Open Finance e vazamento de dados bancários: quem responde pelo uso indevido das informações dos clientes?
1 - Introdução
A transformação digital do sistema financeiro brasileiro ampliou significativamente as possibilidades de compartilhamento de informações entre bancos, instituições de pagamento e empresas que oferecem serviços financeiros. Nesse contexto, o Open Finance consolidou-se como uma das principais iniciativas de modernização do mercado bancário, permitindo que consumidores e empresas compartilhem seus dados financeiros entre instituições participantes, mediante autorização.
O sistema proporciona benefícios relevantes, como maior concorrência bancária, personalização de produtos financeiros, melhores condições de crédito e maior autonomia dos clientes sobre suas informações. Entretanto, a circulação de grandes volumes de dados também trouxe novos desafios jurídicos, especialmente relacionados à segurança da informação, à privacidade e à responsabilidade civil das instituições financeiras.
A possibilidade de vazamento de dados bancários, utilização indevida de informações pessoais ou compartilhamento para finalidades não autorizadas suscita uma questão fundamental: quem deve responder pelos prejuízos quando os dados de um cliente são utilizados irregularmente no ambiente do Open Finance?
A resposta exige compreender o funcionamento do sistema, os direitos assegurados pela Lei Geral de Proteção de Dados (LGPD) e a atuação das autoridades responsáveis pela fiscalização do setor financeiro e pela proteção dos dados pessoais.
2 - O que é Open Finance e como funciona o compartilhamento de dados bancários
O Open Finance é um sistema de compartilhamento padronizado de dados e serviços financeiros entre instituições participantes, desenvolvido no âmbito da regulamentação do Banco Central do Brasil.
Seu principal objetivo é permitir que o próprio cliente autorize a circulação de suas informações financeiras entre diferentes instituições, possibilitando a oferta de produtos e serviços mais adequados ao seu perfil econômico.
Na prática, um consumidor que mantém relacionamento com determinado banco pode autorizar que outra instituição tenha acesso a informações sobre suas contas, histórico de movimentações, operações de crédito e outros dados abrangidos pelo sistema.
Com essas informações, a instituição receptora poderá, por exemplo, avaliar as condições para oferecer um empréstimo, financiamento ou outro produto financeiro.
O procedimento de compartilhamento envolve três etapas fundamentais: consentimento, autenticação e confirmação. A autorização deve identificar os dados envolvidos, a finalidade do compartilhamento e seu prazo de duração.
O cliente também pode revogar a autorização, observadas as regras aplicáveis ao sistema.
É importante destacar que os dados não são enviados para uma base centralizada administrada pelo Banco Central. O compartilhamento ocorre diretamente entre as instituições participantes, por meio de estruturas tecnológicas padronizadas e mecanismos de segurança.
3 - A evolução do Open Finance e os riscos das APIs bancárias
A expansão do Open Finance está diretamente relacionada ao desenvolvimento das chamadas APIs, interfaces tecnológicas que permitem a comunicação automatizada entre diferentes sistemas financeiros.
Essas ferramentas possibilitam que informações sejam transmitidas de forma padronizada, segura e eficiente, reduzindo a necessidade de procedimentos manuais e facilitando a integração entre instituições.
Com a ampliação do sistema, passaram a ser contemplados novos dados, produtos e serviços financeiros, incluindo operações de crédito, investimentos e funcionalidades relacionadas à iniciação de pagamentos.
Em 2026, o Banco Central continuou promovendo atualizações técnicas no Open Finance, inclusive com novos requisitos para a experiência do cliente e o desenvolvimento de funcionalidades integradas de compartilhamento de dados e iniciação de pagamentos.
Essa evolução, entretanto, aumenta a complexidade dos procedimentos de segurança.
Quanto maior o número de integrações tecnológicas, maior a necessidade de mecanismos capazes de prevenir acessos não autorizados, falhas de autenticação, interceptações indevidas, armazenamento irregular e utilização dos dados para finalidades incompatíveis com a autorização concedida.
Por isso, a segurança do Open Finance não depende apenas da proteção oferecida pelo banco que originalmente mantém as informações, mas também da atuação das instituições que recebem e posteriormente utilizam esses dados.
4 - Quais informações podem ser compartilhadas no Open Finance?
O Open Finance permite o compartilhamento de diferentes categorias de informações financeiras, conforme as funcionalidades disponíveis e a autorização concedida pelo cliente.
