Uma fintech que oferece contas digitais, pagamentos ou crédito processa diariamente informações capazes de revelar uma parcela importante da vida financeira dos seus clientes.
Saldos, histórico de transações, hábitos de consumo, documentos de identificação e informações utilizadas na análise de crédito circulam entre aplicativos, sistemas de processamento, instituições financeiras e prestadores de tecnologia.
A proteção dessas informações envolve exigências que vão além das políticas de privacidade apresentadas no momento do cadastro.
A Lei Geral de Proteção de Dados Pessoais (LGPD) estabelece regras para o tratamento dessas informações. Ao mesmo tempo, o Banco Central exige que instituições reguladas mantenham controles específicos de segurança, identificação de clientes, prevenção à lavagem de dinheiro e continuidade operacional.
As duas frentes precisam funcionar de maneira coordenada.
Uma fintech pode, por exemplo, ser obrigada a armazenar documentos de identificação por determinação regulatória, mesmo depois de o cliente encerrar sua conta. Também pode utilizar dados financeiros para análise de crédito, desde que respeite as bases legais aplicáveis e as regras de transparência.
Entender essas situações é essencial para estruturar produtos financeiros que atendam à legislação desde a concepção e consigam evoluir sem acumular problemas de conformidade.
Como a LGPD se aplica aos dados financeiros?
A Lei nº 13.709/2018 estabelece regras para qualquer operação realizada com dados pessoais, incluindo coleta, armazenamento, consulta, compartilhamento, processamento e eliminação.
Para uma fintech, isso significa que praticamente todas as etapas da jornada do cliente envolvem atividades sujeitas à LGPD.
O cadastro de um usuário, a validação de documentos, a realização de pagamentos e a análise de crédito utilizam informações relacionadas a pessoas identificadas ou identificáveis.
Mesmo quando uma empresa atende exclusivamente clientes corporativos, a LGPD continua relevante para os dados pessoais de sócios, representantes legais, beneficiários finais e demais pessoas físicas envolvidas na operação.
Dados financeiros são considerados dados pessoais sensíveis?
Existe uma distinção importante na legislação.
Informações financeiras, como saldo bancário, renda, transações e histórico de pagamentos, são dados pessoais quando vinculadas a uma pessoa natural. Entretanto, elas não são classificadas automaticamente como dados pessoais sensíveis pela LGPD.
O artigo 5º da lei reserva essa classificação a categorias específicas, como informações sobre saúde, religião, origem racial ou étnica, opiniões políticas, dados genéticos e biométricos vinculados a uma pessoa natural.
Uma transação bancária, portanto, não recebe necessariamente a mesma classificação jurídica de um dado biométrico.
Isso não reduz a importância de sua proteção.
O histórico de movimentações financeiras pode revelar hábitos pessoais, padrões de consumo, relacionamentos e aspectos da vida privada. Dependendo do contexto, também pode permitir inferências sobre informações protegidas de maneira especial.
Além disso, determinadas informações financeiras são protegidas por regras específicas de sigilo.
A Lei Complementar nº 105/2001, por exemplo, estabelece deveres de sigilo sobre operações ativas, passivas e serviços prestados pelas instituições abrangidas pela norma.
A classificação jurídica do dado, o dever de sigilo e o risco associado ao seu tratamento precisam ser avaliados conjuntamente.
Quais dados uma fintech precisa proteger?
O escopo varia conforme os produtos oferecidos.
Uma instituição que mantém contas de pagamento pode tratar informações diferentes daquelas utilizadas por uma Sociedade de Crédito Direto (SCD).
Entre os conjuntos mais comuns estão:
Categoria | Exemplos de dados |
Identificação e cadastro | Nome, CPF, endereço, telefone, documentos e dados de representantes |
Autenticação | Credenciais, registros de acesso, fatores de autenticação e biometria |
Dados transacionais | Saldos, transferências, pagamentos, recebimentos e histórico de movimentação |
Dados de crédito | Renda, histórico de pagamentos, contratos, dívidas e informações utilizadas na análise de risco |
Dados comportamentais | Dispositivo utilizado, padrões de navegação e comportamento transacional |
Dados compartilhados | Informações obtidas de outras instituições por meio do Open Finance e de outras integrações autorizadas |
A utilização dessas informações deve respeitar os princípios de finalidade, adequação e necessidade.
