PATRICIA PECK
CEO e sócia fundadora
LEANDRO BISSOLI
Sócio do Peck Advogados
A partir do dia 1º de novembro, uma nova determinação do Banco Central (Bacen) pretende ser aliada na jornada para uma cultura de maior segurança nas transações. Neste dia, vai entrar em vigor a Resolução Conjunta nº 6 do BACEN, publicada juntamente com o Conselho Monetário Nacional (CMN). O documento estabelece critérios para o “compartilhamento de dados e informações sobre indícios de fraudes a serem observados pelas instituições financeiras, de pagamento e demais instituições autorizadas a funcionar pelo Bacen”.
Esse compartilhamento deve ser realizado por meio de sistema eletrônico que contemple o registro de dados e de informações sobre indícios de ocorrências ou de tentativas de fraudes identificadas pelas instituições em suas atividades; a alteração e a exclusão dos dados e das informações registradas e a consulta dos dados e das informações registradas.
Bancos, fintechs, empresas de crédito e de pagamento são um dos principais alvos de cibercriminosos no país. A manipulação de imagens para tentar se passar por outra pessoa, inclusive com a deepfake, fraudes de identidade facial e documentais, são algumas das táticas utilizadas na aplicação dos golpes para obter acesso não autorizado a aplicativos bancários, então neste ponto a resolução 06 do Bacen será benéfica ao ajudar no combate a fraudes. Somente no ano passado, os prejuízos calculados decorrentes de fraudes foram de R$ 2,5 bilhões no sistema financeiro nacional.
Assim que ela entrar em vigor, as instituições autorizadas pelo BC a exercer atividades financeiras deverão compartilhar entre si as informações sobre indícios de fraude, com a finalidade de ampliar a visibilidade dos demais players deste mercado sobre os perfis que indiquem maior propensão ao risco nas operações comerciais.
Mas na questão do Open Banking, por exemplo, se já tenho como premissa que aquele cliente é cliente do sistema financeiro baseado na obrigação legal e que já seriam exceções de consentimento dos artigos 7 e 11 da LGPD, por que trazer agora consentimento para entrar na base de dado de combate à fraude com exigência do Bacen?.
É neste ponto que vemos que parte da resolução pode estar em desacordo com a Lei Geral de Proteção de Dados (LGPD).
Em relação ao uso dos dados, a Resolução Conjunta nº 6 dispõe sobre a necessidade de observância à legislação de proteção de dados aplicável quando do compartilhamento de dados e informações para fins de prevenção e combate à fraude (art. 2º, § 6º e art. 3º da Resolução). De acordo com a Lei Geral de Proteção de Dados Pessoais, o tratamento de dados pessoais pode ser justificado pelas hipóteses legais de exceção do consentimento (art. 7º e art. 11 da LGPD). A base legal de prevenção à fraude, inclusive, é prevista de forma expressa como justificativa para o tratamento de dados pessoais sensíveis em processos de identificação e autenticação de cadastro em sistemas eletrônicos (art. 11, II, g da LGPD).
Neste sentido, a Resolução Conjunta nº 6 vai na contramão da LGPD, ao prever que o compartilhamento de dados e informações para prevenção de fraude se justifica pelo consentimento prévio e geral. “O ideal teria sido a harmonização com a LGPD, aproveitando o cumprimento do princípio da transparência (aviso prévio, ciência, previsto no artigo 6º. Parágrafo 6º), e a aplicação da exceção de consentimento de cumprimento de obrigação legal, sem necessidade de consentimento, que traz um ônus adicional, não previsto nem pela LGPD”, ressalta a advogada especialista em Direito Digital.
Porém, dada a finalidade acima, a CEO e sócia-fundadora do Peck Advogados vislumbra, nesse contexto, uma hipótese de exceção ao próprio princípio da minimização dos dados da LGPD (art. 6º): o combate à fraude exige grande volume de dados históricos qualitativos para determinar desvio de conduta, exigindo-se o tratamento contínuo e permanente de tais dados e informações.
Para resolver a imcompatibilidade, sugerimos que as instituições devem manter à disposição do Bacen a documentação e informações relacionadas ao sistema eletrônico de compartilhamento, os dados compartilhados, bem como registros e informações sobre os mecanismos de acompanhamento e controle, tal qual devem empenhar seus melhores esforços a fim de conduzir suas atividades em observância da legislação e da regulamentação em vigor, resguardando o dever de sigilo, a proteção de dados pessoais e a livre concorrência.
As instituições precisam estar prontas para encarar os novos desafios tecnológicos e adotar práticas que reforcem seus controles internos, fortalecendo assim a sua resiliência cibernética bem como garantindo a proteção de seus ativos e dos interesses de seus stakeholders.
