Dados: Open Banking e Finance

A revolução digital transformou o mercado financeiro brasileiro. A implementação do Open Banking (Sistema Financeiro Aberto) e sua evolução para o Open Finance (Sistema Financeiro Aberto e Integrado) alteraram profundamente a forma como instituições financeiras e consumidores interagem. O núcleo dessa transformação é o compartilhamento de dados, que, embora prometa maior concorrência, personalização de serviços e inclusão financeira, levanta desafios jurídicos complexos, especialmente no que tange à privacidade, segurança da informação e responsabilidade civil.

Este artigo explora as nuances jurídicas do compartilhamento de dados no Open Banking e Open Finance, analisando a legislação pertinente, a jurisprudência recente e as implicações práticas para advogados que atuam na área de Direito Digital.

A Arquitetura Regulatória do Open Finance

A base legal do Open Finance no Brasil é multifacetada, envolvendo normas do Conselho Monetário Nacional (CMN), do Banco Central do Brasil (Bacen) e a Lei Geral de Proteção de Dados (LGPD).

O Papel do Bacen e do CMN

O Open Banking foi instituído pela Resolução Conjunta nº 1, de 4 de maio de 2020, do CMN e do Bacen. Essa resolução estabeleceu as diretrizes para o compartilhamento padronizado de dados e serviços por meio de interfaces de programação de aplicações (APIs). Posteriormente, com a Resolução Conjunta nº 4, de 24 de março de 2022, o sistema evoluiu para o Open Finance, ampliando o escopo para incluir dados de investimentos, seguros, previdência complementar aberta e câmbio.

A Resolução Conjunta nº 1/2020 define os princípios do Open Finance, que incluem:

1. Transparência: O cliente deve ser informado de forma clara sobre o compartilhamento de seus dados.
2. Segurança e Privacidade: As instituições devem garantir a proteção dos dados compartilhados, em conformidade com a LGPD.
3. Qualidade dos Dados: Os dados compartilhados devem ser precisos e atualizados.
4. Tratamento Não Discriminatório: As instituições não podem discriminar clientes com base no compartilhamento de dados.
5. Interoperabilidade: Os sistemas das instituições devem ser capazes de se comunicar entre si de forma eficiente.

A Intersecção com a LGPD

A LGPD (Lei nº 13.709/2018) é a espinha dorsal da proteção de dados no Brasil e se aplica integralmente ao Open Finance. O consentimento do titular dos dados é o pilar fundamental do sistema. Conforme o art. 7º, I, da LGPD, o tratamento de dados pessoais somente pode ser realizado mediante o consentimento do titular.

No contexto do Open Finance, o consentimento deve ser livre, informado, inequívoco e específico para o compartilhamento de dados entre as instituições. A Resolução Conjunta nº 1/2020 detalha as regras para a obtenção e gestão do consentimento, exigindo que as instituições forneçam informações claras sobre:

• Quais dados serão compartilhados.
• A finalidade do compartilhamento.
• O prazo de validade do consentimento (limitado a 12 meses).
• A instituição que receberá os dados.

Além do consentimento, as instituições participantes do Open Finance devem observar outros princípios da LGPD, como a finalidade (art. 6º, I), a adequação (art. 6º, II) e a necessidade (art. 6º, III). O tratamento de dados sensíveis (art. 11), como dados biométricos ou de saúde (que podem ser relevantes no Open Insurance), exige cuidados adicionais.

Desafios Jurídicos e Responsabilidade Civil

A complexidade do Open Finance gera desafios jurídicos significativos, especialmente em relação à responsabilidade civil em caso de vazamento de dados ou fraudes.

A Responsabilidade Solidária e Objetiva

A jurisprudência brasileira tem consolidado o entendimento de que a responsabilidade das instituições financeiras por danos causados por fraudes e delitos praticados por terceiros no âmbito de operações bancárias é objetiva. A Súmula 479 do Superior Tribunal de Justiça (STJ) estabelece que "as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias".

No contexto do Open Finance, a responsabilidade pode ser ainda mais complexa, envolvendo múltiplas instituições (a transmissora e a receptora dos dados). O art. 42 da LGPD estabelece a responsabilidade solidária entre o controlador e o operador pelos danos causados em razão do exercício de atividade de tratamento de dados pessoais.

