Como criar um fluxo de integração KYC compatível com o GDPR sem escrever uma única linha de código?

O Artigo 25 do RGPD exige que todos os controladores que processam dados pessoais incorporem proteções de privacidade no design do sistema desde o início, e não as adicionem posteriormente ao lançamento do produto. Para as equipes de conformidade e de produto responsáveis ​​pela integração de verificação de identidade, isso cria um desafio de design específico: o processo de consentimento, o escopo dos dados e o cronograma de retenção precisam ser configurados corretamente antes que o primeiro cliente percorra o fluxo. As multas totais do RGPD ultrapassaram € 7.1 bilhões em 2026 (Kitesurf), com a fiscalização dos serviços financeiros aumentando ano após ano. Este artigo mostra como configurar um fluxo de integração compatível que atenda tanto ao GDPR quanto ao anti-lavagem de dinheiro (AML) obrigações, passo a passo, sem escrever nenhum código.

Um fluxo de integração KYC em conformidade com o RGPD é um processo de verificação de identidade configurado para atender à legislação de proteção de dados, juntamente com suas obrigações de AML (Antilavagem de Dinheiro). Ele coleta apenas os dados pessoais que a regulamentação de AML exige legalmente, captura o consentimento explícito do usuário antes do início do processamento e aplica períodos definidos de retenção e exclusão a cada categoria de dados que manipula.

O que o GDPR realmente exige do seu fluxo KYC?

O GDPR não proíbe o KYC (Conheça Seu Cliente). Ele define como o KYC deve ser estruturado. Três artigos são os principais responsáveis ​​pela conformidade com a verificação de identidade, e entender os requisitos de cada um é o ponto de partida para construir um fluxo que atenda tanto às exigências da Autoridade de Proteção de Dados (DPA) quanto às auditorias de AML (Antilavagem de Dinheiro). As obrigações relativas à base legal, à minimização de dados e à privacidade desde a concepção operam em paralelo, não em sequência.

Fundamento jurídico e sobreposição com a AML (Anti-Money Laundering - Combate à Lavagem de Dinheiro)

Para fins de AML (Anti-Money Laundering - Prevenção à Lavagem de Dinheiro) Integração KYC, a base legal para o processamento é normalmente Artigo 6 (1) (c) De acordo com o Regulamento Geral de Proteção de Dados (RGPD): o processamento é necessário para cumprir uma obrigação legal. A 6ª Diretiva de Combate ao Branqueamento de Capitais (6AMLD) e a legislação nacional de combate ao branqueamento de capitais estabelecem essa obrigação. A partir de 2025, o Regulamento AML da UE também exige a identificação eletrónica do cliente para o registo de novos clientes, o que significa que um fluxo de verificação digital é o caminho de conformidade esperado, e não uma atualização opcional.coredo.eu, 2025).

O consentimento previsto no Artigo 6(1)(a) desempenha um papel diferente. A própria verificação de AML (Antilavagem de Dinheiro) não se baseia no consentimento, pois este pode ser revogado e a verificação de identidade para fins regulamentados não pode ser opcional. O consentimento em um fluxo KYC (Conheça Seu Cliente) abrange a etapa de divulgação prévia à verificação: o usuário vê quais dados serão coletados e por quê, antes do início da verificação. Essa divulgação é exigida pelas obrigações de transparência do RGPD (Regulamento Geral sobre a Proteção de Dados) previstas no Artigo 5(1)(a), independentemente da questão da base legal.

Minimização de dados e o padrão do Artigo 25

Artigo 5 (1) (c) limita a coleta de dados ao que é “adequado, relevante e restrito ao necessário”. Artigo 25 Exige que as medidas técnicas priorizem a coleta do conjunto mínimo de dados, por definição, e não por norma. Em conjunto, isso significa que você não pode solicitar uma carteira de habilitação completa quando o campo Zona de Leitura Mecânica (MRZ) do passaporte satisfaz sua verificação de AML (Antilavagem de Dinheiro). Diretrizes 4/2019 do Conselho Europeu de Proteção de Dados (EDPB) sobre o Artigo 25 Confirme que "por padrão" significa que o sistema está configurado de forma restritiva antes que alguém altere as configurações, e não configurado de forma ampla e depois alterado.

Por que a maioria dos fluxos de integração KYC ainda falha nas auditorias do GDPR?

A lacuna de conformidade na maioria dos fluxos de integração não tem nada a ver com a tecnologia de verificação. As constatações das autoridades de proteção de dados em relação às implementações de KYC tendem a se concentrar em dois erros de configuração que as equipes repetem independentemente das ferramentas que utilizam. Ambos podem ser evitados durante a fase de desenvolvimento se... GDPR As restrições são tratadas como entradas de projeto, em vez de uma revisão pós-lançamento.

Iniciando a captura de dados antes da tela de divulgação.

O erro mais comum é apresentar o aviso da câmera antes da solicitação de consentimento. Um usuário que carrega suas fotos... Documento de identificação Antes de ver uma declaração clara sobre quais dados são coletados, quem os processa e com que fundamento jurídico, o usuário não recebeu a transparência da verificação prévia exigida pelo Artigo 5(1)(a) do RGPD. Mesmo quando o fundamento jurídico para a coleta de dados é claro, o usuário não tem acesso a informações confidenciais. Cheque AML Trata-se de uma obrigação legal, e não de consentimento; a etapa de divulgação ainda precisa vir primeiro. O consentimento não é uma formalidade legal. É o controle técnico que torna o restante do fluxo legal.

