Parecer n.º 52/2025

PAR/2025/59 1   PARECER/2025/52 I. Pedido 1. O Banco de Portugal (BdP) submeteu à Comissão Nacional de Proteção de Dados (CNPD), para parecer, a Proposta de Instrução que visa alterar a Instrução n.º 8/2018 – Regulamento do Sistema de Compensação Interbancária (SICOI). 2. Em 11 de setembro de 2025 foi enviado à CNPD, a seu pedido, uma avaliação de Impacto sobre a Proteção de Dados (AIPD) sobre o mecanismo de Verificação de Beneficiário (VoP). 3. A CNPD emite parecer no âmbito das suas atribuições e competências enquanto autoridade administrativa independente com poderes de autoridade para o controlo dos tratamentos de dados pessoais, conferidos pela alínea c) do n.º 1 do artigo 57.º, conjugado com a alínea b) do n.º 3 do artigo 58.º, e com o n.º 4 do artigo 36.º, todos do Regulamento (UE) 2016/679, de 27 de abril de 2016 – Regulamento Geral sobre a Proteção de Dados (doravante RGPD), em conjugação com o disposto no artigo 3.º, no n.º 2 do artigo 4.º, e na alínea a) do n.º 1 do artigo 6.º, todos da Lei n.º 58/2019, de 8 de agosto, que executa na ordem jurídica interna o RGPD. II. Análise 4. Nos termos do artigo 92.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras (RGICSF) e do artigo 14.º da sua Lei Orgânica compete ao Banco de Portugal regular, fiscalizar e promover o bom funcionamento dos sistemas de pagamentos. Assim, o BdP é o regulador e gestor do Sistema de Compensação Interbancária (SICOI), o sistema de pagamento de retalho onde são processados os pagamentos efetuados com cheques, efeitos comerciais, transferências a crédito, transferências imediatas, débitos diretos e operações baseadas em cartão. 5. O projeto de instrução em análise visa substituir a Instrução n.º 8/20218 do Banco de Portugal que regulamenta o Sistema de Compensação Interbancária (SICOI) visando a adaptação do Regulamento do SICOI às determinações do Regulamento (UE) 2024/886 do Parlamento Europeu e do Conselho, de 13 de março de 2024, que altera os Regulamentos (UE) n. o 260/2012 e (UE) 2021/1230 e as Diretivas 98/26/CE e (UE) 2015/2366 no que diz respeito às transferências a crédito imediatas em euros. 6. Pretende-se implementar as alterações necessárias para que o serviço de identificador para derivação de conta e de confirmação de beneficiário/devedor (serviço PLCP), que o Banco de Portugal já disponibiliza aos participantes no SICOI desde 2024, seja interoperável com o mecanismo europeu de Verificação de Beneficiário (VOP) e com os requisitos técnicos do scheme VOP do European Payments Council.   PAR/2025/59 1v   7. As alterações previstas vão ainda no sentido de disponibilizar o serviço VOP não só aos prestadores de serviços de pagamentos (PSP), participantes no SICOI, mas também aos PSP que não participem em subsistemas do SICOI, e que queiram usufruir do VOP, designadamente àqueles que participam no TIPS (TARGET Instant Payment Settlement Service). 8. No termos do pedido submetido, no essencial, pretende-se: (i) alterar os destinatários da Instrução, que serão, a par dos participantes nos subsistemas de compensação e liquidação do SICOI, os aderentes aos serviços prestados pelo BdP no âmbito do SICOI - o PLCP e o VOP; (ii) acrescentar o serviço VOP no âmbito dos serviços prestados pelo BdP; (iii) clarificar as condições de participação nos subsistemas do SICOI; (iv) alterar os formulários no âmbito do Regulamento do SICOI, passando a existir um formulário de participação, alteração e cessação para a participação nos subsistemas de compensação e liquidação do SICOI; um formulário de adesão, alteração e cessação ao serviço PLCP; e um formulário de participação, alteração e cessação do serviço VOP; (v) alargar a possibilidade de adesão ao serviço PLCP a todos os participantes em qualquer subsistema do SICOI desde que