Resumo

  • O guia publicado pela Ofcom em setembro explica como provedores britânicos podem compartilhar dados relacionados a fraudes sob a legislação vigente. Ele não cria um dever geral de divulgar registros nem uma nova autorização para acessar dados de clientes.
  • O desafio operacional é manter cada informação precisa, proporcional e identificada como fato, indício ou suspeita — além de permitir sua correção se o alerta não tiver fundamento.

Uma fraude pode atravessar várias fronteiras antes que um provedor enxergue o quadro completo. Uma chamada passa por uma operadora de atacado, chega a um serviço de varejo, finge ser de um banco e leva a vítima a transferir dinheiro para outra instituição. Cada participante dispõe de um fragmento: um número, um padrão de tráfego, uma reclamação ou uma conta que recebeu o pagamento. A visão incompleta atrasa a detecção. A combinação dos fragmentos também pode fazer uma suspeita sobre pessoa ou empresa circular mais rápido e mais longe que as provas que a originaram.

Em setembro de 2026, a Ofcom anunciou um guia prático para provedores de comunicação do Reino Unido. O documento foi elaborado pela Comms Council UK, pelo Home Office e pela própria Ofcom, com contribuições do Information Commissioner’s Office (ICO). A Ofcom recomenda que as empresas considerem o guia. Essa elaboração conjunta, porém, não cria uma nova base legal para divulgação nem obriga o envio de todo registro suspeito. O documento mostra como usar estruturas já existentes e busca esclarecer quando, o que e como compartilhar.

A base jurídica mudou antes. A Data (Use and Access) Act 2025 incluiu o interesse legítimo reconhecido para o tratamento necessário à detecção, investigação ou prevenção de crimes, inclusive fraude. A disposição entrou em vigor em 5 de fevereiro de 2026. Segundo o guia, quem se baseia nessa hipótese não precisa fazer uma avaliação separada de interesse legítimo. A mudança elimina uma etapa processual relevante. Não autoriza enviar qualquer dado pessoal a qualquer destinatário: a necessidade continua sendo condição legal, e as demais regras de proteção de dados permanecem aplicáveis.

O guia pede que o provedor explique a decisão em termos concretos. Que dano pretende evitar? O compartilhamento pode ajudar? É possível atingir o objetivo com dados menos identificáveis? O destinatário é adequado? Cabem limites de acesso, anonimização, pseudonimização ou um acordo de compartilhamento? O que foi enviado, para quem, por qual motivo e com qual resultado esperado? As perguntas transformam “prevenção a fraudes” de uma justificativa genérica em decisão que pode ser revista depois.

O registro também precisa preservar as diferenças na evidência. O guia pede informações corretas, atuais e claramente separadas entre fato e suspeita. Um pico de tráfego, um identificador de chamada inválido ou uma reclamação pode ser um indício útil. Nenhum desses elementos, isoladamente, prova quem causou o evento, se um cliente agiu de propósito ou se uma empresa tem culpa. Uma notificação defensável descreve o que foi observado, quando e por quem, e indica inferências e incertezas. Se a suspeita depois se mostrar infundada, o provedor deve registrar isso e atualizar o esquema relevante.

Também é essencial distinguir anonimização de pseudonimização. Uma lista de telefones sem nomes pode parecer anônima e ainda ser dado pessoal, se o provedor ou destinatário puder ligar cada número a uma pessoa. Padrões agregados de chamadas também podem revelar identidades quando combinados com outras fontes. O guia recomenda reduzir a identificabilidade sempre que possível; usar token, hash ou agregação não dispensa a pergunta sobre o que o destinatário consegue deduzir.

Esquemas existentes ajudam as empresas a não reconstruir cada canal do zero. O guia separa órgãos de estratégia e coordenação, organizações de compartilhamento e pontos operacionais de entrada. Entre os exemplos estão Cifas, Telecommunications UK Fraud Forum, Cyber Defence Alliance e National Trading Standards. Os casos anexos descrevem trocas de números, registros de chamadas, domínios, palavras de mensagens maliciosas e outros dados. Um esquema consolidado pode oferecer destinatário e processo, mas não valida automaticamente toda alegação nem decide qual medida comercial outra empresa deve adotar.

Os anexos também mostram por que “impacto” precisa de qualificação. Um caso informa que 1.275 números foram retirados de uso no quarto trimestre de 2025 e que outros 300 a 400 eram retirados por mês, enquanto o problema continuava crescendo. Um exemplo da Cyber Defence Alliance diz que 491 empresas chamadas por um número ligado a vishing foram encaminhadas a bancos para monitoramento ou investigação; o próprio documento afirma que não havia dados sobre quantas sofreram fraude ou quantas perdas foram evitadas.

A Cifas informa dois milhões de casos ativos no National Fraud Database, 444 mil registros em 2025 e £2,1 bilhões em economias relatadas pelos membros.

Esses números descrevem atividade, alcance e escala operacional. Não usam um denominador comum e não são uma estimativa causal auditada das perdas evitadas. Retirar um número é uma entrega do processo; a quantidade de pessoas protegidas pode ser estimada; encaminhar um caso não confirma uma vítima; e a economia relatada pelos membros não equivale a uma análise contrafactual. O material serve como inventário de mecanismos em funcionamento, não como prova de eficácia uniforme.

O próprio guia reconhece questões que a proteção de dados não resolve. Direito concorrencial e direitos de defesa estão fora de seu escopo. O compartilhamento antifraude não deve servir de pretexto para concorrentes coordenarem exclusões comerciais. Os provedores devem separar o intercâmbio de inteligência de uma decisão coletiva de recusar interconexão ou negócios. Uma empresa acusada precisa entender e contestar a informação; se um cliente foi identificado por engano, a correção deve chegar à mesma rede que recebeu o alerta original.

Assim, o documento de setembro acrescenta conexões práticas a um sistema já formado por leis, reguladores, operadoras, bancos, organizações antifraude e autoridades de investigação. Sua contribuição é tornar o percurso jurídico e operacional mais claro, sobretudo para provedores pequenos. O sucesso deve ser medido pela qualidade das decisões e correções posteriores — não pela publicação do guia, pelo volume bruto de registros trocados ou por uma alegação sem ressalvas sobre o valor de fraudes evitadas.

Fontes: anúncio e guia da Ofcom; casos de apoio; Data (Use and Access) Act 2025, Schedule 4; regulamento de entrada em vigor.; orientação do ICO sobre pseudonimização; orientação do ICO sobre compartilhamento de dados pessoais contra golpes e fraudes; carta britânica do setor de telecomunicações contra fraudes; estratégia britânica contra fraudes 2026–2029; guia em PDF da Ofcom para provedores de telecomunicações