A resolução BCB n. 342, de 26 de Setembro de 2023, alterou questões importantes no arranjo de pagamentos do Pix. A partir de agora, a obrigação de comunicar os titulares de chaves cujos dados tenham sido comprometidos é aplicada em todos os cenários, com o objetivo de promover maior transparência em casos de incidentes. O comunicado do BACEN enfatiza que essa resolução estabelece uma norma mais rigorosa em relação à comunicação do que a própria LGPD. De acordo com o artigo 48 da LGPD, a comunicação só será efetuada quando houver um risco ou dano significativo aos titulares de dados. Ainda, segundo o BACEN, a obrigação "recai sobre a instituição de relacionamento do cliente, mesmo que não tenha dado causa ao evento, uma vez que é ela que possui canal seguro de comunicação com o cliente, acessível exclusivamente por meio de identificação pessoal, como senha, reconhecimento biométrico etc."
A presente resolução ainda altera a Resolução BCB n. 177 que aborda as penalidades do Pix. Fica, a partir de agora, sujeita a multa base de R$ 100.000,00 as instituições que deixarem de:
- deixar de atender requisitos técnicos de segurança do Pix, tendo como consequência incidente de segurança com as seguintes repercussões:
- comprometimento, ainda que de forma parcial, do funcionamento de componentes ou de infraestruturas do Pix; ou
- subtração de recursos em conta transacional de usuário final;
Além disso, a multa pode ser aumentanda nas situações em que:
- for verificado o descumprimento total ou parcial da notificação de que trata o art. 91-B do Regulamento do Pix, inclusive no que tange à não efetividade das medidas a que se referem os incisos I e II do § 1º do mesmo artigo;
- o participante deixar de agir tempestivamente para cessar ou mitigar eventos que comprometam a segurança do Pix;
- o participante não comprovar que adotou medidas para reestabelecer o mais rápido possível a disponibilidade do serviço, nos casos em que essa disponibilidade for afetada;
- houver o comprometimento da confidencialidade de dados que evidenciem situação financeira, fiscal ou patrimonial de usuários finais; ou
- houver o comprometimento da confidencialidade de dados utilizados para fins de segurança.
Trata-se de importante regra que faz com que as instituições estejam atentas às boas práticas de segurança da informação a fim de evitar multas.