estabelecido em Portugal, sempre no âmbito de uma transferência a crédito SEPA, uma transferência imediata SEPA ou um débito direto SEPA, ainda que estas operações não sejam processadas no SICOI; (vi) clarificar que a funcionalidade de PL (SPIN) permite a iniciação de transferências a crédito SEPA ou transferências imediatas SEPA e que os PSP que não permitam aos seus clientes iniciar transferências devem, ainda assim, permitir aos seus clientes associar o seu identificador pessoal (número de telemóvel ou número de identificação fiscal) ao seu IBAN para assim ficarem possibilitados a receber transferências via SPIN. 9. Sobre o serviço de Identificador para Derivação de Conta – Proxy Lookup e de Confirmação de Beneficiário/Devedor – Confirmation of Payee/Payer (“serviço PLCP”) a CNPD já se pronunciou no Parecer n.º 60/2023, de 27 de junho1, que aqui se dá por reproduzido. 10. No entanto sublinha-se que o Anexo IX, regula no ponto 22, o direito à proteção de dados. Aí se consagra que os participantes devem garantir o cumprimento da legislação aplicável à proteção de dados, designadamente do RGPD. 11. No caso da funcionalidade de PL, os utilizadores de serviços de pagamento têm o direito a conhecer a informação que a seu respeito conste da base de dados do Banco de Portugal e o direito de aceder aos seus dados pessoais, nomeadamente, à finalidade do tratamento dos dados, às categorias dos dados pessoais em questão e às informações disponíveis sobre a origem desses dados respeitando assim o direito de acesso previsto no artigo 15.º do RGPD.  ϭ ŝƐƉŽŶşǀĞůĞŵŚƚƚƉƐ͗ͬͬǁǁǁ͘ĐŶƉĚ͘ƉƚͬĚĞĐŝƐŽĞƐͬŚŝƐƚŽƌŝĐŽͲĚĞͲĚĞĐŝƐŽĞƐ͍ͬLJĞĂƌсϮϬϮϯΘƚLJƉĞсϰΘĞŶƚс    PAR/2025/59 2   12. Por sua vez, os utilizadores de serviços de pagamento têm ainda direito de solicitar, quando verifiquem a existência de erros ou omissões, a sua retificação ou atualização junto do Banco de Portugal, exercendo o direito de retificação consagrado no artigo 16.º do RGPD. 13. Ainda no ponto 22 do Anexo IX se dispõe que o cumprimento do dever de informar os titulares dos dados sobre o tratamento e o exercício dos seus direitos é assegurado através da disponibilização de informação no sítio institucional do Banco na internet. 14. Como acima referido, a CNPD já se pronunciou no Parecer n.º 60/2023, de 27 de junho sobre o conteúdo deste Anexo IX e congratula-se com o acolhimento das recomendações aí formuladas vertidas no texto atual. 15. Quanto ao Anexo X relativo aos termos e condições do serviço de Verificação de Beneficiário consagra-se que o Banco de Portugal disponibiliza o serviço VoP com o objetivo de permitir aos aderentes cumprir o Regulamento (UE) n.º 260/2012 do Parlamento Europeu e do Conselho, de 14 de março (Regulamento SEPA), no que respeita à obrigação de disponibilizarem aos seus clientes um mecanismo que permita verificar o beneficiário na iniciação de transferências a crédito SEPA, tradicionais ou imediatas. O serviço VoP observa os requisitos técnicos definidos no Scheme Verification Of Payee do EPC. 16. São elegíveis para aderir ao serviço VoP os prestadores de serviços de pagamento autorizados nos termos da Diretiva (UE) 2015/2366 relativa aos serviços de pagamento no mercado interno (PSP). As instituições elegíveis podem aderir a uma ou a ambas as modalidades de adesão ao serviço VoP: Aderente Ordenante – adere ao serviço VoP para submeter os pedidos de verificação do beneficiário relativos a transferências a crédito SEPA ou transferências a crédito imediatas SEPA dos seus clientes ordenantes; Aderente Beneficiário – adere ao serviço VoP para responder aos pedidos de verificação do beneficiário relativos a transferências a crédito SEPA ou transferências a crédito imediatas SEPA destinadas aos seus clientes beneficiários. 