O setor financeiro aguarda a nova regulamentação do Open Finance, que deve ser publicada pelo Banco Central em breve. Trata-se da revisão das normas sobre parcerias entre participantes e não participantes do Open Finance (i.e. instituições não reguladas), permitindo aos últimos acessar informações de produtos e serviços contratados pelos seus clientes junto a instituições financeiras e de pagamento.
A importância dessa regulação não deve ser subestimada na atual economia da informação, em que dados são matéria-prima essencial dos negócios.
A nova regulamentação impactará, ao mesmo tempo, participantes tradicionais do sistema financeiro, fintechs integradas ao Open Finance e empresas de diversos setores que investem no acesso a informações de qualidade para subsidiar a oferta dos seus serviços.
Esses modelos de parceria têm sido responsáveis pelo desenvolvimento de diversos casos de uso do Open Finance.
Por exemplo: (i) criação de plataformas que facilitam a oferta de bolsas e financiamentos estudantis para famílias sem histórico formal de crédito; (ii) avaliação de crédito de clínicas, consultórios e profissionais liberais (historicamente sub atendidos pelo crédito tradicional a pessoas jurídicas); (iii) análise de crédito de microempreendedores e empresas de pequeno porte (público com características que tornam modelos tradicionais de análise de crédito menos precisos, como receitas sazonais, mistura entre finanças pessoais e do negócio, menor formalização contábil e dificuldade de apresentação de garantias); (iv) parametrização de ferramentas usadas para identificar transações suspeitas de lavagem de dinheiro e prevenção a fraudes; e (v) suplementação de sistemas de recomendação de produtos de investimento, baseada em informações sobre comportamento financeiro de clientes.
Acontece que a maior parte desses casos de uso se desenvolveu à margem da regulação do Banco Central. Isso porque a regulação traz alguns impedimentos relevantes ao compartilhamento de dados com terceiros não participantes do Open Finance.
A justificativa principal é legítima: o receio de uso indevido ou de vazamento dos dados. Porém, parte das proibições esbarra em um direito conferido pela Lei Geral de Proteção de Dados (LGPD) e pela Lei de Sigilo Bancário: o de o titular compartilhar seus dados com quem quiser, sejam esses destinatários instituições participantes do Open Finance ou não.
Resultado desse conflito é que o compartilhamento de dados financeiros para empresas alheias ao Open Finance continua existindo, mas sem uma jornada padronizada.
O consentimento e a jornada de compartilhamento dos dados seguem fluxos heterogêneos, às vezes pouco transparentes para o titular dos dados.
Essa realidade é incompatível com o estágio atual de maturidade do Open Finance. Sabendo disso, a regulação do Open Finance passa por uma de suas revisões mais importantes (senão a mais relevante): a dos contratos de parceria.
O desafio do Banco Central não é pequeno. A autoridade terá que lidar com o clássico dilema entre segurança e inovação que tantas vezes permeia sua agenda regulatória. E deverá fazê-lo com comandos claros e objetivos.
É necessário assegurar a confidencialidade dos dados e conferir transparência à jornada de compartilhamento e, ao mesmo tempo, preservar os casos de uso desenvolvidos em benefício dos consumidores e o direito desses à utilização livre e consciente de seus dados.
Afinal, o Open Finance nasce sob uma premissa básica: reconhecer o consumidor como verdadeiro titular dos seus dados pessoais, dando a ele o direito de compartilhá-los se vislumbrar benefício com isso.
Se for capaz de lidar com esse balanço, a regulação brasileira se aproximará da de outros locais com sistemas financeiros abertos, como União Europeia, Reino Unido, Austrália, Canadá e Hong Kong.
Nos quais o compartilhamento de dados com terceiros designados pelo consumidor é permitido, com regras de controle e designação de responsabilidades.
O Open Finance Europeu, por exemplo, conta com a figura do Account Information Service Provider (AISP), que, mediante consentimento, acessa, consolida e transmite informações do usuário sobre produtos financeiros contratados em diversas instituições.
O Banco Central sinaliza a criação de uma figura parcialmente inspirada no AISP: a entidade integradora. Ela seria uma instituição financeira ou de pagamento participante do Open Finance responsável pela prestação de serviço adicional de integração e compartilhamento de dados a terceiros designados pelo titular.
A instituição integradora compartilharia dados de clientes com empresas por eles indicadas, visando à contratação de seus produtos ou serviços em melhores condições.
Quanto maior a sensibilidade dos dados, maiores os controles demandados da integradora. Por exemplo: o compartilhamento de dados transacionais exigiria controles mais robustos do que o de dados cadastrais, que não identificam operações específicas.
