LGPD e fraudes bancárias: quando o vazamento de dados habilita o golpe e quem responde pelo dano

O elo que muitas vítimas não percebem

Quando alguém recebe uma ligação de um falso funcionário bancário que sabe seu nome completo, o nome do banco onde tem conta, o valor aproximado do seu saldo e seus últimos lançamentos, a resposta, na maioria dos casos, é uma combinação de dois elementos: dado vazado de banco de dados e engenharia social.

A conexão entre vazamentos de dados e fraudes financeiras é um padrão documentado. Os grandes vazamentos de dados bancários e de registros CPF que ocorreram no Brasil a partir de 2020 resultaram em bases de dados com informações pessoais e financeiras que circulam em grupos de criminosos, sendo usadas para refinar os scripts de golpes e identificar as vítimas mais vulneráveis. A Lei Geral de Proteção de Dados (Lei nº 13.709/2018, LGPD) estabelece um regime de responsabilidade específico para esses casos, distinto e acumulável com o regime do CDC.

A estrutura de responsabilidade da LGPD

A LGPD distingue dois agentes: o controlador (quem define as finalidades do tratamento) e o operador (quem realiza o tratamento em nome do controlador). As instituições financeiras são controladoras dos dados pessoais de seus clientes.

O art. 42 da LGPD estabelece que o controlador ou operador que causar dano ao titular dos dados em razão do exercício de atividade de tratamento é obrigado a repará-lo. O art. 44 da LGPD define o tratamento irregular como aquele que não observa a legislação ou que não fornece a segurança que o titular pode legitimamente esperar. A falha de segurança que permite o vazamento de dados bancários é, em si, tratamento irregular, independentemente de culpa.

Acumulação de pretensões: LGPD + CDC

Pelo CDC, a pretensão se funda no fato do serviço (art. 14): a fraude bancária resultou de defeito na prestação do serviço de segurança das operações. Pela LGPD, a pretensão se funda no tratamento irregular dos dados pessoais (arts. 42 a 44): o banco não adotou as medidas técnicas e organizacionais adequadas para proteger os dados do titular contra acesso não autorizado. As duas pretensões são cumuláveis porque têm causa de pedir e objeto distintos: uma não absorve a outra.

O dano autônomo da LGPD: além do prejuízo financeiro

Um dos avanços mais relevantes da LGPD para vítimas de fraudes bancárias é o reconhecimento do dano causado pelo vazamento e uso indevido de dados pessoais como um dano autônomo que existe independentemente de ter gerado prejuízo financeiro direto. O dano à proteção de dados inclui: violação da privacidade; perda de controle sobre as próprias informações pessoais; risco concreto de novas utilizações indevidas dos dados vazados; e prejuízo à autodeterminação informativa.

O que a Resolução CMN 4.949/2021 acrescenta ao regime LGPD

A Resolução CMN nº 4.949/2021 impõe às instituições financeiras o dever de proteger as informações dos consumidores, de garantir a segurança dos canais de atendimento e de estabelecer mecanismos de controle de acesso e de prevenção a fraudes. Quando uma fraude bancária é habilitada por dados do próprio banco expostos por falha de segurança, há violação simultânea da Resolução 4.949/2021 (falha de segurança nos serviços) e da LGPD (falha na proteção de dados pessoais). Os dois regimes de responsabilidade incidem concomitantemente.

Como identificar se a fraude teve origem em dado vazado

• Precisão de informações: se o golpista sabia dados que só o banco poderia ter (número de conta, agência, últimas transações, saldo aproximado, data de vencimento do cartão), a origem mais provável é o banco ou uma plataforma vinculada a ele.
• Timing: fraudes que ocorrem logo após operações bancárias (abertura de conta, contratação de produto, portabilidade) podem ter origem em dados expostos durante esses processos.
• Correlação com incidentes notificados: a ANPD mantém registro de incidentes de segurança notificados pelas empresas. Verificar se a instituição comunicou incidentes no período relevante é passo de pesquisa inicial.

O direito à informação e a notificação de incidentes

O art. 48 da LGPD obriga o controlador a comunicar à ANPD e ao titular a ocorrência de incidentes de segurança que possam acarretar risco ou dano relevante. O prazo para comunicação à ANPD é de até 2 dias úteis após o conhecimento do incidente (Resolução CD/ANPD nº 15/2024). A falta de comunicação do incidente ao titular é, em si, uma irregularidade que agrava a responsabilidade do controlador.

A competência da ANPD e do Banco Central

Em casos de fraude bancária com origem em vazamento de dados, há duas autoridades competentes: a ANPD, para a questão da proteção de dados pessoais, e o Banco Central, para a questão da segurança dos serviços financeiros. As reclamações podem e devem ser dirigidas a ambas. A sanção administrativa não substitui a indenização civil: são vias paralelas e independentes.

Perguntas frequentes

Posso entrar com ação apenas com base na LGPD, sem provar a fraude bancária?

Sim, se o dano alegado for o dano autônomo decorrente do vazamento e uso não autorizado dos dados. O titular não precisa demonstrar prejuízo financeiro específico para alegar dano à proteção de dados: a doutrina e a jurisprudência em formação reconhecem o dano in re ipsa em casos de vazamento de dados financeiros sensíveis.

Há prazo para acionar o banco pela LGPD?

A prescrição para ações de responsabilidade civil fundadas na LGPD segue o regime geral do Código Civil (art. 206, § 3º, V): 3 anos a partir do conhecimento do dano. Para ações fundadas no CDC, o prazo é de 5 anos (art. 27 do CDC). Em ações cumulativas, o prazo mais favorável ao consumidor é o aplicável.

O banco é obrigado a me dizer quais dos meus dados foram vazados?

Sim. O direito de acesso (art. 18, II, LGPD) inclui o direito de saber quais dados são tratados. Em caso de incidente, a comunicação deve incluir a natureza dos dados afetados.