Uma fintech precisa conseguir explicar por que coleta cada dado, como ele será utilizado e por quanto tempo deverá ser mantido.
Essa análise ganha importância quando o produto evolui.
Um cadastro originalmente criado para abrir uma conta de pagamento não autoriza, por si só, qualquer utilização futura das informações em campanhas comerciais, análise de crédito ou compartilhamento com novos parceiros.
Quais bases legais permitem que uma fintech utilize dados pessoais?
A LGPD estabelece diferentes hipóteses que autorizam o tratamento de dados pessoais.
O consentimento é apenas uma delas.
Para operações financeiras, bases como cumprimento de obrigação legal ou regulatória, execução de contrato, proteção do crédito e legítimo interesse também possuem aplicações relevantes.
A escolha depende da finalidade concreta de cada atividade.
Cumprimento de obrigação legal ou regulatória
Instituições reguladas precisam coletar e manter determinadas informações para cumprir exigências do Banco Central e de outras autoridades.
Um exemplo está nos procedimentos de identificação, qualificação e classificação de clientes previstos na Circular BCB nº 3.978/2020.
A norma estabelece obrigações relacionadas à prevenção da lavagem de dinheiro e do financiamento do terrorismo.
Essas exigências podem envolver identificação do cliente, verificação de informações, avaliação de capacidade financeira, identificação de beneficiários finais e manutenção de registros.
Quando o tratamento é necessário ao cumprimento de uma obrigação regulatória aplicável à instituição, essa obrigação pode fundamentar juridicamente a utilização dos dados.
O cliente não precisa conceder consentimento para que a instituição cumpra uma exigência legal que lhe seja imposta.
A empresa, entretanto, continua obrigada a respeitar os princípios da LGPD, incluindo a limitação do tratamento às finalidades necessárias.
Execução de contrato
Uma fintech precisa utilizar dados pessoais para executar os serviços contratados por seus clientes.
Isso pode envolver a manutenção de contas, processamento de pagamentos, emissão de instrumentos de pagamento e atendimento relacionado às operações.
Imagine um cliente que solicita uma transferência financeira.
A instituição precisa processar as informações necessárias à execução da transação, registrar a operação e disponibilizar os dados correspondentes nos canais de atendimento.
A execução do contrato pode fundamentar parte dessas atividades, enquanto determinadas obrigações de registro e fiscalização podem encontrar fundamento em exigências legais ou regulatórias.
Uma única jornada financeira pode envolver diferentes bases legais.
Proteção do crédito
O artigo 7º, inciso X, da LGPD prevê expressamente a proteção do crédito como hipótese legal para tratamento de dados pessoais.
Essa previsão possui aplicações relevantes em operações de concessão de crédito, avaliação de risco e gestão de obrigações financeiras.
Uma fintech que oferece empréstimos pode precisar consultar informações sobre capacidade de pagamento, endividamento e histórico de crédito.
A utilização dessa base deve estar relacionada às finalidades admitidas pela legislação.
Ela não autoriza o uso indiscriminado de qualquer informação disponível sobre o cliente.
Legítimo interesse
O legítimo interesse pode fundamentar determinadas atividades relacionadas à segurança, prevenção à fraude, melhoria de serviços ou relacionamento com clientes.
A aplicação depende de uma avaliação concreta da finalidade, da necessidade do tratamento e dos direitos dos titulares.
A ANPD publicou um guia específico sobre legítimo interesse, incluindo orientações para a realização do teste de balanceamento.
Esse teste considera, entre outros fatores, a finalidade pretendida, a necessidade dos dados e as expectativas legítimas do titular.
O legítimo interesse também não se aplica ao tratamento de dados pessoais sensíveis.
Para uma fintech, sua utilização exige atenção especial quando o tratamento envolve monitoramento comportamental, informações financeiras detalhadas ou decisões que possam afetar o acesso a serviços.
Consentimento
O consentimento exige uma manifestação livre, informada e inequívoca do titular para determinada finalidade.
Ele pode ser apropriado para algumas atividades de compartilhamento e utilização de dados, mas sua adoção precisa considerar as características da operação.
A instituição também deve manter condições para demonstrar que o consentimento foi obtido adequadamente.
Quando ele é a base legal utilizada, o cliente precisa conseguir revogá-lo conforme as regras aplicáveis.
