Dados bancários repassados sem consentimento: o que a LGPD garante

O sigilo bancário da Lei Complementar 105/2001 como ponto de partida

O art. 1º da Lei Complementar nº 105/2001 obriga as instituições financeiras a conservar sigilo em suas operações ativas, passivas e serviços prestados. Esse sigilo não é absoluto — a própria lei prevê hipóteses de quebra mediante ordem judicial ou situações específicas —, mas ele fixa a regra geral: dado bancário não circula livremente entre a instituição e terceiros sem base jurídica que autorize a exceção.

As bases legais da LGPD que o banco pode invocar — e as que não servem para oferta comercial

A Lei Geral de Proteção de Dados lista no art. 7º várias bases possíveis para tratamento: consentimento, obrigação legal, execução de contrato e legítimo interesse, entre outras. Consentimento não é, portanto, a única base em abstrato. Para oferta de parceiro comercial, o banco precisa demonstrar qual hipótese realmente se aplica, a necessidade do uso, a compatibilidade com as expectativas do titular e salvaguardas como transparência e oposição; o legítimo interesse exige a avaliação prevista no art. 10.

Mesmo uma base da LGPD não afasta automaticamente o sigilo da Lei Complementar nº 105/2001. Informações sobre operações e serviços bancários continuam submetidas a esse regime especial. Cláusula genérica escondida no contrato não prova consentimento específico nem resolve uma finalidade incompatível com o serviço contratado.

Como identificar o compartilhamento indevido

Alguns sinais ajudam a montar o caso:

• ofertas de produtos ou serviços de empresas que o cliente nunca contratou nem visitou, mencionando dados que só o banco teria (saldo aproximado, histórico de crédito, perfil de consumo);
• confirmação, em contato com a empresa terceira, de que os dados vieram de uma parceria com o banco;
• ausência de qualquer registro de consentimento específico no aplicativo ou contrato do cliente para esse tipo de compartilhamento;
• exercício do direito de acesso junto ao banco (art. 18 da LGPD), pedindo relatório de quais terceiros receberam os dados, com resposta incompleta ou evasiva.

Como exercer os direitos do titular

O art. 18 da LGPD garante ao titular o direito de obter do controlador, mediante requisição, confirmação da existência de tratamento, acesso aos dados e informação sobre com quem eles foram compartilhados, entre outros direitos. O pedido deve ser feito primeiro diretamente ao banco, pelo canal de privacidade indicado no site ou aplicativo; se a resposta não vier no prazo legal ou for insuficiente, cabe reclamação à Agência Nacional de Proteção de Dados (ANPD), pelo canal de atendimento ao cidadão titular de dados.

Quando cabe indenização

O art. 46 da LGPD exige medidas técnicas e administrativas contra acesso e uso não autorizados. Dados bancários são protegidos por sigilo e podem revelar aspectos íntimos da vida financeira, mas não se tornam automaticamente dados pessoais sensíveis na definição do art. 5º, II, da LGPD. Essa categoria legal é reservada, por exemplo, a saúde, biometria, religião e origem racial.

Compartilhamento irregular pode justificar cessação, correção e reparação quando houver dano demonstrável, como fraude, exposição indevida ou prejuízo material. A irregularidade, sozinha, não autoriza prometer indenização automática; o nexo e as consequências concretas precisam ser provados.

Quando o compartilhamento é legítimo

Nem todo fluxo de dados é irregular. Cumprimento de obrigação legal, ordem judicial, execução do serviço contratado ou legítimo interesse devidamente demonstrado podem sustentar tratamentos específicos. Cada hipótese deve respeitar finalidade, necessidade, transparência e o sigilo bancário.

O ponto central não é apenas saber se existe uma cláusula contratual, mas identificar quais dados saíram, para quem, com qual finalidade e sob qual base jurídica compatível. Consentimento válido, quando usado, deve ser livre, informado e destacável, e pode ser revogado para os tratamentos que dependam dele.

Quando vale buscar um advogado particular

Quando o próprio banco confirma o repasse dos dados sem apresentar base legal compatível, ou quando a resposta à reclamação na ANPD não resolve o caso, formalizar o pedido de reparação com o acompanhamento de um advogado particular passa a fazer sentido, com toda a coleta de provas e o acompanhamento do processo organizados a partir de mensagens e documentos enviados pelo próprio cliente por meios digitais.