Não se deve escolher entre privacidade e regulação, mas definir qual informação deve ser acessada, por quem, em que momento, para qual finalidade, com qual grau de granularidade e sob quais salvaguardas.
Muitas blockchains públicas foram estruturadas para assegurar transparência, verificabilidade e integridade das transações. Essa característica é uma das bases da confiança em redes descentralizadas. Ao mesmo tempo, quando aplicada a dados financeiros, a transparência pode produzir um nível de exposição incompatível com a proteção patrimonial de usuários, a confidencialidade comercial de empresas e a adoção institucional em larga escala.
Privacidade onchain não deve ser compreendida como anonimato absoluto, ausência de rastreabilidade ou blindagem contra autoridades competentes.
Privacidade onchain não é anonimato absoluto
O primeiro passo para qualificar o debate é distinguir privacidade, anonimato, pseudonimato e confidencialidade.
- Privacidade financeira significa limitar a exposição desnecessária de dados patrimoniais, transacionais e comportamentais.
- Anonimato absoluto corresponde à impossibilidade prática de identificação.
- Pseudonimato é o uso de identificadores que não revelam diretamente a identidade civil do usuário, mas que podem ser correlacionados com outras informações.
- Confidencialidade diz respeito à proteção de informações sensíveis contra acesso indevido, uso abusivo ou divulgação ampla.
Em muitas redes públicas, o usuário não aparece pelo nome, mas por meio de um endereço de carteira. Isso pode criar a percepção de anonimato. Na prática, porém, esse endereço pode revelar saldo, histórico de transações, frequência de uso, protocolos acessados, contrapartes e padrões de comportamento. Quando o endereço é vinculado a uma pessoa, empresa, exchange, domínio, rede social ou carteira conhecida, a camada de pseudonimato pode se tornar frágil.
O problema não é a existência de trilhas verificáveis, mas a exposição ampla e indiscriminada de informações financeiras. A transparência necessária para validar uma transação não precisa se converter em vigilância irrestrita sobre a vida econômica de usuários e empresas.
Blockchains públicas podem expor mais do que o sistema financeiro tradicional
No sistema financeiro tradicional, instituições reguladas possuem deveres de identificação de clientes, monitoramento de operações, manutenção de registros, controles de prevenção à lavagem de dinheiro e comunicação de operações suspeitas às autoridades competentes. Isso não significa que o saldo, o histórico financeiro, a origem dos recursos e as contrapartes de uma pessoa estejam disponíveis publicamente.
No ambiente bancário, o acesso a dados financeiros é condicionado por regras legais, regulatórias, contratuais e procedimentais. No ambiente onchain, a depender da arquitetura da rede, parte relevante das informações pode ser consultada por qualquer pessoa, parceiro comercial, criminoso, autoridade estrangeira ou agente de mercado.
Para usuários comuns, os riscos incluem identificação patrimonial indevida, engenharia social, golpes direcionados, extorsão e associação pública entre hábitos financeiros, preferências pessoais e identidade civil. Para empresas, os riscos são ainda mais sensíveis. A exposição de carteiras pode revelar fornecedores, clientes, fluxo de caixa, estratégia de tesouraria, volumes de operação, margens e prioridades comerciais.
Em operações institucionais, a falta de privacidade pode ser uma barreira concreta. Bancos, gestoras, empresas de pagamento, companhias abertas, seguradoras e entidades governamentais dificilmente estarão confortáveis em operar em ambientes nos quais saldos, fluxos, contrapartes e estratégias possam ser analisados livremente por terceiros.
A regulação brasileira reforça a importância da privacidade financeira
A Resolução BCB nº 520/2025 disciplina a constituição e o funcionamento das sociedades prestadoras de serviços de ativos virtuais e a prestação desses serviços por outras instituições autorizadas a funcionar pelo Banco Central. A norma define conceitos importantes, como carteira de ativos virtuais, chave privada, stablecoin, custodiante de ativos virtuais, prova de reservas e modalidades de prestadoras.
