| Mobile Time Latinoamérica | A Comissão Nacional Bancária e de Valores (CNBV), órgão responsável pela supervisão e regulação do sistema financeiro mexicano, aprovou uma reforma que obrigará os bancos do país a reforçar seus mecanismos de identificação biométrica e de cibersegurança.
A medida, publicada no Diário Oficial da Federação (DOF), tem como objetivo reduzir fraudes financeiras, combater a falsificação de identidade e fortalecer os controles de autenticação de clientes por meio de tecnologias de reconhecimento facial e de impressões digitais.
A resolução altera as regras aplicáveis a todas as instituições de crédito no México e representa uma mudança importante na forma como os bancos verificarão a identidade de seus clientes, tanto nas agências físicas quanto em operações financeiras de maior risco.
Reconhecimento facial passa a ser obrigatório para validar a identidade
Uma das principais mudanças é a incorporação formal da biometria facial como mecanismo obrigatório de validação da identidade. Isso significa que, além da impressão digital, os bancos poderão utilizar o reconhecimento facial para confirmar que a pessoa que realiza uma operação financeira ou um procedimento bancário é realmente quem afirma ser.
A regulamentação exige que as instituições utilizem sistemas capazes de realizar a chamada “prova de vida” (liveness detection), a fim de evitar fraudes por meio de fotografias, vídeos, máscaras ou imagens digitais utilizadas para se passar por outra pessoa.
As validações deverão ser comparadas com bases de dados oficiais do governo mexicano, como as do Instituto Nacional Eleitoral (INE) — autoridade eleitoral do país — ou da Secretaria de Relações Exteriores (SRE), responsável pela emissão de passaportes. Para que a identidade seja considerada válida, o sistema deverá alcançar um índice mínimo de correspondência biométrica de 90%.
Bancos poderão criar suas próprias bases biométricas
A reforma também permitirá que os bancos criem e administrem suas próprias bases de dados biométricos de clientes.
Na prática, isso significa que, depois que a identidade de uma pessoa for validada com sucesso com os registros oficiais do governo, o banco poderá reutilizar essas informações em operações futuras, sem necessidade de consultar novamente as bases governamentais.
Segundo a CNBV, isso permitirá agilizar procedimentos, saques, abertura de contas e validações em plataformas digitais. No entanto, a resolução proíbe expressamente que as instituições compartilhem, vendam, transfiram ou troquem informações biométricas com outros bancos ou empresas privadas.
Requisitos técnicos para impressões digitais e reconhecimento facial
A regulamentação também estabelece especificações técnicas detalhadas sobre a forma como os dados biométricos deverão ser capturados e processados.
No caso das impressões digitais, os bancos deverão coletar pelo menos seis digitais de cada cliente utilizando dispositivos certificados e mecanismos de detecção de “dedo vivo”, desenvolvidos para impedir o uso de moldes ou reproduções falsas.
Para o reconhecimento facial, as imagens deverão atender a padrões internacionais de qualidade: fotografias frontais, iluminação uniforme, rosto totalmente visível e ausência de acessórios que ocultem partes da face.
Novas obrigações de cibersegurança
A norma também incorpora um novo conjunto de padrões técnicos denominado Anexo 71, que estabelece regras obrigatórias para o armazenamento e a proteção de dados biométricos.
Entre as medidas exigidas estão:
- Separar física e logicamente as bases de dados biométricos do restante da infraestrutura bancária;
- Utilizar criptografia para proteger as informações armazenadas e transmitidas;
- Implementar controles rigorosos de acesso para funcionários e administradores;
- Realizar testes periódicos para detectar vulnerabilidades ou tentativas de invasão;
- Manter registros de auditoria sobre acessos e alterações realizadas nas informações biométricas.
Além disso, quando um banco deixar de utilizar uma base de dados biométrica, deverá eliminá-la por meio de mecanismos que impeçam a recuperação posterior das informações.
Maior controle sobre funcionários dos bancos
A CNBV também endureceu as medidas para reduzir possíveis fraudes internas nas instituições financeiras.
Os empregados, executivos e demais responsáveis pelo registro de dados biométricos deverão cadastrar previamente suas próprias impressões digitais e biometria facial antes de operar o sistema com clientes, permitindo identificar qual funcionário realizou cada operação.
Segundo a autoridade, esses mecanismos facilitarão auditorias e investigações em casos de fraude ou uso indevido de informações pessoais.
Prazos para implementação das mudanças
A resolução entrará em vigor imediatamente após sua publicação oficial. Os bancos que já possuam bases biométricas deverão informar à CNBV, no prazo de até 30 dias corridos, a situação e o funcionamento dessas bases.
Além disso, as instituições financeiras terão até 90 dias úteis para adaptar seus sistemas tecnológicos e cumprir integralmente as novas exigências. Por enquanto, a regulamentação se aplica apenas às impressões digitais e ao reconhecimento facial, embora a CNBV tenha deixado aberta a possibilidade de incorporar outros tipos de biometria no futuro.
