6 - A ADAPTAÇÃO TARDIA DAS INSTITUIÇÕES FINANCEIRAS E OS PRINCIPAIS DESAFIOS ENFRENTADOS PARA SUA REGULAMENTAÇÃO.
O tratamento de dados pessoais deve respeitar o princípio da boa-fé. Na visão de Menicucci (2020, p. 74), a boa-fé não deve ser expressa apenas em relações contratuais, mas em todo e qualquer ato praticado durante a vida, pois, se trata de elemento de classificação de conduta que deve ser observado por todos, seja pessoa jurídica ou física. A LGPD prevê outros direitos fundamentais para o tratamento de dados, que são igualmente importantes, mas, dentre eles, no que concerne a proteção dos dados pessoais, destaca-se para o presente projeto os princípios da segurança e prevenção.
O princípio da segurança é dividido entre medidas técnicas e administrativas. No que diz respeito ao segundo quesito, o Tribunal de Contas do Estado de São Paulo - TCESP, explicou o seu significado (XAVIER, 2021, online) in verbis: “As medidas administrativas são aquelas que tratam de política e procedimentos relacionados à segurança da informação”[1].
Para Menicucci (2020, p. 376), a Lei exige uma mudança cultural que depende, e muito, de treinamentos direcionados aos funcionários, que deve ser desenvolvido pelas empresas controladoras para conscientizar os colaboradores sobre as melhores práticas. Esse processo de adaptação é previsto na LGPD, senão vejamos:
“Art. 41. O controlador deverá indicar encarregado pelo tratamento de dados pessoais.
[...]
§ 2º As atividades do encarregado consistem em:
III - orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;[...]”
De acordo com Menicucci (2020, p. 377), o treinamento é essencial para “a instituição de uma cultura de proteção à privacidade e aos dados pessoais na corporação e, por conseguinte, para o sucesso do projeto e o cumprimento da lei”. Essa ação é indispensável, de nada adianta investir em tecnologia e implementar projetos de melhoria na gestão e governança administrativas se não colocar a cultura de proteção à privacidade para “fechar a conta”, pois, o colaborador é o elo mais frágil, capaz de expor a empresa, nas palavras do autor, "mesmo que de forma insciência, a riscos acentuados” (MENICUCCI, 2020, p. 377).
Para Doneda (2020, p.129), o treinamento é de suma importância, pois, ocorre muitas vezes dos dados serem tratados direta ou indiretamente por indivíduos que não têm, ao menos, o conhecimento básico da LGPD, em vista disso, acabam por iniciar um novo processo de tratamento para agilizar uma tarefa, o que certamente é feito com a melhor das intenções, porém, vão contra as leis e a políticas de segurança da corporação.
O Banco Semear S.A. é uma instituição financeira exemplo de inovação. A referida instituição recebeu, em 2019, o prêmio de segundo banco mais inovador do Brasil, após avaliação da Fundação Dom Cabral. Ele tem iniciado os preparativos para a LGPD desde 2018, tanto que em 2019 realizaram um workshop de conscientização obrigatória para os funcionários (MENICUCCI, 2020, p. 378).
Ocorre que as preparações foram além, produziram conteúdos e divulgaram na internet e nos televisores espalhados em sua sede, bem como realizaram a GRC Week, evento de Governança, Riscos e Compliance, que contou com palestra sobre a LGPD, ministrada por Daniela Hansson, experiente Data Protection Officer - DPO, dentre outras diversas ações para adequar a instituição à regulamentação da LGPD (MENICUCCI, 2020, p. 378).
Todavia, nem todas as instituições financeiras estão se preparando com tanto afinco para a nova realidade regulatória, como exemplo, o Banco Digital C6, que recentemente foi proibido de comercializar crédito consignado em todo país, sob pena de multa diária de R$100.000,00 (cem mil reais). O banco tinha a prática recorrente de realizar empréstimos não autorizados com desconto no pagamento do consumidor, prática que demonstra a falta de atualização da empresa na nova regulamentação da LGPD, em outras palavras, uma adaptação tardia (IGUAÇU, 2022, online).[2]
No caso em tela, a instituição financeira ora citada, em que os consumidores eram aposentados e/ou pensionistas, acabava por atingir uma faixa etária que carecia de conhecimentos tecnológicos: os idosos, sendo alguns com agravantes de serem analfabetos (IGUAÇU, 2022, online).[3] Essa prática caracteriza como tratamento inadequado dos dados pessoais, pelo fato de não atender à finalidade inicial da coleta dos dados e não ter autorização expressa do titular de dados para proceder com o objetivo almejado pela instituição, qual seja, o empréstimo.
