Setor financeiro lidera demandas à ANPD no ciclo 2023–2025: o que isso revela sobre os direitos dos clientes

Os direitos dos clientes deixaram de ser um assunto restrito à política de privacidade. No relatório que reúne os requerimentos recebidos pela Agência Nacional de Proteção de Dados entre 1º de julho de 2023 e 30 de junho de 2025, a categoria “bancos, financeiras e administradoras de cartão” ficou em primeiro lugar entre os setores demandados, com 746 requerimentos admissíveis. O dado não prova, sozinho, que todo requerimento corresponda a uma infração. Ele mostra onde pessoas encontraram problemas suficientes para procurar a autoridade.

A leitura correta desse resultado exige cuidado. A categoria reúne diferentes tipos de instituição e o relatório considera denúncias e petições de titulares que atenderam aos requisitos de admissibilidade. A ANPD também ressalva limitações da classificação, como demandas que podem envolver mais de um controlador. Ainda assim, a posição do setor financeiro é um sinal relevante porque os direitos dos clientes atravessam quase toda a jornada: cadastro, análise de crédito, autenticação, pagamentos, prevenção a fraudes, atendimento, cobrança e encerramento da relação.

O tema ganhou peso adicional no Mapa de Temas Prioritários 2026-2027. A ANPD incluiu os direitos dos titulares entre as quatro prioridades de fiscalização do biênio. Isso não cria um direito novo nem transforma cada reclamação em processo sancionador. O documento indica, porém, que a capacidade de receber e resolver pedidos continuará visível para a fiscalização.

O ranking não autoriza conclusões apressadas

Dizer que bancos lideram as demandas não significa dizer que o setor inteiro descumpre a LGPD ou que as 746 manifestações tratam do mesmo problema. Também não é correto atribuir ao setor bancário os tipos de reclamação mais frequentes do relatório sem ressalva. Os números sobre exposição de dados, dificuldade de eliminação e incidentes foram consolidados para o conjunto de setores analisados, não exclusivamente para bancos.

O que o ranking permite afirmar é mais específico: o setor financeiro foi a categoria mais demandada entre os requerimentos admissíveis do ciclo. Para uma instituição, isso justifica revisar se os direitos dos clientes funcionam de ponta a ponta. O teste não é apenas encontrar um e-mail do encarregado no site. É acompanhar o pedido desde a entrada até a resposta, com autenticação proporcional, busca em sistemas, análise jurídica, linguagem compreensível e registro da decisão.

Há outra informação importante no relatório. Uma petição de titular à ANPD pressupõe, entre outros requisitos, a comprovação de que a demanda foi apresentada antes ao controlador e não foi solucionada. Portanto, parte do risco regulatório começa dentro do próprio canal da instituição. Falhas no tratamento dos direitos dos clientes, como um pedido esquecido entre áreas ou uma resposta que não enfrenta a pergunta, podem levar a demanda à autoridade.

Quais direitos entram na rotina bancária

Para materializar os direitos dos clientes, o artigo 18 da LGPD prevê, entre outros, confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade, portabilidade nos termos da regulamentação, informação sobre compartilhamentos e direitos relacionados ao consentimento. A aplicação prática depende do pedido, da base legal, da finalidade, de obrigações setoriais e de outras regras pertinentes.

Nos bancos, os direitos dos clientes costumam atravessar sistemas e equipes diferentes. Um pedido de acesso pode alcançar cadastro, produtos contratados, registros de atendimento e dados recebidos de terceiros. Uma correção pode exigir atualização em mais de uma base para impedir que a informação errada reapareça. Uma pergunta sobre compartilhamento pode envolver empresas do grupo, bureaus, parceiros tecnológicos, correspondentes e prestadores de prevenção a fraude.

A instituição precisa evitar duas respostas automáticas. A primeira é prometer que todo dado será eliminado. Bancos mantêm determinados registros por obrigações legais ou regulatórias, execução de contratos, prevenção a fraudes e exercício regular de direitos, conforme o caso. A segunda é negar o pedido inteiro com uma frase genérica sobre “obrigação legal”. Mesmo quando parte dos dados precisa ser mantida, a resposta deve explicar quais categorias permanecem, para qual finalidade e, quando possível, por quanto tempo ou segundo qual critério.

Direitos dos clientes exigem autenticação proporcional

Na prática, os direitos dos clientes precisam de autenticação segura. Atender um titular sem verificar sua identidade pode expor dados a um terceiro. Exigir informação demais também cria risco. O processo precisa equilibrar segurança e necessidade.

