Como a lei protege seus dados no banco?
A LGPD e o sigilo bancário (Lei Complementar 105/2001) valem em todo o país: seus dados pessoais são protegidos pela LGPD, e os financeiros, também pelo sigilo bancário. Falha de segurança que expõe seus dados pode gerar o dever de indenizar, conforme o tipo de dado exposto e o prejuízo causado.
Quem precisa provar o quê
A LGPD e o Código de Defesa do Consumidor permitem que o juiz transfira ao banco o dever de provar que cuidou dos seus dados, quando a sua versão for verossímil ou quando for muito difícil para você produzir essa prova. E, quando a fraude nasce de uma falha do próprio sistema do banco, o STJ entende que a instituição responde pelo prejuízo ainda que o golpe tenha sido dado por um terceiro (Súmula 479).
Quando o banco precisa da sua autorização — e como ela tem de ser
Nem todo uso de dados depende da sua autorização: a lei lista outras situações (cumprir um contrato, cumprir a lei, proteger o crédito). Mas, quando o banco se apoia na sua autorização, ela precisa ser livre, informada e inequívoca, dada antes do uso e para uma finalidade determinada — e, se for por escrito, em cláusula destacada das demais. Autorização genérica escondida no contrato é nula (art. 8º, § 4º, da LGPD).
Livre
O banco não pode condicionar o serviço à sua autorização.
Informado
Antes de concordar, você precisa saber para que os seus dados serão usados.
Inequívoco
Não pode haver dúvida de que você concordou.
Para finalidade determinada
Vale só para o fim informado: autorização genérica é nula (art. 8º, § 4º), e usar os dados para outro fim não está autorizado.
Destacado
Se a autorização for por escrito, tem de vir em cláusula separada das demais (art. 8º, § 1º).
O que fazer quando seus dados foram usados sem autorização
- Peça explicação à empresa, por escrito. O pedido vai pelo canal do encarregado de proteção de dados (o contato fica na política de privacidade do site da empresa). Você pode pedir (art. 18 da LGPD):
- a confirmação de que existe tratamento dos seus dados;
- o acesso a esses dados;
- a correção do que estiver errado;
- a exclusão do que foi tratado com base na sua autorização;
- a informação sobre com quem os dados foram compartilhados;
- a revogação da autorização.
- Cobre a comunicação do incidente. Houve vazamento que possa trazer risco ou dano relevante, como o de dados financeiros ou de senha? A empresa tem de avisar a ANPD e as pessoas atingidas em até três dias úteis, contados de quando descobre que o incidente atingiu dados pessoais.
- Se não houver resposta, leve o caso à ANPD. A Autoridade Nacional de Proteção de Dados recebe petição de titular (art. 18, § 1º), mas exige que você comprove ter procurado a empresa antes — por isso o passo 1 vem primeiro.
- Guarde tudo. Protocolos, e-mails, prints das cobranças e a resposta da empresa. É essa prova que sustenta o pedido de correção, de exclusão e, conforme o caso, de reparação na Justiça.