Instrução Normativa BCB nº 412/2023
Texto oficial
INSTRUÇÃO NORMATIVA BCB Nº 412, DE 26 DE SETEMBRO DE 2023
Estabelece os procedimentos operacionais para a comunicação aos titulares de dados pessoais em caso de ocorrência de incidente de segurança envolvendo banco de dados relacionado a componente ou a infraestrutura do Pix.
O Chefe do Departamento de Competição e de Estrutura do Mercado Financeiro (Decem), no uso das atribuições que lhe conferem os arts. 23, inciso I, alínea “a”, 94 e 95 do Regimento Interno do Banco Central do Brasil, anexo à Resolução BCB nº 340, de 21 de setembro de 2023, tendo em vista o disposto no art. 32, parágrafo único, do Regulamento anexo à Resolução BCB nº 1, de 12 de agosto de 2020,
R E S O L V E :
Art. 1º Esta Instrução Normativa estabelece os procedimentos operacionais para a comunicação aos titulares de contas transacionais em caso de ocorrência de incidente de segurança com dados pessoais envolvendo banco de dados relacionado a componente ou infraestrutura do Pix.
Art. 2º A comunicação de que trata o art. 1º compreende a transmissão de informação por participante do Pix aos titulares de dados potencialmente afetados em incidente de segurança relacionado ao Pix confirmado pelo Banco Central do Brasil.
Parágrafo único. O participante do Pix responsável por transmitir a informação será aquele que detiver a conta transacional do titular de dados potencialmente afetado pelo incidente de segurança, mesmo que ele não seja o responsável pelo incidente.
Art. 3º O Banco Central do Brasil solicitará, por meio do Sistema de Correio Eletrônico do Banco Central (BC Correio), que os participantes do Pix detentores de contas transacionais de usuários potencialmente afetados por incidente de segurança procedam com a transmissão da informação aos titulares.
Parágrafo único. Na mensagem a ser enviada pelo BC Correio, o Banco Central do Brasil proverá as orientações necessárias para a devida comunicação.
Art. 4º O Banco Central do Brasil identificará para cada participante do Pix os titulares de dados que devem ser comunicados.
§ 1º A identificação de que trata o caput compreende o envio individual a cada participante do Pix, por meio do Sistema de Transferência de Arquivos (STA), de arquivo tipo APIX003 com a relação de chaves Pix cujos titulares devem ser comunicados.
§ 2º Os arquivos tipo APIX003 correspondentes a cooperativas filiadas a sistemas cooperativos serão consolidados em um único arquivo APIX003 que será enviado ao respectivo sistema cooperativo.
§ 3º Os arquivos tipo APIX003 deverão ser baixados pelos usuários do participante do Pix credenciados no STA com o perfil SPIX003.
§ 4º A comunicação aos titulares de dados potencialmente afetados deve ser realizada ainda que eventual chave Pix relacionada no arquivo APIX003 não esteja mais vinculada a uma conta transacional mantida no Participante do Pix, desde que o relacionamento com o titular da chave Pix ainda exista.
Art. 5º A comunicação será feita no prazo definido pelo Banco Central do Brasil a cada evento e informado na mensagem de que trata o art. 3º, e deverá mencionar, no mínimo:
I - as informações sobre o incidente;
II - a descrição dos dados pessoais potencialmente afetados e da sua natureza; e
III - os riscos relacionados ao incidente.
Parágrafo único. O Banco Central do Brasil poderá, a seu critério, estabelecer outros aspectos a serem incorporados na comunicação, a depender do incidente de segurança.
Art. 6º A comunicação deve utilizar linguagem clara e deve ser feita de maneira individual e diretamente aos titulares dos dados, preferencialmente por meio do canal habitualmente utilizado pelo participante do Pix para se comunicar com o usuário, que seja acessado pelo cliente após a devida autenticação em ambiente seguro.
Art. 7º O Banco Central do Brasil poderá solicitar aos participantes do Pix, a qualquer tempo, cópia da comunicação realizada aos titulares de dados potencialmente afetados.
Art. 8º Esta Instrução Normativa entra em vigor na data de sua publicação.
Carlos
Eduardo de Andrade Brandt Silva
Chefe do Departamento
de Competição e de Estrutura do Mercado Financeiro substituto
NOTA
O Decreto nº 10.411, de 30 de junho de 2020, prevê a obrigatoriedade da realização de análise de impacto regulatório (AIR) para a edição de atos normativos de interesse geral produzidos pelos órgãos e entidades da administração pública federal direta e indireta.
