EMENTA
Altera a Lei nº 8.078, de 11 de setembro de 1990, para dispor sobre o dever de segurança na identificação e prevenção de operações financeiras e de pagamento atípicas.

PALAVRAS-CHAVE
alteração; Código de Defesa do Consumidor (1990); obrigatoriedade; Instituição financeira; Instituição de pagamento (IP); identificação; prevenção; Fraude bancária; Operação financeira

INTEIRO TEOR
## PROJETO DE LEI Nº , DE 2026

(Do Sr. CARLOS HENRIQUE GAGUIM)

Altera a Lei nº 8.078, de 11 de setembro de 1990, para dispor sobre o dever de segurança na identificação e prevenção de operações financeiras e de pagamento atípicas.

O Congresso Nacional decreta:

Art. 1º Esta Lei estabelece medidas destinadas à prevenção de fraudes em operações financeiras e de pagamento, mediante o aperfeiçoamento do dever de segurança dos fornecedores desses serviços.

Art. 2º A Lei nº 8.078, de 11 de setembro de 1990 – Código de

Defesa do Consumidor, passa a vigorar acrescida do seguinte art. 14-A:

“Art. 14-A. As instituições financeiras, as instituições de pagamento e as demais instituições autorizadas a funcionar pelo Banco Central do

Brasil deverão adotar mecanismos de segurança aptos a monitorar e identificar operações que apresentem indícios relevantes de fraude ou que destoem de forma significativa do perfil habitual de utilização dos produtos e serviços pelo consumidor.

## § 1º Para os fins do caput, a identificação de operações atípicas

considerará, entre outros elementos pertinentes ao caso concreto:

I – o valor e a frequência das operações;

II – a natureza e o objeto das transações;

III – a sequência e o intervalo temporal entre as operações;

IV – o histórico de utilização dos produtos, serviços e canais de atendimento e transação pelo consumidor;

V – a localização associada à realização das operações, quando disponível, considerada em conjunto com os demais elementos de

*CD263721775400* segurança e com o histórico de utilização dos produtos e serviços pelo consumidor;

VI – circunstâncias que indiquem situação de vulnerabilidade acrescida do consumidor, inclusive em razão da idade ou de seu perfil habitual de utilização de canais digitais, quando conhecidas pela instituição e pertinentes à avaliação do risco da operação; e

VII – outros elementos que, isolada ou conjuntamente, revelem incompatibilidade relevante com o padrão habitual de movimentação do consumidor ou indícios de fraude.

§ 2º Identificada operação com as características previstas no caput, o fornecedor adotará medidas de segurança compatíveis com o risco identificado, inclusive procedimentos adicionais de autenticação ou confirmação da regularidade da operação, podendo suspender cautelarmente sua execução pelo tempo estritamente necessário à realização dessas providências.

## § 3º A definição e a aplicação dos mecanismos de que trata este

artigo deverão observar critérios de proporcionalidade e adequação ao risco, consideradas, quando pertinentes, as circunstâncias de vulnerabilidade acrescida do consumidor, de modo a conciliar a prevenção de fraudes com a regular prestação dos serviços e a legítima utilização dos produtos e serviços pelo consumidor.

## § 4º O tratamento de dados pessoais realizado para os fins previstos

neste artigo observará o disposto na Lei nº 13.709, de 14 de agosto de 2018 – Lei Geral de Proteção de Dados Pessoais (LGPD), especialmente os princípios da finalidade, adequação, necessidade, segurança, prevenção e não discriminação.

## § 5º A ausência ou a inadequação dos mecanismos e procedimentos

de segurança previstos neste artigo, quando aptos a identificar ou impedir operação fraudulenta que apresente incompatibilidade relevante com o perfil habitual do consumidor, caracteriza defeito na prestação do serviço, observado o disposto no art. 14 e consideradas as circunstâncias do caso concreto.

## § 6º O disposto neste artigo não afasta a aplicação das normas

editadas pelo Conselho Monetário Nacional e pelo Banco Central do

*CD263721775400*

Brasil relativas à segurança, à prevenção de fraudes e à prestação de serviços financeiros e de pagamento.”

Art. 3º Esta lei entra em vigor após decorridos noventa dias de sua publicação oficial.