Também seria proveitosa fixação de padrões para que a instituição integradora pudesse gerir banco de dados do Open Finance. Isso permitiria a ela produzir com confiabilidade inteligência a partir de dados coletados mediante consentimento expresso e informado do titular e, então, disponibilizar, por exemplo, scores de crédito aos potenciais consulentes (normalmente desconhecidos à época do compartilhamento dos dados).
O objetivo seria propiciar melhores condições de contratação aos consumidores a partir do uso de dados agregados via Open Finance, em jornada padronizada. Funcionariam assim como uma espécie de bureau, mas limitado aos dados de Open Finance.
Essa entidade deveria sujeitar-se a certificações técnicas e controles para assegurar a integridade e segurança dos dados tratados.
Uma regulação atenta deveria ser capaz de preservar os casos já desenvolvidos a partir do Open Finance brasileiro e permitir a construção de outros novos em favor dos consumidores.
Ao mesmo tempo, ela imporia mecanismos destinados a dar transparência ao titular sobre o uso de seus dados e a exigir controles de segurança da informação.
Mas como fazer isso? A partir de três grupos de normas:
O primeiro, destinado a reger o procedimento de coleta do consentimento do usuário para compartilhamento com entidade fora do Open Finance.
Esse consentimento deverá seguir jornada padronizada, orientada por versão atualizada do Guia de Experiência do Usuário, identificando a finalidade do consentimento e a destinação a ser dada aos seus dados.
Além disso, o Banco Central estuda a disponibilização ao usuário de um canal centralizado onde ele poderá conferir seus consentimentos ativos e, caso queira, comandar seu cancelamento dali em diante.
O segundo, voltado a regras de responsabilização das entidades integradoras. Esse grupo de normas deve incluir a definição das responsabilidades da integradora pelos dados compartilhados com parceiros, bem como a exigência de certificações técnicas e controles internos mínimos.
Os requisitos poderão ser inspirados não apenas nas normas atuais do Open Finance, mas também naquelas que disciplinam as atividades de gestores de bancos de dados.
O terceiro e último grupo de normas seria destinado à contratação das parcerias em si. Ele seria divido entre requisitos pré-contratuais (para avaliação da capacidade do parceiro de cumprir com a regulação) e contratuais (cláusulas mínimas e deveres de monitoramento ao longo da vigência da parceria).
Quanto ao conteúdo mínimo do contrato, a inspiração poderá vir das normas atuais de Banking as a Service (BaaS).
Espera-se que as novas normas estabeleçam um período mínimo de adequação para os contratos atualmente vigentes, à semelhança do que ocorreu com a regulamentação de BaaS.
Contudo, quanto antes as instituições começarem a se preparar para esse novo momento do Open Finance, menos brusca será a recepção da regulação vindoura, minimizando impactos operacionais e conferindo maior transparência aos clientes.
Entidades prestadoras dos serviços de “integração” acima descritos podem desde logo adotar algumas medidas: (i) revisar seus procedimentos de diligência pré-contratual em relação aos parceiros receptores de dados (em especial, etapas destinadas a auferir sua capacidade técnica e histórico de cibersegurança); (ii) revisar controles de segurança da informação e submetê-los a auditorias periódicas; e (iii) revisar minutas-padrão para contemplar cláusulas mínimas.
Entre essas, estariam as dedicadas a: limitar o uso dos dados pelo parceiro para as finalidades declaradas pelo titular no consentimento; obrigar o parceiro a notificar eventuais incidentes de segurança para tomada de providências imediatas; e prever o vencimento em caso de descumprimento de protocolos de destruição de dados pré-estabelecidos e passíveis de monitoramento.
Já as empresas parceiras interessadas no acesso a informações financeiras oriundas do Open Finance podem reforçar seus controles de segurança da informação, tornando-os passíveis de demonstração junto às instituições integradoras – que serão responsáveis perante o Banco Central pela verificação desses controles.
Isso pode incluir a obtenção de certificações técnicas e a formalização de procedimentos voltados a aspectos como rastreabilidade da informação, prevenção e controle de efeitos de incidentes e testes de continuidade de negócios.
Afinal, como diz o ditado chinês, as árvores murcham se forem arrancadas, enquanto os seres humanos prosperam com o movimento.
A inércia não evitará a nova realidade que, mais cedo ou mais tarde, chegará para as relações de parceria do Open Finance. Esse é o próximo grande desafio desse ecossistema, dos seus participantes e parceiros.
Fabio Kupfermann Rodarte é advogado de Levy & Salomão Advogados
Autores L&S
