Resolução Conjunta N° 6

RESOLUÇÃO
CONJUNTA Nº 6, DE 23 DE MAIO DE 2023
Dispõe sobre requisitos para
compartilhamento de dados e informações sobre indícios de fraudes a serem
observados pelas instituições financeiras, instituições de pagamento e demais
instituições autorizadas a funcionar pelo Banco Central do Brasil.
O Banco Central do Brasil, na forma do art. 9º da Lei nº 4.595, de
31 de dezembro de 1964, torna público que sua Diretoria Colegiada, em sessão
realizada em 10 de maio de 2023, com base nos arts. 9º-A da Lei nº 4.728, de 14
de julho de 1965, 9º, caput e inciso II, da Lei nº 12.865, de 9 de
outubro de 2013, e o Conselho Monetário Nacional, em sessão realizada em 18 de
maio de 2023, com base nos arts. 4º, inciso VIII, da Lei nº 4.595, de 1964, 20,
§ 1º, da Lei nº 4.864, de 29 de novembro de 1965, 1º do Decreto-Lei nº 70, de
21 de novembro de 1966, 7º e 23, alínea "a", da Lei nº 6.099, de 12
de setembro de 1974, 1º, § 1º, inciso XIII, e § 3º, inciso I, da Lei
Complementar nº 105, de 10 de janeiro de 2001, 1º, inciso II, da Lei nº 10.194,
de 14 de fevereiro de 2001, e 1º, § 1º, da Lei Complementar nº 130, de 17 de
abril de 2009,
R E S O L V E R A M :
Art. 1º  Esta Resolução
Conjunta dispõe sobre requisitos para compartilhamento de dados e informações
sobre indícios de fraudes a serem observados pelas instituições financeiras,
instituições de pagamento e demais instituições autorizadas a funcionar pelo
Banco Central do Brasil.
§ 1º  O disposto nesta
Resolução Conjunta não se aplica às administradoras de consórcio.
§ 2º  Para os fins desta
Resolução Conjunta, as instituições de que trata o caput são
consideradas instituições financeiras para os efeitos da Lei Complementar nº
105, de 10 de janeiro de 2001.
Art. 2º  As instituições
devem compartilhar dados e informações com as demais instituições referidas no
art. 1º com a finalidade de subsidiar seus procedimentos e controles para
prevenção de fraudes.
§ 1º  O compartilhamento de
que trata o caput deve ser realizado por meio de sistema eletrônico que
contemple, no mínimo, as seguintes funcionalidades:
I - o registro de dados e de informações sobre indícios de
ocorrências ou de tentativas de fraudes identificadas pelas instituições em
suas atividades;
II - a alteração e a exclusão dos dados e das informações
registrados nos termos do § 1º, inciso I, deste artigo, conforme o caso; e
III - a consulta dos dados e das informações registrados de que
trata o § 1º, inciso I, deste artigo.
§ 2º  O registro dos dados e
das informações de que trata o § 1º, inciso I, deste artigo devem contemplar,
no mínimo:
I - a identificação de quem, segundo os indícios disponíveis,
teria executado ou tentado executar a fraude, quando aplicável;
II - a descrição dos indícios da ocorrência ou da tentativa de
fraude;
III - a identificação da instituição responsável pelo registro dos
dados e das informações; e
IV - a identificação dos dados da conta destinatária e de seu
titular, em caso de transferência ou pagamento de recursos.
§ 3º  As instituições de que
trata o caput devem obter do cliente com quem possuam relacionamento o
consentimento prévio e geral, possibilitando o registro dos dados e das
informações de que trata o § 2º que digam respeito ao referido cliente.
§ 4º  O consentimento de que
trata o § 3º deve:
I - ter como finalidade o tratamento e o compartilhamento de dados
e informações sobre indícios de fraudes no âmbito desta Resolução Conjunta; e
II - constar de contrato firmado entre o cliente e a instituição,
mediante cláusula em destaque no corpo do instrumento contratual ou por outro
instrumento jurídico válido.
§ 5º  A documentação de que
trata o inciso II do § 4º deve ficar à disposição do Banco Central do Brasil.
§ 6º  Os dados e as
informações a serem compartilhados, conforme o disposto no caput deste
artigo, devem ser disponibilizados em conformidade com a legislação e a
regulamentação em vigor, observado o dever de sigilo, a proteção dos dados
pessoais e a livre concorrência.
§ 7º  O registro de que
trata o § 1º, inciso I, deste artigo não se aplica aos dados e às informações
sigilosos, nos termos de legislação especial, relacionados a indícios da
prática dos crimes de "lavagem” ou ocultação de bens, direitos e valores e
de financiamento do terrorismo.
