Imagínese este escenario: usted entrega las llaves de su casa a un condominio inteligente. A partir de ese momento, las puertas se abren automáticamente, los servicios se adaptan a sus preferencias y la vida parece más sencilla. Sin embargo, si bien estas comodidades son posibles, cada nueva copia de la llave que circula aumenta el riesgo de mal uso, pérdida o incluso robo.

En las finanzas abiertas, la lógica es la misma. Una vez que el consumidor da su consentimiento para el uso de sus datos financieros, se abre la puerta a productos más personalizados, tasas más competitivas y una mayor inclusión financiera, lo cual es excelente. Sin embargo, con cada nuevo acceso autorizado, también aumenta la responsabilidad de proteger estas "claves digitales".

Detrás del motor de este gigantesco ecosistema se encuentran las API ( Interfaces de Programación de Aplicaciones ), que funcionan como puentes digitales estandarizados, permitiendo que diferentes instituciones financieras, como bancos, empresas fintech, cooperativas de crédito e incluso iniciadores de pagos, se comuniquen de forma automatizada, auditable y segura. En la práctica, este tipo de herramienta reemplaza los antiguos informes en papel y archivos manuales con transmisiones de datos instantáneas, lo que hace que el sistema sea más dinámico e integrado.

Parece el escenario perfecto, ideal, casi una utopía. Sin embargo, estos puentes no son neutrales. Cada nuevo canal que se abre amplía la superficie de riesgo, ya que se puede hacer un uso indebido de datos confidenciales, pueden ocurrir incidentes de seguridad y, ante esto, surge la pregunta fundamental: ¿quién es realmente responsable de los daños?

Para responder a esta pregunta, es necesario examinar la Ley General de Protección de Datos (LGPD, Ley 13.709/2018), las normas reglamentarias del Banco Central de Brasil (BCB) y la jurisprudencia reciente del STF y el STJ.

Marco regulatorio: LGPD y finanzas abiertas

El ecosistema de finanzas abiertas surgió de la Resolución Conjunta N° 1/2020, emitida por el Consejo Monetario Nacional (CMN) y el Banco Central de Brasil (BCB), que inauguró el marco regulatorio que permite la estandarización del intercambio de datos financieros a través de API entre instituciones autorizadas, como bancos, cooperativas de crédito, empresas de crédito directo e iniciadores de pagos, con la idea central de estimular la competencia y fomentar la innovación en el mercado financiero, pero siempre bajo criterios de seguridad y gobernanza.

Posteriormente, el Banco Central de Brasil (BCB) emitió reglamentos complementarios, incluida la Resolución BCB No. 32/2020, que detalla los requisitos técnicos y los procedimientos operativos de las Finanzas Abiertas, definiendo los estándares de las API, los flujos de consentimiento y los períodos de validez de las autorizaciones. 

Seguridad y privacidad desde el diseño en las finanzas abiertas

Al hablar de protección de datos en las finanzas abiertas, es imposible ignorar el requisito de que el sistema se diseñe y opere bajo la lógica de la privacidad desde el diseño, un concepto consolidado en el artículo 46 de la LGPD (Ley General de Protección de Datos de Brasil), que exige que se apliquen medidas técnicas y administrativas adecuadas desde la concepción de los productos y servicios, y no solo de forma correctiva después de que ocurran incidentes.

Desde el punto de vista técnico, el Banco Central ha establecido estándares bastante rigurosos: las API que dan soporte a las finanzas abiertas deben operar con protocolos de autenticación seguros, como OAuth 2.0 y OpenID Connect, además del uso obligatorio de mTLS (Seguridad de la capa de transporte mutua), que garantiza que tanto el cliente como el servidor se autentiquen mutuamente. Estos requisitos se relacionan directamente con los principios de seguridad y prevención (artículos 6, VII y VIII de la LGPD).

Es importante destacar que esto no se limita a la tecnología: el consentimiento granular es uno de los pilares del sistema. Los consumidores deben tener la libertad de elegir qué datos se compartirán (por ejemplo, estados de cuenta, límites o historial crediticio), con qué institución y durante cuánto tiempo. Este requisito garantiza el cumplimiento del artículo 8 de la LGPD (Ley General de Protección de Datos de Brasil), que exige un consentimiento informado, inequívoco y específico.

Un punto frecuentemente debatido en la doctrina jurídica es la definición de roles entre responsables y encargados del tratamiento (Artículo 5, VI y VII, LGPD). Una empresa fintech, por ejemplo, puede ser un mero encargado del tratamiento cuando maneja datos en nombre de un banco, pero si comienza a decidir sobre las finalidades, se considerará responsable del tratamiento. Dado que la responsabilidad civil en Brasil es solidaria (Artículo 42, §1, LGPD), cualquier participante en la cadena puede ser considerado responsable en caso de incidentes.