Executar sem um cronograma de retenção testado

Artigo 17 A legislação anti-lavagem de dados garante aos titulares dos dados o direito ao apagamento, mas prevalece sobre esse direito durante o período de retenção obrigatório, geralmente cinco anos a partir do término da relação comercial, conforme a 6ª Diretiva AML (6AMLD), embora isso varie de acordo com a jurisdição. O erro mais comum cometido pela maioria dos fluxos é a ausência de um cronograma de exclusão definido durante a configuração, ou a definição do cronograma, mas sua não verificação. Um fluxo que nunca excluiu dados conforme o cronograma é, para fins de auditoria, considerado um fluxo sem política de retenção.

Como construir o fluxo em cinco etapas?

Os cinco passos abaixo traduzem as obrigações do GDPR mencionadas acima em uma sequência de configuração específica. Cada passo corresponde a uma parte do processo de integração que as equipes de conformidade e de produto podem configurar usando um construtor de fluxo de trabalho de verificação sem código, sem a necessidade de envolvimento da equipe de engenharia. Os tipos de documentos e os períodos de retenção específicos variam de acordo com o seu regime de AML (Antilavagem de Dinheiro), mas a sequência de configuração se aplica independentemente do setor.

Passo 1: Adicione uma tela de divulgação antes de qualquer coleta de dados.

A primeira tela que o usuário vê deve ser a tela de divulgação, e não a tela de solicitação da câmera. Ela deve informar: quais dados pessoais serão coletados, quem os processará (sua organização e o provedor de verificação como processador de dados), a base legal para o processamento e o período de retenção aplicável. A tela não precisa ser longa. Ela precisa ser precisa. Configure o fluxo para que a verificação não possa começar até que o usuário tenha confirmado ativamente a divulgação.

Etapa 2: Restrinja os campos do documento que você coleta.

Mapeie seus requisitos de AML (Anti-Money Laundering - Prevenção à Lavagem de Dinheiro) para os dados mínimos de documento que os atendem. Para padrões diligência devida ao cliente (CDD)Normalmente, o nome, a data de nascimento, o número do documento e a data de validade de um documento de identidade emitido pelo governo atendem aos requisitos. Configure a etapa de verificação para coletar apenas esses campos e documente a decisão de mapeamento em sua Avaliação de Impacto sobre a Proteção de Dados (AIPD) para que o escopo seja auditável caso uma autoridade supervisora ​​solicite.

Etapa 3: Defina o cronograma de retenção antes da entrada em operação.

Configure a política de retenção de dados antes que o fluxo processe sua primeira verificação em tempo real. Defina o período de retenção para corresponder à sua obrigação de AML (Antilavagem de Dinheiro), geralmente cinco anos após o término do relacionamento, conforme a 6ª Diretiva AML. Habilite a exclusão ou anonimização automática ao final desse período. Em seguida, teste em um ambiente de homologação: envie um registro de teste, avance o cronômetro até a data de exclusão e confirme se a exclusão é executada conforme configurado.

Etapa 4: Confirme seu Contrato de Processamento de Dados

Debaixo Artigo 28 do RGPDQualquer terceiro que processe dados pessoais em seu nome deve operar sob um Contrato de Processamento de Dados (DPA). Antes de encaminhar uma verificação em tempo real por meio de qualquer provedor, confirme se o DPA está assinado e abrange as categorias de dados processados, as finalidades do processamento, os subprocessadores utilizados e as medidas de segurança aplicadas. Para dados biométricos, classificados como dados de categoria especial de acordo com o Artigo 9, o DPA também deve especificar como esses dados são tratados durante o processamento e quando são excluídos.

Etapa 5: Incorpore um registro de auditoria ao fluxo de trabalho.

Cada registro de consentimento, decisão de verificação e evento de exclusão de dados deve gerar uma entrada de log com data e hora. O log de auditoria é a sua prova em uma investigação de supervisão. Configure o fluxo para gravar essas entradas em um local que sua equipe de conformidade possa acessar diretamente, sem a necessidade de intervenção da TI, e teste se o log está sendo gravado corretamente antes de implementá-lo em produção. O log não precisa ser complexo. Ele precisa ser completo e à prova de adulteração.

Como a Shufti ajuda as equipes de compliance a configurar um processo de integração compatível com o GDPR?

Configurar um fluxo KYC em conformidade com o GDPR por meio de código personalizado significa criar a tela de consentimento, a lógica de retenção e o registro de auditoria como projetos de engenharia separados. Para a maioria das equipes de conformidade, isso significa esperar por sprints de desenvolvimento que já estão lotados. Construtor de jornadas é a ferramenta de fluxo de trabalho de verificação sem código da Shufti que permite que as equipes de conformidade e de produto configurem o fluxo descrito neste artigo diretamente do painel de controle, sem precisar abrir um único chamado de engenharia.

A etapa de consentimento, a seleção dos campos do documento, o cronograma de retenção de dados e o registro de auditoria são todos configuráveis ​​como elementos distintos no fluxo. A Shufti opera como um processador de dados em conformidade com o GDPR e fornece um Contrato de Processamento de Dados que abrange sua obrigação do Artigo 28, incluindo a divulgação aos subprocessadores, a documentação da finalidade do processamento e as especificações das medidas de segurança. Dados biométricos capturados durante Verificação de Identidade é excluído após a conclusão da decisão de verificação e, por padrão, não é retido após esse ponto.

A verificação da Shufti abrange mais de 10,000 tipos de documentos em mais de 240 países, o que significa que o mesmo fluxo configurado para o GDPR que você cria para clientes da UE funciona para sua integração internacional dentro da mesma arquitetura de retenção e consentimento.