Entre elas estão dados cadastrais, informações sobre contas bancárias, saldos, extratos, cartões de crédito, empréstimos, financiamentos, investimentos e operações de câmbio.
Essas informações podem revelar aspectos relevantes da situação econômica de uma pessoa, incluindo sua capacidade financeira, hábitos de consumo, comprometimento de renda e histórico de relacionamento com instituições financeiras.
Embora os dados financeiros não sejam automaticamente classificados como dados pessoais sensíveis pela LGPD, possuem elevado potencial de impacto sobre a privacidade e a esfera patrimonial dos consumidores.
Seu tratamento inadequado pode facilitar fraudes, golpes financeiros, práticas comerciais abusivas ou decisões automatizadas baseadas em informações incorretas.
Dessa forma, as instituições devem adotar medidas proporcionais aos riscos envolvidos, observando os princípios da finalidade, adequação, necessidade, transparência, segurança e não discriminação.
5 - O consentimento do consumidor e os limites para utilização dos dados
O consentimento é elemento central no funcionamento do Open Finance. O compartilhamento de informações financeiras nesse ambiente pressupõe autorização do cliente, concedida conforme os procedimentos regulamentares.
Entretanto, autorizar o compartilhamento não significa permitir que a instituição receptora utilize os dados indiscriminadamente.
A finalidade informada ao consumidor delimita o uso das informações, e qualquer tratamento posterior deve encontrar fundamento jurídico adequado.
Por exemplo, um cliente que autoriza o compartilhamento de seu histórico bancário para análise de uma proposta de financiamento não está necessariamente autorizando que suas informações sejam comercializadas com terceiros ou utilizadas para finalidades estranhas à operação pretendida.
A autorização também deve ser compreensível, específica e acompanhada de informações suficientes para que o consumidor saiba quais dados serão compartilhados, com quem e por quanto tempo.
A revogação do consentimento para o compartilhamento no Open Finance não significa, contudo, que todos os dados anteriormente recebidos devam ser eliminados automaticamente. Sua conservação pode ser admitida quando houver outra base legal legítima, inclusive para cumprimento de obrigações legais ou regulatórias.
O ponto fundamental é que o tratamento das informações permaneça compatível com a legislação de proteção de dados.
6 - Vazamento de dados no Open Finance: quais situações podem gerar responsabilidade civil?
O vazamento de dados ocorre quando informações são expostas, acessadas ou divulgadas indevidamente, em decorrência de falhas de segurança, ataques cibernéticos, erros operacionais ou outras situações que comprometam sua confidencialidade.
No ambiente do Open Finance, esses incidentes podem acontecer em diferentes etapas do compartilhamento.
Uma falha pode surgir durante a transmissão dos dados, no processo de autenticação, no armazenamento realizado pela instituição receptora ou na utilização de sistemas tecnológicos contratados de terceiros.
Também podem ocorrer situações envolvendo credenciais comprometidas, configurações inadequadas de segurança ou acesso indevido por funcionários e prestadores de serviços.
A identificação do responsável depende da análise da cadeia de tratamento das informações.
Em determinadas situações, o incidente pode decorrer exclusivamente de uma falha da instituição receptora. Em outras, pode estar relacionado ao sistema utilizado pela instituição transmissora ou à participação de fornecedores tecnológicos.
Por essa razão, a apuração da responsabilidade civil exige verificar onde ocorreu a irregularidade, quais obrigações foram descumpridas e quais danos efetivamente decorreram do incidente.
A ocorrência de um vazamento não implica, por si só, reconhecimento automático de indenização. A responsabilidade deverá ser examinada conforme a legislação aplicável, as circunstâncias do caso e os requisitos necessários à reparação.
7 - Uso indevido de dados bancários e desvio de finalidade
É importante diferenciar o vazamento de dados do uso indevido das informações.
O vazamento normalmente envolve exposição ou acesso não autorizado. Já o uso indevido pode ocorrer mesmo quando os dados permanecem sob controle de uma instituição legitimamente autorizada a recebê-los.
Isso acontece, por exemplo, quando informações compartilhadas para determinada finalidade são posteriormente utilizadas para outra atividade incompatível com a autorização ou com a base legal aplicável.
Entre as situações que podem gerar questionamentos estão a utilização de dados financeiros para campanhas comerciais incompatíveis com a finalidade informada, o compartilhamento com terceiros sem fundamento legítimo, a elaboração de perfis econômicos discriminatórios e a conservação injustificada de informações.