## JUSTIFICAÇÃO

A crescente digitalização dos serviços financeiros trouxe ganhos expressivos de rapidez, conveniência e inclusão, mas também ampliou a exposição dos consumidores a fraudes, especialmente aquelas praticadas mediante engenharia social, apropriação de credenciais e indução à realização de operações. Em muitos casos, essas fraudes produzem movimentações que, por seu valor, frequência, natureza, sequência temporal ou localização, destoam significativamente do histórico de utilização dos serviços pelo consumidor.

A responsabilidade das instituições financeiras por falhas de segurança relacionadas a fraudes praticadas por terceiros encontra fundamento consolidado na jurisprudência do Superior Tribunal de Justiça. A

Súmula nº 479 do STJ estabelece que as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Esse entendimento foi desenvolvido, entre outros julgados, no REsp nº

2.052.228/DF, da Terceira Turma, sob a relatoria da Ministra Nancy Andrighi, no qual se reconheceu que o dever de segurança compreende a adoção de mecanismos capazes de identificar e obstar movimentações que destoem do perfil do consumidor, especialmente quanto ao valor, à frequência e ao objeto das transações.

A proposta busca conferir expressão legal a esse dever, sem instituir responsabilidade automática das instituições por toda fraude praticada por terceiros. A opção por inserir a disciplina no Código de Defesa do

Consumidor preserva a lógica de seu art. 14: não se cria regime autônomo de responsabilidade civil, mas se detalha, para os serviços financeiros e de

*CD263721775400* pagamento, uma dimensão do dever de segurança que a jurisprudência extraiu do regime geral de responsabilidade pelo fato do serviço.

Embora o CDC seja diploma de caráter predominantemente principiológico e transversal, o próprio Código confere tratamento específico a situações em que a complexidade das relações, a assimetria entre as partes e o potencial de danos justificam disciplina mais detalhada. É o que ocorre com os serviços financeiros, como demonstram o art. 52 e, mais recentemente, as disposições introduzidas pela Lei nº 14.181, de 1º de julho de 2021, especialmente o Capítulo VI-A, relativo à prevenção e ao tratamento do superendividamento.

A proposta prevê, assim, que o monitoramento considere elementos capazes de revelar a atipicidade das operações, como valor, frequência, natureza, sequência temporal, localização e histórico de utilização dos serviços e dos canais digitais. Também permite considerar situações de vulnerabilidade acrescida conhecidas pela instituição e pertinentes à avaliação do risco. Esse aspecto encontra respaldo no próprio REsp nº 2.052.228/DF, no qual o STJ conferiu especial relevância à condição de pessoa idosa e de “imigrante digital” do consumidor, reconhecendo sua peculiar situação de hipervulnerabilidade.

O tratamento de dados pessoais necessário à implementação desses mecanismos deverá observar integralmente a Lei nº 13.709, de 14 de agosto de 2018 – LGPD. Busca-se, dessa forma, compatibilizar a utilização de dados necessária à prevenção de fraudes com a proteção da privacidade e dos direitos dos titulares, especialmente à luz dos princípios da finalidade, adequação, necessidade, segurança, prevenção e não discriminação.

É importante destacar que a proposta tampouco modifica o regime probatório estabelecido pelo Código de Defesa do Consumidor.

Permanece aplicável o art. 6º, inciso VIII, que assegura a facilitação da defesa dos direitos do consumidor, inclusive mediante a inversão do ônus da prova, quando presentes os requisitos legais. Essa preservação assume especial relevância na matéria, pois as informações relativas aos mecanismos de detecção de fraude, registros de autenticação, parâmetros de segurança e

*CD263721775400* procedimentos adotados diante de determinada operação encontram-se, em regra, sob domínio técnico e informacional do fornecedor. A nova disciplina, portanto, explicita o dever material de segurança sem restringir as garantias processuais já asseguradas pelo CDC.

Por fim, preserva-se a competência do Conselho Monetário

Nacional e do Banco Central do Brasil para disciplinar os aspectos técnicos, prudenciais e operacionais da matéria. A lei estabelece o dever jurídico de segurança e suas consequências na relação de consumo, sem cristalizar tecnologias ou procedimentos específicos de prevenção a fraudes, que devem permanecer sujeitos à regulamentação e à contínua evolução tecnológica.

Dada a relevância da matéria, conto com o apoio dos nobres pares para sua aprovação.

Sala das Sessões, em de de 2026.

Deputado CARLOS HENRIQUE GAGUIM

*CD263721775400*