17. Relativamente à Verificação de Beneficiário, o serviço VoP permite ao PSP do ordenante da transferência a crédito SEPA ou da transferência a crédito imediata SEPA (Aderente Ordenante) disponibilizar aos utilizadores de serviços de pagamento seus clientes que iniciem transferências a crédito SEPA e transferências a crédito imediatas SEPA a verificação do beneficiário da operação. O serviço VoP permite ao PSP do beneficiário da transferência a crédito SEPA ou da transferência a crédito imediata SEPA (Aderente Beneficiário) disponibilizar ao PSP do ordenante a verificação do beneficiário da operação. A verificação de beneficiário é feita através da correspondência entre o nome do beneficiário, tal como submetido pelo ordenante, e o nome do beneficiário registado junto do PSP do beneficiário. Se acordado entre o aderente e o Banco de Portugal, a verificação do beneficiário poderá também ser efetuada utilizando outros identificadores do utilizador de serviços de pagamento (“outro identificador”), em linha com o estabelecido no Scheme Verification Of Payee do EPC.   PAR/2025/59 2v   18. O Aderente Ordenante deve submeter, ao PSP do beneficiário, por intermédio do Banco de Portugal, o IBAN e o nome do beneficiário tal como submetido pelo ordenante. O Aderente Ordenante receberá em resposta, por intermédio do Banco de Portugal, o resultado da verificação da correspondência entre o nome do beneficiário, tal como submetido pelo ordenante, e o nome do beneficiário registado junto do PSP do beneficiário. Se acordado entre o Aderente Ordenante e o BP, a verificação do beneficiário poderá também ser efetuada utilizando outro identificador. Neste caso, o Aderente Ordenante deve submeter, ao PSP do beneficiário, por intermédio do BP, o IBAN e o outro identificador do utilizador de serviços de pagamento. 19. O Aderente Ordenante receberá em resposta, por intermédio do BP, o resultado da verificação da correspondência entre o outro identificador, tal como submetido pelo ordenante, e o outro identificador registado junto do PSP do beneficiário. 20. Por sua vez, o Aderente Beneficiário deve enviar, ao BP, a lista de nomes de todos os titulares da conta de pagamento associada ao IBAN indicado pelo PSP do ordenante. Se acordado entre o Aderente Beneficiário e o BP, a verificação do beneficiário poderá também ser efetuada utilizando outro identificador do utilizador de serviços de pagamento. 21. O Banco de Portugal efetuará os procedimentos de verificação em nome do Aderente Beneficiário, com recurso ao algoritmo de verificação desenvolvido para o efeito. 22. Nestes termos a disponibilização do serviço VoP assenta na informação detida em cada momento pelos Aderentes Beneficiários, não pressupondo a centralização da mesma no Banco de Portugal. 23. O Banco de Portugal assegura a troca de informação segura entre os aderentes e entre estes e PSP não aderentes, nos termos do Scheme Verification Of Payee do EPC. 24. A completude, atualidade e exatidão dos dados necessários à utilização do serviço VoP é da exclusiva responsabilidade dos aderentes. 25. Quanto ao prazo de conservação da informação trocada entre o Banco de Portugal e os aderentes é conservada por um período de 2 anos. Nestes termos, a conservação de dados pessoais obedece ao princípio da limitação da conservação consagrado na alínea e) do artigo 5.º do RGPD. 26. No que respeita ao segredo profissional, os aderentes devem cumprir integralmente as normas relativas ao dever de segredo profissional que lhes sejam aplicáveis, nomeadamente, para os aderentes estabelecidos em Portugal, as previstas no RGICSF, nomeadamente garantindo que não revelam ou utilizam para fins que não os previstos no Anexo X os factos ou elementos das suas relações com os clientes dos quais tomem conhecimento por via da prestação do serviço VoP.   