A ANPD apresenta as bases legais em suas perguntas frequentes, incluindo as diferenças entre consentimento, execução de contrato e cumprimento de obrigação regulatória.
Como estruturar o consentimento em KYC, Open Finance e marketing?
Um dos principais desafios de conformidade aparece quando diferentes finalidades de tratamento são reunidas em uma única jornada de cadastro.
Uma fintech pode solicitar documentos de identificação, verificar a identidade do cliente, pedir acesso a dados financeiros de outra instituição e oferecer comunicações promocionais.
Cada atividade precisa ter uma justificativa própria.
Consentimento e verificação de identidade (KYC)
Os procedimentos de KYC são utilizados para identificar e qualificar clientes, apoiar controles de prevenção à fraude e atender exigências regulatórias.
Uma instituição obrigada a executar procedimentos de identificação pode fundamentar o tratamento necessário no cumprimento de suas obrigações legais ou regulatórias.
Por outro lado, algumas tecnologias utilizadas no onboarding envolvem tratamentos específicos.
O reconhecimento facial, por exemplo, pode exigir a utilização de dados biométricos, classificados como sensíveis pela LGPD.
Nesse caso, é necessário observar as hipóteses do artigo 11 da legislação.
A escolha da base legal precisa considerar a finalidade do processamento biométrico, as características do serviço e as condições previstas em lei, incluindo, quando aplicável, a prevenção à fraude e a segurança do titular nos processos de identificação e autenticação.
A contratação de uma solução terceirizada de biometria também exige verificar como as imagens e os modelos biométricos são tratados, armazenados e eventualmente compartilhados.
Consentimento no Open Finance
O Open Finance possui uma estrutura específica para autorização do compartilhamento de dados e serviços.
O cliente precisa conhecer as instituições envolvidas, as informações solicitadas, as finalidades do compartilhamento e o período de validade da autorização.
A jornada segue os padrões estabelecidos pela Resolução Conjunta nº 1/2020 e pelas especificações técnicas e operacionais do ecossistema.
Uma fintech que recebe dados bancários por meio do Open Finance precisa respeitar o escopo autorizado.
Se o cliente compartilhou seu histórico de movimentações para uma análise financeira, a instituição não pode presumir que esses dados estejam automaticamente disponíveis para finalidades comerciais diferentes.
A revogação da autorização deve interromper os compartilhamentos futuros abrangidos por aquele consentimento.
Quanto aos dados já recebidos, sua manutenção e utilização posterior dependem das bases legais, finalidades e obrigações aplicáveis.
Para conhecer as particularidades técnicas dessas integrações, veja nosso artigo sobre Open Finance para fintechs: obrigações, APIs e oportunidades por tipo de instituição.
Consentimento para marketing e comunicações comerciais
O relacionamento comercial também envolve tratamento de dados pessoais.
Uma fintech pode utilizar informações de contato para enviar comunicações sobre seus produtos, atualizações contratuais ou campanhas promocionais.
A base legal adequada depende do conteúdo, da finalidade, do contexto de coleta e das expectativas do destinatário.
Comunicações necessárias à execução do serviço possuem características diferentes de campanhas de aquisição ou ofertas comerciais.
Quando o marketing utiliza consentimento, a instituição precisa garantir que a autorização seja específica e demonstrável.
Se utilizar legítimo interesse, deve avaliar a compatibilidade do tratamento com as expectativas do titular e oferecer mecanismos adequados para o exercício de seus direitos.
Uma boa prática é separar as preferências de comunicações promocionais das autorizações necessárias para prestar o serviço financeiro.
Isso evita que o cliente precise aceitar publicidade para contratar um produto que não depende dessa finalidade.
Quem responde pelos dados em operações com BaaS e fornecedores terceirizados?
A arquitetura de uma fintech costuma envolver diversos participantes.
Uma plataforma pode contratar uma infraestrutura de Banking as a Service (BaaS), um fornecedor de reconhecimento facial, serviços de armazenamento em nuvem e ferramentas de prevenção à fraude.
Todos podem participar de diferentes etapas do tratamento de dados pessoais.
Para estabelecer as responsabilidades, a LGPD distingue controladores e operadores.
Controlador e operador: qual é a diferença?