§ 8º  As instituições devem
estabelecer e documentar os procedimentos e critérios para identificação de que
trata o inciso I do § 2º deste artigo, de forma detalhada e compatível com o
perfil de risco da instituição, com a legislação e com a regulamentação em
vigor, os quais incluirão, no mínimo, a conferência com dados constantes de
sistemas, cadastros e demais bases de dados disponíveis para consulta.
§ 9º  Os procedimentos e
controles de que trata o caput incluem, por exemplo, aqueles previstos
para fins de prestação de serviços de pagamento, bem como para a abertura e a
manutenção de contas de depósitos e de pagamento, nos termos da regulamentação
em vigor.
Art. 3º  As instituições de
que trata o art. 1º, para atingir a finalidade do compartilhamento de que trata
o art. 2º, devem conduzir suas atividades em observância da legislação e da
regulamentação em vigor, observados o dever de sigilo, a proteção de dados
pessoais e a livre concorrência, bem como os seguintes princípios:
I - segurança e privacidade de dados e de informações
compartilhados no âmbito desta Resolução Conjunta;
II - qualidade dos dados e informações compartilhados;
III - acesso pleno e não discriminatório das instituições às
funcionalidades do sistema eletrônico de que trata o art. 2º, § 1º;
IV - eficiência no cumprimento dos requisitos do sistema
eletrônico de que trata esta Resolução Conjunta, inclusive no padrão único e
comum de comunicação de que trata o art. 4º, inciso II;
V - reciprocidade com outras instituições, no tocante aos dados e
às informações compartilhados no âmbito desta Resolução Conjunta; e
VI - interoperabilidade com outros sistemas eletrônicos
implementados em atendimento ao disposto nesta Resolução Conjunta, quando
existentes, nos termos do art. 4º, inciso IV.
Art. 4º  As instituições
devem observar, para fins de implementação do sistema eletrônico de que trata o
art. 2º, § 1º, os seguintes requisitos:
I - permitir o acesso pleno das instituições de que trata o art.
1º às funcionalidades do referido sistema com a respectiva identificação de
quem realizou o acesso;
II - adotar um padrão único e comum de comunicação que permita a
execução das suas funcionalidades;
III - contemplar procedimentos e controles para assegurar:
a) o cumprimento da legislação e da regulamentação em vigor;
b) a confidencialidade, a integridade, a disponibilidade e a
recuperação dos dados e das informações nele registrados;
c) a sua aderência a certificações de segurança;
d) a elaboração de relatórios por empresa de auditoria
especializada independente relativos aos procedimentos e aos controles
utilizados na execução das suas 
funcionalidades;
e) o provimento de informações e de recursos de gestão adequados
ao monitoramento de suas funcionalidades;
f) a identificação e a segregação dos dados e das informações
registrados por meio de controles físicos ou lógicos;
g) a qualidade dos controles de acesso voltados à proteção dos
dados e das informações registrados por meio do referido sistema; e
h)  ao titular dos dados, o livre
acesso às informações que lhe digam respeito, bem como a exclusão ou a correção
tempestiva dos dados e das informações registrados, em caso de eventuais erros,
inconsistências ou outras demandas, em observância da legislação e da
regulamentação vigentes; e
IV - assegurar a sua interoperabilidade com outros sistemas
eletrônicos implementados em atendimento ao disposto nesta Resolução Conjunta,
quando existentes.
Parágrafo único.  O
atendimento aos requisitos de que trata este artigo deve ser documentado.
Art. 5º  É facultada a
contratação de empresa para a prestação do serviço de compartilhamento de dados
e informações de que trata o art. 2o, com observância do disposto nesta
Resolução Conjunta, na legislação e na regulamentação em vigor, especialmente nas
regulamentações dispondo sobre a contratação de serviços de processamento e
armazenamento de dados e de computação em nuvem por instituições financeiras,
instituições de pagamento e demais instituições autorizadas a funcionar pelo
Banco Central do Brasil.
§ 1º  No caso da contratação
de que trata o caput, permanecerão com a instituição contratante as
responsabilidades para os fins desta Resolução Conjunta, inclusive referentes
ao tratamento dos dados compartilhados, realizado em nome da instituição contratante.

§ 2º  O serviço prestado de
que trata o caput é considerado relevante para fins da aplicação da
regulamentação vigente sobre a contratação de serviços de processamento e
armazenamento de dados e de computação em nuvem por instituições financeiras,
instituições de pagamento e demais instituições autorizadas a funcionar pelo
Banco Central do Brasil.
