Open Finance compartilhou meus dados sem autorização: o que fazer?

A Resolução Conjunta nº 1/2020, que disciplina o Open Finance, determina que a instituição receptora dos dados obtenha previamente o consentimento do cliente.

Esse consentimento precisa ser solicitado de forma:

• clara
• objetiva
• adequada
• relacionada a uma finalidade determinada
• vinculada aos dados que serão compartilhados
• eletrônica e ativa.

A norma também proíbe consentimento presumido, opção previamente marcada ou autorização escondida em contrato de adesão.

Se você encontrou um compartilhamento que não reconhece, as primeiras providências são revogar o consentimento, identificar as instituições envolvidas e registrar formalmente a contestação.

No Open Finance, consentimento não é simplesmente aceitar os termos gerais de um aplicativo.

A regulamentação define consentimento como manifestação:

• livre
• informada
• prévia
• inequívoca
• realizada eletronicamente
• destinada a finalidades determinadas.

A instituição que receberá os dados deve informar ao cliente o que será compartilhado.

Entre as informações relacionadas ao consentimento estão:

• instituição receptora
• instituição transmissora
• dados ou serviços compartilhados
• finalidade
• prazo de validade.

O cliente precisa participar ativamente dessa autorização.

Não para substituir o consentimento exigido pelo Open Finance.

A Resolução Conjunta nº 1 proíbe expressamente obter o consentimento:

• por contrato de adesão
• por opção previamente preenchida
• de forma presumida.

Isso significa que uma cláusula genérica como:

“o cliente autoriza o compartilhamento de seus dados com parceiros”

não substitui automaticamente o procedimento específico do Open Finance.

O Open Finance pode envolver, conforme a autorização e o serviço:

• dados cadastrais
• informações de contas
• cartões
• operações de crédito
• investimentos
• câmbio
• transações
• outros produtos incluídos no ecossistema.

O compartilhamento não ocorre por meio de uma grande base central em que todas as instituições enxergam tudo sobre o cliente.

O Banco Central explica que os dados são transmitidos diretamente entre as instituições participantes autorizadas para aquela operação.

Cada compartilhamento depende das condições correspondentes.

Não.

A autorização é relacionada às instituições envolvidas naquele compartilhamento.

Autorizar que:

Banco A envie informações para Banco B

não significa autorizar automaticamente:

Banco A → Banco C

ou

Banco B → qualquer outra empresa.

Novos compartilhamentos precisam observar suas próprias regras e autorizações.

Sim.

A regulamentação determina que as instituições permitam a revogação do consentimento a qualquer momento.

A revogação deve ser disponibilizada pelo menos pelo mesmo canal em que o consentimento foi concedido, caso esse canal continue disponível.

Para compartilhamento de dados comum, a regulamentação prevê revogação de forma imediata.

Existem regras específicas para determinados serviços de iniciação de pagamentos.

Em regra, o consentimento revogado deixa de permitir a continuidade do compartilhamento correspondente.

Mas é importante diferenciar:

Continuar recebendo novos dados

Depende de consentimento válido.

Dados recebidos enquanto o consentimento era válido

Podem já integrar registros da instituição receptora e ficar sujeitos às regras aplicáveis de proteção de dados, finalidade, retenção e obrigações legais.

Revogar o Open Finance não significa necessariamente apagar instantaneamente qualquer informação que tenha sido tratada legitimamente antes da revogação.

As instituições participantes devem fornecer ao cliente informações sobre consentimentos válidos relacionados aos compartilhamentos em que estão envolvidas.

Procure no aplicativo ou internet banking por áreas como:

• Open Finance
• meus compartilhamentos
• consentimentos
• conexões
• bancos conectados.

Os nomes variam entre instituições.

Confira especialmente:

• quem está recebendo
• quem está enviando
• quais dados
• finalidade
• validade.

Nesse caso, registre a tela antes de cancelar.

Guarde:

• nome da instituição
• data
• finalidade
• dados compartilhados
• validade
• identificação do consentimento, se houver.

Depois revogue o acesso e abra contestação formal.

Solicite que a instituição esclareça:

1. quando o consentimento foi obtido;
2. por qual canal;
3. qual autenticação foi utilizada;
4. quais dados foram compartilhados;
5. para qual instituição;
6. durante qual período.

Pode.

Um compartilhamento aparentemente não autorizado pode decorrer de:

• acesso indevido ao celular
• roubo de credenciais
• engenharia social
• aparelho já autenticado
• fraude em conta
• falha operacional.

Por isso, se você realmente não reconhece a autorização, não trate o problema apenas como questão administrativa do Open Finance.

Também revise a segurança das contas.