Esse regime demonstra que o mercado de ativos virtuais ingressa em um perímetro mais estruturado de supervisão. Prestadoras que intermediam, custodiam ou executam serviços relacionados a ativos virtuais passam a operar com deveres de governança, controles internos, segregação patrimonial, segurança, administração de dados, atendimento a regras de prevenção à lavagem de dinheiro e financiamento do terrorismo, além de prestação de informações às autoridades competentes.
Mais do que isso, a Resolução CMN nº 5.280/2026 incluiu as sociedades prestadoras de serviços de ativos virtuais no escopo da Lei Complementar nº 105/2001, para fins de sigilo das operações de instituições financeiras.
Ao aplicar o regime de sigilo financeiro às SPSAVs, a regulação brasileira reconhece que essas entidades mantêm informações cadastrais e transacionais sensíveis de clientes e usuários em condições análogas às instituições financeiras tradicionais. Assim, a privacidade passa a integrar o próprio regime institucional aplicável às prestadoras reguladas.
Travel Rule e transparência seletiva
A Travel Rule é um bom exemplo de como rastreabilidade regulatória não precisa significar exposição pública irrestrita.
No padrão internacional do GAFI/FATF, a Travel Rule exige que prestadores de serviços de ativos virtuais e instituições financeiras obtenham, mantenham e transmitam determinadas informações sobre originador e beneficiário em transferências de ativos virtuais. A finalidade é permitir prevenção à lavagem de dinheiro, combate ao financiamento do terrorismo, aplicação de sanções, identificação de operações suspeitas e apoio a investigações financeiras.
Contudo, essa obrigação não exige nem pressupõe a publicação desses dados na blockchain. A informação exigida pela Travel Rule deve circular entre sujeitos obrigados, de forma segura, estruturada e compatível com a finalidade regulatória. A regra trata de transparência entre intermediários regulados e disponibilidade de informações para autoridades competentes, não de exposição indiscriminada ao mercado.
No contexto brasileiro, a implementação da Travel Rule deve ser analisada em conjunto com o novo regime aplicável às SPSAVs, que prevê deveres de identificação, monitoramento, guarda e transmissão de informações em operações com ativos virtuais.
Uma exchange pode identificar o cliente, coletar informações do beneficiário, monitorar risco e transmitir dados a outra prestadora regulada, quando aplicável, sem publicar CPF, CNPJ, endereço, carteira e demais informações pessoais em uma blockchain pública.
Compatibilidade entre compliance e proteção de dados
O padrão internacional do GAFI/FATF parte de uma abordagem baseada em risco. Países, instituições financeiras e demais sujeitos obrigados devem identificar, avaliar e compreender riscos de lavagem de dinheiro, financiamento do terrorismo e financiamento da proliferação, adotando medidas proporcionais aos riscos identificados.
Essa lógica é relevante para a privacidade onchain. Se a regulação é baseada em risco, nem toda operação deve exigir o mesmo nível de coleta, análise, retenção ou compartilhamento de dados. Transações de baixo valor, baixo risco, com clientes já conhecidos e contrapartes reguladas não devem necessariamente receber o mesmo tratamento de operações complexas, transfronteiriças, de alto valor, envolvendo jurisdições de maior risco, mixers, carteiras sancionadas ou padrões atípicos de movimentação.
A proteção de dados pessoais também é relevante. A LGPD trabalha com princípios como finalidade, adequação, necessidade, segurança, prevenção e responsabilização. Esses princípios favorecem modelos que cumpram obrigações legais e regulatórias com o menor grau necessário de exposição de dados.
A pergunta adequada é: qual é o menor conjunto de dados necessário para cumprir a finalidade regulatória, com segurança, proporcionalidade, auditabilidade e limitação de acesso?