O controlador é o agente responsável pelas decisões fundamentais sobre o tratamento de dados pessoais.
Ele define, entre outros aspectos, para quais finalidades os dados serão utilizados.
O operador realiza o tratamento em nome do controlador, seguindo suas instruções e as condições legais aplicáveis.
O Guia Orientativo da ANPD sobre agentes de tratamento esclarece que essas classificações dependem das atividades efetivamente exercidas.
Uma empresa pode atuar como operadora em determinado processamento e como controladora em outra atividade.
O simples fato de contratar uma plataforma de tecnologia ou assinar um contrato que atribua determinada classificação não resolve, isoladamente, essa definição.
Como essa responsabilidade funciona no Banking as a Service?
Considere uma fintech que disponibiliza contas digitais e cartões por meio de uma infraestrutura de BaaS.
A instituição autorizada responsável pelos serviços financeiros precisa tratar determinados dados para executar as operações e cumprir suas obrigações regulatórias.
A empresa que distribui os serviços também pode tomar decisões sobre o tratamento de informações utilizadas em suas próprias atividades, como a gestão do relacionamento comercial e determinadas funcionalidades da plataforma.
Dependendo do serviço e da finalidade, as empresas podem assumir papéis diferentes sob a LGPD.
A regulamentação do BaaS também estabelece obrigações específicas para o relacionamento entre instituições autorizadas e empresas contratantes.
Por isso, a definição contratual das responsabilidades de proteção de dados precisa considerar tanto a LGPD quanto as regras aplicáveis aos serviços financeiros envolvidos.
Se sua empresa está avaliando essa estrutura, vale aprofundar também quais licenças do Banco Central se aplicam às fintechs e quando a autorização própria é necessária.
O que precisa estar previsto nos contratos com fornecedores?
Os contratos devem estabelecer as responsabilidades relativas ao tratamento de dados, compatíveis com as atividades efetivamente realizadas por cada empresa.
Entre os pontos relevantes estão:
Finalidades permitidas e limites de utilização das informações.
Medidas de segurança e controles de acesso.
Condições para contratação de suboperadores.
Procedimentos de comunicação de incidentes.
Prazos de retenção, devolução e eliminação de dados.
Regras para auditoria e fornecimento de evidências.
Condições aplicáveis a transferências internacionais de dados.
Essas cláusulas precisam ser acompanhadas de procedimentos operacionais.
Por exemplo, se um fornecedor identifica um incidente de segurança, a fintech precisa receber as informações em tempo hábil para avaliar os riscos e cumprir suas próprias obrigações.
O prazo de comunicação do fornecedor deve permitir que o controlador atenda aos prazos legais aplicáveis.
E quando os dados são processados fora do Brasil?
O uso de serviços de nuvem ou fornecedores internacionais pode envolver transferência internacional de dados pessoais.
A Resolução CD/ANPD nº 19/2024 regulamentou os mecanismos previstos na LGPD para essas transferências.
Entre as possibilidades estão as cláusulas-padrão contratuais aprovadas pela ANPD e outros mecanismos admitidos pela legislação.
A análise precisa considerar se existe efetiva transferência internacional, quais agentes recebem as informações e quais instrumentos jurídicos são necessários.
Instituições financeiras e de pagamento também devem observar as exigências específicas do Banco Central aplicáveis à contratação de serviços de processamento, armazenamento e computação em nuvem.
Quais documentos uma fintech precisa manter para atender à LGPD?
A conformidade depende da capacidade de demonstrar como os dados pessoais são tratados.
Uma política de privacidade publicada no site é importante para informar os clientes, mas não substitui os registros e controles internos.
A instituição precisa conhecer seus fluxos de dados e documentar decisões relevantes sobre finalidade, segurança e compartilhamento.
Política de privacidade
A política deve apresentar informações claras sobre as atividades de tratamento realizadas.
Isso inclui as categorias de dados utilizadas, as finalidades, os agentes envolvidos, as condições de compartilhamento, os direitos dos titulares e os canais disponíveis para solicitações.
O conteúdo precisa corresponder às práticas reais da empresa.
Uma fintech que passa a oferecer análise de crédito, por exemplo, deve avaliar se a política existente descreve adequadamente as novas operações de tratamento.
O mesmo vale para integrações com parceiros e funcionalidades que utilizem dados provenientes do Open Finance.
