0%
Rodrigo Vogliotti

LGPD e proteção de dados no mercado financeiro

Transcrição

Lei Geral de Proteção de Dados, a LGPD. A LGPD é relativamente nova e regula toda forma de tratamento de dados pessoais, seja através de meios físicos ou digitais, seja em papel, seja de forma digital. O objetivo principal da LGPD é proteger a privacidade e também os direitos das pessoas, pessoas físicas, pessoas jurídicas. E no mercado financeiro, ela vai impactar todo o processo de gerenciamento dessas informações. A coleta, quando o cliente faz o cadastro, o banco coleta os seus dados, armazena os dados, usa esses dados pra diversas finalidades, pra avaliar um investimento, pra avaliar uma concessão de crédito, compartilha dados com o cliente, com os investidores. Então existe uma exigência de que as instituições sempre atuem de forma transparente, com segurança, com responsabilidade com esses dados, evitando o vazamento dessa informação ou mesmo o uso indevido. De forma geral, o cliente deve assinar um consentimento de que o banco pode utilizar os seus dados. Isso serve pra outras empresas, a gente está falando de banco, mas serve pra qualquer empresa. Essa é a Lei Geral de Proteção de Dados Pessoais. Ela entra em vigor em setembro de 2020, foi inspirada numa lei europeia e estabelece regras de como fazer o tratamento dos dados. De novo, o banco recebe, coleta os dados dos seus clientes e ele precisa tratar esses dados. É isso que a lei traz. Principais objetivos da lei: garantir a privacidade e a proteção desses dados pessoais, proteger os direitos de liberdade e privacidade, estabelecer regras sobre o uso, como o banco pode usar os dados. Por exemplo, somente se tiver consentimento do cliente. O que o banco pode compartilhar e qual é o descarte desses dados? Um cliente que já encerrou o seu relacionamento com o banco acima de 10 anos, pode descartar esses dados? Tudo isso vai estar na lei. Fornecer a confiança nas relações digitais e promover transparência nas operações financeiras e comerciais, desde que sigam essas regras da LGPD. Aplicação da lei. Ela se aplica em quem ou para quem? Qualquer operação que envolva tratamento de dados realizado no Brasil. Então qualquer operação, não é só operação, transação bancária, qualquer operação que tenha um tratamento de dados, a lei se aplica. Por isso que ela se aplica pra qualquer empresa. Operação destinada a oferecer produtos e serviços à pessoa, que está mais próximo do que o banco faz, porque ele oferece um produto, oferece serviço. Empresas públicas privadas, aqui ele deixa claro que são empresas, mas vejam, especificamente, coloca aqui instituições financeiras, corretoras, fintechs, plataformas de investimento. Então fica claro que pra um banco, pra uma corretora, pra uma fintech, precisa seguir a LGPD. Algumas exceções, uso de dados para fins pessoais ou jornalísticos, não precisa seguir a lei, tratamento de dados com fins de segurança pública, defesa nacional, aqui atuação forte do governo, também não precisa seguir a lei. E boas práticas que são exigidas pela LGPD através dos reguladores. Então o que é requerido aqui, inclusive dos bancos? Criptografia, controle de acesso aos sistemas, informações relevantes, sensíveis, podem ser criptografadas, porque caso alguém que tenha um acesso indevido a essa informação, não consegue ler a informação porque ela está criptografada. Acesso aos sistemas relevantes, com senhas, que tenha uma devida proteção, autenticação multifatorial com senhas, biometria, tokens, pra acessar a conta, pra acessar essas informações. Ter um processo de monitoramento constante das transações e dos acessos. Quem que pode acessar? Existe acesso indevido? Aqui pode ser feito pela área de compliance, pela área de auditoria, vendo se esse controle de acesso funciona. Treinamento periódico dos colaboradores sobre LGPD. A gente falou do treinamento sobre a prevenção à lavagem de dinheiro, aqui a gente está falando treinamento pra LGPD, pra proteção dos dados. E ter uma política de resposta a incidentes e comunicação a vazamentos. Veja, caso exista um vazamento da informação sensível do cliente, qual é a resposta que o banco vai dar? Qual é a atuação que o banco vai dar? E como ele vai comunicar issoAo regulador competente, que é a Autoridade Nacional de Proteção de Dados, é uma agência governamental responsável por acompanhar a LGPD e gerir todas essas situações. O banco deve ter tudo isso escrito. E outro ponto importante que está conectado com a LGPD é a lei de sigilo bancário. É uma lei mais antiga, de 2001, que protege o sigilo das operações financeiras de pessoas físicas e jurídicas. Vejam, pelo próprio conceito, está relacionado com a LGPD, mas é uma lei distinta. O que ela traz? Nenhuma instituição pode fornecer informação dos seus clientes a terceiros, se não tiver autorização expressa ou alguma ordem judicial. Então o ponto principal é esse, sigilo bancário, o banco não pode fornecer informação do cliente para um terceiro. O cliente formalizou um relacionamento com o banco, as informações dele é para uso do banco, o banco não pode fornecer isso para terceiros. Então o sigilo bancário é considerado um direito constitucional, veja, aparece na Constituição. Privacidade e proteção de dados, e aqui é o link com a LGPD. Existem algumas exceções. Quando tem uma operação suspeita de lavagem de dinheiro e ela é comunicada ao COAF, aí o banco pode enviar as informações do cliente para um terceiro, que é o COAF, que é o regulador. Isso não é quebra de sigilo, é um dever legal, porque existe uma outra lei, que é a lei de prevenção à lavagem de dinheiro, que pede que as informações suspeitas sejam comunicadas ao COAF. E se tiver descumprimento, vai acarretar sanção civil, administrativa, criminal, porque agora a gente está falando de lavagem de dinheiro. Então as leis andam juntas, elas não se sobrepõem. E registro das operações. A LGPD exige que todas as atividades de tratamento dos dados, tudo que o banco trate dos dados do cliente, sejam documentados e rastreáveis. No setor financeiro, o registro detalhado das transações, o acesso às informações sensíveis, tudo isso devidamente registrado. Qual é a finalidade do registro das informações? Garantir transparência, prestação de contas à ANPD, que a gente viu, que é o órgão do governo que cuida da proteção de dados, ou para os órgãos reguladores, quando eles solicitarem alguma informação, facilitar a auditoria. Então se você tem o registro, quando for feita uma auditoria interna pela equipe da empresa, consegue avaliar, tem o registro. Se tem uma auditoria externa do órgão regulador, da mesma forma. Permite investigação de incidentes de segurança e assegura compliance com a prevenção à lavagem de dinheiro. Se eu tenho registro das operações, tudo bem documentado, eu consigo ter informação suficiente para prevenir lavagem de dinheiro, como a gente viu.