Todavia, consoante se definiu no parágrafo 8 do Voto 280/2021–BCB, de 10 de novembro de 2021, o Regulamento do Pix, inclusive os demais documentos que o integram ou que o detalham e o complementam, não se caracterizam como ato regulatório de força cogente, ostentando, em verdade, natureza eminentemente contratual. Assim, modificações promovidas no referido regulamento e nos demais documentos que o integram ou que o detalham e o complementam não se sujeitam à produção prévia de AIR.
Em razão da urgência em comunicar-se aos titulares de dados potencialmente afetados pelo incidente de segurança tratado pelo Voto 140/2023-BCB, esta instrução normativa entrará em vigor na data de sua publicação. A tempestividade na comunicação é essencial para que os titulares possam tratar adequadamente os riscos relacionados ao incidente.
Carlos
Eduardo de Andrade Brandt Silva
Chefe do Departamento
de Competição e de Estrutura do Mercado Financeiro substituto
Consultar texto extraído e links por dispositivo
A extração facilita a consulta e as citações. A apresentação original está acima.
Documento preservado da captura indicada. A transcrição por dispositivo está disponível para consulta e citações. O que o Guia Pix interpreta fica nas leituras por perfil — nunca aqui.
Visão geral
- Situação em 04/10/2026
- Vigente desde 28/09/2023
- Versão do texto
- consolidada v1 · 9 dispositivos/trechos
- Relações
- 0 atos · 0 temas
- Citar como
- IN 412/2023 (consolidada v1)
Leituras por perfil
Leitura Guia Pix, separada do texto oficial e sempre com a fonte.
Escolha seu perfil para abrir a leitura desta norma.
A leitura deste perfil ainda não foi publicada para a captura exibida.Consultar o texto oficial.
IN 412 para Jurídico: incidente confirmado e titular afetado
Jurídico e compliance
Comunicação alcança titulares potencialmente afetados em incidente Pix confirmado pelo BC. O detentor da conta comunica ainda que não tenha causado o incidente.
| Quem | Dever | Fonte |
|---|---|---|
| Participante detentor da conta do titular potencialmente afetado | Transmitir informação sobre incidente Pix confirmado pelo BC, mesmo sem responsabilidade pelo incidente, conforme orientação recebida. | IN BCB 412/2023, art. 2ºIN BCB 412/2023, art. 3º |
| Participante abrangido | Baixar APIX003 pelo STA com perfil SPIX003 e comunicar titulares identificados, inclusive chave desvinculada se o relacionamento persiste. | IN BCB 412/2023, art. 4º |
| Participante que comunica | Incluir incidente, dados/natureza e riscos; comunicar individualmente, diretamente, com linguagem clara e canal seguro preferencial indicado. Prazo: Prazo definido pelo BC para cada evento.. | IN BCB 412/2023, art. 5ºIN BCB 412/2023, art. 6º |
- O procedimento trata de incidente com dados pessoais em banco de dados ligado a componente ou infraestrutura Pix, confirmado pelo BC. Comunica o participante detentor da conta do titular potencialmente afetado, mesmo quando não responsável pelo incidente. IN BCB 412/2023, preâmbuloIN BCB 412/2023, art. 1ºIN BCB 412/2023, art. 2º
- BC solicita a transmissão por BC Correio, com orientações necessárias. Identifica destinatários por arquivo APIX003 enviado individualmente via STA; cooperativas filiadas têm arquivo consolidado ao sistema cooperativo. Usuários credenciados com perfil SPIX003 baixam os arquivos. IN BCB 412/2023, art. 3ºIN BCB 412/2023, art. 4º
- O aviso ainda deve ocorrer se a chave listada não está mais ligada a conta mantida no participante, desde que o relacionamento com o titular continue. Não se limita a chaves atualmente vinculadas nem se amplia a qualquer ex-cliente sem o recorte. IN BCB 412/2023, art. 4º
- Prazo é definido pelo BC para cada evento e informado na mensagem. Conteúdo mínimo: informações sobre incidente, dados pessoais potencialmente afetados e sua natureza, e riscos relacionados. BC pode incluir outros aspectos conforme o caso. IN BCB 412/2023, art. 3ºIN BCB 412/2023, art. 5º
- Comunicação é individual, direta e em linguagem clara. Preferencialmente usa canal habitual acessado pelo cliente após autenticação em ambiente seguro; isso não impõe exclusivamente um canal nominal específico. IN BCB 412/2023, art. 6º
- BC pode pedir cópia da comunicação a qualquer tempo. A IN vigora desde publicação; confirmação e orientações do incidente são necessárias, sem prazo genérico em horas ou garantia de que houve uso indevido dos dados. IN BCB 412/2023, art. 7ºIN BCB 412/2023, art. 8ºIN BCB 412/2023, art. 2ºIN BCB 412/2023, art. 3ºIN BCB 412/2023, art. 5º
O que esta leitura não diz. Não há comunicação irrestrita para qualquer incidente bancário nem prazo universal; obrigações de outras normas não estão consolidadas aqui.
