Manutenção de registros, proteção de dados e compartilhamento de informações

Todo controle de um programa de AML/CFT é inútil para um examinador, uma UIF ou um tribunal se a empresa não puder demonstrar o que fez e por quê. Ao mesmo tempo, as equipes de compliance mantêm alguns dos dados pessoais mais sensíveis da empresa: documentos de identidade, históricos financeiros, suspeitas. Para conduzir bem um programa, é preciso manter os registros corretos pelo tempo necessário, protegê-los, compartilhá-los apenas quando permitido e excluí-los quando a obrigação terminar.

Quais registros manter

A Recomendação 11 (Manutenção de registros) estabelece o padrão mínimo. As empresas devem manter todos os registros necessários sobre transações, nacionais e internacionais, por pelo menos cinco anos após a transação, e os registros obtidos por meio da devida diligência do cliente, arquivos de contas, correspondência comercial e resultados de qualquer análise por pelo menos cinco anos após o fim da relação comercial ou após uma transação ocasional. Os registros de transações devem ser suficientes para reconstituir transações individuais, de modo que possam servir como prova para uma ação penal, e devem estar prontamente disponíveis às autoridades competentes.

Para uma empresa de criptoativos, "suficientes para reconstituir" significa mais do que uma entrada em um livro-razão. A tabela abaixo representa uma boa prática, não uma lista de campos definida pelo padrão.

A linha sobre análises costuma passar despercebida. Os rótulos de atribuição mudam, então um novo relatório de exposição gerado hoje pode ser diferente daquele que fundamentou uma decisão há dois anos. Guarde uma captura ou exportação do resultado utilizado, com a data correspondente.

Por quanto tempo e a partir de quando

Cinco anos é o mínimo internacional, não um prazo fixo. A legislação nacional pode exigir um período maior, e alguns registros precisam ser mantidos além do prazo normal:

• ordens de preservação legal para investigações, solicitações de preservação, litígios ou análises regulatórias suspendem a exclusão;
• o evento que inicia a contagem é importante: cinco anos a partir do fim de uma relação podem significar décadas para um cliente de longa data;
• os registros do programa (avaliações de risco, auditorias) são mantidos para demonstrar o que a empresa sabia e fez em cada momento.

A proteção de dados aponta na direção oposta: quando o período de retenção termina e não há nenhuma ordem de preservação, os dados pessoais devem ser excluídos ou anonimizados. Um cronograma de retenção identifica cada tipo de registro, o evento que inicia a contagem, o prazo e a pessoa responsável por confirmar a exclusão.

-- Registros de clientes além do prazo de retenção e sem ordem de preservação legal (SQL padrão)
SELECT c.customer_id, c.relationship_end_date
FROM customers c
LEFT JOIN legal_holds h
  ON h.customer_id = c.customer_id AND h.released_at IS NULL
WHERE c.relationship_end_date < CURRENT_DATE - INTERVAL '5' YEAR
  AND h.customer_id IS NULL;
-- A sintaxe de intervalo varia entre mecanismos (por exemplo, DATEADD, DATE_SUB)

A consulta lista relações encerradas há mais de cinco anos sem nenhuma ordem de preservação legal em aberto, ou seja, os casos candidatos à análise para exclusão. O prazo de cinco anos é apenas um valor de referência para o maior período aplicável nos países em que a empresa atua. Uma pessoa ainda precisa analisar a lista, pois às vezes as ordens de preservação são registradas com atraso.

Princípios de proteção de dados

As leis de proteção de dados variam, mas a maioria se baseia em princípios estabelecidos inicialmente nas Diretrizes de Privacidade da OCDE (1980, revisadas em 2013) e refletidos também na ISO/IEC 29100 (estrutura de privacidade) e na Estrutura de Privacidade do NIST (2020).

Os dados on-chain são públicos, mas, quando uma empresa associa um endereço a um cliente, o endereço e seu histórico passam a ser dados pessoais sob o controle da empresa. As análises de carteiras de clientes devem ser abrangidas por uma avaliação de impacto sobre a proteção de dados.

Compatibilização das obrigações de AML e privacidade

Os dois regimes foram concebidos para coexistir. Desde fevereiro de 2018, a Recomendação 2 solicita que os países coordenem seus esforços para compatibilizar as exigências de AML/CFT com as regras de proteção de dados e privacidade. Na prática:

• Obrigação legal como base. A coleta e a manutenção de dados de AML geralmente se justificam pela própria obrigação legal, portanto o consentimento não é a base e não pode ser revogado para forçar a exclusão.
• Solicitações de acesso e divulgação indevida de informações. Quando um cliente solicita seus dados pessoais, a resposta não deve revelar um STR, uma investigação ou uma solicitação das autoridades policiais. A maioria dos regimes prevê uma isenção; a empresa precisa de um procedimento para que a equipe a aplique de maneira consistente.
• Transferências internacionais. O monitoramento em todo o grupo e as mensagens da Travel Rule transferem dados pessoais entre países; a empresa verifica se cada transferência é permitida e protegida.
• Proteção da contraparte. Antes de enviar dados da Travel Rule, a empresa verifica se a VASP contraparte pode protegê-los (consulte a aula Identificação e verificação da contraparte).