Registro das operações de tratamento de dados
O artigo 37 da LGPD prevê a manutenção de registros das operações de tratamento por controladores e operadores, especialmente quando fundamentadas em legítimo interesse.
Na prática, esse registro pode ser organizado em um inventário que relacione as operações realizadas com dados pessoais.
Para cada atividade, vale documentar:
Informação | O que registrar |
Processo | Abertura de conta, pagamento, KYC, crédito ou outra atividade |
Dados utilizados | Categorias e origem das informações |
Finalidade | Motivo do tratamento |
Base legal | Hipótese que fundamenta a operação |
Compartilhamento | Instituições e fornecedores envolvidos |
Retenção | Prazo ou critério para manutenção |
Segurança | Controles e responsáveis |
Eliminação | Condições para descarte ou anonimização |
Uma fintech que utiliza dados de clientes em cinco produtos diferentes pode precisar registrar múltiplas atividades de tratamento, mesmo que todas utilizem o mesmo banco de dados.
A estrutura simplificada de registros pode ser utilizada por agentes de tratamento de pequeno porte que se enquadrem nas condições previstas pela ANPD.
Relatório de Impacto à Proteção de Dados Pessoais (RIPD)
O RIPD documenta operações que podem gerar riscos elevados aos direitos dos titulares e apresenta as medidas adotadas para reduzir esses riscos.
Sua elaboração merece atenção especial em produtos que utilizam grande volume de informações, biometria ou decisões automatizadas com efeitos relevantes sobre clientes.
Uma fintech que pretende implementar um modelo automatizado de análise de crédito, por exemplo, pode utilizar o RIPD para avaliar riscos associados ao tratamento.
A ANPD recomenda a elaboração do relatório antes do início de operações de alto risco.
O documento pode incluir a descrição das atividades, a identificação dos agentes envolvidos, os riscos para os titulares e as medidas de mitigação.
A LGPD permite que a ANPD exija sua apresentação em determinadas situações.
Isso não significa que toda atividade financeira precise, automaticamente, de um RIPD próprio. A necessidade depende das características do tratamento e das hipóteses legais e regulatórias aplicáveis.
Políticas internas e evidências de conformidade
A fintech também precisa manter procedimentos que sustentem suas práticas de proteção de dados.
Entre eles estão a política de segurança da informação, os processos de resposta a incidentes, os controles de acesso e as regras de retenção.
As evidências de execução são igualmente relevantes.
Se a instituição afirma revisar periodicamente os acessos aos sistemas, deve conseguir demonstrar como essas revisões são realizadas.
A documentação precisa acompanhar o funcionamento da operação, inclusive quando novos produtos ou fornecedores são incorporados.
DPO e encarregado de dados: quando são obrigatórios?
O encarregado pelo tratamento de dados pessoais, frequentemente chamado de DPO (Data Protection Officer), atua como canal de comunicação entre o agente de tratamento, os titulares dos dados e a ANPD.
Suas atribuições incluem receber solicitações, orientar equipes e apoiar a implementação de práticas de proteção de dados.
A Resolução CD/ANPD nº 18/2024 estabeleceu regras específicas sobre sua indicação e atuação.
Toda fintech precisa indicar um DPO?
A regra geral exige que o controlador indique formalmente um encarregado, ressalvadas as exceções previstas na regulamentação.
A Resolução CD/ANPD nº 2/2022 dispensa os agentes de tratamento de pequeno porte enquadrados em suas condições da obrigação de indicar um encarregado.
Esses agentes devem, entretanto, manter um canal de comunicação com os titulares e a autoridade.
O enquadramento como empresa de pequeno porte não depende apenas do número de funcionários ou do faturamento.
A regulamentação estabelece restrições para determinados tratamentos de alto risco, considerando critérios gerais e específicos.
Entre os critérios estão a utilização de dados em larga escala, atividades que possam afetar significativamente direitos dos titulares e determinadas decisões totalmente automatizadas.
Uma fintech que utiliza modelos automatizados para definir perfis de crédito precisa avaliar cuidadosamente essas condições.
A classificação como startup também não assegura, por si só, acesso às dispensas regulatórias.
Quais são as responsabilidades do encarregado?
O encarregado atua como ponto de contato e desempenha atividades de orientação dentro da organização.
