Open Finance e LGPD: consentimento não é uso ilimitado

Open Finance e LGPD precisam ser lidos juntos porque o consentimento do cliente autoriza um compartilhamento específico, não uma exploração irrestrita dos dados recebidos. O produto pode prometer conveniência, crédito melhor, agregação de contas ou iniciação de pagamento, mas a governança deve responder perguntas simples: quais dados são necessários, por quanto tempo, para qual finalidade e com quais controles.

O Banco Central apresenta o Open Finance como ambiente de compartilhamento padronizado de dados e serviços entre instituições participantes. A Resolução Conjunta nº 1/2020 definiu o então Open Banking como abertura e integração de sistemas, com objetivos como inovação, concorrência, eficiência e cidadania financeira. A mesma norma traz princípios de transparência, segurança, privacidade, qualidade dos dados, tratamento não discriminatório, reciprocidade e interoperabilidade.

A Lei Geral de Proteção de Dados Pessoais continua aplicável ao tratamento de dados pessoais no Brasil, inclusive em meios digitais. Assim, a instituição receptora não deve tratar a autorização regulatória como substituta de finalidade, necessidade, segurança, direitos dos titulares e prestação de contas. O ecossistema financeiro aberto acrescenta regras setoriais; ele não elimina o programa de privacidade.

Open Finance e LGPD dependem de finalidade determinada

A Resolução Conjunta nº 1/2020 define consentimento, nesse contexto, como manifestação livre, informada, prévia e inequívoca, feita por meio eletrônico, para compartilhamento de dados ou serviços com finalidades determinadas. Também prevê que a solicitação deve usar linguagem clara, objetiva e adequada, discriminar dados ou serviços, identificar instituições e ter prazo de validade compatível com a finalidade. A versão consolidada não mantém um limite geral de doze meses: esse trecho foi alterado pela Resolução Conjunta nº 7/2023.

Open Finance e LGPD convergem nesse ponto: finalidade não pode ser genérica. “Melhorar sua experiência” ou “oferecer produtos personalizados” costuma ser amplo demais para justificar a coleta de transações, cadastro, limites, contratos e histórico financeiro. A jornada deve explicar o benefício concreto, os grupos de dados, a instituição transmissora, o prazo e o que acontecerá depois.

O desenho do produto precisa limitar uso secundário. Uma fintech que recebe dados para agregação de contas não deve, sem nova análise e comunicação adequada, usar o mesmo conjunto para treinamento de modelo, prospecção de terceiros ou venda cruzada invasiva. Quando houver alteração de finalidade, prazo de validade ou dados compartilhados nas condições tratadas pelo artigo 10, a versão consolidada exige informação específica e concordância ativa do cliente. Pela LGPD, também será necessário revisar compatibilidade, base legal e transparência para o novo uso.

Consentimento granular exige inventário e arquitetura

A norma permite agrupamento de dados, desde que ele seja claro, possibilite discriminação em nível granular e guarde relação com os dados representados. Isso parece uma regra de interface, mas depende de arquitetura de dados. Se a empresa não sabe quais campos recebe, onde armazena e quais serviços consomem cada campo, a granularidade vira apenas texto de tela.

Open Finance e LGPD exigem inventário técnico e jurídico. O registro deve indicar API, endpoint, categoria de dado, finalidade, base legal, tela de consentimento, logs, área responsável, sistema consumidor, fornecedor, retenção e mecanismo de revogação. Também deve diferenciar dados cadastrais, transacionais, informações de pagamento e elementos excluídos do compartilhamento regulado, como credenciais e dados classificados como sensíveis pela legislação no caso de cadastro.

Produto, engenharia, dados, jurídico e segurança precisam trabalhar juntos. A tela que o cliente vê deve corresponder ao escopo chamado pela API e ao que o banco de dados preserva. Se o produto coleta doze meses de transações, mas só precisa calcular renda média dos últimos noventa dias, avalie se é possível reduzir escopo, derivar indicadores e eliminar o dado bruto mais cedo.

O artigo da TOGETHER sobre plano de adequação à LGPD ajuda a estruturar essa passagem entre diagnóstico, priorização, plano de ação e evidências. Em produtos financeiros, esse plano precisa conversar com backlog, APIs, contratos e controles de segurança.

Revogação, retenção e direitos precisam ser operáveis

A Resolução Conjunta nº 1/2020 prevê revogação do consentimento a qualquer tempo, por procedimento seguro, ágil, preciso e conveniente, com opção ao menos pelo mesmo canal em que foi concedido, caso ainda exista. Também estabelece prazos para efetivação da revogação conforme o tipo de compartilhamento. Na prática, isso exige que o produto saiba interromper chamadas, informar instituições envolvidas quando aplicável e refletir a mudança em sistemas internos.

Open Finance e LGPD não significam apagar tudo no momento da revogação em qualquer cenário. A revogação encerra o compartilhamento autorizado, mas dados já tratados podem ter retenção limitada por obrigação legal, regulatória, prevenção a fraude, exercício de direitos ou outra hipótese aplicável, sempre com escopo e prazo definidos. A empresa deve explicar essa diferença ao cliente sem transformar exceções em armazenamento permanente.

