DECRETO Nº 9.936, DE 24 DE JULHO DE 2019

Gestor deve indicar, em cada resposta a consulta, a data da última atualização das informações enviadas ao banco de dados.

Gestor deve preservar sigilo, restringir divulgação às finalidades legais e manter sistemas de guarda e acesso seguros e rastreáveis.

Gestor deve disponibilizar ao cadastrado consulta segura e gratuita a informações próprias, fontes, gestores compartilhados e consulentes dos seis meses anteriores.

Gestor deve manter por no mínimo quinze anos dados e registros de autorizações, cancelamento, reabertura, exclusão, revogação e correção de anotação.

Gestor deve informar direitos do cadastrado e disponibilizar no site a relação de órgãos governamentais para recurso em caso de violação de dados.

Gestor do banco de dados não pode informar aos consulentes as fontes individuais das informações.

Gestor que receber pedido de suspensão de acesso à nota de crédito deve suspender o acesso e transmitir a solicitação aos demais gestores em dois dias úteis.

Suspensão do acesso à nota de crédito por consulentes não afasta o direito do cadastrado de acessar sua própria nota durante o período de suspensão.

Não se admite exclusão parcial de informações, salvo registro indevido, e o gestor não pode anotar adimplemento após dois dias úteis do pedido de cancelamento.

Pedidos de cancelamento, reabertura e suspensão devem ser expressos, podem ser eletrônicos, e devem contar com sistema telefônico e eletrônico de acompanhamento.

Informações de adimplemento prestadas pelas fontes devem compreender, no mínimo, os doze meses anteriores à data da prestação da informação.

Fontes devem fornecer aos gestores dados financeiros, de pagamentos e dados pessoais do cadastrado, inclusive para abertura do cadastro e alterações posteriores.

Envio de informações pelas fontes aos gestores deve ocorrer por mecanismos que preservem integridade e sigilo dos dados enviados.

Fontes e gestores devem definir em comum acordo o padrão e o leiaute para envio de dados da fonte, dados do cadastrado e informações de adimplemento.

Reguladores das fontes podem editar atos normativos complementares sobre o padrão e o leiaute de envio de informações.

Na avaliação de gravidade do incidente, considera-se a comprovação de medidas técnicas adequadas que tornem dados ininteligíveis a terceiros não autorizados.

Gestor deve comunicar prontamente os cadastrados afetados por incidente de segurança.

Gestor deve comunicar vazamento ou incidente de segurança com risco ou prejuízo relevante à ANPD, Banco Central ou Senacon, conforme o tipo de dado envolvido.

Consulente deve apresentar ao cadastrado o resultado da revisão de decisão automatizada baseada em consulta ao banco de dados em sete dias úteis.

O Decreto regulamenta a Lei nº 12.414/2011 sobre formação e consulta a bancos de dados de adimplemento para histórico de crédito.

Gestor não pode registrar como informação negativa a ausência de comunicação da fonte sobre situação de adimplência do cadastrado.

Banco Central pode requerer aos gestores de bancos de dados, na forma e no prazo que estabelecer, informações necessárias ao desempenho de suas atribuições legais.

O Decreto revoga expressamente o Decreto nº 7.829, de 17 de outubro de 2012.

O Decreto entra em vigor na data de sua publicação.

Na transferência de gestão de banco de dados em operação, certificações, assegurações e testes vigentes podem ser aproveitados pela pessoa jurídica sucessora.

Responsáveis técnicos devem ocupar cargo de diretor estatutário, administrador ou sócio gerente, podendo acumular funções sem conflito de interesses.

Gestor deve disponibilizar atos constitutivos, alterações, atas e documentos comprobatórios a órgãos públicos, e publicar documentos técnicos e de governança no site.

Gestor em operação na entrada em vigor pode considerar patrimônio de controladoras ou associadas responsáveis solidárias, respeitados limites decrescentes até 2026.

Gestor de banco de dados deve deter patrimônio líquido mínimo de R$ 100.000.000,00, comprovado por demonstração financeira auditada.

Gestor deve manter certificações técnicas independentes sobre plataforma, segurança da informação, responsabilidade, privacidade e prevenção de fraudes.

Gestor deve implementar e manter programa de gestão de vulnerabilidades, prevenção de vazamentos de dados e controles de acesso privilegiado.

Gestor deve assegurar procedimentos de segurança e realizar testes periódicos de firewall, vulnerabilidade e penetração por entidade independente.

Gestor deve implementar e manter programa de gestão de fornecedores com classificação por criticidade e verificações conforme relevância.

Gestor deve aprovar e manter estatuto ou contrato social com desenho e regras da estrutura administrativa da entidade.

Gestor deve disponibilizar procedimentos operacionais da atividade e controles de risco disponíveis.

Gestor deve disponibilizar mensalmente informações relevantes que atestem sua plena operação, incluindo indicadores, consultas, fontes, erros, SAC e ouvidoria.

Conselho de administração ou diretoria deve designar diretores responsáveis técnicos pela gestão do banco de dados e pela política de segurança da informação.

Gestor deve assegurar política de transparência de uso e coleta de dados por empresa de auditoria independente registrada na CVM.

Gestor deve disponibilizar canais de acesso, inclusive sítio eletrônico, para o cadastrado exercer seus direitos de forma simples e segura.

Gestor deve manter SAC gratuito conforme norma de atendimento ao consumidor e prestar esclarecimentos sobre elementos e critérios da nota de crédito.

Gestor deve constituir e manter ouvidoria para comunicação com cadastrados, mediação de conflitos e tratamento formal de reclamações.

Gestor deve divulgar amplamente os serviços de SAC e ouvidoria, suas finalidades, formas de acesso e formas gratuitas de utilização.

Histórico de crédito é composto por dados financeiros e de pagamentos relativos a operações de crédito e obrigações adimplidas ou em andamento.

Dados financeiros e de pagamentos abrangem datas e valores de concessão, obrigações, vencimentos e pagamentos integrais ou parciais.

Bancos de dados devem apresentar informações objetivas, claras, verdadeiras, necessárias e de fácil compreensão para avaliação econômico-financeira e nota de crédito.

Gestor deve disponibilizar ao cadastrado, por meio físico e eletrônico, acesso a sistema de registro e acompanhamento de correção de erro no histórico de crédito.

Disponibilização do histórico de crédito a consulentes depende de autorização prévia e específica do cadastrado.

Autorização deve seguir o modelo do Anexo, em meio físico ou eletrônico, com prazos por acesso, prazo fixo ou indeterminado nas hipóteses permitidas.

Cadastrado pode revogar autorização a qualquer tempo perante o gestor, e a autorização concedida é extensiva a todos os gestores de bancos de dados.

Informações do cadastrado só podem ser acessadas por consulentes que mantenham ou pretendam manter relação comercial ou creditícia com ele.

Gestor deve manter políticas e controles para garantir que informações de cadastrado sejam acessadas somente por consulente autorizado pelo escopo do Decreto.