Entre suas atribuições estão receber reclamações e comunicações dos titulares, prestar esclarecimentos e apoiar a adoção de práticas adequadas de proteção de dados.
A instituição precisa oferecer condições para que ele exerça suas funções.
A regulamentação também exige atenção a possíveis conflitos de interesse.
Um profissional que ocupa uma função operacional pode ter responsabilidades incompatíveis com a avaliação independente de determinadas práticas de tratamento.
A análise deve considerar o conjunto das atribuições e a capacidade de atuação do encarregado.
O DPO precisa ser contratado internamente?
A regulamentação permite que a função seja exercida por pessoa natural ou jurídica.
Assim, uma fintech pode indicar um profissional interno ou contratar uma empresa especializada, observadas as condições regulatórias.
O importante é garantir que exista um responsável formalmente indicado, com acesso às informações necessárias e capacidade para desempenhar suas atribuições.
A ANPD disponibiliza um guia orientativo sobre a atuação do encarregado, incluindo recomendações para sua designação.
O que o Banco Central exige além da LGPD?
Instituições autorizadas pelo Banco Central precisam atender às regras de proteção de dados e aos normativos específicos do setor financeiro.
Esses normativos estabelecem obrigações relacionadas à segurança cibernética, gestão de riscos, contratação de tecnologia, identificação de clientes e manutenção de registros.
A aplicação depende do tipo de instituição e das atividades exercidas.
Segurança cibernética para instituições financeiras
A Resolução CMN nº 4.893/2021 estabelece requisitos relacionados à política de segurança cibernética e à contratação de serviços de processamento, armazenamento de dados e computação em nuvem para as instituições abrangidas pela norma.
A política precisa ser compatível com o porte, o perfil de risco e o modelo de negócio da instituição.
Entre as exigências estão mecanismos de controle, prevenção e resposta a incidentes, além de medidas voltadas à confidencialidade, integridade e disponibilidade das informações.
A regulamentação também contempla requisitos para serviços contratados de terceiros.
Isso é particularmente relevante para fintechs que dependem de provedores externos para manter sistemas críticos.
Segurança cibernética para instituições de pagamento
As instituições de pagamento autorizadas seguem regras específicas estabelecidas pela Resolução BCB nº 85/2021.
O normativo trata da política de segurança cibernética e das condições de contratação de processamento, armazenamento e serviços em nuvem.
A instituição precisa manter procedimentos compatíveis com os riscos de suas atividades.
Uma IP que processa grande volume de transações, por exemplo, deve considerar a disponibilidade de sistemas, o controle de acesso a dados e os mecanismos de resposta a falhas.
A existência de contratos com fornecedores especializados não elimina suas responsabilidades regulatórias.
Prevenção à lavagem de dinheiro e tratamento de dados
A Circular BCB nº 3.978/2020 estabelece procedimentos de prevenção à lavagem de dinheiro e ao financiamento do terrorismo.
Seu cumprimento exige coleta, verificação, atualização e manutenção de determinadas informações.
É nesse ponto que aparecem conflitos frequentes entre interpretações simplificadas da LGPD e exigências operacionais do setor financeiro.
Um cliente pode solicitar a exclusão de seus dados após encerrar uma conta.
Entretanto, a instituição pode precisar manter informações relacionadas à identificação e às operações realizadas para atender às obrigações legais e regulatórias aplicáveis.
A LGPD admite a conservação de dados após o término do tratamento em determinadas hipóteses, incluindo o cumprimento de obrigação legal ou regulatória.
A retenção deve respeitar as finalidades permitidas e os prazos aplicáveis.
A decisão de crédito também envolve direitos dos titulares
Fintechs que utilizam modelos automatizados para conceder crédito precisam observar o artigo 20 da LGPD.
Esse dispositivo assegura ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses.
O dispositivo abrange decisões destinadas a definir perfis de crédito e de consumo.
Uma fintech que utiliza um algoritmo para aprovar ou negar operações de crédito precisa avaliar como oferecer informações adequadas sobre os critérios e procedimentos utilizados, resguardados os segredos comercial e industrial.
Também deve estruturar mecanismos para receber e tratar pedidos de revisão, conforme a legislação.
A ANPD vem discutindo orientações específicas sobre decisões automatizadas, considerando seus impactos sobre os direitos dos titulares.