Se o cliente já está autenticado no aplicativo, obrigá-lo a enviar novamente documento, selfie e comprovante pode ser excessivo para um pedido simples. Em outro contexto, como uma solicitação recebida por e-mail sem vínculo comprovado, alguma validação adicional pode ser necessária. O nível de verificação deve acompanhar a sensibilidade da resposta e o risco de fraude, sem transformar o canal de privacidade em uma nova fonte de dados permanentes.

Esse desenho merece participação de segurança, prevenção a fraude, atendimento e privacidade. A equipe deve definir quais fatores serão aceitos, como tratar representantes, o que fazer em caso de divergência cadastral e quando oferecer um caminho assistido. Também deve limitar a retenção dos documentos usados apenas para validar o solicitante.

A busca não pode depender da memória de uma pessoa

Um dos maiores obstáculos é localizar os dados. Instituições financeiras operam com plataformas centrais, aplicativos, CRMs, gravações, ferramentas de cobrança, sistemas antifraude, logs, arquivos e muitos fornecedores. Se cada pedido exigir uma investigação improvisada, a resposta será lenta e inconsistente.

O inventário de tratamento precisa indicar onde cada categoria de dado está, quem é responsável pelo sistema, qual é a finalidade, quais são os prazos de retenção, quais terceiros participam e como executar uma busca. Os direitos dos clientes ficam mais fáceis de atender quando essas informações fazem parte da governança normal, e não de um esforço emergencial.

Também é útil criar playbooks por tipo de demanda. Ao integrar esses playbooks, os direitos dos clientes deixam de depender de decisões improvisadas. Um pedido de correção pede uma sequência diferente de uma solicitação de acesso. Uma contestação de fraude pode trazer, ao mesmo tempo, questão de consumo, segurança e proteção de dados. O fluxo deve separar as frentes sem obrigar o cliente a contar a mesma história a três canais.

O pedido deve chegar à área que pode decidir

SAC, ouvidoria, encarregado e central antifraude não são equivalentes, mas precisam conversar. O atendente pode receber uma manifestação sobre dados sem que o consumidor use a expressão “LGPD”. Se a triagem procurar apenas palavras-chave, pedidos legítimos serão tratados como reclamações comuns e talvez nunca cheguem à equipe responsável.

Uma matriz de encaminhamento ajuda a reconhecer sinais: pergunta sobre origem dos dados, solicitação de cópia, correção cadastral, contestação de compartilhamento, pedido de exclusão, dúvida sobre decisão automatizada ou uso de biometria. Essa integração preserva os direitos dos clientes mesmo quando a demanda entra pelo canal errado. O encaminhamento não deve encerrar o atendimento original. A instituição precisa preservar o histórico, informar o cliente e acompanhar a conclusão.

A Resolução CD/ANPD nº 18/2024 exige que o agente de tratamento assegure meios céleres, eficazes e adequados para a comunicação com o encarregado e o exercício de direitos. Também atribui ao encarregado atividades como aceitar reclamações, prestar esclarecimentos e adotar providências cabíveis. A responsabilidade pela conformidade, entretanto, permanece com o agente de tratamento. Não é razoável deixar o DPO sozinho tentando obter respostas de sistemas que não controla.

Responder não é apenas enviar um texto jurídico

Os direitos dos clientes são enfraquecidos quando a resposta usa linguagem vaga, cita a LGPD sem explicar o caso ou não enfrenta os itens pedidos. O artigo 19 estabelece que a declaração clara e completa de acesso deve indicar origem dos dados, inexistência de registro, critérios utilizados e finalidade, observados os segredos comercial e industrial, com prazo de até 15 dias para essa modalidade de resposta.

Nem toda solicitação terá o mesmo prazo ou formato, e regulamentações setoriais também podem influenciar o atendimento. Por isso, a instituição deve registrar a natureza do pedido e o fundamento do prazo aplicado. A qualidade da resposta pode ser revisada com perguntas simples:

A instituição respondeu exatamente o que foi solicitado?
A linguagem pode ser compreendida sem formação jurídica?
A negativa foi parcial ou total, e a justificativa está individualizada?
O cliente sabe qual providência foi tomada e qual será o próximo passo?
A resposta informa um canal para contestar erro ou completar a solicitação?

Um modelo pronto ajuda na consistência, mas não substitui a análise do caso. Respostas copiadas, especialmente para eliminação e compartilhamento, podem esconder decisões contraditórias entre produtos.

Compartilhamento merece uma visão por finalidade

No ecossistema financeiro, o mesmo cliente pode se relacionar com várias empresas de um grupo e com diferentes prestadores. Para responder sobre os direitos dos clientes, a instituição não pode usar uma lista genérica de categorias que serviria a qualquer pessoa. A organização precisa saber quais entidades participaram das atividades pertinentes ao titular e para quais finalidades, respeitados os limites legais aplicáveis.

