LGPD

A LGPD (Lei Geral de Proteção de Dados Pessoais), Lei n.º 13.709/2018, é o principal marco regulatório brasileiro de proteção de dados pessoais. Sancionada em 2018 e com aplicação plena a partir de agosto de 2021 (com sanções administrativas vigentes desde agosto de 2021 por força da Lei n.º 14.010/2020), a LGPD estabelece regras sobre como empresas e órgãos públicos devem coletar, armazenar, tratar e compartilhar dados pessoais de cidadãos brasileiros. Para os consumidores de serviços financeiros, a LGPD tem implicações diretas no uso do cartão de crédito, na análise de crédito, no open finance e nas operações bancárias em geral.

O que são dados pessoais sob a LGPD

A LGPD define dados pessoais como qualquer informação que identifique ou possa identificar uma pessoa natural. No contexto financeiro, isso inclui:

Nome, CPF, endereço, telefone, e-mail;
Dados bancários (número de conta, agência, saldo);
Dados de cartão de crédito (número, validade, limite, histórico de transações);
Histórico de crédito e score;
Dados de renda e declaração de imposto de renda;
Comportamento de consumo inferido das transações.

Dados sensíveis — categoria especial sob a LGPD — incluem origem racial, convicção religiosa, saúde, biometria e dados genéticos. No contexto financeiro, dados de saúde que influenciam seguros ou de biometria usada na autenticação são exemplos desta categoria, que exige proteção reforçada.

Como a LGPD se aplica ao setor financeiro

Bancos, financeiras, operadoras de cartão de crédito, fintechs e bureaus de crédito como Serasa e SPC são “controladores” ou “operadores” de dados pessoais nos termos da LGPD. Isso significa que precisam observar as bases legais para o tratamento de dados e garantir os direitos dos titulares.

O Banco Central do Brasil publicou regulamentações específicas que articulam a LGPD com as normas do sistema financeiro, em especial no contexto do Open Finance (antes chamado Open Banking), onde o compartilhamento de dados financeiros entre instituições exige consentimento explícito e informado do consumidor.

As principais obrigações das instituições financeiras sob a LGPD incluem:

Coletar apenas os dados necessários para a finalidade informada (princípio da minimização);
Informar claramente para que os dados serão usados (princípio da transparência);
Obter consentimento quando não houver outra base legal aplicável;
Proteger os dados contra acesso não autorizado, vazamento ou perda;
Responder às solicitações dos titulares no prazo legal;
Notificar a ANPD e os titulares em caso de incidente de segurança com dados pessoais.

Seus direitos como titular de dados financeiros

A LGPD garante aos titulares de dados pessoais um conjunto robusto de direitos, exercíveis diretamente junto às instituições:

Direito de acesso: você pode solicitar ao banco ou à operadora de cartão de crédito uma confirmação de que tratam seus dados e uma cópia deles.

Direito de correção: se os seus dados estiverem incorretos ou desatualizados, você pode solicitar a correção.

Direito de eliminação: em determinadas situações, você pode pedir a exclusão dos seus dados — por exemplo, dados desnecessários ou tratados sem base legal adequada. No entanto, dados necessários para obrigações legais (como as de prevenção à lavagem de dinheiro) não podem ser eliminados.

Direito à portabilidade: você pode pedir que seus dados sejam transferidos para outra instituição financeira, o que é especialmente relevante no contexto do Open Finance.

Direito de revogação do consentimento: quando o tratamento se baseia no seu consentimento, você pode revogá-lo a qualquer momento.

Direito à informação sobre compartilhamento: você pode saber com quais empresas ou parceiros a instituição compartilha seus dados.

Direito de oposição: em certas situações, você pode se opor ao tratamento dos seus dados.

LGPD e análise de crédito

A análise de crédito é uma das áreas de maior impacto da LGPD no setor financeiro. Serasa, SPC Brasil, Boa Vista e outros bureaus de crédito coletam e processam dados financeiros para calcular o score de crédito dos consumidores.

