Comissão Federal de Comércio (FTC)
A Comissão Federal de Comércio (FTC) é o órgão dos Estados Unidos responsável por proteger os consumidores e promover a concorrência. No que diz respeito à fraude e ao roubo de identidade, ela realiza três ações importantes para as empresas: coíbe práticas enganosas e desleais, coleta o maior conjunto de denúncias de fraudes ao consumidor do país e elabora normas que impõem obrigações de segurança de identidade e de dados às empresas privadas.
Não se trata de um órgão regulador financeiro. Não exerce nenhuma função prudencial e não supervisiona bancos, cuja supervisão cabe às agências bancárias federais e ao CFPB.
| Fundada | 1914, nos termos da Lei da Comissão Federal de Comércio |
| Autoridade central | Seção 5 — atos ou práticas desleais ou enganosas |
| Sistema de denúncia de fraudes | Rede Consumer Sentinel |
| Portal sobre roubo de identidade | IdentityTheft.gov, que disponibiliza planos de recuperação |
| Principais regras de negócios | Regra dos Sinais de Alerta, Regra das Medidas de Proteção, Regra de Descarte |
| Não supervisiona | Bancos, cooperativas de crédito e a maioria das instituições de depósito |
O que a FTC exige das empresas
A Regra dos Sinais de Alerta exige que as instituições financeiras e os credores que mantêm contas abrangidas pelo programa mantenham um programa escrito de prevenção de roubo de identidade — identificando os sinais de alerta relevantes para suas atividades, detectando-os e tomando as medidas necessárias. O termo “credor” tem um alcance mais amplo do que parece, abrangendo muitas empresas que oferecem condições de pagamento diferido.
A Regra de Salvaguardas exige que as instituições financeiras não bancárias, nos termos da Lei Gramm-Leach-Bliley, mantenham um programa de segurança da informação. Sua versão alterada é significativamente mais prescritiva do que a original, especificando um profissional qualificado responsável pelo programa, avaliações de risco por escrito, controles de acesso, criptografia, autenticação multifatorial e obrigações de notificação. A lei abrange concessionárias de automóveis, corretores de hipotecas, prestadores de serviços de declaração de impostos e empresas semelhantes que não se consideram instituições financeiras.
A Regra de Descarte regula a destruição segura das informações contidas nos relatórios de crédito do consumidor.
Por trás de todos eles está a Seção 5. A FTC moveu uma longa série de ações relacionadas à segurança de dados com base na teoria de que a falha em manter um nível razoável de segurança constitui, por si só, uma prática desleal — o que significa que uma empresa pode ser alvo de medidas sem ter violado nenhuma regra específica. As decisões judiciais geralmente têm validade de vinte anos e impõem programas obrigatórios e avaliações independentes.
O que mostram os dados da FTC
A Consumer Sentinel Network reúne denúncias de consumidores, autoridades policiais, do Better Business Bureau e de outras fontes, sendo a fonte mais citada sobre fraudes ao consumidor nos Estados Unidos.
Para 2024, a FTC informou que os consumidores perderam mais de US$ 12,5 bilhões em fraudes, um aumento de 25% em relação ao ano anterior, a partir de aproximadamente 6,5 milhões de denúncias no Sentinel. Vale destacar que o aumento não foi impulsionado por um número maior de denúncias — o volume de denúncias permaneceu estável —, mas por uma proporção maior de pessoas que relataram ter perdido dinheiro. Os golpes de investimento totalizaram US$ 5,7 bilhões, mais do que qualquer outra categoria, com os golpes de “impostor” em segundo lugar, com US$ 2,95 bilhões. As denúncias de roubo de identidade registradas no site IdentityTheft.gov ultrapassaram 1,1 milhão.
Essa ressalva é tão importante quanto os números: Trata-se de uma perda declarada, não de uma perda mensurada. O Sentinel é um banco de dados de denúncias voluntárias, e os casos de fraude são amplamente subnotificados, especialmente quando as vítimas se sentem constrangidas ou acreditam que nada vai adiantar. Os números totais representam um valor mínimo e um indicador de tendência, não uma medição — e qualquer análise que os apresente como a dimensão da fraude nos EUA está exagerando o que os dados podem comprovar.
Por que isso é importante para a verificação de identidade
A FTC é a razão pela qual muitas empresas norte-americanas não bancárias têm, de fato, obrigações relacionadas à identificação.