Autocustódia e carteiras não hospedadas
A autocustódia permite que o usuário controle diretamente suas chaves privadas e reduza dependência de intermediários. Ao mesmo tempo, cria desafios regulatórios relevantes quando interage com prestadoras reguladas.
Transferências puramente peer-to-peer entre carteiras não hospedadas apresentam dinâmica distinta das operações intermediadas por SPSAVs ou VASPs. O ponto sensível surge quando ativos entram ou saem do perímetro regulado, por exemplo, quando uma exchange recebe recursos de uma carteira autocustodiada ou envia ativos para uma carteira controlada diretamente pelo cliente.
O desafio é criar controles proporcionais ao risco, especialmente quando há interação com sujeitos regulados. Esses controles podem envolver verificação de titularidade ou controle da carteira, análise de exposição a endereços sancionados ou de alto risco, avaliação de interação com mixers, bridges e protocolos DeFi, identificação de padrões incompatíveis com o perfil do cliente e registro de justificativas para operações relevantes.
Prova de reservas e verificabilidade com confidencialidade
A Resolução BCB nº 520/2025 define prova de reservas como mecanismo utilizado para demonstrar que a prestadora possui os ativos virtuais que declara ter em nome de seus clientes e usuários. Ela contribui para assegurar que ativos custodiados em nome de clientes não sejam utilizados indevidamente, misturados ao patrimônio da instituição ou declarados sem lastro efetivo.
A prova de reservas pode reforçar a confiança no custodiante, permitir auditoria, reduzir assimetria de informação e mitigar riscos de insolvência, fraude ou má gestão. Ao mesmo tempo, sua implementação precisa preservar a confidencialidade dos clientes.
Uma prova de reservas mal desenhada pode expor saldos individuais, identificar clientes relevantes, revelar estrutura patrimonial e criar novos riscos de segurança. Uma prova de reservas bem desenhada pode demonstrar suficiência de ativos, segregação e correspondência entre passivos e reservas sem revelar dados individualizados de titulares.
Tecnologias de prova, governança e adoção institucional
Tecnologias como credenciais verificáveis, assinaturas criptográficas, provas de controle de carteira e mecanismos de disclosure seletivo podem contribuir para uma camada de privacidade compatível com supervisão.
Casos de uso possíveis incluem comprovar que:
- Uma pessoa passou por verificação de identidade sem compartilhar todos os seus dados cadastrais com múltiplos participantes;
- Determinados recursos não passaram por carteiras sancionadas ou classificadas como de alto risco;
- Uma empresa mantém reservas suficientes sem expor integralmente saldos de clientes ou detalhes operacionais;
- Uma pessoa ou empresa atende a critérios de elegibilidade financeira sem revelar renda, patrimônio ou documentação completa;
- Regras de um protocolo foram cumpridas sem expor todas as informações da transação;
- Determinada carteira é controlada por um usuário sem expor outras carteiras ou todo o seu histórico financeiro.
Essas tecnologias se aproximam da lógica de privacy by design, pois incorporam proteção de dados na própria arquitetura da solução. Ainda assim, é necessário definir quem emite a credencial, quem verifica a prova, quais padrões técnicos são aceitos, como ocorre a auditoria, quais são os limites da prova e em quais circunstâncias dados completos poderão ser exigidos por autoridade competente.
No Brasil, o uso dessas tecnologias em KYC, prevenção à lavagem de dinheiro, auditoria e supervisão ainda deve ser tratado como tema em amadurecimento. Há princípios jurídicos compatíveis com soluções de menor exposição de dados, especialmente à luz da LGPD e da abordagem baseada em risco, mas a aceitação regulatória e operacional dependerá de padronização técnica, governança e validação pelas autoridades competentes.
A privacidade onchain, portanto, depende de governança, controles internos, segurança cibernética, contratação de terceiros, trilhas de auditoria, gestão de acessos, políticas de retenção e resposta adequada a requisições de autoridades.
Indexação documental: Okai.