Vazamento de dados em fintechs: quando e como comunicar um incidente?
Um incidente de segurança pode envolver acesso não autorizado, perda, alteração, destruição ou divulgação indevida de dados pessoais.
Em uma fintech, essas ocorrências podem afetar informações de identificação, credenciais, documentos, dados financeiros e registros transacionais.
O tratamento do incidente depende dos riscos envolvidos e das obrigações regulatórias da instituição.
Quando a ANPD precisa ser comunicada?
A Resolução CD/ANPD nº 15/2024 regulamentou os procedimentos de comunicação de incidentes de segurança.
O controlador deve comunicar à ANPD e aos titulares afetados os incidentes que possam ocasionar risco ou dano relevante.
A avaliação considera, entre outros elementos, o potencial de afetar significativamente direitos e interesses fundamentais e a natureza das informações envolvidas.
O regulamento destaca circunstâncias como exposição de dados financeiros, informações de autenticação, dados protegidos por sigilo e tratamentos em larga escala.
Isso não significa que qualquer falha técnica deva gerar uma comunicação à ANPD.
A instituição precisa avaliar as características do incidente e os possíveis impactos para os titulares.
Qual é o prazo de comunicação?
Como regra geral, a comunicação à ANPD e aos titulares deve ocorrer em até três dias úteis, ressalvadas hipóteses com prazo específico previsto em legislação aplicável.
O prazo considera o conhecimento do incidente pelo controlador.
A regulamentação prevê condições para comunicação complementar quando nem todas as informações estiverem disponíveis inicialmente.
Agentes de tratamento de pequeno porte enquadrados nas condições regulatórias podem contar com prazo diferenciado.
A fintech deve considerar também eventuais obrigações específicas de comunicação ao Banco Central, conforme sua modalidade de autorização e a natureza do incidente.
O que fazer nas primeiras horas de um incidente?
A resposta precisa ser organizada antes da ocorrência.
Um procedimento operacional deve prever a identificação da falha, contenção dos acessos comprometidos, preservação de evidências e avaliação dos dados afetados.
Também é importante definir quem será responsável por avaliar a necessidade de comunicação às autoridades e aos titulares.
Uma possível sequência de resposta envolve:
Registrar o incidente e identificar os sistemas afetados.
Conter a falha e preservar as evidências disponíveis.
Identificar os dados pessoais envolvidos e os possíveis titulares afetados.
Avaliar o risco ou dano relevante e as obrigações de comunicação.
Executar as notificações necessárias dentro dos prazos aplicáveis.
Investigar as causas, implementar correções e registrar as medidas adotadas.
O processo deve envolver as áreas de segurança, tecnologia, jurídico, compliance e proteção de dados, conforme a estrutura da instituição.
Quando o incidente acontece em um fornecedor, a comunicação interna entre as organizações precisa ocorrer rapidamente.
Por quanto tempo manter registros de incidentes?
O Regulamento de Comunicação de Incidente de Segurança determina que o controlador mantenha registros dos incidentes de segurança com dados pessoais por pelo menos cinco anos.
Essa obrigação alcança os incidentes registrados, inclusive aqueles que não exigiram comunicação à ANPD.
O histórico deve permitir compreender as circunstâncias da ocorrência, os dados envolvidos, a análise de risco e as medidas adotadas.
Para uma fintech, esses registros também podem apoiar auditorias internas, revisões de controles e investigações relacionadas à segurança da operação.
Como realizar uma auditoria de conformidade à LGPD em uma fintech?
Uma avaliação de conformidade deve começar pelos fluxos reais de dados da operação.
A instituição precisa compreender quais informações coleta, onde elas estão armazenadas, quem consegue acessá-las e quais terceiros participam do processamento.
O objetivo é identificar situações em que as práticas existentes não correspondem às bases legais, políticas ou responsabilidades estabelecidas.
Mapeamento dos principais riscos
A primeira etapa consiste em reunir os processos que utilizam dados pessoais.
Em uma fintech que oferece contas digitais, pagamentos e cartões, o mapeamento pode abranger abertura de conta, autenticação, movimentações, antifraude, atendimento e encerramento do relacionamento.
Cada processo pode envolver sistemas e fornecedores diferentes.
A auditoria deve verificar se as finalidades estão documentadas e se os acessos são compatíveis com as responsabilidades dos usuários internos.
