A ANPD publicou nota técnica a fim de investigar o compartilhamento de dados pessoais dos beneficiários do INSS para oferta de empréstimo consignado e outros serviços de crédito por instituições financeiras e correspondentes bancários. Entre janeiro de 2021 e outubro de 2023, a CGF (Cadastro Geral da Fazenda) recebeu 117 reclamações relacionadas ao compartilhamento indevido de dados pessoais de beneficiários do INSS por instituições financeiras. Os principais tipos de reclamação foram contatos não solicitados, dificuldade em eliminar dados, compartilhamento indevido e acesso indevido a dados pessoais. Dentre as instituições atingidas pela nota, destacam-se o Banco Itaú e o Banco Pan, seguidos pelo Banco Santander e Banco Bradesco.
Os titulares relatam receber contatos não solicitados de Instituições Financeiras, que oferecem empréstimos consignados e outros serviços, mesmo antes de estarem cientes do benefício do INSS. Em algumas situações, essas instituições têm inclusive acesso a informações pessoais, como nome, CPF e valor do benefício.
O INSS declarou que as Instituições Financeiras só acessam os dados dos beneficiários após autorização expressa do titular. Essa autorização é obtida pela Instituição Financeira através de um documento escrito, o Termo de Autorização, que é enviado ao Dataprev para gerar um token de acesso. O INSS afirmou que a responsabilidade por essa ação recai sobre a Instituição Financeira, conforme estabelecido nos contratos e acordos entre as partes envolvidas. Logo, o INSS também indica que não compartilha os dados de contato de seus beneficiários com instituições financeiras, ou seja, nenhum telefone ou endereço é repassado aos bancos pagadores durante a concessão e o envio dos créditos correspondentes aos benefícios.
Portanto, a ANPD encaminhou solicitações para as Instituições Financeiras envolvidas, nas quais formulou cinco conjuntos de perguntas específicas envolvendo questões sobre: (a) o compartilhamento de dados dos beneficiários entre o INSS e as IFs; (b) o fluxo dos dados dos beneficiários dentro da IF; (c) a oferta de serviços de crédito pela IF; (d) o compartilhamento de dados entre a IF e os correspondentes bancários; e (e) os detalhes contratuais dos empréstimos em consignação iniciados pelos correspondentes bancários.
Em análise da relação entre a instituição financeira e os correspondentes bancários, a ANPD enfatiza que as instituições, no papel de controladoras, têm a responsabilidade de supervisionar os correspondentes bancários, assegurando a integridade das transações e o cumprimento da legislação. Portanto, os correspondentes bancários atuam de acordo com as diretrizes estabelecidas pelas instituições financeiras, sendo considerados operadores no tratamento de dados pessoais para oferta de serviços de crédito.
Ainda com base na análise realizada pela ANPD, percebe-se que os indivíduos que recebem ofertas de serviços de crédito não consentiram com o uso de seus dados. Em muitas situações os titulares não são informados sobre o tratamento de dados, desconhecendo sua origem e propósito, e se sentem incomodados com contatos indesejados. Ou ainda, o consentimento para o tratamento de dados era solicitado apenas depois dos dados serem efetivamente utilizados.
A decisão é importante pois demonstra uma disposição da ANPD em supervisionar os serviços das instituições financeiras. Além disso, fixa diretrizes importantes sobre o uso do consentimento nas relações bancárias.
