LGPD no crédito: os direitos do consumidor ao pedir financiamento

Pedir um financiamento significa entregar CPF, renda, histórico de pagamento e outros dados sensíveis a uma empresa que você talvez nunca tenha usado antes. A maioria dos consumidores aceita o formulário, envia os documentos e segue adiante sem saber o que pode exigir de volta. Em 2026, a Autoridade Nacional de Proteção de Dados (ANPD) elegeu os dados financeiros como um dos blocos prioritários de fiscalização, com foco também nos direitos do titular, segundo leitura do Mapa de Temas Prioritários feita pela Martinelli Advogados.

Este guia explica, em linguagem direta, quais direitos a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) garante a quem pede crédito, quais prazos valem e como exercer cada direito na prática, seja para financiar um sistema solar, um celular ou um veículo elétrico.

Em resumo

• A LGPD garante ao consumidor que pede financiamento direitos como acesso, correção, eliminação, portabilidade e revisão de decisões automatizadas de crédito (Art. 20).
• O controlador dos dados tem até 15 dias para responder a uma solicitação do titular (Art. 18 e 19).
• A ANPD elegeu dados financeiros como tema prioritário de fiscalização para 2026-2027, com ações voltadas também a dados biométricos e de saúde.

O que é a LGPD e por que ela se aplica ao crédito?

A LGPD (Lei 13.709/2018) regula todo dado pessoal coletado para analisar e conceder crédito: nome, CPF, renda, histórico de pagamento e outras informações do cadastro. Não importa se o pedido é para um sistema solar, um celular ou um carregador de veículo elétrico. Assim que a empresa recebe esses dados, a lei entra em vigor.

Nesse processo, a empresa que decide como e por que os dados são usados é chamada de "controladora". No crédito, é a fintech que concede o financiamento, e não a loja ou o integrador onde a venda acontece. Para entender melhor essa diferença, veja como funciona uma fintech de crédito. Isso importa porque é a controladora quem responde legalmente pela segurança e pelo uso correto dos dados, ainda que a coleta aconteça no ponto de venda do parceiro.

Um segundo ponto prático: a lei distingue dado necessário de dado excessivo. A empresa só pode pedir o que for realmente preciso para a análise de crédito, não qualquer informação pessoal disponível. Em 2026, dados financeiros entraram como bloco prioritário no Mapa de Temas da ANPD, ao lado de dados biométricos e de saúde, o que sinaliza fiscalização mais próxima sobre como fintechs de crédito tratam essas informações.

Quais são os direitos do titular de dados na LGPD?

O Art. 18 da LGPD lista um conjunto de direitos que todo titular tem sobre seus próprios dados, e eles valem integralmente quando você pede crédito. Conhecer cada um ajuda a saber exatamente o que cobrar de uma fintech.

Na prática do crédito, esses direitos funcionam assim:

• Confirmação e acesso: você pode perguntar se a empresa trata seus dados e pedir uma cópia completa do que foi coletado, incluindo os dados usados na análise de crédito.
• Correção: se um dado de renda ou endereço estiver desatualizado e isso travou a aprovação, você pode pedir a correção formal.
• Eliminação: você pode solicitar que dados desnecessários sejam apagados, respeitando prazos legais de guarda de registros financeiros.
• Portabilidade: é possível pedir que seus dados sejam transferidos a outra empresa, em formato interoperável.
• Informação sobre compartilhamento: você tem direito de saber com quem seus dados foram compartilhados e por quê.
• Revogação do consentimento: qualquer consentimento dado, inclusive para Open Finance, pode ser retirado a qualquer momento.
• Revisão de decisão automatizada: coberto em detalhe na próxima seção, é o direito de contestar uma negativa de crédito decidida só por algoritmo.

O prazo de resposta para a maioria desses pedidos, incluindo portabilidade, é de até 15 dias, em formato simplificado ou completo, conforme os Art. 18 e 19 da LGPD. Esse prazo curto é o que diferencia uma empresa que trata a LGPD como rotina de uma que trata como formalidade distante.