O tratamento inadequado também pode ocorrer quando dados incorretos ou desatualizados são utilizados para fundamentar decisões relevantes, como a negativa de financiamento ou a concessão de crédito em condições desfavoráveis.
Nessas circunstâncias, a discussão jurídica não está necessariamente relacionada à existência de um ataque cibernético, mas à própria legalidade da utilização das informações.
8 - Quem responde pelo vazamento: banco de origem, instituição receptora ou terceiro?
A definição da responsabilidade civil constitui um dos aspectos mais relevantes das controvérsias envolvendo Open Finance.
O sistema envolve diferentes agentes, que desempenham funções específicas no compartilhamento e tratamento das informações.
A instituição transmissora é aquela que mantém os dados originalmente e os disponibiliza à instituição receptora, mediante autorização do cliente.
A instituição receptora é responsável por receber as informações e utilizá-las conforme a finalidade informada e as normas aplicáveis.
Também podem participar da operação empresas responsáveis pelo fornecimento de infraestrutura tecnológica, armazenamento, processamento ou segurança dos dados.
A responsabilidade de cada participante dependerá de sua atuação concreta.
Se a falha ocorrer durante a autenticação ou transmissão, será necessário examinar as obrigações da instituição responsável por essa etapa.
Por outro lado, se o compartilhamento ocorrer regularmente, mas os dados forem posteriormente utilizados de forma indevida pela instituição receptora, a apuração deverá considerar sua responsabilidade pelo tratamento realizado.
No caso de fornecedores tecnológicos, também será necessário verificar sua participação no incidente, sua condição jurídica perante a LGPD e o eventual descumprimento de obrigações legais ou contratuais.
A legislação brasileira admite, em determinadas hipóteses, a responsabilidade solidária de agentes envolvidos no tratamento irregular de dados pessoais. Além disso, quando configurada relação de consumo, podem incidir as regras de responsabilidade previstas no Código de Defesa do Consumidor.
Entretanto, a solidariedade não decorre automaticamente da simples participação de diferentes instituições no ecossistema.
É indispensável identificar a atuação dos envolvidos, a irregularidade praticada e os pressupostos legais aplicáveis ao caso concreto.
9 - O papel do Banco Central na fiscalização do Open Finance
O Banco Central desempenha papel central na regulamentação e supervisão do Open Finance brasileiro.
Sua atuação envolve a definição de regras para participação das instituições, padrões técnicos de compartilhamento, requisitos de segurança, governança e funcionamento da infraestrutura financeira.
O objetivo é assegurar que a circulação de informações ocorra de maneira confiável, preservando a integridade das operações e a estabilidade do sistema.
As instituições participantes devem observar exigências regulatórias relacionadas à autenticação, segurança tecnológica, controle de acesso e proteção das informações compartilhadas.
O descumprimento dessas obrigações pode dar origem a procedimentos de fiscalização e à aplicação das medidas administrativas cabíveis.
Entretanto, a função regulatória do Banco Central não significa que a autarquia responda automaticamente pelos prejuízos decorrentes de falhas cometidas por bancos ou outras instituições participantes.
A responsabilidade civil pelos danos deverá ser apurada de acordo com a atuação concreta dos agentes envolvidos e com os pressupostos legais pertinentes.
10 - A atuação da ANPD na proteção dos dados financeiros
A Autoridade Nacional de Proteção de Dados exerce função complementar à do Banco Central, concentrando sua atuação na fiscalização do cumprimento da LGPD e na proteção dos direitos dos titulares de dados pessoais.
No contexto do Open Finance, sua competência pode abranger situações envolvendo tratamento irregular de informações, ausência de transparência, desvio de finalidade e incidentes de segurança.
A ANPD também possui atribuições relacionadas à regulamentação das obrigações dos agentes de tratamento e à aplicação de sanções administrativas em caso de infrações à legislação de proteção de dados.
Um aspecto relevante é a obrigação de comunicação de determinados incidentes de segurança.
Conforme a regulamentação da ANPD, incidentes que possam acarretar risco ou dano relevante aos titulares devem ser comunicados à autoridade e aos interessados, observados os prazos regulamentares e eventuais regras específicas aplicáveis.