PAR/2025/59 3   27. No ponto relativo à proteção de dados sublinha-se que os aderentes devem garantir o integral cumprimento da legislação aplicável à proteção de dados, designadamente do RGPD. 28. Embora não seja consagrado expressamente, resulta do Anexo X que o BP é o responsável pelo tratamento de dados decorrente da disponibilização do novo serviço de Verificação de Beneficiário, cujo fundamento de licitude reside na alínea e) do n.º 1 do artigo 6.º do RGPD na medida em que resulta do exercício de funções de interesse publico e do exercício de autoridade pública de que o mesmo está investido. 29. Ao tratamento de dados já hoje realizado pelo Banco de Portugal para o processamento das operações de pagamento no SICOI, acrescerá o tratamento dos dados pessoais necessários à prossecução das finalidades de interesse público que lhe são atribuídas por lei, ao abrigo de poderes de autoridade pública, para oferecer um serviço mais seguro e de maior usabilidade. 30. Sendo o BP responsável pelo tratamento de dados, dispõe o ponto 18 que eventuais pedidos de informação ou esclarecimentos relacionados com o exercício de direitos relativos à proteção de dados pessoais no âmbito das funcionalidades previstas no serviço VoP devem ser dirigidos ao Banco de Portugal, através do correio eletrónico aí referido. 31. E ainda, que eventuais reclamações relacionadas com o exercício de direitos relativos à proteção de dados pessoais no âmbito das funcionalidades previstas no serviço VoP devem ser dirigidas à Encarregada de Proteção de Dados do Banco de Portugal, disponibilizando-se o seu endereço de correio eletrónico. 32. Por último, o cumprimento do dever de informar os titulares dos dados sobre o tratamento e o exercício dos seus direitos é assegurado através da disponibilização de informação no sítio institucional do BP na internet, cumprindo assim o princípio da lealdade e transparência consagrado na alínea a) do n.º 1 do artigo 5º do RGPD. 33. Note-se que embora não conste do ponto 18 relativo a proteção de dados, do Anexo em análise resulta que os dados pessoais tratados são o IBAN e o nome do beneficiário, a lista de nomes de todos os titulares da conta de pagamento associada ao IBAN indicado pelo PSP do ordenante, e outro identificador se acordado entre o Aderente Ordenante e o BP. 34. Os dados pessoais tratados são adequados e necessários à finalidade em causa, encontrando-se cumprido o princípio da minimização dos dados consagrado na alínea c) do n.º 1 do artigo 5.º do RGPD. 35. Expostas que estão as linhas essenciais da disponibilização pelo BP do serviço de Verificação de Beneficiário (serviço VoP) importa agora elencar quatro tipos de risco resultantes da sua operacionalização, para os quais a CNPD alerta:   PAR/2025/59 3v   (i) Risco de processamento e precisão do algoritmo de verificação centralizado pelo Banco de Portugal (BdP) 36. No enquadramento inicial do serviço de Identificador para Derivação de Conta – Proxy Lookup e de Confirmação de Beneficiário/Devedor – Confirmation of Payee/Payer (doravante, “serviço PLCP”), o Banco de Portugal atuava predominantemente como um intermediário de encaminhamento de pedidos e respostas entre os Prestadores de Serviços de Pagamento (PSPs). A verificação da informação (nome do beneficiário ou resposta 'Sim/Não' para IBAN/NIF) era realizada pelo PSP do beneficiário. 