As obrigações de identificação de um banco decorrem da Lei de Sigilo Bancário e das regras do programa de identificação de clientes. Uma concessionária de automóveis, um corretor de hipotecas ou um preparador de declarações fiscais não tem essa obrigação — e está sujeita à Regra de Proteção e, quando concede crédito, à Regra dos Sinais de Alerta. Para uma grande parcela de empresas, a FTC é a fonte da exigência de verificar com quem estão lidando e proteger as informações que coletam.
Ambas as normas também se baseiam na demonstrabilidade. Um programa de “Red Flags” deve ser documentado, aprovado e mantido atualizado; as “Safeguards” exigem avaliações de risco por escrito e a apresentação de relatórios a um conselho ou órgão equivalente. Isso torna a evidência o conceito fundamental: um controle cuja aplicação não possa ser comprovada é, para esses fins, quase como se não tivesse sido aplicado.
Há uma contradição que vale a pena destacar. A Regra de Proteção exige a proteção das informações dos clientes, enquanto a verificação de identidade exige a coleta de algumas das informações mais confidenciais que uma empresa pode possuir. A coleta da imagem de um passaporte para cumprir uma obrigação cria um risco em relação à outra. Esse é um forte argumento a favor de extrair apenas os atributos necessários e reter o mínimo possível — e parte do motivo pelo qual processamento no próprio dispositivo é mais do que uma escolha artística.
O que a FTC não faz
Ela não supervisiona bancos. As instituições depositárias estão sujeitas às agências bancárias federais e ao CFPB. A jurisdição financeira da FTC abrange entidades não bancárias.
Não resolve reclamações individuais. O Sentinel fornece informações para investigações e ações de fiscalização; a apresentação de uma denúncia não garante um resultado no caso do denunciante, e a FTC não atua como representante do consumidor.
O site IdentityTheft.gov não resolve nada por si só. A empresa elabora um plano de recuperação e uma declaração juramentada que as instituições aceitam. O trabalho de contestar contas e corrigir registros ainda recai sobre a vítima.
Ela não certifica fornecedores. Não existe nenhuma lista aprovada pela FTC para produtos de verificação de identidade ou de segurança. Uma alegação de aprovação pela FTC se refere a algo que não existe.
Perguntas frequentes
O que é a Regra dos Sinais de Alerta?
Uma norma da FTC que exige que instituições financeiras e credores com contas abrangidas mantenham um programa escrito de prevenção de roubo de identidade — identificando sinais de alerta relevantes, detectando-os na prática, respondendo de forma adequada e atualizando o programa à medida que os riscos se alteram. O programa deve ser aprovado e supervisionado pelo conselho de administração ou pela alta administração.
A FTC regulamenta os bancos?
Não. Bancos, cooperativas de crédito e outras instituições depositárias são supervisionados pelas agências bancárias federais e pelo CFPB. A competência da FTC sobre serviços financeiros abrange entidades não bancárias — um grupo bastante amplo que inclui concessionárias de automóveis, corretores de hipotecas e profissionais especializados em declarações fiscais.
Até que ponto os números da FTC sobre perdas decorrentes de fraudes são confiáveis?
Esses dados são confiáveis como referência mínima e como tendência, mas não como medida. O Consumer Sentinel é um banco de dados de denúncias voluntárias, e os casos de fraude são substancialmente subnotificados; portanto, as perdas relatadas subestimam as perdas reais em uma margem desconhecida. Esses são os melhores dados disponíveis nos EUA e devem ser descritos como “relatados”, e não como “totais”.
O que a Regra de Salvaguardas exige?
Um programa escrito de segurança da informação para instituições financeiras não bancárias, nos termos da Lei Gramm-Leach-Bliley, com um profissional qualificado responsável por ele, avaliações periódicas por escrito dos riscos, controles de acesso, criptografia das informações dos clientes, autenticação multifatorial, supervisão dos prestadores de serviços e obrigações de notificação. A versão alterada é consideravelmente mais prescritiva do que a original.
Leitura relacionada
- Roubo de identidade — o que o site IdentityTheft.gov e a Regra dos Sinais de Alerta abordam
- Fraude de identidade por terceiros — a fase de utilização dos dados de identidade roubados
- Vazamento de dados — a exposição a que a Regra de Salvaguardas se destina
- Lei de Privacidade do Consumidor da Califórnia — o regime estadual que coexiste com a autoridade da FTC