Por lo tanto, como bien señalan autores como Danilo Doneda y Laura Schertel Mendes, el principio de privacidad desde el diseño deja de ser una mera recomendación doctrinal para convertirse en una obligación regulatoria. En las finanzas abiertas, constituye la línea divisoria entre la innovación responsable y la exposición a graves riesgos legales y financieros.

Responsabilidad civil: LGPD, CDC y jurisprudencia

La responsabilidad civil por incidentes relacionados con datos en finanzas abiertas se basa en un marco normativo triple: la LGPD (Ley General de Protección de Datos de Brasil), el Código de Protección al Consumidor (CDC) y la jurisprudencia del Tribunal Superior de Justicia (STJ).

La primera ley, en sus artículos 42 a 45, establece la responsabilidad objetiva de los encargados del tratamiento de datos, que no requiere prueba de culpa, sino únicamente prueba de daño y de nexo causal. Además, todos los participantes en el tratamiento pueden ser considerados responsables solidariamente, lo que permite al interesado elegir contra quién interponer la demanda. El Código de Protección al Consumidor (CDC), a su vez, refuerza esta lógica al prever, en su artículo 14, la responsabilidad objetiva por el riesgo de la empresa.

La jurisprudencia reciente muestra una evolución. En AREsp 2.130.619/SP (2023), el Segundo Panel del STJ decidió que la filtración de datos personales comunes, por sí sola, no genera daños morales presuntos, sino que requiere prueba de un daño concreto. 

Dado que se trata de un sistema con múltiples agentes de procesamiento de datos, la probabilidad de litigio es alta; por lo tanto, los contratos interinstitucionales deben incluir cláusulas de responsabilidad claras, mecanismos de auditoría y seguros contra riesgos cibernéticos.

Análisis del caso Banco Pan

Un ejemplo real de la vulnerabilidad del sector financiero se produjo en enero de 2021, cuando Banco Pan sufrió un incidente de seguridad que provocó la filtración de datos de más de 220 clientes. Se expusieron datos como nombres, números de CPF (números de identificación fiscal brasileños), números de teléfono y detalles de tarjetas de crédito.

La institución confirmó el incidente y notificó a la Autoridad Nacional de Protección de Datos (ANPD), de conformidad con el artículo 48 de la LGPD (Ley General de Protección de Datos de Brasil). Si bien no se produjeron transacciones financieras no autorizadas, el episodio tuvo importantes repercusiones, como un aumento de la desconfianza de los consumidores y la apertura de investigaciones regulatorias.

Este caso pone de manifiesto que, incluso antes de la plena consolidación de las finanzas abiertas, los bancos ya se enfrentaban a riesgos concretos relacionados con la seguridad de la información. Refuerza la necesidad de medidas preventivas, planes de respuesta ante incidentes y seguros cibernéticos como parte integral de la gobernanza de las instituciones financieras.

Conclusión

El avance de las finanzas abiertas en Brasil representa una transformación estructural del sistema financiero, que impulsa la competencia, la innovación y la inclusión. Sin embargo, esta misma arquitectura, que ofrece oportunidades para la personalización de los servicios, incrementa proporcionalmente la superficie de riesgo relacionada con la privacidad y la protección de datos.

A su vez, el marco regulatorio brasileño, compuesto por la LGPD (Ley General de Protección de Datos de Brasil), el CDC (Código de Protección al Consumidor) y la normativa del Banco Central, impone estándares rigurosos de seguridad, consentimiento y gobernanza, alineados con el principio de prevención y el deber de transparencia. La jurisprudencia reciente del STJ (Tribunal Superior de Justicia) revela una evolución interpretativa, que en ocasiones exige la prueba de un daño concreto y en otras reconoce el daño moral presunto en casos de filtraciones de datos, lo que indica una tendencia hacia el fortalecimiento de la protección de la privacidad.

El caso real de Banco Pan (2021), con la exposición de miles de datos de clientes, demuestra que los incidentes de seguridad no son meras hipótesis académicas, sino hechos concretos capaces de generar desconfianza social, repercusiones en la reputación y posibles responsabilidades civiles. Estos episodios evidencian la necesidad de un enfoque proactivo e inversiones constantes en ciberseguridad, cumplimiento normativo y seguros contra riesgos digitales.

En definitiva, la protección de datos en las finanzas abiertas ha dejado de ser una mera obligación regulatoria para convertirse en una condición indispensable para la competitividad y la supervivencia de las instituciones financieras. El futuro de este ecosistema dependerá de la capacidad de transformar las directrices regulatorias en prácticas efectivas de gobernanza y seguridad. El elemento central en juego es la confianza, un bien jurídico y social que sustenta no solo las relaciones entre consumidores e instituciones, sino también la propia legitimidad del sistema financiero digital.