Brasil refuerza control de datos y fraude en Pix

El Banco Central de Brasil trabaja en una revisión de las reglas de parcerias en open finance para reforzar el control de datos de clientes y padronizar la obtención de consentimiento conforme a la LGPD y al propio marco de open finance. Al mismo tiempo, avanza con una agenda de seguridad para Pix que incorpora un indicador de probabilidad de fraude por transacción, calculado en tiempo real con modelos de machine learning y puesto a disposición de las instituciones participantes.

¿Qué cambia en open finance?

La revisión apunta a ordenar cómo se obtienen y administran los consentimientos para el uso de datos personales, con una estandarización alineada a la Lei Geral de Proteção de Dados. Según Mardilson Queiroz, jefe del departamento de regulación del Banco Central, el objetivo es reforzar el control sobre la información de clientes dentro de las parcerias del ecosistema.

Ese movimiento llega en un contexto en el que análisis dirigidos al sector financiero brasileño remarcan que las instituciones deben mantener medidas técnicas y administrativas de protección de datos personales, además de políticas de seguridad cibernética y gestión de vulnerabilidades. En la práctica, la revisión regulatoria se superpone con obligaciones de compliance que ya alcanzan a bancos, fintechs y otros actores del sistema.

¿Qué herramientas sumará Pix?

La agenda del Banco Central incluye un indicador de probabilidad de fraude para cada transacción Pix, calculado en tiempo real con machine learning y compartido con las instituciones para alimentar sus propios mecanismos de detección. A eso se suma la padronización obligatoria de los alertas de fraude, que hoy se usan de forma heterogénea entre entidades.

El plan también prevé un flujo directo y automatizado de intercambio de información entre bancos para habilitar bloqueos cautelares de operaciones sospechosas. Además, el Banco Central contempla ampliar el conjunto de medidas cautelares aplicables a instituciones que comprometan el funcionamiento del sistema, incluida la restricción del registro de nuevas claves Pix.

¿Cómo se completa el esquema de protección?

La protección de Pix se apoya también en la evolución del Mecanismo Especial de Devolução hacia un MED 2.0. Esa herramienta permite rastrear transferencias posteriores más allá de la primera cuenta de destino, identificar cuentas potencialmente implicadas en el escoamiento de recursos ilícitos y notificar a las instituciones para que bloqueen saldos y analicen operaciones sospechosas.

En paralelo, materiales para bancos y fintechs señalan que el Banco Central exige estructuras de controles internos y de compliance capaces de prevenir fraude y lavado de dinero, con impacto directo sobre la gobernanza de acceso a sistemas y datos sensibles. Esas obligaciones se conectan con la Lei de Lavagem de Dinheiro nº 9.613/1998 y la Lei Anticorrupção nº 12.846/2013.

¿Qué pasa con el frente legal sobre cuentas usadas en fraudes?

El Senado Federal recibió el PL 2006/2026, que propone medidas para prevenir, identificar, contener, rastrear y reprimir el uso ilícito de cuentas bancarias y de pago en fraudes y otros crímenes financieros. El texto busca fortalecer las obligaciones de monitoreo y respuesta para instituciones financieras y proveedores de servicios de pago.

La discusión se combina con cambios recientes en el Código Penal que tipifican de forma explícita la cesión de conta laranja, con pena de 1 a 5 años de reclusión y multa. En ese marco, el endurecimiento penal para quienes facilitan cuentas usadas en esquemas de lavado y estafas digitales avanza en paralelo al trámite del proyecto en el Senado.

¿Qué más se mueve en cumplimiento y terceros?

Análisis del sector financiero brasileño también indican que las exigencias de las resoluciones CMN nº 4.893/2021 y nº 5.274/2025 alcanzan la contratación de servicios de procesamiento y almacenamiento de datos, además de computación en nube. Eso vincula de forma explícita la política de seguridad cibernética con la externalización de TI y la gestión de proveedores tecnológicos críticos.

En esa misma línea, publicaciones especializadas remarcan que el Banco Central también enmarca estas obligaciones dentro de estructuras de controles internos y de compliance que deben sostener la prevención de fraude y lavado de dinero. El resultado es un esquema regulatorio más amplio, que cruza datos personales, seguridad operativa, monitoreo transaccional y gestión de terceros.