Também é importante identificar informações mantidas sem finalidade atual ou sem justificativa de retenção.
Verificação de fornecedores e integrações
O crescimento de uma fintech frequentemente aumenta o número de prestadores envolvidos no tratamento de dados.
Novos serviços de antifraude, biometria, processamento de pagamentos ou infraestrutura em nuvem podem introduzir responsabilidades adicionais.
A auditoria precisa verificar se os contratos estão atualizados, se existem mecanismos adequados de segurança e se os fluxos de informações correspondem ao escopo contratado.
Quando houver transferências internacionais, também devem ser verificados os instrumentos jurídicos aplicáveis.
Checklist de conformidade para operações financeiras
O quadro abaixo reúne verificações que podem orientar uma revisão inicial da operação.
Área | O que verificar |
Inventário de dados | Os processos de tratamento estão mapeados? |
Bases legais | Existe fundamento identificado para cada finalidade? |
Privacidade | A política descreve as práticas efetivamente realizadas? |
Consentimento | As autorizações são registradas e gerenciadas adequadamente? |
Open Finance | O uso dos dados respeita o escopo autorizado? |
KYC | Os dados são utilizados e mantidos conforme as exigências aplicáveis? |
Controle de acesso | As permissões estão limitadas às necessidades de cada função? |
Fornecedores | Os contratos contemplam proteção de dados e resposta a incidentes? |
DPO | Existe encarregado indicado ou enquadramento válido na hipótese de dispensa? |
Incidentes | Há processo de resposta, registro e comunicação? |
Retenção | Os prazos de armazenamento e eliminação estão definidos? |
Decisões automatizadas | Os direitos de revisão e informação estão contemplados? |
Evidências | A fintech consegue comprovar a execução dos controles adotados? |
A verificação também precisa considerar os requisitos específicos do Banco Central aplicáveis ao modelo de negócio.
Uma instituição autorizada pode estar sujeita a obrigações adicionais de segurança e governança que não aparecem diretamente na LGPD.
Como incorporar a proteção de dados ao desenvolvimento de novos produtos?
As decisões sobre tratamento de dados começam muito antes de um produto chegar ao mercado.
Ao adicionar uma nova funcionalidade, a fintech precisa definir quais informações serão utilizadas e se a finalidade pretendida está coberta pelas bases legais existentes.
Uma nova oferta de crédito, por exemplo, pode exigir tratamentos adicionais para análise de risco, consulta a informações financeiras e acompanhamento das operações.
A empresa deve avaliar essas atividades durante a definição do produto e da arquitetura tecnológica.
A abordagem também se aplica a integrações com parceiros.
A contratação de uma infraestrutura financeira precisa considerar quais informações serão compartilhadas, quais instituições terão acesso aos dados e como as responsabilidades serão distribuídas.
Esse planejamento reduz a necessidade de reconstruir processos de conformidade depois do lançamento.
Proteção de dados acompanha a evolução da operação
A LGPD estabelece obrigações permanentes para empresas que tratam dados pessoais.
Para fintechs, essas obrigações convivem com exigências regulatórias específicas e precisam acompanhar a expansão do negócio.
O lançamento de novos serviços, a contratação de fornecedores e o crescimento da base de clientes podem modificar os riscos e as responsabilidades da instituição.
Manter políticas atualizadas, registros confiáveis e processos de segurança consistentes ajuda a sustentar essa evolução.
A escolha da infraestrutura financeira também influencia esse cenário.
Uma estrutura tecnológica com controles de acesso, mecanismos de segurança e responsabilidades operacionais bem definidas pode facilitar a implementação e a manutenção das práticas de conformidade.
Quer estruturar seus produtos financeiros sobre uma infraestrutura preparada para crescer?
A Azify oferece infraestrutura de Banking as a Service para empresas que desejam integrar contas, Pix, pagamentos e cartões às suas próprias plataformas.
Com APIs modulares, recursos de gestão operacional, controles de segurança e o respaldo institucional do Grupo Azimut, a Azify apoia o desenvolvimento de produtos financeiros com uma estrutura preparada para as exigências do setor.
Os serviços financeiros regulados são prestados pelas instituições devidamente autorizadas, conforme o escopo de cada operação.
Conheça nossa infraestrutura de Banking as a Service e converse com nosso time.