Essa obrigação reforça a importância da transparência e da adoção de medidas imediatas para reduzir os prejuízos decorrentes de incidentes envolvendo informações financeiras.
11 - Banco Central e ANPD: a dupla regulação do Open Finance
O Open Finance está submetido a um regime de fiscalização que envolve diferentes autoridades e conjuntos normativos.
De um lado, o Banco Central estabelece e supervisiona regras relacionadas ao funcionamento do sistema financeiro, à participação das instituições e à segurança operacional do compartilhamento.
De outro, a ANPD fiscaliza o cumprimento da legislação de proteção de dados pessoais, inclusive no que se refere aos direitos dos titulares, à transparência e às obrigações dos agentes de tratamento.
Essa coexistência regulatória significa que um mesmo incidente pode apresentar repercussões jurídicas distintas.
Uma falha no compartilhamento de informações pode representar, simultaneamente, descumprimento de normas do sistema financeiro, infração à LGPD e falha na prestação de serviços ao consumidor.
Consequentemente, um único episódio pode justificar diferentes providências administrativas, regulatórias e judiciais.
A complexidade dessa estrutura demonstra a importância de uma análise jurídica que considere conjuntamente o Direito Bancário, o Direito do Consumidor e a proteção de dados pessoais.
12 - Quais são os direitos do consumidor no Open Finance?
A legislação brasileira assegura ao consumidor diversos direitos relacionados ao tratamento de suas informações pessoais.
Entre eles estão o direito de obter informações claras sobre o compartilhamento, acessar seus dados, solicitar correções, revogar o consentimento e requerer a eliminação ou o bloqueio de informações tratadas irregularmente, quando cabível.
Também é possível solicitar esclarecimentos sobre as instituições com as quais os dados foram compartilhados e as finalidades do tratamento.
Outra proteção relevante envolve as decisões automatizadas. Quando informações pessoais são utilizadas em decisões tomadas exclusivamente por sistemas automatizados que afetem os interesses do titular, a LGPD prevê a possibilidade de solicitar sua revisão e obter informações sobre os critérios e procedimentos empregados, observados os segredos comercial e industrial.
Esse direito pode ser especialmente importante quando dados financeiros são utilizados para definir perfis de crédito, avaliar financiamentos ou estabelecer condições comerciais.
Em caso de tratamento irregular, o consumidor poderá buscar providências administrativas e, quando presentes os requisitos legais, a reparação dos prejuízos sofridos.
13 - O que fazer em caso de vazamento ou uso indevido de dados no Open Finance?
Ao identificar indícios de compartilhamento irregular ou utilização indevida de informações financeiras, o consumidor deve procurar inicialmente a instituição envolvida, solicitando esclarecimentos formais sobre o ocorrido.
É recomendável verificar quais autorizações de compartilhamento permanecem ativas e avaliar a necessidade de revogar aquelas que não sejam mais necessárias.
Também é importante preservar os documentos relacionados ao incidente, incluindo comprovantes de consentimento, comunicações bancárias, protocolos de atendimento, registros de compartilhamento e mensagens recebidas.
Se houver indícios de fraude, movimentações financeiras indevidas ou utilização irregular das informações, esses elementos poderão auxiliar na apuração dos fatos e na definição das providências jurídicas cabíveis.
Quando a instituição não oferecer esclarecimentos satisfatórios, o interessado poderá recorrer aos canais administrativos pertinentes, inclusive aos órgãos de defesa do consumidor e às autoridades reguladoras, conforme a natureza da irregularidade.
Em determinadas situações, poderá ser necessário recorrer ao Poder Judiciário para solicitar informações, discutir a legalidade do tratamento ou buscar reparação por danos materiais e morais.
14 - A importância das provas em ações judiciais envolvendo dados bancários
As controvérsias envolvendo Open Finance apresentam particularidades probatórias importantes.
Muitas vezes, o consumidor consegue identificar as consequências da irregularidade, mas não possui acesso aos registros técnicos necessários para demonstrar exatamente como ocorreu o tratamento indevido.
Informações como históricos de autenticação, registros de acesso, logs de sistemas e documentos internos de segurança normalmente permanecem sob controle das instituições financeiras.
Por isso, a produção de prova pode exigir medidas destinadas à apresentação de documentos e esclarecimentos técnicos.
A análise jurídica deverá considerar a existência do tratamento questionado, a identificação dos agentes responsáveis, a ocorrência de eventual irregularidade, os danos alegados e a relação entre os fatos.
