Resolução Conjunta 6/2023: compartilhar dados de fraude entre instituições

A fraude de identidade tem uma assimetria estrutural a favor do golpista: a instituição vê o próprio funil, e só ele. O fraudador que foi barrado no banco A tenta o banco B na semana seguinte, com a mesma identidade fabricada ou o mesmo CPF de terceiro, e o banco B começa do zero, sem saber que aquele padrão já falhou em outro lugar. Cada instituição defende um pedaço, e o atacante trabalha o mapa inteiro.

Foi para reduzir essa assimetria que o Conselho Monetário Nacional e o Banco Central editaram a Resolução Conjunta 6, de 2023, criando um regime para instituições autorizadas trocarem entre si dados sobre indícios de fraude. Este artigo explica o que essa norma permite, o que ela mantém de fora, e como o compartilhamento se encaixa entre duas restrições que poderiam impedi-lo: o sigilo bancário e a Lei Geral de Proteção de Dados.

Por que a fraude pede visão de rede

Boa parte do sinal de fraude só existe no cruzamento entre cadastros. Uma safra de contas abertas na mesma semana, com endereços que se repetem, telefones em comum ou o mesmo IP, é invisível para quem olha um cadastro por vez, e evidente para quem enxerga o conjunto. Já tratamos desse mecanismo em rede de fraude e falso positivo: ligar cadastros por atributo compartilhado revela o componente que uma análise individual nunca alcança.

O problema é que essa visão de rede, dentro de uma única instituição, para na fronteira dela. O fraudador profissional distribui as tentativas entre instituições exatamente para que nenhuma veja o volume. Um canal legítimo de troca de indícios entre instituições é a resposta regulatória a essa distribuição, e é isso que a Resolução Conjunta 6/2023 estrutura.

O que a Resolução Conjunta 6/2023 criou

A Resolução Conjunta CMN/BCB 6, de 23 de fevereiro de 2023, dispõe sobre o compartilhamento de dados e informações sobre indícios de ocorrência de fraudes entre instituições autorizadas a funcionar pelo Banco Central. Ela institui um regime em que essas instituições passam a poder, e em certas hipóteses devem, alimentar e consultar uma base comum de indícios de fraude, operada de forma centralizada para o Sistema Financeiro Nacional.

O objeto é preciso e vale sublinhar: são dados sobre indícios de fraude, associados a identificadores como CPF e CNPJ e às operações suspeitas, para uso na prevenção. A norma existe para que a tentativa barrada em uma instituição possa informar a análise de risco de outra, sem que cada uma precise ter sido vítima antes de aprender. É um instrumento de prevenção coletiva, ancorado no dever geral de as instituições manterem controles contra fraude e contra a lavagem de dinheiro da Lei 9.613/1998.

O que pode e o que não pode ser compartilhado

A linha que a norma desenha é entre indício de fraude e todo o resto da relação bancária. O que trafega é o sinal de risco: a marcação de que determinado CPF, CNPJ ou operação está associado a indício de fraude, nos termos e no formato que o regime define. O que não trafega é o extrato do cliente, o conteúdo das suas operações legítimas, o saldo, o histórico de consumo. O compartilhamento não abre a conta de ninguém: ele sinaliza um risco específico.

Essa fronteira é o que permite conciliar o instrumento com o sigilo. A Lei Complementar 105/2001, que trata do sigilo das operações das instituições financeiras, protege as operações e serviços do cliente, e prevê hipóteses em que a comunicação de informações não configura violação do dever de sigilo, entre elas a comunicação, às autoridades competentes, da prática de ilícitos e o fornecimento de dados constantes de cadastro. O regime de troca de indícios de fraude se desenha dentro desse espaço: ele comunica risco de ilícito, não expõe a movimentação regular.

Sigilo bancário e LGPD no mesmo desenho

Um identificador como o CPF associado a um indício de fraude é dado pessoal, então a Lei 13.709/2018, a LGPD, também se aplica. E ela não impede o compartilhamento, ela o condiciona a uma base legal e a uma finalidade.

A base não é o consentimento do titular, que seria inviável e contraproducente num contexto antifraude. O tratamento se apoia no cumprimento de obrigação legal e regulatória, do artigo 7º, inciso II, quando a própria norma do regulador determina o compartilhamento, e no legítimo interesse do artigo 7º, inciso IX, para a prevenção à fraude e a segurança do titular e de terceiros. O artigo 11, que rege os dados sensíveis, entra para lembrar o limite oposto: indício de fraude não autoriza trafegar dado sensível, como biometria, fora do seu regime próprio. Os próprios atributos de dispositivo que ajudam a ligar cadastros têm um limite de coleta sob a LGPD, como já tratamos em device fingerprinting e LGPD. A finalidade amarra o uso: dado compartilhado para prevenir fraude serve para prevenir fraude, e a governança do titular, com direito de saber e de contestar decisões, continua valendo, como já tratamos em score de risco explicável.

Não é cadastro de inadimplência

O mal-entendido a evitar é tratar a base de indícios de fraude como um birô de crédito ou um cadastro de inadimplência. São regimes distintos, com finalidades distintas. Inadimplência é o não pagamento de uma obrigação, e tem o seu próprio arcabouço legal, incluindo o cadastro positivo. Indício de fraude é a suspeita de um ilícito, e é isso, e só isso, que a Resolução Conjunta 6/2023 trata.

A consequência prática é dupla. Do lado do desenho, um indício de fraude não deve virar insumo de decisão de crédito, e um atraso de pagamento não é indício de fraude. Do lado do titular, isso importa porque a confusão entre os dois produz o pior tipo de falso positivo: alguém tratado como fraudador por uma questão que era, na origem, de inadimplência ou de erro cadastral. Um sinal de rede é poderoso justamente porque é específico, e perde o valor, e ganha risco, quando é usado para o que não foi feito.

Na UNIFOKAL, por exemplo, os sinais de risco que a verificação produz, incluindo a ligação de cadastros por atributo compartilhado e a blocklist da própria empresa, ficam sob o controle de cada cliente, para uso na finalidade de prevenção que os originou. A leitura correta de um sinal de rede, e a decisão sobre o que fazer com ele, é de quem carrega a responsabilidade regulatória e a relação com o titular.

Fontes citadas

• Resolução Conjunta CMN/BCB nº 6, de 23 de fevereiro de 2023, sobre o compartilhamento de dados e informações sobre indícios de fraudes entre instituições autorizadas a funcionar pelo Banco Central
• Lei Complementar 105/2001, sobre o sigilo das operações de instituições financeiras, no portal do Planalto: planalto.gov.br
• Lei 13.709/2018 (LGPD), artigo 7º, incisos II e IX, e artigo 11, sobre bases legais e dados sensíveis: planalto.gov.br
• Lei 9.613/1998, sobre prevenção à lavagem de dinheiro e o dever de controles contra fraude