37. Com a funcionalidade VoP, o BdP assume um papel mais ativo como "Routing and/or Verification Mechanism" (RVM) e é diretamente responsável por executar o algoritmo de correspondência entre o nome introduzido pelo ordenante e a lista de nomes fornecida pelo PSP do beneficiário. Este novo papel introduz o risco de erros ou imprecisões no algoritmo de correspondência que o BdP executa, o que pode levar a resultados de verificação incorretos ("Match", "Close Match", "No Match"). Embora a AIPD relativa ao PLCP já mencionasse a "Divulgação de informação não correta, ou não precisa ou errada/falsa" como um impacto na integridade, a fonte específica de risco proveniente do próprio algoritmo de verificação centralizado e executado pelo BdP não está detalhada. (ii) Risco de abuso da funcionalidade "Close Match" para fuga de informação mais detalhada 38. O Parecer da Comissão Nacional de Proteção de Dados (CNPD) sobre a AIPD do PLCP alertou para uma "pequena possibilidade de abuso da funcionalidade" através de consultas repetidas para obter nomes de titulares de identificadores sem concluir as operações. 39. A funcionalidade VoP, no caso de um "Close Match", prevê que o BdP, enquanto RVM, devolva o nome completo do beneficiário ao PSP do ordenante. Esta especificidade da VoP, que disponibiliza o nome real mesmo sem uma correspondência exata, representa uma forma mais explícita e potencialmente mais eficaz para a extração de informações por parte de agentes mal-intencionados, ampliando o risco de fuga de informação já identificado pela CNPD, mas agora focado num mecanismo de resposta detalhado e centralizado pelo BdP. (iii) Risco acrescido de segurança e conformidade devido à interoperabilidade com PSPs não-SICOI e internacionais 40. A anterior implementação focava-se nos PSPs participantes no SICOI e estabelecidos em Portugal. A funcionalidade VoP alarga o âmbito de atuação do BdP como RVM para PSPs não participantes no SICOI e pode disponibilizar o serviço a PSPs que não operam em Portugal. Esta expansão para um universo mais vasto e diversificado de entidades, incluindo organizações internacionais, aumenta significativamente a complexidade na gestão da segurança da informação e na garantia da conformidade com o Regulamento Geral sobre a   PAR/2025/59 4   Proteção de Dados (RGPD) e outros instrumentos jurídicos. Embora a AIPD relativa ao VoP mencione genericamente "fontes humanas externas" e "má codificação por parte de terceiros" como fontes de risco, o espectro de terceiros e a dimensão da interoperabilidade na VoP amplificam estes riscos de forma que não foi explicitamente detalhada. (iv) Risco de ataques cibernéticos a partir da internet para PSPs não-SICOI e dependência de serviços externos 41. No contexto do PLCP foi indicado que os acessos ao serviço disponibilizados aos PSP seriam protegidos e que o serviço circularia na rede interna do BdP ou utilizaria VPNs. A segurança da API era tratada com o uso de HTTPS/SSL/TLS. Com a VoP, para os PSPs não participantes no SICOI, as APIs serão invocadas diretamente via internet. Embora o documento da VoP detalhe o uso de Cloudflare para mitigar ameaças como ataques DDoS e acessos não autorizados, e a utilização de TLS 1.2 e 1.3, esta exposição direta à internet para um universo mais vasto de entidades (além do ambiente seguro da BPnet) representa um aumento da superfície de ataque cibernético. Além disso, introduz uma dependência explícita de um serviço externo (Cloudflare) para a segurança de fronteira, um detalhe operacional e de segurança que não foi explicitamente abordado. 42. Assim, a CNPD recomenda que sejam aprofundados os pontos acima identificados para uma rigorosa avaliação do risco sobre a proteção de dados pessoais dos titulares abrangidos. III. Conclusão 43. Com os fundamentos acima expostos, a CNPD recomenda que sejam adotadas medidas de segurança com vista à eliminação dos riscos acima identificados decorrentes da disponibilização do serviço VoP. Aprovado na reunião de 16 de setembro de 2025 Paula Meira Lourenço (Presidente) Assinado por: PAULA CRISTINA MEIRA LOURENÇO Data: 2025.09.16 18:42:11+01'00' Certificado por: Diário da República Atributos certificados: Presidente - Comissão Nacional de Proteção de Dados