Art. 6º  As instituições de
que trata o art. 1º são responsáveis:
I - pela confiabilidade, integridade, disponibilidade, segurança e
pelo sigilo em relação aos dados e informações por elas registrados nos termos
do art. 2º, § 1º, inciso I;
II - pela implementação das funcionalidades do sistema de que
trata o art. 2º, § 1º;
III - pela observância aos requisitos citados no art. 4º;
IV - pela utilização dos dados e das informações por elas obtidos
em consulta ao sistema eletrônico de que trata o art. 2º, § 1º, e pela
preservação do sigilo de tais dados; e
V - pelo cumprimento da legislação e da regulamentação em vigor.
Art. 7º  As instituições de
que trata o art. 1º devem instituir mecanismos de acompanhamento e de controle
com vistas a assegurar a efetividade do cumprimento do disposto nesta Resolução
Conjunta, incluindo:
I - a definição de processos, testes e trilhas de auditoria;
II - a definição de métricas e indicadores adequados; e
III - a identificação e a correção de eventuais deficiências.
Parágrafo único.  Os
mecanismos de que trata o caput devem ser submetidos a testes periódicos
pela auditoria interna, quando aplicável, compatíveis com os controles internos
da instituição.
Art. 8º  As instituições
devem deixar à disposição do Banco Central do Brasil:
I - a documentação sobre o sistema eletrônico de que trata o art.
2º, § 1º, inclusive a respeito dos requisitos de que trata o art. 4º, parágrafo
único;
II - por dez anos, os dados e as informações compartilhados, nos
termos do art. 2º, § 6º, inciso II, e a documentação com os critérios e
procedimentos a que se refere o art. 2º, § 8º; e
III - por cinco anos, os dados, os registros e as informações
relativas à aplicação dos mecanismos de acompanhamento e de controle de que
trata o art. 7º, contado o prazo referido neste inciso a partir de cada
aplicação dos citados mecanismos.
Art. 9º  O Banco Central do
Brasil poderá adotar, no âmbito de suas atribuições legais, as medidas
necessárias à execução do disposto nesta Resolução Conjunta, o que inclui
estabelecer, entre outros aspectos:
I - as funcionalidades do sistema eletrônico, observado o conteúdo
mínimo do art. 2º, § 1º;
II - o escopo dos dados e das informações a serem registrados de
que trata ao art. 2º, § 1º, inciso I, observado o conteúdo mínimo disposto no
art. 2º, § 2º;
III - o detalhamento dos parâmetros sobre acordos de níveis de
serviço na execução das funcionalidades do sistema de que trata o art. 2º, §
1º;
IV - os requisitos técnicos de segurança para funcionamento do
sistema de que trata o art. 2º, § 1º, observado o disposto no art. 4º, conforme
o caso;
V - a adequação dos mecanismos de que trata o art. 7º; e
VI - demais requisitos técnicos e procedimentos operacionais para
o compartilhamento de dados e informações de que trata o art. 2º.
§ 1º  Na regulamentação das
medidas de que trata o caput, o Banco Central do Brasil deverá observar
os princípios referidos no art. 3º.
§ 2º  Na regulamentação de
que trata o inciso II do caput, o Banco Central do Brasil deverá
observar, também, as seguintes diretrizes gerais:
I - os dados e as informações sobre indícios de ocorrências ou de
tentativas de fraudes a serem registrados deverão ser aqueles necessários e
adequados para subsidiar os procedimentos e controles das instituições
referidas no art. 1º para prevenção de fraudes; e
II - o conteúdo do registro deverá acompanhar as inovações
tecnológicas e procedimentais, a fim de manter sua aptidão para o objetivo de
prevenção a fraudes em cenários futuros.
Art. 10.  O Banco Central do
Brasil poderá vetar ou impor restrições à contratação de que trata o art. 5º,
quando constatar, a qualquer tempo, a inobservância do disposto nesta Resolução
Conjunta, bem como a limitação à atuação do Banco Central do Brasil,
estabelecendo prazo para a adequação de processos.
Art. 11.  O acesso aos dados
e às informações compartilhados nos termos desta Resolução Conjunta será
restrito às instituições referidas no art. 1º, ao Banco Central do Brasil e às
demais autoridades competentes, nos termos da legislação em vigor.
Art. 12.  O disposto nesta
Resolução Conjunta não exime a instituição da responsabilidade de:
I - efetuar os procedimentos e os controles para prevenção de
fraudes previstos na regulamentação em vigor; e
II - comunicar informações a respeito de fraudes às autoridades
competentes, nos termos da legislação em vigor.
Art. 13.  Esta Resolução
Conjunta entra em vigor em 1º de novembro de 2023.
Roberto de Oliveira Campos Neto
Presidente do Banco Central do Brasil
​