GDPR: escudo para consumidores, corrente para quem luta contra a fraude?
O artigo argumenta que a vagueza do conceito de 'interesse legítimo' no GDPR, somada ao risco de multas de até 4% do faturamento global, leva bancos e fintechs a serem excessivamente cautelosos no uso de dados para detecção de fraude — mesmo quando esse uso seria legalmente defensável. O resultado é uma espécie de paralisia analítica nas áreas de risco, em contraste com áreas de marketing que exploram os mesmos dados sem tanta hesitação.
O texto discute uma tensão estrutural na indústria financeira europeia: o mesmo regulamento desenhado para proteger a privacidade do consumidor pode, na prática, inibir o uso de dados que ajudariam a protegê-lo contra fraude.
O Artigo 6(1)(f) do GDPR permite o processamento de dados com base em "interesse legítimo", mas não define critérios objetivos claros sobre quando o uso antifraude se qualifica como tal. Combinado ao risco de multas de até €20 milhões ou 4% do faturamento anual, isso leva times de compliance a interpretar a norma de forma conservadora, restringindo o cruzamento de dados comportamentais, de dispositivo e transacionais que alimentam modelos de risco — mesmo quando há base legal para isso.
O contraste interno chama atenção: enquanto departamentos de marketing usam os mesmos dados de forma ampla para personalização e segmentação, sob a mesma legislação, as equipes de risco e antifraude hesitam em aplicar todo o arsenal analítico disponível. Essa assimetria cria uma vantagem para o fraudador, que não está sujeito a nenhuma dessas restrições regulatórias.
Como caminho prático, o artigo recomenda documentar formalmente a base legal do processamento antifraude, ser transparente com o titular dos dados sobre esse uso já na política de privacidade, aplicar minimização e proporcionalidade — coletando só o necessário —, investir em criptografia e anonimização, e buscar orientação setorial junto a reguladores para reduzir a ambiguidade jurídica que hoje trava decisões técnicas de detecção de fraude.