Por essa mesma prática, o Procon de Francisco Beltrão aplicou multa de R$ 975.000,00 (novecentos e setenta e cinco mil reais), em setembro de 2021. Outra medida adotada pelo Procon, foi orientar o consumidor a não responder mensagem ou enviar fotos e documentos solicitados por celular [4], o que, por interpretação, é uma tentativa de evitar que os consumidores sejam induzidos a fornecerem os seus dados ou, até mesmo, autorizar inconscientemente, com qualquer tratamento de dados que almeja conceder empréstimos consignados (IGUAÇU, 2022, online).
Pressupõe-se que ao realizar o cadastro no Banco Digital C6, os consumidores forneceram os seus dados pessoais para finalidade diversa da cobiçada pela instituição, consoante Minicucci (2020, p. 33), “a concordância deverá se referir a finalidades determinadas”, ou seja, não se pode coletar os dados pessoais informando de forma transparece uma finalidade e, após ter acesso a essas informações, utilizá-las para objetivo diferente do apontado.
Essa prática de realizar empréstimos não autorizados é recorrente e será quantificada no tópico da realidade dos números.
Voltando-se para os desafios enfrentados pelas instituições financeiras, além da preocupação em ensinar aos colaboradores como se livrarem das principais armadilhas que os cercam por meio de treinamentos, há de se destacar a importância das campanhas de conscientização. As chances de uma empresa que conscientizou e treinou os seus funcionários sofrerem com sanções administrativas, como multa e advertências, previstas da LGPD são muito menores (DONEDA, 2020, p. 129).
Para Doneda (2020, p. 129-130) são exemplos de recursos válidos para conscientização:
• uma página de internet interativa com vídeos e instruções;
• folhetos ilustrados;
• boletins por e-mail;
• seminários presenciais;
• palestras com café da manhã.
Ainda nos desafios, as ameaças devem ser levadas em conta, pois, conhecê-las é uma ótima maneira de identificar os riscos e adotar medidas efetivas. Um dos principais atores desse quesito é o hacker, as pessoas tendem a associá-lo a algo malicioso e ilegal, no entanto, Doneda (2020, p. 102-103) afirma que ele vai muito além disso, nas suas palavras “ele é um indivíduo que se dedica a conhecer os mecanismos e entendê-los profundamente, a fim de solucionar problemas, principalmente no meio cibernético”.
Para melhor esclarecer, existem os hackers white hat, que estudam o sistema da informação com foco em segurança; os black hat, os quais utilizam o conhecimento para fins maliciosos e criminosos; o grey hat, que seria o hacker intermediário entre white e black, ele invade por diversão mas não causa dano. Doneda (2020, p. 102) acredita que essa denominação é errada, pois qualquer invasão a sistema informatizado é crime. Já o blue hat é o hacker contratado para encontrar vulnerabilidade nas empresas; hacktivista; hacker que usa seu conhecimento para ajudar em causas sociais; Nation States Hackers: são hackers contratados por governos e/ou agências de inteligência.
Também são atores nos desafios de prevenção das instituições financeiras o insider, que pode ser um funcionário descuidado ou descontente, um ex-funcionário em busca de vingança que ainda possui acesso ao sistema, podendo ser até um terceiro mal-intencionado. O insider, sem o conhecimento adequado, pode deixar rastros que o identifique, mas, com o intuito de burlar isso, pode acabar utilizando a credencial de outro colaborador, dificultando sua identificação. Uma das táticas adotadas para evitar isso, é o princípio do menor privilégio e controle de acesso (DONEDA, 2020, p. 103-104).
Uma pesquisa feita em 2016 citada por Doneda (2020, p.103), apontou que ⅓ das organizações descuidadas sofreram ataques interno decorrente de comportamento descuidado ou malicioso dos seus usuários, sendo que 42% das empresas podem acabar levando mais de um ano para detectar esse comprometimento.