Isso depende de contratos e registros atualizados. Quando um fornecedor muda suboperadores, hospeda dados em outro país ou passa a usar informações para uma finalidade adicional, a documentação do banco precisa acompanhar. Caso contrário, a área de privacidade consulta um inventário antigo e entrega uma resposta incompleta.

O artigo da TOGETHER sobre Open Finance e LGPD mostra como consentimento, finalidade e revogação precisam ser tratados dentro de um ecossistema de compartilhamento. No atendimento ao titular, essa visão precisa ser convertida em resposta concreta, inclusive quando o fluxo envolve agentes distintos e regras próprias do Open Finance.

Eliminação não pode ser tratada como tudo ou nada

Pedidos de exclusão costumam gerar atrito porque o cliente espera uma providência imediata, enquanto a instituição precisa avaliar retenções obrigatórias e riscos de fraude. O caminho mais seguro é decompor o pedido.

A equipe pode separar dados necessários para obrigações vigentes, registros mantidos para exercício de direitos, informações relacionadas à prevenção a fraude, dados tratados por consentimento e cópias sem finalidade atual. Depois, documenta a decisão por categoria. O que não tem finalidade ou base justificável deve entrar no fluxo de eliminação ou bloqueio aplicável. O que precisa permanecer deve receber acesso restrito e prazo definido.

Essa abordagem melhora os direitos dos clientes porque substitui a recusa genérica por uma explicação verificável. Também revela dados órfãos, cópias em planilhas e integrações que continuam recebendo informações após o encerramento da conta.

Reclamações devem produzir correções no processo

Contar pedidos recebidos é pouco. A gestão dos direitos dos clientes precisa observar tempo de resposta, pedidos reabertos, causas de atraso, áreas com maior dificuldade, falhas de autenticação, divergências entre sistemas e reclamações que chegaram à ouvidoria ou à ANPD. Esses indicadores não servem para criar uma meta artificial de redução de solicitações. Servem para localizar fricções reais.

Se muitos clientes perguntam por que recebem determinada oferta, talvez a transparência do uso de dados esteja insuficiente. Se pedidos de correção voltam porque o cadastro antigo reaparece, a atualização não se propagou. Se a exclusão é sempre negada, a matriz de retenção pode estar ampla demais. Se o atendimento pede documentos diferentes a cada contato, falta um padrão de autenticação.

Os direitos dos clientes também ajudam a testar a qualidade do inventário e dos contratos. A organização descobre, pelo próprio atendimento, quais fluxos não consegue explicar e quais fornecedores não oferecem suporte adequado.

Um plano prático para bancos e fintechs

A revisão pode começar com dez passos:

Mapear todos os canais pelos quais chegam pedidos relacionados a dados.
Definir critérios de triagem sem depender da menção expressa à LGPD.
Criar autenticação proporcional ao risco e à informação solicitada.
Atualizar o inventário de sistemas, bases, responsáveis e fornecedores.
Estabelecer playbooks para acesso, correção, eliminação, compartilhamento e oposição.
Registrar fundamentos para retenção e para recusas parciais.
Integrar SAC, ouvidoria, fraude, segurança, jurídico, tecnologia e encarregado.
Revisar modelos de resposta em linguagem clara.
Medir atrasos, reaberturas e causas recorrentes.
Levar os resultados para decisões de produto, contratos e governança.

Esse trabalho não depende de uma transformação completa em um único projeto. Ele pode começar pelos produtos com maior volume de reclamações ou maior risco e avançar em ciclos, desde que responsáveis e evidências estejam definidos. Assim, os direitos dos clientes entram na rotina de melhoria, em vez de aparecer apenas quando surge uma crise.

Como a TOGETHER pode apoiar

A TOGETHER atua com consultoria em LGPD para revisar jornadas de atendimento, inventários, matrizes de retenção, contratos e modelos de resposta no setor financeiro. O objetivo é converter exigências jurídicas em um fluxo que SAC, ouvidoria, tecnologia, segurança e jurídico consigam executar.

Com DPO as a Service, a instituição pode ter apoio contínuo na triagem de casos, na orientação das áreas, na revisão de negativas, no diálogo com titulares e no acompanhamento de indicadores. Esse modelo é especialmente útil quando a equipe interna está sobrecarregada ou quando os pedidos dependem de muitas unidades de negócio.

O primeiro lugar do setor no relatório da ANPD não deve ser usado como manchete de medo. Deve ser tratado como diagnóstico. Bancos operam dados em grande escala e em processos que afetam diretamente a vida financeira das pessoas. Quando os direitos dos clientes funcionam, a instituição responde melhor, encontra falhas mais cedo e demonstra que sua governança não termina na política de privacidade.