A Resolução Conjunta nº 1/2020, em seu art. 44, determina que as instituições participantes são responsáveis pela segurança e sigilo dos dados compartilhados, bem como pela conformidade com a LGPD. Em caso de incidente de segurança, a instituição receptora dos dados pode ser responsabilizada, mesmo que o vazamento tenha ocorrido na instituição transmissora, se for comprovado que a receptora não adotou as medidas de segurança adequadas.

O Papel do "Fortuito Interno"

A distinção entre fortuito interno e externo é crucial na análise da responsabilidade civil no Open Finance. O fortuito interno, que não afasta a responsabilidade da instituição financeira, refere-se aos riscos inerentes à atividade, como falhas nos sistemas de segurança ou fraudes perpetradas por funcionários ou terceiros que exploram vulnerabilidades do sistema (Súmula 479 do STJ).

O fortuito externo, por outro lado, rompe o nexo causal e isenta a instituição de responsabilidade. Ele se caracteriza por eventos imprevisíveis e inevitáveis, alheios à atividade da instituição, como um ataque cibernético de proporções massivas e sem precedentes, que não poderia ser evitado mesmo com as medidas de segurança mais avançadas.

A linha entre fortuito interno e externo é tênue. A jurisprudência, em regra, tem considerado os ataques cibernéticos como fortuito interno, pois as instituições financeiras têm o dever de investir em segurança da informação para proteger os dados de seus clientes. No entanto, a análise deve ser feita caso a caso.

Jurisprudência Relevante: O STJ e os Dados Bancários

A jurisprudência do STJ sobre a proteção de dados bancários e a responsabilidade das instituições financeiras é fundamental para a compreensão dos desafios do Open Finance.

Em um caso emblemático, o STJ reafirmou a responsabilidade objetiva das instituições financeiras por fraudes bancárias, destacando que o risco da atividade inclui a vulnerabilidade dos sistemas eletrônicos. A Ministra Nancy Andrighi ressaltou que "a segurança das operações bancárias é dever anexo ao contrato, decorrente da boa-fé objetiva".

Em outro julgamento relevante, o STJ analisou a responsabilidade de uma instituição financeira por vazamento de dados de clientes, reconhecendo a ocorrência de dano moral presumido (in re ipsa). O Tribunal entendeu que a simples exposição indevida de dados pessoais sensíveis, como informações financeiras, configura ofensa aos direitos da personalidade.

Dicas Práticas para Advogados no Open Finance

A atuação jurídica no Open Finance exige um conhecimento aprofundado da regulação setorial, da LGPD e da jurisprudência. Algumas dicas práticas para advogados:

1. Auditoria de Consentimento: Verifique se os processos de obtenção de consentimento das instituições clientes estão em conformidade com as exigências da LGPD e da Resolução Conjunta nº 1/2020 do Bacen/CMN. O consentimento deve ser granular, específico e facilmente revogável.
2. Revisão de Contratos (Termos de Uso e Políticas de Privacidade): Assegure que os contratos e políticas de privacidade sejam claros, transparentes e informem detalhadamente sobre o compartilhamento de dados no Open Finance, incluindo os direitos dos titulares e os canais de atendimento.
3. Gestão de Incidentes de Segurança: Auxilie as instituições na elaboração e atualização de planos de resposta a incidentes de segurança cibernética (Data Breach Response Plan). A comunicação rápida e transparente aos titulares e à Autoridade Nacional de Proteção de Dados (ANPD) é crucial para mitigar danos e sanções.
4. Análise de Risco em Parcerias: Ao assessorar instituições na formalização de parcerias no âmbito do Open Finance, realize uma due diligence rigorosa sobre as práticas de proteção de dados e segurança da informação dos parceiros.
5. Acompanhamento Regulatório: O Open Finance é um ecossistema em constante evolução. Mantenha-se atualizado sobre as novas resoluções do Bacen, normas da ANPD e decisões judiciais relevantes.

Conclusão

O Open Finance representa um avanço significativo no mercado financeiro brasileiro, prometendo maior eficiência e inovação. Contudo, o compartilhamento massivo de dados impõe desafios jurídicos complexos, exigindo uma harmonização rigorosa entre as normas do Bacen/CMN e a LGPD. A responsabilidade civil das instituições financeiras, pautada na proteção do consumidor e na segurança da informação, ganha novos contornos, exigindo dos profissionais do Direito Digital uma atuação proativa, consultiva e estratégica para mitigar riscos e garantir a conformidade em um ambiente em rápida transformação. A jurisprudência, ainda em formação sobre temas específicos do Open Finance, continuará a moldar os limites e as obrigações dos participantes desse ecossistema.

Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse advogando.ai para mais recursos.