Agora que os atores foram identificados, vejamos os meios mais comuns que eles podem utilizar a fim de comprometer a proteção dos dados pessoais nas instituições financeiras.
Engenharia social é um conjunto de métodos e técnicas de manipulação psicológicas, utilizada para persuadir alguém, muitas vezes, abusando da ingenuidade ou confiança do usuário. Essa prática pode ser utilizada como meio para influenciar o consumidor a fornecer os seus dados pessoais, consentindo com um empréstimo consignado sem ter ciência. (DONEDA, 2020, p 104).
Data Exfiltration, ocorre quando o ator malicioso realiza a transferência de dados não autorizados de um computador. Esse ato é o mais temido pelas instituições que estão passando pelo processo de adaptação, podendo ser utilizado em conjunto da engenharia social. (DONEDA, 2020, p. 105).
Shoulder Surfing, por sua vez, é um ataque muito simples que faz parte da engenharia social e ocorre quando um indivíduo consegue ter acesso a senhas e outros dados pessoais de outra pessoa apenas olhando como escreve ou digita. Doneda (2020, p.106) expõe algumas medidas para evitar esse ataque, sendo elas: treinamentos e conscientização para evitar que os funcionários digitem suas senhas com um terceiro olhando; adotar senhas fortes, com padrões geométricos do teclado, o autor ainda cita exemplos de senhas:”159753 ou qwerty”; por fim, aplicar película de privacidade nas telas de laptops e computadores.
Dumpster Diving é uma técnica de recuperação de dados nas lixeiras das corporações, com o intuito de achar informações importantes e utilizá-las em outros ataques (DONEDA, 2020, p. 107).
Phishing é uma técnica utilizada para obter dados pessoais e financeiros através de e-mails falsos de grandes corporações com links maliciosos (DONEDA, 2020, p. 108).
Spear Phishing é similar ao phishing, com o diferencial que tem como alvo instituições e indivíduos específicos, o que aumenta as chances de sucesso do ataque. Doneda (2020, p.109) orienta a adoção do treinamento como técnica de proteção na conscientização dos colaboradores para evitar que cliquem em links e executem os anexos de email desconhecidos.
Whaling é similar ao spear Phishing, mas busca atacar pessoas com alto grau de relevância, como, por exemplo, os executivos, por isso o nome whaling , que significa pesca de baleia (DONEDA, 2020, p.110).
Man-In-The-Middle consiste na interceptação da comunicação dos alvos para analisar os dados. Doneda (2020, p. 111) fala que uma das formas utilizadas pelos hackers nessa modalidade é a criação de ponto de acesso wireless, com o objetivo de coletar os dados de quem acessá-lo.
Por fim, existem diversas outras ameaças como Arp Spoofing, Dns Spoofing, Sniffing, Ransomware e dentre outras, que são desafios enfrentados pelas instituições na adaptação a LGPD (DONEDA, 2020, p.113-116).
Dessa maneira, as instituições financeiras podem encontrar diversos obstáculos para se adaptarem a LGPD, desde a inclusão de treinamentos e projetos de conscientização dos colaboradores, até ameaça proporcionada pelo insiders e pelos hackers mal-intencionados que utilizam dos meios supracitados para coletar dados e causar danos às corporações. Portanto, é importante que as instituições financeiras deem o primeiro passo para a adaptação, só assim, conseguirão completar cada passo rumo à regularização.
7 - REALIDADE EM NÚMEROS
Em estudo (IBM, 2019, online)[5] realizado pelo International Business Machines - IMB, ficou comprovado que 96% dos brasileiros não acreditam que as empresas protegem seus dados pessoais. Além disso, em cada 10 (dez) brasileiros entrevistados, 6 (seis) afirmam que sofreram ou conhecem alguém que tenha sofrido algum tipo de vazamento de dados. (XAVIER, 2019 apud BARBOSA et al, 2021, p. 46)
As instituições financeiras devem proteger os dados dos consumidores, criando mecanismos para evitar o vazamento e a incidência de segurança, além de treinar seus colaboradores para impedir que um insider realize um tratamento com finalidade diversa da exposta na coleta dos dados.