ININ BCB 412/2023consolidada v1(abre o documento oficial no site do Banco Central)snapshot
Sem revisão humana · confira a fonte
Gerada e revisada por IA (gpt-6), sem revisão humana. Confira a fonte. · 30/09/2026 Como funciona a revisão.
Reportar erro nesta leitura · abre seu e-mail para contato@guiapix.com.br
IN 412 para Produto: aviso depende do evento e vínculo
Produto
O aviso acompanha incidente confirmado e destinatários indicados pelo BC; chave desvinculada não impede comunicação se o relacionamento permanece.
- O procedimento trata de incidente com dados pessoais em banco de dados ligado a componente ou infraestrutura Pix, confirmado pelo BC. Comunica o participante detentor da conta do titular potencialmente afetado, mesmo quando não responsável pelo incidente. IN BCB 412/2023, preâmbuloIN BCB 412/2023, art. 1ºIN BCB 412/2023, art. 2º
- BC solicita a transmissão por BC Correio, com orientações necessárias. Identifica destinatários por arquivo APIX003 enviado individualmente via STA; cooperativas filiadas têm arquivo consolidado ao sistema cooperativo. Usuários credenciados com perfil SPIX003 baixam os arquivos. IN BCB 412/2023, art. 3ºIN BCB 412/2023, art. 4º
- O aviso ainda deve ocorrer se a chave listada não está mais ligada a conta mantida no participante, desde que o relacionamento com o titular continue. Não se limita a chaves atualmente vinculadas nem se amplia a qualquer ex-cliente sem o recorte. IN BCB 412/2023, art. 4º
- Prazo é definido pelo BC para cada evento e informado na mensagem. Conteúdo mínimo: informações sobre incidente, dados pessoais potencialmente afetados e sua natureza, e riscos relacionados. BC pode incluir outros aspectos conforme o caso. IN BCB 412/2023, art. 3ºIN BCB 412/2023, art. 5º
- Comunicação é individual, direta e em linguagem clara. Preferencialmente usa canal habitual acessado pelo cliente após autenticação em ambiente seguro; isso não impõe exclusivamente um canal nominal específico. IN BCB 412/2023, art. 6º
- BC pode pedir cópia da comunicação a qualquer tempo. A IN vigora desde publicação; confirmação e orientações do incidente são necessárias, sem prazo genérico em horas ou garantia de que houve uso indevido dos dados. IN BCB 412/2023, art. 7ºIN BCB 412/2023, art. 8ºIN BCB 412/2023, art. 2ºIN BCB 412/2023, art. 3ºIN BCB 412/2023, art. 5º
O que esta leitura não diz. Não há garantia de dano efetivo, canal exclusivo ou dispensa por não ter causado o incidente.
ININ BCB 412/2023consolidada v1(abre o documento oficial no site do Banco Central)snapshot
Sem revisão humana · confira a fonte
Gerada e revisada por IA (gpt-6), sem revisão humana. Confira a fonte. · 30/09/2026 Como funciona a revisão.
Reportar erro nesta leitura · abre seu e-mail para contato@guiapix.com.br
IN 412 para Engenharia: STA e seleção de destinatários
Engenharia
A relação chega via APIX003/STA, com perfil SPIX003 e consolidação cooperativa. O fluxo segue orientação BC Correio, sem payload completo definido aqui.