Como funciona o direito de revisão de decisões automatizadas de crédito?

Pelo Art. 20 da LGPD, o consumidor pode contestar uma negativa de crédito decidida só por algoritmo ou score e pedir explicação dos critérios gerais usados na decisão. Isso vale mesmo quando a análise inteira acontece em segundos, sem intervenção humana direta, como costuma ocorrer em fintechs de crédito digital.

Na prática, a empresa deve fornecer os critérios gerais do modelo de decisão, como quais categorias de dados pesaram na análise, mas não é obrigada a revelar o algoritmo em si, protegido por segredo comercial e industrial. É uma diferença importante: o titular tem direito à lógica geral, não ao código-fonte do modelo de score.

Vale distinguir dois cenários que às vezes se confundem. Uma negativa por score baixo reflete o histórico financeiro e a capacidade de pagamento avaliada. Já uma negativa por dado incorreto, como renda desatualizada ou um erro de cadastro, é um problema diferente: nesse caso, o caminho certo é pedir a correção do dado (Art. 18), não a revisão da decisão em si. Saber qual dos dois aconteceu ajuda a escolher o pedido certo a fazer.

Segundo a LGPD (Art. 20, Lei 13.709/2018), toda decisão tomada unicamente por tratamento automatizado que afete os interesses do titular, incluindo a definição de perfil de crédito, pode ser objeto de pedido de revisão. Isso torna o score de crédito, por mais sofisticado que seja o modelo, uma decisão contestável, não uma sentença final.

Como pedir acesso, correção ou exclusão dos meus dados a uma fintech de crédito?

O pedido deve ser feito por um canal simples e gratuito, que o controlador é obrigado a disponibilizar, geralmente uma central de privacidade ou o próprio canal de atendimento ao cliente. Não é preciso advogado nem linguagem jurídica: basta identificar-se como titular e descrever o que está pedindo.

No pedido, vale informar: o CPF ou identificação usada no cadastro, o direito que está sendo exercido (acesso, correção, eliminação ou outro) e, quando for correção, qual dado está errado e qual é o correto. A resposta deve chegar em até 15 dias, conforme os Art. 18 e 19 da LGPD, em formato simplificado (confirmação imediata) ou completo (detalhamento dos dados tratados).

Um ponto que gera dúvida recorrente é a exclusão. Nem todo pedido de eliminação é atendido de forma total. Se a fintech tem obrigação legal de guardar registros de uma operação de crédito por um período determinado, mesmo depois de quitada, ela pode manter esses dados específicos até o fim do prazo legal, informando o titular sobre essa limitação. Dados que não fazem parte dessa guarda obrigatória devem ser eliminados normalmente.

A resposta em até 15 dias vale tanto para o pedido de acesso quanto para o de correção ou portabilidade (Art. 18 e 19, LGPD). É um prazo curto o suficiente para funcionar como parâmetro prático: se uma empresa demora muito além disso, algo no processo de atendimento a titulares não está funcionando como deveria.

O que acontece se meus dados forem vazados ao pedir financiamento?

Pelo Art. 48 da LGPD, a empresa deve comunicar o incidente de segurança à ANPD e aos titulares afetados em prazo razoável, informando a natureza dos dados comprometidos e as medidas adotadas. O consumidor tem direito de saber o que aconteceu, não apenas de descobrir depois, por conta própria, que seus dados circularam indevidamente.

2025 marcou uma mudança de postura da ANPD: a autoridade encerrou a fase mais educativa de fiscalização e passou a agir com mais rigor, como mostrou o caso Telekall, segundo reportagem do TI Inside sobre os cinco anos da LGPD. Isso se reflete diretamente no bolso das empresas: multas da LGPD podem chegar a 2% do faturamento, limitadas a R$ 50 milhões por infração, segundo levantamento da BRY Tecnologia sobre os impactos financeiros da lei em 2025.

Na comunicação de um incidente, o titular deve receber, no mínimo: a natureza dos dados afetados (se envolveu CPF, renda, dados bancários), as medidas de segurança adotadas para conter o problema e orientações sobre o que fazer a seguir. Empresas que tratam essa comunicação como opcional, ou a atrasam sem justificativa, descumprem diretamente o Art. 48.