Dependendo das circunstâncias, também poderão ser discutidas regras de distribuição do ônus da prova previstas na legislação consumerista e na LGPD.
A correta estruturação probatória é fundamental para evitar demandas baseadas exclusivamente em suspeitas e permitir a apuração efetiva das responsabilidades.
15 - Riscos jurídicos para bancos, fintechs e instituições financeiras
A expansão do Open Finance também impõe desafios importantes às instituições financeiras e empresas de tecnologia que participam de operações envolvendo dados bancários.
Falhas de segurança, compartilhamentos indevidos e descumprimento de obrigações regulatórias podem gerar consequências financeiras, administrativas e reputacionais.
Além da possibilidade de demandas indenizatórias individuais ou coletivas, as instituições estão sujeitas à fiscalização dos órgãos competentes e à adoção de medidas corretivas.
A prevenção desses riscos exige investimento em governança de dados, segurança da informação, gestão de consentimentos, auditoria de sistemas e fiscalização das atividades desempenhadas por fornecedores tecnológicos.
Também é fundamental estabelecer contratos adequados com terceiros, definir responsabilidades pelo tratamento das informações e manter planos de resposta a incidentes de segurança.
A conformidade regulatória deve ser compreendida como parte integrante da atividade financeira, e não apenas como obrigação documental.
16 - Benefícios do Open Finance e cuidados para consumidores e empresas
Apesar dos riscos envolvidos, o Open Finance representa um avanço relevante para o sistema financeiro brasileiro.
Ao permitir que os clientes compartilhem suas informações entre instituições participantes, o modelo amplia as possibilidades de comparação de produtos financeiros e pode favorecer o acesso a condições mais competitivas.
Entretanto, a utilização desses serviços deve ser acompanhada de cuidados básicos.
Antes de autorizar o compartilhamento, o consumidor deve verificar a identidade da instituição receptora, compreender a finalidade solicitada, conferir o prazo da autorização e avaliar se os dados envolvidos são necessários para o serviço pretendido.
Também é recomendável acompanhar periodicamente os compartilhamentos ativos e revogar autorizações que deixaram de ser úteis.
Para empresas, o cuidado deve ser ainda maior quando o compartilhamento envolve informações financeiras relevantes para a atividade empresarial, relacionamento bancário ou contratação de operações de crédito.
O uso consciente do Open Finance permite aproveitar os benefícios da tecnologia sem negligenciar a proteção das informações pessoais e patrimoniais.
17 - Conclusão
O Open Finance representa uma transformação significativa na forma como consumidores, empresas e instituições financeiras compartilham e utilizam informações bancárias.
O sistema oferece oportunidades relevantes de inovação, concorrência e eficiência. Entretanto, a ampliação da circulação de dados também aumenta a necessidade de mecanismos de proteção, fiscalização e responsabilização.
A ocorrência de vazamento ou uso indevido de informações exige análise cuidadosa da cadeia de tratamento, das obrigações de cada instituição e das consequências efetivamente produzidas.
Nesse contexto, a atuação complementar do Banco Central e da Autoridade Nacional de Proteção de Dados reforça a importância de observar simultaneamente as regras do sistema financeiro, a legislação consumerista e os direitos assegurados pela LGPD.
A proteção dos dados financeiros constitui elemento essencial da segurança jurídica nas relações bancárias contemporâneas. O avanço tecnológico deve ocorrer acompanhado de transparência, responsabilidade e respeito aos direitos dos consumidores.
Assessoria jurídica em Direito Bancário em Belo Horizonte e Sete Lagoas
Se você reside em Belo Horizonte, Sete Lagoas ou em outras cidades de Minas Gerais e enfrenta problemas relacionados ao compartilhamento indevido de dados bancários, vazamento de informações financeiras, fraudes, negativa de crédito ou irregularidades praticadas por instituições financeiras, o Souza Lanna Advogados oferece assessoria jurídica em Direito do Consumidor, com ênfase em Direito Bancário.
Nosso escritório atua na análise de contratos e práticas bancárias, identificação de possíveis irregularidades, orientação preventiva e adoção das medidas administrativas ou judiciais cabíveis para a proteção dos direitos e interesses de seus clientes.
Entre em contato com o Souza Lanna Advogados para uma avaliação jurídica do seu caso e conheça as medidas disponíveis para proteger seus dados e seu patrimônio.