| Quem | Dever | Fonte |
|---|---|---|
| Participante detentor da conta do titular potencialmente afetado | Transmitir informação sobre incidente Pix confirmado pelo BC, mesmo sem responsabilidade pelo incidente, conforme orientação recebida. | IN BCB 412/2023, art. 2ºIN BCB 412/2023, art. 3º |
| Participante abrangido | Baixar APIX003 pelo STA com perfil SPIX003 e comunicar titulares identificados, inclusive chave desvinculada se o relacionamento persiste. | IN BCB 412/2023, art. 4º |
| Participante que comunica | Incluir incidente, dados/natureza e riscos; comunicar individualmente, diretamente, com linguagem clara e canal seguro preferencial indicado. Prazo: Prazo definido pelo BC para cada evento.. | IN BCB 412/2023, art. 5ºIN BCB 412/2023, art. 6º |
- O procedimento trata de incidente com dados pessoais em banco de dados ligado a componente ou infraestrutura Pix, confirmado pelo BC. Comunica o participante detentor da conta do titular potencialmente afetado, mesmo quando não responsável pelo incidente. IN BCB 412/2023, preâmbuloIN BCB 412/2023, art. 1ºIN BCB 412/2023, art. 2º
- BC solicita a transmissão por BC Correio, com orientações necessárias. Identifica destinatários por arquivo APIX003 enviado individualmente via STA; cooperativas filiadas têm arquivo consolidado ao sistema cooperativo. Usuários credenciados com perfil SPIX003 baixam os arquivos. IN BCB 412/2023, art. 3ºIN BCB 412/2023, art. 4º
- O aviso ainda deve ocorrer se a chave listada não está mais ligada a conta mantida no participante, desde que o relacionamento com o titular continue. Não se limita a chaves atualmente vinculadas nem se amplia a qualquer ex-cliente sem o recorte. IN BCB 412/2023, art. 4º
- Prazo é definido pelo BC para cada evento e informado na mensagem. Conteúdo mínimo: informações sobre incidente, dados pessoais potencialmente afetados e sua natureza, e riscos relacionados. BC pode incluir outros aspectos conforme o caso. IN BCB 412/2023, art. 3ºIN BCB 412/2023, art. 5º
- Comunicação é individual, direta e em linguagem clara. Preferencialmente usa canal habitual acessado pelo cliente após autenticação em ambiente seguro; isso não impõe exclusivamente um canal nominal específico. IN BCB 412/2023, art. 6º
- BC pode pedir cópia da comunicação a qualquer tempo. A IN vigora desde publicação; confirmação e orientações do incidente são necessárias, sem prazo genérico em horas ou garantia de que houve uso indevido dos dados. IN BCB 412/2023, art. 7ºIN BCB 412/2023, art. 8ºIN BCB 412/2023, art. 2ºIN BCB 412/2023, art. 3ºIN BCB 412/2023, art. 5º
O que esta leitura não diz. Não há layout de APIX003, endpoint, algoritmo de correspondência ou SLA de entrega do arquivo.
ININ BCB 412/2023consolidada v1(abre o documento oficial no site do Banco Central)snapshot
Sem revisão humana · confira a fonte
Gerada e revisada por IA (gpt-6), sem revisão humana. Confira a fonte. · 30/09/2026 Como funciona a revisão.
Reportar erro nesta leitura · abre seu e-mail para contato@guiapix.com.br
IN 412 para UX: aviso claro, individual e seguro
UX
O aviso é claro, individual e direto, preferencialmente no canal habitual autenticado. Conteúdo e prazo têm orientação específica do BC.
- O procedimento trata de incidente com dados pessoais em banco de dados ligado a componente ou infraestrutura Pix, confirmado pelo BC. Comunica o participante detentor da conta do titular potencialmente afetado, mesmo quando não responsável pelo incidente. IN BCB 412/2023, preâmbuloIN BCB 412/2023, art. 1ºIN BCB 412/2023, art. 2º
- BC solicita a transmissão por BC Correio, com orientações necessárias. Identifica destinatários por arquivo APIX003 enviado individualmente via STA; cooperativas filiadas têm arquivo consolidado ao sistema cooperativo. Usuários credenciados com perfil SPIX003 baixam os arquivos. IN BCB 412/2023, art. 3ºIN BCB 412/2023, art. 4º
- O aviso ainda deve ocorrer se a chave listada não está mais ligada a conta mantida no participante, desde que o relacionamento com o titular continue. Não se limita a chaves atualmente vinculadas nem se amplia a qualquer ex-cliente sem o recorte. IN BCB 412/2023, art. 4º
- Prazo é definido pelo BC para cada evento e informado na mensagem. Conteúdo mínimo: informações sobre incidente, dados pessoais potencialmente afetados e sua natureza, e riscos relacionados. BC pode incluir outros aspectos conforme o caso. IN BCB 412/2023, art. 3ºIN BCB 412/2023, art. 5º
- Comunicação é individual, direta e em linguagem clara. Preferencialmente usa canal habitual acessado pelo cliente após autenticação em ambiente seguro; isso não impõe exclusivamente um canal nominal específico. IN BCB 412/2023, art. 6º
- BC pode pedir cópia da comunicação a qualquer tempo. A IN vigora desde publicação; confirmação e orientações do incidente são necessárias, sem prazo genérico em horas ou garantia de que houve uso indevido dos dados. IN BCB 412/2023, art. 7ºIN BCB 412/2023, art. 8ºIN BCB 412/2023, art. 2ºIN BCB 412/2023, art. 3ºIN BCB 412/2023, art. 5º
O que esta leitura não diz. Não há texto literal, cor, tela completa ou canal nominal obrigatório. Não se deve afirmar dano confirmado só por potencial afetação.
