis ou due diligence de M&A, OSINT de fontes abertas deve ser complementado com birôs de crédito, relatórios de inteligência corporativa e, quando aplicável, investigação presencial. O OSINT é a camada zero: obrigatória, gratuita e que a maioria das empresas brasileiras ainda ignora.

Perfis de risco por tipo de relação comercial

O escopo da due diligence deve ser proporcional ao risco. Aplicar o mesmo nível de investigação a um fornecedor de material de escritório e a um parceiro de joint-venture é ineficiente. Use os perfis abaixo como referência de calibragem:

Fornecedor de materiais

Básico

·Situação cadastral e CNAE na RF
·PGFN: passivo fiscal e FGTS
·CEIS: suspensões para contratos públicos

Prestador de serviços PJ

Intermediário

·Histórico societário dos sócios
·Capital social versus escopo do contrato
·DataJud: reclamações trabalhistas

Franqueado ou master franqueado

Avançado

·Rede societária completa (sócios e co-empresas)
·Histórico de abertura-fechamento
·CNEP e Diário Oficial

Parceiro de M&A ou investimento

Completo

·Todas as camadas anteriores
·Birô de crédito e cartórios
·Relatório formal com hash de integridade

Precisa fazer due diligence em lote ou com relatório formal?

Para volumes acima de 50 CNPJs por mês ou relatórios com assinatura e hash de integridade, entre em contato com o time comercial.

contato@mindata.com.br

O MINDATA automatiza as etapas 1 a 3 desse processo para qualquer CNPJ brasileiro: dados da Receita Federal, PGFN, CEIS/CNEP, TSE e histórico societário completo em menos de 3 segundos, sem cadastro. A página de busca é a entrada. O grafo de rede é a saída visual. O perfil do sócio é a Camada 3 com histórico completo de participações.

Perguntas frequentes

OSINT é legal para verificar pessoas físicas?+

Sim, para fins legítimos como due diligence contratual. O art. 7º da LGPD lista como bases legais o interesse legítimo do controlador (inciso IX) e a execução de contrato (inciso V). Dados tornados públicos pelo próprio titular — como candidaturas no TSE ou participações societárias na RF — não exigem consentimento para tratamento, conforme art. 7º, §4º. O limite está no uso proporcional: a coleta deve ser restrita ao necessário para a finalidade declarada.

Como verificar CPF mascarado na Receita Federal?+

O CPF dos sócios é parcialmente mascarado na API pública da RF (ex: ***123456**). Para cruzamento entre fontes, use o nome completo associado ao CNPJ e à data de nascimento quando disponível. Para situações que exigem CPF completo — como consulta ao DataJud ou PGFN — é necessário que o próprio titular forneça o dado ou que a empresa tenha base legal específica para a coleta direta (contrato assinado, por exemplo).

Quanto tempo leva uma due diligence completa?+

Depende do escopo. Para um fornecedor de baixo risco, a verificação básica de CNPJ mais sócios mais CEIS leva menos de 10 minutos com ferramenta adequada. Para due diligence de M&A ou admissão de executivo sênior, o processo inclui consultas a cartórios, birôs de crédito, investigação in loco e entrevistas, podendo levar de 5 a 30 dias úteis. O OSINT de fontes abertas é sempre a primeira etapa — a mais rápida e a que identifica a maioria dos red flags.

O que é PEP e por que verificar no TSE?+

PEP (Pessoa Politicamente Exposta) é qualquer pessoa que exerce ou exerceu cargo político relevante: presidente, senador, deputado, governador, prefeito de capital, ministro, além de cônjuges e familiares de primeiro grau. O COAF Resolução 30 e as normas do Banco Central (Circular 3.461) exigem que instituições financeiras e DNFBPs (como contadores e advogados) realizem due diligence aprofundada em contratos com PEPs. O cadastro do TSE é a fonte primária gratuita para verificação de exposição política.

A LGPD proíbe usar dados da Receita Federal para due diligence?+

Não. A LGPD não veda o uso de dados públicos para fins legítimos. O art. 7º, §4º, é explícito: dados tornados manifestamente públicos pelo titular dispensam consentimento para tratamento. As informações cadastrais disponíveis na Receita Federal foram tornadas públicas por determinação legal e regulatória. O que a LGPD exige é que o tratamento seja proporcional, tenha finalidade específica e seja documentado — três condições plenamente atendíveis em um processo de due diligence estruturado.

Como documentar a due diligence para auditoria?+

Registre a data de cada consulta, a fonte utilizada, o resultado obtido e o responsável pela análise. Para cada red flag identificado, documente a decisão tomada e a justificativa. Capturas de tela com timestamp são suficientes para nível básico. Para contratos de alto valor, some relatório formal com hash dos arquivos consultados (garantia de integridade). Essa documentação protege a empresa em caso de questionamento posterior por auditores, reguladores ou o próprio parceiro.

Qual a diferença entre CEIS e CNEP?+

O CEIS (Cadastro de Empresas Inidôneas e Suspensas) lista empresas impedidas de contratar com o poder público por sanções administrativas, como declaração de inidoneidade e suspensão temporária. O CNEP (Cadastro Nacional de Empresas Punidas) lista pessoas jurídicas punidas com base na Lei Anticorrupção (Lei 12.846/2013), incluindo acordos de leniência. Ambos são mantidos pela CGU e consultáveis gratuitamente no Portal da Transparência. Para due diligence completa, consulte os dois.

O que fazer quando encontro um red flag?+

Documente o achado e escale para o responsável pela decisão de contratação antes de prosseguir. Red flags não são necessariamente eliminatórios, mas exigem aprofundamento: contato direto com a empresa para explicação, consulta a fontes adicionais ou parecer jurídico. A regra prática é proporcional ao risco: um endereço de coworking pode ser explicado; um CNEP ativo exige resposta formal documentada. Nunca ignore um red flag sem registro explícito de quem tomou a decisão e com qual justificativa.