LGPD para Bancos, Fintechs e o Setor Financeiro: Guia de Conformidade para Instituições Financeiras

Por Que o Setor Financeiro Não Pode Aplicar a LGPD de Forma Genérica

Instituições financeiras tratam volumes de dados pessoais que poucos setores da economia processam na mesma escala e com o mesmo nível de sensibilidade: dados cadastrais, histórico de transações, renda, patrimônio, comportamento de consumo, score de crédito e, cada vez mais, dados compartilhados com outras instituições por meio do Open Finance. Esse volume, por si só, já elevaria a exposição regulatória de bancos e fintechs.

Mas o que realmente diferencia o setor financeiro na aplicação da LGPD não é apenas o volume — é a sobreposição de regimes jurídicos. Uma instituição financeira responde simultaneamente à LGPD, às normas do Banco Central e do Conselho Monetário Nacional sobre proteção de dados e Open Finance, à Lei Complementar 105/2001 sobre sigilo bancário, e, quando trata dados de crédito, à Lei do Cadastro Positivo (Lei nº 12.414/2011). Aplicar a LGPD de forma genérica, sem considerar como esses regimes interagem, deixa lacunas — e cria, em alguns casos, tratamentos que cumprem a LGPD isoladamente mas violam obrigações setoriais específicas, ou vice-versa.

O resultado prático é que um programa de conformidade com a LGPD para uma instituição financeira precisa de uma camada de mapeamento regulatório que a maioria dos programas genéricos de conformidade não contempla.

LGPD Aplicada ao Setor Financeiro vs. Aplicação Genérica

Base Legal para Cada Tipo de Tratamento no Setor Financeiro

Porém, a primeira tarefa de qualquer programa de conformidade no setor financeiro é mapear a base legal correta para cada finalidade de tratamento — porque uma única base legal genérica não cobre a diversidade de atividades de uma instituição financeira.

Open Finance: Compartilhamento Regulado que Vai Além da LGPD

Todavia, o Open Finance não é apenas uma aplicação do princípio de portabilidade de dados da LGPD — é um regime regulatório próprio, estabelecido por resoluções conjuntas do Banco Central e da Comissão de Valores Mobiliários, que impõe requisitos técnicos e operacionais específicos ao consentimento para compartilhamento de dados entre instituições participantes.

O consentimento do Open Finance precisa ser concedido para finalidade específica, com escopo de dados delimitado por categoria (dados cadastrais, dados transacionais, dados de operações de crédito), prazo de vigência definido pelo próprio cliente, e mecanismo de revogação disponível a qualquer momento pelo canal digital da instituição — com efeito imediato na interrupção do compartilhamento. Esse desenho técnico é mais granular do que o consentimento genérico da LGPD normalmente exige, e a instituição participante do Open Finance precisa de infraestrutura capaz de honrar essa granularidade em tempo real.

A instituição que trata o Open Finance apenas como uma extensão do seu programa geral de LGPD, sem adaptar seus sistemas de consentimento e revogação às especificações técnicas do ecossistema, corre o risco de estar em conformidade com a LGPD genérica e, ainda assim, em desconformidade com a regulamentação específica do Banco Central sobre o Open Finance — que tem seus próprios mecanismos de fiscalização e sanção.

LGPD e Sigilo Bancário: Como as Duas Leis Convivem

Contudo, o sigilo bancário, regido pela Lei Complementar 105/2001, é anterior à LGPD e continua vigente como camada adicional de proteção sobre dados financeiros — não substituída, mas complementada pela lei de proteção de dados. Isso significa que uma instituição financeira não pode compartilhar dados protegidos por sigilo bancário apenas por ter uma base legal da LGPD que, isoladamente, permitiria o tratamento.

Um exemplo prático: o legítimo interesse pode autorizar, sob a LGPD, que a instituição trate dados transacionais para fins de modelagem de risco interna. Mas se esse tratamento envolver o compartilhamento desses dados com um terceiro fora das hipóteses de quebra de sigilo previstas na Lei Complementar 105/2001 — ordem judicial, requisição de autoridade competente, ou consentimento do cliente nos termos que a lei de sigilo exige —, o compartilhamento pode violar o sigilo bancário mesmo estando dentro do que a LGPD permitiria isoladamente.