Com a LGPD, esses bureaus precisam:

Ter uma base legal adequada para o tratamento dos dados de crédito. O legítimo interesse e o cumprimento de obrigação legal são bases frequentemente invocadas;
Informar aos titulares quais dados são tratados e para qual finalidade;
Garantir que os dados estejam corretos e atualizados;
Responder a solicitações de acesso e correção dos consumidores.

A Lei do Cadastro Positivo (Lei n.º 12.414/2011, com alterações pela Lei n.º 13.838/2019) criou o banco de dados de pagamentos positivos, que é regulado tanto pela Lei do Cadastro Positivo quanto pela LGPD. O consumidor pode optar por sair do Cadastro Positivo, exercendo o direito de oposição previsto na LGPD.

LGPD e Open Finance

O Open Finance é o sistema regulado pelo Banco Central que permite ao consumidor compartilhar seus dados financeiros entre diferentes instituições, com o objetivo de obter melhores condições de crédito, investimentos e serviços. A LGPD e as normas do BCB estabelecem que esse compartilhamento deve ser:

Baseado no consentimento expresso e informado do titular;
Para finalidades específicas e declaradas;
Revogável a qualquer momento pelo consumidor.

Na prática, isso significa que você pode autorizar um banco digital a acessar seu histórico de transações no banco onde você tem conta há anos, para que esse banco digital ofereça uma proposta de crédito mais competitiva. E pode revogar essa autorização quando quiser.

O que fazer em caso de vazamento de dados financeiros

Se você suspeitar que seus dados financeiros foram comprometidos em um vazamento:

Entre em contato com a instituição financeira imediatamente para verificar e, se necessário, bloquear o cartão ou a conta.
Monitore o uso do seu CPF no Serasa e no SPC para identificar tentativas de abertura de crédito em seu nome.
Registre um boletim de ocorrência (B.O.) se houver suspeita de uso indevido dos dados.
Faça uma reclamação à ANPD (Autoridade Nacional de Proteção de Dados), responsável por fiscalizar o cumprimento da LGPD.
Se houver dano efetivo, pode-se buscar reparação na via judicial ou nos órgãos de defesa do consumidor.

Erros comuns dos consumidores em relação à LGPD

Aceitar todos os cookies e permissões sem ler: no ambiente digital, aceitar termos sem verificar o que está sendo autorizado pode dar às empresas permissões amplas para usar seus dados financeiros.

Não exercer os direitos garantidos pela lei: muitos consumidores não sabem que podem solicitar uma cópia de seus dados ou pedir correções. Esses direitos existem e as empresas são obrigadas a atendê-los.

Confundir LGPD com sigilo bancário: o sigilo bancário (regulado pela Lei Complementar n.º 105/2001) é diferente da LGPD. O sigilo bancário trata especificamente da proteção de informações financeiras diante do Estado; a LGPD é mais abrangente e trata de dados pessoais em geral.

Perguntas frequentes sobre LGPD e dados financeiros

Meu banco pode compartilhar meus dados com outras empresas do mesmo grupo? Sim, desde que o compartilhamento esteja previsto na política de privacidade e haja base legal adequada. Você tem o direito de saber quais dados são compartilhados e com quem.

Posso exigir que o Serasa exclua meu score de crédito? A eliminação do score é limitada, pois os bureaus de crédito invocam o legítimo interesse e o cumprimento de obrigações legais como bases para esse tratamento. No entanto, você pode verificar a exatidão dos dados que compõem o score e solicitar correções de informações incorretas.

Quanto tempo tenho para receber uma resposta do banco sobre meus dados? A LGPD não estabelece um prazo específico, mas a ANPD orienta que as respostas devem ser fornecidas em prazo razoável. A prática do mercado tem sido de 15 a 30 dias. O Banco Central estabelece prazos específicos para respostas a reclamações de consumidores.