A minimização também se aplica dentro da área de compliance. Os investigadores não devem incluir no dossiê de um caso o histórico completo de clientes sem relação com ele apenas porque compartilham uma contraparte; basta fazer referência ao caso vinculado. As respostas a ordens de produção incluem o que foi solicitado, não a conta inteira. E os dados coletados para uma finalidade, como impressões digitais de dispositivos coletadas para prevenir fraudes, podem ser usados para monitoramento de AML quando a lei permitir, mas essa reutilização deve ser documentada, não presumida.

Compartilhamento de informações

Há três contextos distintos de compartilhamento, cada um com regras diferentes.

Dentro de um grupo. A Recomendação 18 exige programas para todo o grupo, incluindo políticas para compartilhar informações necessárias à devida diligência do cliente e à gestão de riscos de ML/TF. A revisão de novembro de 2017 de sua Nota Interpretativa esclareceu que isso inclui informações sobre transações incomuns ou suspeitas e suas análises, e a Recomendação 21 foi alterada na mesma ocasião para que as regras contra a divulgação indevida de informações não impeçam esse compartilhamento. Ainda se aplicam salvaguardas de confidencialidade e de uso.

Entre VASPs sem vínculo entre si. A Travel Rule exige o compartilhamento obrigatório de informações. Além dela, o compartilhamento de informações de clientes ou suspeitas com outra empresa requer uma base legal, que alguns países preveem por meio de mecanismos específicos e outros não. Informar a uma empresa sem vínculo que um relatório foi enviado geralmente constitui divulgação indevida de informações. É comum e apresenta menor risco compartilhar endereços associados a um ataque, sem dados pessoais de clientes.

Com parcerias e autoridades. As parcerias público-privadas operam sob acordos legais específicos. A Orientação sobre o compartilhamento de informações pelo setor privado da FATF (novembro de 2017), seu Inventário de compartilhamento de dados, análises colaborativas e proteção de dados (julho de 2021) e seu relatório Parcerias no combate ao crime financeiro: proteção de dados, tecnologia e compartilhamento de informações pelo setor privado (julho de 2022) descrevem como esse tipo de compartilhamento pode atender aos requisitos de proteção de dados, inclusive por meio de tecnologias de aprimoramento da privacidade que permitem análises conjuntas sem expor dados brutos.

Armazenamento seguro e acesso

Os registros de compliance precisam de controles proporcionais à sua sensibilidade, muitas vezes alinhados a um padrão de segurança da informação como a ISO/IEC 27001:

• Acesso conforme a necessidade de conhecimento, com o registro de STRs e as notas de casos restritos à equipe de compliance e a gestores designados;
• criptografia dos dados armazenados e em trânsito, além de autenticação robusta;
• registros de auditoria sobre quem visualizou ou exportou registros, revisados regularmente;
• integridade: armazenamento imutável ou exportações com hash como evidência, para que seja possível demonstrar que os registros não foram alterados;
• recuperabilidade: capacidade testada de fornecer o arquivo completo de um cliente, com transações e capturas das análises, em poucos dias após uma solicitação;
• controles de terceirização: a empresa continua responsável quando os registros ficam com um fornecedor ou provedor de nuvem.

Foco no exame: requisitos da R.11 (pelo menos cinco anos, registros de transações suficientes para reconstituir transações, registros de devida diligência do cliente, arquivos de contas, correspondência e resultados de análises mantidos após o fim da relação, disponibilidade rápida); registros específicos de criptoativos, incluindo capturas datadas de análises e dados da Travel Rule; ordens de preservação legal e eventos que iniciam a contagem dos prazos de retenção; princípios centrais de proteção de dados e como se aplicam aos dados de AML; R.2 e a compatibilidade entre as regras de AML e privacidade; tratamento de solicitações de acesso sem divulgação indevida de informações; os três contextos de compartilhamento (dentro do grupo conforme a R.18 e as alterações de 2017, entre VASPs sem vínculo entre si, parcerias) e os documentos da FATF sobre compartilhamento; armazenamento seguro, controle de acesso, integridade e recuperabilidade.