Symanovich (apud Menicucci 2020, p. 340) explica que o incidente de segurança ocorre quando um indivíduo obtém de forma não autorizada acesso ao sistema e, consequentemente, aos dados protegidos por uma organização. Para mais, pode ser considerado também como incidente de segurança, segundo o atendimento do Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil, “qualquer evento adverso, confirmado ou sob suspeita, relacionado à segurança de sistemas de computação ou de redes de computadores” (Menicucci, 2020, p. 340)
O vazamento de dados, por sua vez, acontece quando a violação de segurança acaba por expor os dados pessoais de pessoas física, informações sigilosas e protegidas, que são copiadas, compartilhadas, vistas, roubadas e utilizadas por indivíduos não autorizados (U.S.DEPARTAMENTO OF HEALTH AND HUMAN SERVICES, 2019 apud MENICUCCI, 2020, p. 340).
Um exemplo de vazamento de dados financeiros, foi o que ocorreu com Banco Inter, em que foram vazados dados de 19 (dezenove) mil correntistas. No caso específico, a instituição financeira fez acordo com o Ministério Público do Distrito Federal e Territórios, pagando R$ 1,5 milhões de reais a instituições de combate ao crime cibernético e também a caridade (MENICUCCI, 2020, p. 338).
Na sequência, vem o tratamento de dados pelas instituições financeiras, de forma diversa da apontada no início. Conforme já foi explicado, a coleta dos dados pessoais deve respeitar a finalidade específica e caso seja preciso realizar outro tipo de tratamento, é necessário coletar um novo consentimento, que deve anteceder uma explicação clara da nova finalidade (MENICUCCI, 2020, p. 27-36).
Nesse aspecto, caso um banco, por exemplo, colete os dados pessoais do titular com a finalidade de cadastrar uma conta e administrá-la, se ele quiser oferecer um empréstimo consignado, mesmo que já possua os dados do titular, será necessário coletar novo consentimento para essa finalidade, que deve ser feito de forma: livre, informada, específica e expressa. (MENICUCCI, 2020, p. 27-36).
O empréstimo financeiro não solicitado, não respeita a finalidade específica, o que vai contra a LGPD e pode causar danos aos seus titulares, além de ferir os direitos do consumidor previstos no CDC. Levando isso em conta, por meio uma análise regional realizada com apoio do Procon Lagoa Santa - MG, foi possível constatar os seguintes dados aproximados:
Analisando o gráfico é possível verificar uma constância, apesar da LGPD ter entrado em vigor em 18 de setembro de 2020.
Ademais, é importante esclarecer que segundo a prefeitura de Lagoa Santa -MG, em 2018, havia uma estimativa populacional de 63.359 habitantes (PREFEITURA DE LAGOA SANTA, 2019, online)[6].
Outro ponto importante conforme já exemplificado no caso do Banco Digital C6, na maioria das vezes, os idosos são os principais alvos desses empréstimos não solicitados. No último estudo realizado pelo IBGE, em 2010, a cidade de Lagoa Santa - MG possuía uma população estimada de 52.516 mil habitantes, sendo que 5.424 desse número são idosos com 60 anos ou mais (IBGE, 2010, online). [7]
Outrossim, através de uma análise mais ampla, com informações disponibilizadas pelo Instituto Brasileiro de Defesa do Consumidor - IDEC, com base nos dados disponíveis no portal Consumidor.gov.br e pelo Banco Central do Brasil, foi possível constatar que, no período de 2019 a 2020, os empréstimos financeiros não solicitados quase quintuplicaram, um aumento de 441%, veja abaixo (IDEC, 2021, online):[8]
Ranking de reclamações de serviços financeiros na plataforma consumidor.gov.br
O IDEC demonstrou, ainda, que a oferta ou prestação de informações sobre crédito consignado de forma inadequada lidera o ranking das reclamações, sendo que, em 2019, houve 9.010 manifestações. Já em 2020, registraram 14.049 (IDEC, 2021, online), [9]um aumento aproximado de 56%. Nesse ponto, é importante relembrar que a LGPD, em seu artigo 6º VI, prevê o princípio da transparência, garantindo que as informações prestadas pelo controlador (empresa financeira) sejam claras e de fácil compreensão.
Não há dúvidas que os empréstimos consignados não autorizados vão contra a nova realidade regulatória e, que a adaptação tardia a LGPD, pelas instituições financeiras, causa prejuízos ao titular de dados, passíveis de reparação, o que será esclarecido no próximo tópico.