Considere imediatamente:

• trocar a senha bancária
• trocar a senha do email
• encerrar sessões desconhecidas
• revisar dispositivos autorizados
• ativar autenticação adicional
• verificar transferências e empréstimos.

Se houver movimentações financeiras desconhecidas, conteste também essas operações individualmente.

Revogar o compartilhamento de dados não desfaz automaticamente uma transação fraudulenta já realizada.

Compartilhamento de dados e iniciação de pagamento são serviços diferentes dentro do ecossistema.

Dar acesso a informações financeiras não significa necessariamente autorizar qualquer instituição a retirar dinheiro da conta.

Quando houver iniciação de transação de pagamento, existem requisitos específicos de consentimento e autenticação.

Por isso, se além do compartilhamento aparecer uma movimentação financeira desconhecida, identifique qual serviço foi utilizado.

Se você contesta a própria existência do consentimento, é razoável solicitar as informações que permitam verificar a operação.

As instituições também precisam manter registros relacionados aos consentimentos e às revogações para fins regulatórios.

Um protocolo escrito é importante.

Evite tratar tudo apenas por ligação telefônica sem guardar número de atendimento.

Sim.

O Open Finance possui regulamentação financeira própria, mas o tratamento de dados pessoais também precisa respeitar a legislação de proteção de dados.

Entre os princípios relevantes estão:

• finalidade
• adequação
• necessidade
• transparência
• segurança
• prevenção.

Uma empresa não pode utilizar o Open Finance como justificativa genérica para tratar dados para qualquer finalidade diferente daquilo que foi legitimamente autorizado ou permitido.

A LGPD garante ao titular diferentes direitos relativos ao tratamento dos seus dados pessoais.

Dependendo do caso, podem ser solicitadas informações sobre:

• tratamento
• compartilhamento
• finalidade
• correção
• eliminação nas hipóteses cabíveis.

Esses direitos não significam que todo dado precise ser apagado imediatamente quando existe obrigação legal de conservação.

Uma sequência prática pode ser:

1. Instituição receptora Pergunte como obteve o consentimento.

2. Instituição transmissora Informe que você não reconhece a autorização.

3. Ouvidoria Se o atendimento comum não resolver.

4. Banco Central Instituições supervisionadas podem ser objeto de reclamação pelos canais do BC.

5. ANPD Questões relacionadas ao tratamento irregular de dados pessoais podem também envolver a autoridade de proteção de dados, conforme o caso.

O Banco Central exerce função regulatória e de supervisão.

Ele não substitui automaticamente a instituição na resolução individual de todo conflito contratual nem funciona como Judiciário para fixar indenizações.

Por isso, a reclamação ao BC pode ser importante, mas deve ser acompanhada da contestação direta perante as instituições envolvidas.

Se o compartilhamento não autorizado estiver ligado a:

• fraude
• empréstimo
• transferência
• invasão
• prejuízo financeiro,

guarde também os documentos dessas operações.

A discussão deixa de ser apenas:

“meus dados foram compartilhados.”

Passa a incluir quais consequências decorreram dessa falha.

Não existe indenização automática apenas porque ocorreu uma inconsistência.

Será necessário analisar:

• se houve efetivamente tratamento irregular
• quais dados foram envolvidos
• duração
• consequências
• prejuízo
• medidas adotadas pelas instituições.

Uma exposição sem consequência e uma fraude financeira resultante de falha grave são situações diferentes.

Se você recebeu informação sobre processo relacionado ao caso, confirme:

• tribunal
• número
• partes
• pedidos
• decisões.

Não confunda protocolo da reclamação bancária com número de processo judicial.

Organize:

Consentimento Print da autorização desconhecida.

Compartilhamento Instituições envolvidas e dados indicados.

Cancelamento Print da revogação.

Reclamações Protocolos e respostas.

Segurança Alertas de login e dispositivos.

Prejuízo Extratos, transferências e contratos eventualmente desconhecidos.

Essa sequência ajuda a reconstruir exatamente o que aconteceu.

No Open Finance, o cliente deve saber:

• quem receberá seus dados
• de onde eles virão
• quais informações serão compartilhadas
• para qual finalidade.

Se aparecer uma autorização que você não reconhece, não se limite a apertar “cancelar”.

Preserve a prova e peça informações sobre quando e como aquele consentimento foi obtido.

Se houver qualquer movimentação financeira relacionada, trate também a possível fraude separadamente.

Este conteúdo é informativo e não substitui orientação jurídica individual.

Fontes oficiais

Banco Central — Como levar seus dados de um banco para outro:

https://www.bcb.gov.br/meubc/faqs/p/como-levar-seus-dados-de-um-banco-para-outro

Banco Central — Resolução Conjunta nº 1/2020, regras do Open Finance:

https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20Conjunta&numero=1

Lei Geral de Proteção de Dados:

https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm