Direitos do titular em KYC: o que pode e o que não pode ser apagado

Mais cedo ou mais tarde chega o e-mail: "quero que apaguem tudo o que vocês têm sobre mim". Num fluxo de verificação de identidade, a resposta correta não é sim nem não: é uma resposta em camadas, porque parte do acervo o titular tem mesmo o direito de ver eliminado, e outra parte a própria lei manda conservar por anos.

Errar para qualquer lado custa. Apagar o que a norma setorial manda guardar é infração regulatória com sanção própria. Recusar em bloco o que a Lei 13.709/2018, a LGPD, garante é infração à LGPD, e o artigo 52 prevê, entre as sanções, multa de até 2% do faturamento, limitada a cinquenta milhões de reais por infração. Este artigo desenha a linha entre os dois lados, artigo por artigo.

O catálogo do artigo 18

A LGPD lista os direitos do titular no artigo 18: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei; portabilidade; eliminação dos dados tratados com o consentimento do titular; informação sobre com quem os dados foram compartilhados; informação sobre a possibilidade de não consentir e suas consequências; e revogação do consentimento.

Num fluxo de KYC, alguns desses direitos são incondicionais: confirmar que o tratamento existe, dar acesso ao que se tem e corrigir o que está errado não conflitam com nenhuma obrigação de guarda. Outros dependem da base legal de cada dado, e é aí que a análise de verdade começa.

A chave: qual base legal sustenta cada dado

KYC regulatório não roda em consentimento. Roda em cumprimento de obrigação legal ou regulatória: artigo 7º, inciso II, para dados pessoais em geral, e artigo 11, inciso II, alínea "a", para dados sensíveis como a biometria. Essa distinção muda o alcance da eliminação: o direito do artigo 18, inciso VI, fala em eliminar dados "tratados com o consentimento do titular", e o artigo 16, inciso I, autoriza expressamente conservar dados após o término do tratamento para cumprimento de obrigação legal ou regulatória.

Os prazos do outro prato da balança têm número e fonte: a Lei 9.613/1998, no artigo 10, parágrafo 2º, manda conservar cadastros e registros por no mínimo cinco anos, e a Circular BCB 3.978/2020, no artigo 67, estica para no mínimo dez anos as informações coletadas nos procedimentos destinados a conhecer o cliente, contados a partir do primeiro dia do ano seguinte ao término do relacionamento.

O que não pode ser apagado a pedido

Dentro do prazo regulatório, ficam: o registro de que a verificação ocorreu, com resultado e trilha da decisão; os dados cadastrais exigidos pela norma do setor; e os registros cuja guarda outra lei impõe, como os registros de acesso a aplicações que o Marco Civil da Internet, Lei 12.965/2014, artigo 15, manda guardar por seis meses.

A recusa, porém, tem forma: precisa ser fundamentada e comunicada, dizendo qual obrigação legal sustenta a conservação e quando o prazo expira. Responder "não podemos apagar" sem fundamento nomeado não é resposta, é o primeiro parágrafo de uma reclamação na ANPD, a Autoridade Nacional de Proteção de Dados.

O que pode, e muitas vezes deve, ser eliminado

• Mídia biométrica bruta que já cumpriu o papel probatório, quando a política de retenção define para ela prazo menor que o da trilha cadastral: o princípio da necessidade, artigo 6º, inciso III, trabalha a favor do titular aqui, e a selfie não precisa viver os mesmos dez anos que o registro da decisão.
• Dados coletados além da finalidade da verificação, que nunca deveriam ter entrado.
• Usos secundários sem base própria, como aproveitar a base de KYC para marketing: o titular pode se opor, e a finalidade original não cobre o uso novo.
• O acervo inteiro, vencido o prazo regulatório: o artigo 16 manda eliminar ao término do tratamento, e a exceção da obrigação legal morre junto com o prazo dela.

A anonimização de verdade também encerra a discussão: pelo artigo 12, o dado anonimizado deixa de ser dado pessoal para os fins da lei.

O direito que o KYC esquece: revisão da decisão automatizada

O artigo 20 dá ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. Uma verificação de identidade recusada é exatamente esse caso. O fluxo maduro separa dois cenários: a rejeição técnica, como foto ruim ou captura falha, que se resolve com recaptura antes de virar contestação formal; e a negativa substantiva, que precisa de um canal de revisão com um humano olhando, com prazo e registro.

Montando o canal do titular

Os elementos que uma fiscalização procura: um canal público e fácil de achar, que não dependa de ser cliente; verificação da identidade do solicitante proporcional ao pedido, sem coletar ainda mais dado sensível para responder um pedido sobre dado sensível; prazos internos definidos e cumpridos; e registro de cada pedido e de cada resposta, porque a trilha do atendimento é a defesa. Esses fluxos são exatamente o tipo de processo que o relatório de impacto documenta, tema do roteiro de RIPD.

Na UNIFOKAL, por exemplo, as páginas de direitos do titular são públicas e separadas do suporte comercial, porque pedido de titular não é chamado de cliente: é exercício de direito de qualquer pessoa cujos dados passaram por uma verificação.

Fontes citadas

• Lei 13.709/2018, LGPD, artigos 6º, 7º, 11, 12, 16, 18, 20 e 52, disponível no portal do Planalto: planalto.gov.br
• Lei 9.613/1998, artigo 10, parágrafo 2º, sobre conservação de cadastros e registros: planalto.gov.br
• Circular BCB 3.978/2020, do Banco Central do Brasil, artigo 67, sobre a conservação por no mínimo dez anos das informações coletadas nos procedimentos destinados a conhecer os clientes
• Lei 12.965/2014, Marco Civil da Internet, artigo 15, sobre guarda de registros de acesso a aplicações