Para quem quer entender como uma fintech de crédito estrutura a proteção contra fraude e vazamento no dia a dia da venda, o post sobre antifraude e LGPD no crédito digital detalha o papel do parceiro nesse processo, sem repetir o que já foi explicado aqui sobre os direitos do consumidor.

Como saber se uma fintech de crédito trata meus dados corretamente?

Alguns sinais práticos ajudam o consumidor a identificar uma fintech que leva a LGPD a sério: política de privacidade acessível e escrita em linguagem clara, canal de atendimento dedicado a pedidos de titulares, consentimento explícito e segmentado para cada finalidade, e transparência sobre por quanto tempo os dados ficam armazenados.

O consentimento segmentado merece atenção especial. Uma boa prática é separar o consentimento para análise de crédito do consentimento para consultar dados via Open Finance: são finalidades diferentes, e o titular deve poder aceitar uma sem ser obrigado a aceitar a outra. Quando os dois aparecem juntos, sem opção de escolha, é um sinal de que o processo de consentimento não está bem desenhado.

A atenção da ANPD a esse tema deve crescer nos próximos anos. A autoridade planeja dez ações de fiscalização voltadas a dados biométricos, de saúde ou financeiros entre 2026 e 2027, segundo leitura do Mapa de Temas Prioritários feita pela Martinelli Advogados. Para o consumidor, isso é um bom motivo para prestar atenção a esses sinais antes de entregar dados sensíveis a qualquer empresa.

Um checklist rápido para avaliar uma fintech de crédito antes de pedir financiamento:

• Política de privacidade fácil de encontrar e de entender
• Canal claro para pedidos de acesso, correção ou exclusão de dados
• Consentimento separado para análise de crédito e para Open Finance
• Prazo de guarda de dados informado, não escondido em letra miúda

Conclusão

Pedir financiamento não significa abrir mão do controle sobre os próprios dados. A LGPD garante um conjunto claro de direitos, com prazos objetivos, que o consumidor pode exercer em qualquer etapa do processo de crédito.

Os pontos centrais:

• Acesso, correção, eliminação e portabilidade: direitos do Art. 18, com resposta em até 15 dias.
• Revisão de decisão automatizada: pelo Art. 20, é possível contestar uma negativa de crédito decidida só por algoritmo e pedir explicação dos critérios gerais.
• Revogação de consentimento: qualquer autorização dada, inclusive para Open Finance, pode ser retirada a qualquer momento.
• Comunicação de incidentes: em caso de vazamento, a empresa deve informar o titular sobre o que aconteceu, conforme o Art. 48.

Uma fintech de crédito que trata esses direitos como parte da experiência, e não como obrigação distante, entrega mais confiança ao consumidor, e isso se reflete em quem finaliza a simulação até o fim. Quer entender como a Eos aplica esses princípios na prática, do consentimento à aprovação? Falar com especialista.

---

Fontes

• Presidência da República, "Lei nº 13.709, de 14 de agosto de 2018 (LGPD)", Art. 18, 19, 20 e 48, texto oficial vigente, consultado em 05/10/2026, https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
• Martinelli Advogados, "ANPD publica Mapa de Temas Prioritários 2026-2027 e atualiza a Agenda Regulatória 2025-2026", consultado em 05/10/2026, https://www.martinelli.adv.br/anpd-publica-mapa-de-temas-prioritarios-2026-2027-e-atualiza-a-agenda-regulatoria-2025-2026/
• BRY Tecnologia, "Multas da LGPD: Impactos Financeiros para Empresas em 2025", consultado em 05/10/2026, https://www.bry.com.br/blog/multas-lgpd/
• TI Inside, "Cinco anos da LGPD: sanções tímidas, riscos crescentes", 2025, consultado em 05/10/2026, https://tiinside.com.br/23/09/2025/cinco-anos-da-lgpd-sancoes-timidas-riscos-crescentes/