Como as Fintechs podem estruturar o processo interno para reduzir o risco de fraude e entrar em conformidade com a LGPD?
A transição dos atos cotidianos do mundo offline para o online está mudando radicalmente a forma como o mercado financeiro opera, dando espaço para oferta de produtos financeiros totalmente digitais. As Fintechs — termo usado para definir as empresas que desenvolvem produtos financeiros digitais e tem o uso da tecnologia como diferencial — oferecem uma miríade de soluções neste formato, cartão de crédito e débito, empréstimo e conta digital.
A Ascensão das Fintechs
O crescimento deste segmento é vertiginoso, mesmo antes da pandemia do COVID -19, que acelerou os processos digitais. O relatório da OCDE “A Caminho da Era Digital no Brasil”, 2020, aponta um crescimento de mais de 300% na quantidade de Fintechs e similares ativas país no período entre agosto de 2018 e junho de 2019. Ele também destaca o potencial incentivo à inclusão financeira nos próximos anos, decorrente da concorrência no segmento.
É latente o potencial dessa fatia de mercado em clara ascensão. No entanto, a transição da vida financeira para o meio digital, especialmente para o ambiente digital móvel (mobile banking), com aumento do uso de dispositivos móveis¹, além de oportunidades a serem exploradas, expõe usuários e fornecedores de serviços a maiores riscos como o de fraudes e de golpes de identidade.
Estes riscos não podem ser desconsiderados, na prospecção deste mercado, quando o Brasil tem ocorrência de mais de 3 fraudes por minuto envolvendo cartão de crédito e roubo de dados de consumidores, segundo dados do laboratório de cibersegurança da PFASE (2018).
As Fintechs e a LGPD
O segmento financeiro, mesmo digital, é robustamente regulado no Brasil. É variado o conjunto normativo que as Fintechs precisam observar para suas operações:
- leis complementares;
- leis federais;
- resoluções e circulares do Banco Central.
Desde setembro de 2020, somou-se a estas a Lei Geral de Proteção de Dados (LGPD), que objetiva dar mais controle e autonomia aos cidadãos sobre seus dados pessoais.
O tema da proteção aos dados pessoais já era presente no segmento financeiro. Principalmente em algumas das normativas prévias à vigência da LGPD, como as Resoluções 4.658/2018 e 4.752/2019 do BACEN, que atuam para proteger os dados financeiros e pessoais de seus usuários, que, caso vazados ou usados de forma indevida, podem colocar em risco a segurança dos titulares.
Pontos críticos da LGPD em relação às Fintechs
Para além da temática de segurança cibernética, bem trabalhada pelas normativas específicas do setor financeiro, destaca-se outros pontos críticos da LGPD com relação às Fintechs, que impactarão substancialmente os processos internos das empresas:
- Uso da identificação por biometria para a realização de transações financeiras no modelo de mobile banking — a biometria, classificada pela LGPD como dado sensível (art. 5º, II). Ela demandará, para seu uso, consentimento expresso do titular, no ato da coleta, para tratamento específico desse dado. Também há a necessidade do prestador do serviço garantir, através de medidas técnicas e organizacionais, a segurança adequada desses dados.
- Atendimento de diversos direitos dos titulares de dados, em tempo razoável, pelos agentes de tratamento. Para isso será necessário desenhar e implementar na organização um processo estruturado que permita, além de atender ao titular, possibilite o acesso, retificação e eliminação dos dados e ainda o apagamento dos dados e a portabilidade desses para outras instituições².
- Foco no compliance regulatório e documentação — a adoção de medidas de segurança, coleta de consentimento, definição de finalidade específica para tratamento dos dados e cumprimento de direitos dos titulares. Essas são atividades que precisam ser devidamente registradas, documentadas e disponibilizadas para os titulares e para a Autoridade Nacional de Proteção de Dados (ANPD) e outras autoridades quando especificado pela legislação, visando assegurar os princípios da transparência e prestação de contas (arts. 6º, VI e X).
Como a LGPD ajuda as Fintechs na redução de riscos
Como as Fintechs podem estruturar o processo interno para permitir redução do risco de fraude e conformidade e aproveitar o potencial deste mercado em conformidade com a LGPD? Seguem alguma dicas:
- Desenvolver e divulgar de forma ostensiva uma Política de Privacidade clara e transparente, informando os fluxos de uso de dados com as finalidades respectivas e definir seu Encarregado de Dados (tratado genericamente como DPO)
- Disponibilizar, na própria Política de Privacidade, o contato do Encarregado de Dados, quais são os direitos dos titulares e as formas para exercê-los.
- Manter à disposição da ANPD o registro das atividades de tratamento e elaboração de relatório de impacto de tratamento de dados, necessário em alguns casos (arts. 37, 38 e 40).
- Estruturar processo interno para informar à ANPD e aos titulares de dados quando da “ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares” (art. 48), o que merece especial atenção considerando a natureza dos dados financeiros e a extensão dos prejuízos em caso de vazamento.
Dado o contexto da LGPD e o aumento crescente do uso de dispositivos móveis para transações financeiras e os riscos associados, observa-se a necessidade de uma (re) modelagem de sistemas e processos internos das Fintechs. Isso visando colocar a proteção de dados, através da aplicação do conceito de Privacy by Design, em sua espinha dorsal e integrar a privacidade à cultura organizacional.
Gostou desse conteúdo? Você pode se interessar por esse também: Proteção de Dados como Direito Fundamental.
*Nathalia Guerra é advogada, especialista em Direito Digital, Compliance, Direito Médico e consultora de Data Privacy na Protiviti Brasil, empresa especializada em soluções para gestão de riscos, compliance, auditoria interna, investigação, proteção e privacidade de dados.
¹ Dispositivos móveis são tecnologias digitais que permitem a mobilidade e o acesso à internet. Pode-se citar como exemplos os smartphones, notebooks e tablets.
² O exercício do direito de portabilidade aguarda parâmetros e regulamentação da Autoridade Nacional de Proteção de Dados (ANPD), conforme art. 18, V da LGPD.
Referências
5º Relatório da Segurança Digital, PSAFE, 2018. Disponível em: https://www.psafe.com/dfndr-lab/pt-br/relatorio-da-seguranca-digital/
Brasil. Lei Geral de Proteção de Dados (LGPD), Lei nº 13.709/2018.
OECD (2020), A Caminho da Era Digital no Brasil, OECD Publishing, Paris, https://doi.org/10.1787/45a84b29-pt.
