Uruguai: SENACLAFT esclarece DDC após vazamento

A SENACLAFT do Uruguai publicou em 4 de setembro um comunicado oficial com esclarecimentos sobre o uso de procedimentos de diligência do cliente, ou DDC, executados por terceiros. A comunicação foi divulgada no portal do governo uruguaio e também na seção de notícias institucionais, com foco no ecossistema regulado e nos sujeitos obrigados em matéria de prevenção à lavagem de dinheiro e ao financiamento do terrorismo.

O que a SENACLAFT esclareceu sobre a diligência terceirizada?

A SENACLAFT detalhou como os procedimentos de DDC realizados por terceiros podem ser usados dentro do marco de compliance vigente. O comunicado oficial veio acompanhado de um PDF com "precisiones acerca de la utilización" desses procedimentos, com foco em antilavagem e prevenção ao financiamento do terrorismo.

A publicação institucional também destacou que a diligência terceirizada segue sob responsabilidade do sujeito obrigado. Em outras palavras, mesmo quando parte do processo é executada por um terceiro, o enquadramento regulatório não é transferido nem diluído por isso.

O que aconteceu com o escritório jurídico e contábil uruguaio?

O El Observador informou em 8 de setembro sobre a invasão e o vazamento de 300 GB de informação de um escritório jurídico e contábil uruguaio. Segundo a cobertura, não foi encontrada evidência de exposição de credenciais, senhas, chaves de acesso, informações bancárias específicas nem documentos de identidade concretos.

A nota se soma a um alerta divulgado por uma conta de inteligência de ameaças no X, a VECERTRadar, que indicou que o ator cutzinger afirmou ter exposto dados do Uruguai. Esse reporte esclareceu que o incidente ainda não tinha confirmação independente e que não havia verificação técnica externa sobre o alcance real do suposto vazamento.

Qual é a relação entre os dois fatos?

Os dois movimentos ocorreram no mesmo ambiente regulado uruguaio e colocaram em evidência a gestão de terceiros e de informações sensíveis. De um lado, a SENACLAFT reforçou oficialmente como a diligência terceirizada deve ser entendida. De outro, um vazamento atribuído a um escritório local recolocou em debate o tratamento de dados em serviços profissionais sujeitos a obrigações de compliance.