Verificações de antecedentes, triagem e diligência devida aprimorada (OSINT)

• Regulation (EU) 2016/679 — GDPR, Articles 10, 14 and 27
• Directive (EU) 2015/849 — anti-money laundering
• Regulation (EU) 2024/1689 — AI Act
• Regulation (EU) 2022/2065 — DSA where reports are hosted

Quem tem de designar

Provedores estabelecidos fora da União que elaboram relatórios de diligência devida, resultados de triagem ou dossiês de investigação sobre pessoas na UE: plataformas OSINT, fornecedores de triagem de mídia adversa e sanções, serviços de verificação de antecedentes e empresas de investigação que vendem para bancos, escritórios de advocacia e empresas. A obrigação se aplica independentemente de o sujeito ser um cliente do seu cliente ou um terceiro que nunca teve contato com ninguém: o teste é se você processa dados pessoais de pessoas na União, não se elas pediram a você.

Limiares e isenções

Sem limite. O que muda a análise é o papel: um fornecedor que apenas executa a busca do cliente sob as instruções do cliente pode ser um processador, mas no momento em que você constrói gráficos de entidades entre clientes, retém material coletado além da entrega ou usa relatórios para treinar ou melhorar seus modelos, você é um controlador para esses fins e precisa de um representante por direito próprio.

O que deve constar do rótulo

Não é um rótulo físico. O que deve ser publicado é a identidade e os detalhes de contato do representante no aviso de privacidade, juntamente com as informações exigidas pelo Artigo 14 para pessoas cujos dados você obteve de fontes diferentes delas — o que neste setor é quase todo mundo.

Campos nos marketplaces

Bancos, escritórios de advocacia e instituições reguladas realizam diligência devida de fornecedores antes da integração, e as respostas sobre proteção de dados decidem contratos. Várias autoridades nacionais de supervisão investigaram fornecedores de triagem e mídia adversa, e as constatações se preocuparam com retenção, precisão e a ausência de aviso do Artigo 14, em vez da própria busca.

Documentação a conservar

Registros do Artigo 30 mapeando cada fonte, cada etapa de enriquecimento e cada saída. A designação do Artigo 27 com um escopo que cobre expressamente dados do Artigo 10 se você os processar. Uma avaliação de impacto sobre a proteção de dados, que é obrigatória aqui: perfilagem, monitoramento sistemático e dados de categorias especiais ou de infrações criminais em grande escala estão todos na lista do Artigo 35(3). Documentação da isenção do Artigo 14(5) da qual você depende e do raciocínio por trás dela. Procedimentos de precisão e retificação, incluindo como um erro de correspondência é corrigido em relatórios entregues. Cronogramas de retenção por categoria de dados. Documentação de transferência. Onde um sistema de IA é utilizado, a documentação técnica e a classificação contra a Lei de IA.

Normas e ensaios

Não testes de produto, mas dois cheques baseados em evidências decidem os resultados da aplicação. Precisão: falsos positivos na triagem causam danos reais, então a lógica de correspondência, sua taxa de erro e a etapa de revisão humana devem ser documentadas. E avaliação de viés onde o sistema perfil ou pontua pessoas, o que a Lei de IA exige para sistemas de alto risco e que a legislação de discriminação exige independentemente.

Requisitos linguísticos

O aviso de privacidade, as informações do Artigo 14 e qualquer comunicação com os titulares de dados na língua da pessoa em questão. Os relatórios em si são documentos comerciais e seguem a língua do cliente.

A partir de quando

O representante antes do início do processamento. Informações do Artigo 14 dentro de um período razoável e, no máximo, dentro de um mês após a obtenção dos dados, a menos que uma isenção se aplique. Obrigações de alto risco da Lei de IA a partir de 2 de agosto de 2026, onde o sistema se enquadra no Anexo III.

Prazo de conservação

Este é o ponto mais crítico na categoria. Relatórios e o material coletado subjacente podem ser mantidos apenas pelo tempo necessário, e a obrigação de retenção de AML do cliente é do cliente, não sua: reter dossiês indefinidamente porque podem ser úteis mais tarde não tem base legal. Onde você atua como processador, a exclusão sob instrução do cliente deve ser real e demonstrável.

Em caso de incumprimento

Até €20 milhões ou 4% do faturamento anual total mundial. A exposição neste setor é agravada porque os sujeitos que descobrem um relatório exercem direitos de acesso de forma agressiva, e um pedido de acesso revela todo o processamento: fontes, inferências, retenção e destinatários. Reclamações de difamação e retificação correm em paralelo pelos tribunais nacionais, em prazos mais curtos do que uma investigação de supervisão.

Quem fiscaliza

Autoridades de proteção de dados em qualquer estado membro onde os sujeitos estão localizados, uma vez que um controlador sem um estabelecimento na UE não tem autoridade principal. Supervisores financeiros onde o cliente é uma instituição regulada. Autoridades de vigilância de mercado da Lei de IA a partir de 2026. Tribunais nacionais para reclamações de precisão e reputação.

Onde está a fronteira

O Artigo 10 é a barreira. O processamento de dados pessoais relacionados a condenações e infrações criminais pode ser realizado apenas sob o controle de autoridade oficial ou quando autorizado pela legislação da União ou do estado membro que forneça salvaguardas apropriadas. Uma empresa privada que faz triagem de registros criminais precisa dessa autorização nacional, e ela varia de estado membro para estado membro: alguns permitem para entidades obrigadas a AML, outros não permitem para fornecedores comerciais. Listas de sanções e PEP são uma questão diferente e geralmente são legais, mas a mídia adversa contém rotineiramente alegações de conduta criminosa, o que traz o Artigo 10 de volta pela porta dos fundos. Um mandato de representante que não cobre expressamente isso não tem valor em uma investigação.

Perguntas frequentes

Nós apenas pesquisamos fontes públicas — isso ainda é processamento?

Sim. Coletar, estruturar e analisar informações disponíveis publicamente sobre pessoas identificáveis é processamento, e o fato de uma fonte ser pública não cria uma base legal ou remove o dever do Artigo 14.

Temos que informar o sujeito que o perfilamos?

O Artigo 14 exige isso, com isenções no Artigo 14(5), incluindo onde a notificação seria impossível ou envolveria esforço desproporcional, ou onde tornaria impossível ou prejudicaria seriamente os objetivos do processamento. Essas isenções devem ser documentadas e avaliadas caso a caso, não assumidas para todo o negócio.

Somos um controlador ou um processador?

Se o cliente define o sujeito e o propósito e você apenas executa, o status de processador é discutível. Se você enriquece entre clientes, retém material posteriormente ou melhora seus modelos com isso, você é um controlador para esses fins, independentemente do que o contrato diz.

Nosso sistema é de alto risco sob a Lei de IA?

Depende do uso. Sistemas que avaliam a solvência ou o acesso a serviços essenciais estão no Anexo III. Sistemas usados pela aplicação da lei para avaliação de risco também estão. Uma ferramenta vendida apenas para equipes de conformidade privadas pode ficar fora, mas a classificação deve ser documentada, não assumida.