A convivência entre as duas leis exige que qualquer fluxo de dados financeiros seja avaliado sob as duas lentes simultaneamente: a LGPD define a base legal e os direitos dos titulares; o sigilo bancário define quais dados podem circular, para quem e sob quais condições, independentemente da base legal da LGPD que ampararia o tratamento.

Decisões Automatizadas de Crédito e o Direito à Revisão

Apesar disso, um dos pontos de maior atenção regulatória para bancos e fintechs é a decisão automatizada — especialmente a análise de crédito realizada por modelos de score sem intervenção humana direta. O Art. 20 da LGPD garante ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluindo decisões de crédito.

Isso exige que a instituição tenha um processo estruturado de revisão disponível ao cliente que teve o crédito negado ou as condições alteradas por decisão automatizada — com prazo de resposta definido, e informações claras sobre os critérios gerais utilizados na decisão, respeitando o segredo comercial e industrial do modelo. Ainda assim, respeitar o segredo comercial não significa recusar qualquer explicação: a instituição precisa comunicar ao titular os principais fatores que influenciaram a decisão de forma compreensível, mesmo sem revelar o algoritmo completo.

Instituições que utilizam modelos de score desenvolvidos por terceiros — bureaus de crédito, fintechs especializadas em análise de risco — precisam garantir, contratualmente, que esses fornecedores forneçam informações suficientes para que a instituição consiga atender ao direito de revisão do titular. A ausência dessa cláusula contratual é uma lacuna recorrente em relações com fornecedores de modelos de score.

Cadastro Positivo: Um Regime Próprio Dentro do Ecossistema Financeiro

Entretanto, dados de histórico de crédito e adimplemento — que alimentam o Cadastro Positivo — seguem um regime específico definido pela Lei nº 12.414/2011, distinto do regime geral da LGPD, embora complementar a ele. A Lei do Cadastro Positivo estabelece regras próprias sobre quais dados podem compor o cadastro, prazo de retenção do histórico (regra geral de até quinze anos, com aspectos negativos limitados a cinco anos), direito de acesso e correção do titular, e comunicação prévia sobre a inclusão de dados no cadastro.

A instituição financeira que fornece dados para o Cadastro Positivo — ou que consulta esse cadastro para decisões de concessão de crédito — precisa observar simultaneamente as regras da Lei nº 12.414/2011 e os princípios gerais da LGPD, especialmente no que diz respeito à qualidade dos dados fornecidos, à finalidade de uso e ao direito do titular de contestar informações incorretas. A convergência entre os dois regimes é, na maioria dos casos, harmoniosa — mas exige que o time de conformidade trate o Cadastro Positivo como um fluxo de dados com regras próprias, não apenas como mais uma finalidade genérica de tratamento sob a LGPD.

Conclusão: Conformidade no Setor Financeiro é Multicamadas

A LGPD estabelece o piso de proteção de dados pessoais que qualquer empresa brasileira precisa cumprir. Senão a instituição financeira reconhecer que opera sob camadas adicionais de regulação — Open Finance, sigilo bancário, Cadastro Positivo, normas do Banco Central sobre gestão de risco e segurança cibernética —, seu programa de conformidade vai cobrir apenas a base, deixando exatamente os pontos de maior escrutínio regulatório do setor sem tratamento adequado.

O programa de conformidade que funciona para bancos e fintechs não é uma adaptação do checklist genérico de LGPD — é um mapeamento específico de como cada fluxo de dados financeiros se relaciona com o conjunto de normas setoriais que já regula a atividade há décadas, com a LGPD operando como camada de proteção adicional, não substitutiva.

Para entender como estruturar o programa de governança de dados que sustenta a conformidade em setores regulados, veja também: Matriz de Riscos da ANPD para Grandes Empresas: Como Automatizar o RIPD/LIA em Larga Escala. Para compreender como demonstrar medidas de segurança administrativas exigidas pelo Art. 46 da LGPD — relevantes para instituições financeiras expostas a fraude e vazamento de dados —, veja também: Simulador de Phishing Como Prova de “Medida de Segurança” em Auditoria da ANPD.