ININ BCB 412/2023consolidada v1(abre o documento oficial no site do Banco Central)snapshot
Sem revisão humana · confira a fonte
Gerada e revisada por IA (gpt-6), sem revisão humana. Confira a fonte. · 30/09/2026 Como funciona a revisão.
Reportar erro nesta leitura · abre seu e-mail para contato@guiapix.com.br
IN 412 para Operações: orientação BC e execução do aviso
Operações e atendimento
BC Correio orienta prazo e comunicação; STA identifica titulares. É preciso observar relação existente e atender eventual requisição de cópia.
| Quem | Dever | Fonte |
|---|---|---|
| Participante detentor da conta do titular potencialmente afetado | Transmitir informação sobre incidente Pix confirmado pelo BC, mesmo sem responsabilidade pelo incidente, conforme orientação recebida. | IN BCB 412/2023, art. 2ºIN BCB 412/2023, art. 3º |
| Participante abrangido | Baixar APIX003 pelo STA com perfil SPIX003 e comunicar titulares identificados, inclusive chave desvinculada se o relacionamento persiste. | IN BCB 412/2023, art. 4º |
| Participante que comunica | Incluir incidente, dados/natureza e riscos; comunicar individualmente, diretamente, com linguagem clara e canal seguro preferencial indicado. Prazo: Prazo definido pelo BC para cada evento.. | IN BCB 412/2023, art. 5ºIN BCB 412/2023, art. 6º |
- O procedimento trata de incidente com dados pessoais em banco de dados ligado a componente ou infraestrutura Pix, confirmado pelo BC. Comunica o participante detentor da conta do titular potencialmente afetado, mesmo quando não responsável pelo incidente. IN BCB 412/2023, preâmbuloIN BCB 412/2023, art. 1ºIN BCB 412/2023, art. 2º
- BC solicita a transmissão por BC Correio, com orientações necessárias. Identifica destinatários por arquivo APIX003 enviado individualmente via STA; cooperativas filiadas têm arquivo consolidado ao sistema cooperativo. Usuários credenciados com perfil SPIX003 baixam os arquivos. IN BCB 412/2023, art. 3ºIN BCB 412/2023, art. 4º
- O aviso ainda deve ocorrer se a chave listada não está mais ligada a conta mantida no participante, desde que o relacionamento com o titular continue. Não se limita a chaves atualmente vinculadas nem se amplia a qualquer ex-cliente sem o recorte. IN BCB 412/2023, art. 4º
- Prazo é definido pelo BC para cada evento e informado na mensagem. Conteúdo mínimo: informações sobre incidente, dados pessoais potencialmente afetados e sua natureza, e riscos relacionados. BC pode incluir outros aspectos conforme o caso. IN BCB 412/2023, art. 3ºIN BCB 412/2023, art. 5º
- Comunicação é individual, direta e em linguagem clara. Preferencialmente usa canal habitual acessado pelo cliente após autenticação em ambiente seguro; isso não impõe exclusivamente um canal nominal específico. IN BCB 412/2023, art. 6º
- BC pode pedir cópia da comunicação a qualquer tempo. A IN vigora desde publicação; confirmação e orientações do incidente são necessárias, sem prazo genérico em horas ou garantia de que houve uso indevido dos dados. IN BCB 412/2023, art. 7ºIN BCB 412/2023, art. 8ºIN BCB 412/2023, art. 2ºIN BCB 412/2023, art. 3ºIN BCB 412/2023, art. 5º
O que esta leitura não diz. Não há prazo fixo em horas, SLA de resposta BC ou formulário de comprovação especificado.
ININ BCB 412/2023consolidada v1(abre o documento oficial no site do Banco Central)snapshot
Sem revisão humana · confira a fonte
Gerada e revisada por IA (gpt-6), sem revisão humana. Confira a fonte. · 30/09/2026 Como funciona a revisão.
Reportar erro nesta leitura · abre seu e-mail para contato@guiapix.com.br
Linha do tempo desta norma
Nenhuma relação registrada. As relações vêm do que o próprio Bacen informa (referências, atualizações e atos que alteram esta norma).
Versões
- Versão consolidada v1Vigentedesde 28/09/2023