Pedidos de acesso, correção, eliminação e informação sobre compartilhamento exigem rastreabilidade. O cliente pode querer saber quais instituições participaram, quais dados foram compartilhados, qual período de validade e qual finalidade foi apresentada. A norma setorial já prevê prestação de informações sobre consentimentos válidos. A governança de privacidade deve integrar esses registros ao canal de titulares.

Retenção merece atenção especial em bases analíticas. Dados financeiros são valiosos para modelos, segmentações e antifraude, mas isso não autoriza conservar extratos identificáveis por tempo indeterminado. Avalie anonimização quando for tecnicamente efetiva, agregação, mascaramento, separação de ambientes e controles de reidentificação. Quando os dados sustentarem decisão automatizada relevante, registre lógica geral, revisão humana quando cabível e mecanismo de contestação.

Segurança, fornecedores e incidentes no ecossistema aberto

A norma setorial exige procedimentos e controles de autenticação compatíveis com risco, tipo de dado ou serviço e canal de atendimento, além de compatibilidade com a política de segurança cibernética da instituição. Isso aproxima governança de privacidade e segurança da informação. Não basta ter consentimento correto se tokens, logs, integrações, ambientes de teste e fornecedores expõem dados.

Open Finance e LGPD pedem segregação entre ambientes, gestão de credenciais, criptografia, trilhas de auditoria, monitoramento de chamadas, limitação de escopo e revisão de acessos internos. Dados recebidos por APIs não devem circular livremente por planilhas, ferramentas de BI e notebooks de ciência de dados. Cada cópia precisa de finalidade, dono e prazo.

Contratos com parceiros devem prever papéis, finalidade, segurança, suboperadores, incidentes, retenção, suporte a direitos e auditoria. Em parcerias comerciais, a instituição precisa evitar repassar ao parceiro dados além do necessário ou criar uso incompatível com a finalidade consentida. Se houver processamento em nuvem ou suporte internacional, avalie transferência internacional e controles adicionais.

Incidentes podem envolver compartilhamento indevido, chamada de API fora do escopo, falha na revogação, exposição de logs, erro de identificação do cliente, consentimento aplicado à pessoa errada ou vazamento em fornecedor. O plano deve indicar contenção técnica, preservação de evidência, avaliação de risco, comunicação regulatória quando aplicável e comunicação ao cliente em linguagem compreensível.

Evidências para produto, compliance e auditoria

Open Finance e LGPD precisam aparecer em evidências de produto, não apenas em parecer jurídico. Guarde a versão da jornada de consentimento, a lista de dados solicitados, a finalidade apresentada, a decisão sobre retenção, o fluxo de revogação, os logs de testes e os responsáveis por cada etapa. Quando a tela muda, o registro também deve mudar.

Uma revisão periódica deve comparar consentimentos ativos, chamadas realizadas, dados armazenados e usos internos. Se a instituição recebe dados que não são consumidos pelo serviço, o escopo deve ser reduzido. Se um modelo analítico usa campo não previsto na finalidade original, a base de decisão precisa ser reavaliada. Open Finance e LGPD exigem essa disciplina porque a facilidade técnica de consumir APIs pode esconder excesso.

Também é importante testar cenários de falha. O que acontece se a revogação não sincroniza? Como identificar chamada repetida fora do período autorizado? Quem bloqueia um parceiro que usa dado de forma incompatível? Qual evidência mostra que o cliente recebeu informação clara? Open Finance e LGPD devem entrar em testes de qualidade, segurança e privacidade antes do lançamento.

Por fim, a área comercial precisa conhecer limites. Consentimento válido não autoriza campanha genérica, enriquecimento indiscriminado ou repasse a parceiros sem finalidade compatível. Treinamento e aprovação prévia de novos usos reduzem risco de expansão indevida depois que o produto começa a performar. Open Finance e LGPD devem aparecer também nas regras de campanha.

Como a TOGETHER pode apoiar

A TOGETHER pode conduzir consultoria em LGPD para revisar jornadas de consentimento, inventário de APIs, bases legais, telas, contratos, retenção, modelos analíticos e controles de segurança em produtos financeiros. O trabalho traduz requisitos regulatórios e princípios da LGPD em backlog verificável para produto, engenharia, dados, jurídico e compliance.

Com DPO as a Service, a TOGETHER pode acompanhar mudanças de escopo, dúvidas de titulares, incidentes, avaliação de fornecedores, revisão de avisos e evidências periódicas. Esse apoio contínuo é útil porque Open Finance e LGPD evoluem junto com novas funcionalidades, integrações e modelos de negócio.

O ponto decisivo é não confundir autorização de compartilhamento com autorização ampla de uso. Uma instituição madura mantém consentimento específico, dados mínimos, finalidade comprovável, revogação efetiva, retenção limitada e resposta organizada. Isso reduz risco jurídico e melhora a confiança no produto. Open Finance e LGPD funcionam melhor quando privacidade entra no desenho da oferta. A revisão deve alcançar telas, contratos, dados derivados, métricas de negócio e decisões de campanha, inclusive quando uma funcionalidade antiga passa a alimentar novo fluxo comercial ou analítico. Esse cuidado também evita que a expansão do produto ultrapasse a expectativa apresentada ao cliente.