Entidades Obrigadas a Aplicar KYC em Portugal e na Europa

Lista completa das entidades obrigadas a cumprir a regulamentação KYC e AML segundo a legislação portuguesa e as diretivas europeias.

Quem é obrigado a fazer KYC

A regulamentação contra o branqueamento de capitais estabelece uma lista de entidades obrigadas: organizações e profissionais que devem implementar processos de KYC e cumprir as obrigações de prevenção.

Em Portugal, esta lista está definida no artigo 4.º da Lei n.º 83/2017 de prevenção do branqueamento de capitais e do financiamento do terrorismo. A supervisão é assegurada pela UIF — Unidade de Informação Financeira (integrada na Polícia Judiciária), pelo Banco de Portugal, pela CMVM, pela ASF e por outras autoridades setoriais.

No Brasil, o COAF — Conselho de Controle de Atividades Financeiras desempenha funções equivalentes, ao abrigo da Lei n.º 9.613/1998 e regulamentação do Banco Central.

Entidades obrigadas em Portugal

Instituições financeiras

São as entidades obrigadas tradicionais e as que têm obrigações mais rigorosas:

Bancos e instituições de crédito — Obrigados a verificar a identidade de todos os clientes ao abrir contas, conceder crédito ou realizar transferências. Ver solução bancária.
Instituições de pagamento e de moeda eletrónica — Inclui neobancos e plataformas de pagamento. Ver solução fintech.
Empresas de investimento — Gestoras de fundos, sociedades corretoras, plataformas de crowdfunding.
Companhias de seguros — Especialmente em produtos de vida e capitalização. Ver solução insurtech.

Prestadores de serviços sobre criptoativos

Desde a transposição da AMLD5, os exchanges de criptomoedas, custódios e prestadores de serviços de carteiras virtuais estão plenamente sujeitos. A regulamentação MiCA reforçou estas obrigações a nível europeu.

Ver solução para cripto e Web3.

Setor imobiliário

Os agentes imobiliários e promotores estão obrigados quando intermediam operações de compra e venda de imóveis, independentemente do montante da transação.

Ver solução imobiliária.

Comerciantes de bens de elevado valor

Qualquer pessoa singular ou coletiva que comercialize bens quando o pagamento seja efetuado em numerário por montante igual ou superior a 15.000 euros (sendo que o novo pacote AML da UE prevê um limite de 10.000 euros). Isto inclui:

Joalharias e relojoarias
Galerias de arte e casas de leilões
Concessionários de veículos de luxo
Comerciantes de pedras e metais preciosos

Ver solução para luxo.

Jogo e apostas

Os casinos (físicos e online), casas de apostas e operadores de jogo licenciados pelo SRIJ (Serviço de Regulação e Inspeção de Jogos) estão obrigados a verificar a identidade e a idade de todos os participantes.

Ver solução para gaming.

Profissionais independentes

Vários grupos profissionais têm obrigações KYC:

Notários e conservadores — Em todas as operações que autenticam ou registam.
Advogados e solicitadores — Quando participam em operações financeiras, imobiliárias ou societárias.
Revisores oficiais de contas e contabilistas certificados — No exercício da sua atividade profissional.
Consultores fiscais — Quando assessoram em planeamento fiscal ou estruturas societárias.

Setor hoteleiro e de alojamento

Os estabelecimentos de alojamento estão obrigados a registar e verificar a identidade dos hóspedes, cumprindo a regulamentação do SEF/AIMA e as obrigações de comunicação ao Sistema de Informação de Boletins de Alojamento (SIBA).

Ver solução para hotelaria.

Obrigações segundo o nível de risco

A regulamentação estabelece três níveis de diligência:

Diligência simplificada

Aplicável quando o risco é baixo:

Clientes conhecidos com historial limpo
Operações de baixo montante
Produtos financeiros de baixo risco

Diligência normal (CDD)

O padrão para a maioria das operações:

Identificação formal do cliente
Verificação documental
Registo do propósito da relação comercial

Diligência reforçada (EDD)

Obrigatória em situações de alto risco:

Pessoas Politicamente Expostas (PEP)
Clientes de países de alto risco (lista do GAFI/FATF)
Operações invulgarmente complexas ou de grande montante
Correspondência bancária com entidades de países terceiros

Obrigações concretas das entidades obrigadas

Toda a entidade obrigada deve:

Identificar o cliente antes de estabelecer a relação de negócio.
Verificar a identidade mediante documentos fiáveis e independentes.
Identificar o beneficiário efetivo quando o cliente atue por conta de terceiro.
Conhecer o propósito da relação de negócio.
Monitorizar as operações de forma contínua.
Comunicar operações suspeitas à UIF (Portugal) ou ao COAF (Brasil).
Conservar a documentação durante um mínimo de 7 anos (Portugal) ou 10 anos (conforme a legislação aplicável).
Formar os colaboradores em matéria de prevenção.
Designar um responsável pelo cumprimento normativo perante as autoridades competentes.

Sanções por incumprimento

Tipo de infração	Sanção em Portugal
Leve	Até 25.000 EUR
Grave	Até 2.500.000 EUR
Muito grave	Até 5.000.000 EUR ou o dobro do benefício obtido

Além disso, as infrações graves e muito graves podem implicar:

Admoestação pública
Revogação de licenças
Responsabilidade criminal dos administradores
Proibição de exercício de funções de administração

Perguntas frequentes

As startups e PME também estão obrigadas?

Sim, se a sua atividade estiver abrangida pelo artigo 4.º da Lei n.º 83/2017. A dimensão da empresa não isenta do cumprimento. Existem soluções KYC adaptadas a PME que permitem cumprir sem grandes investimentos.

Os marketplaces estão obrigados?

Depende. Se o marketplace intermedia pagamentos ou comercializa bens de elevado valor, sim. Na prática, cada vez mais marketplaces implementam KYC voluntariamente para reduzir a fraude e gerar confiança.

E quanto às operações em criptomoedas?

Desde 2020, todos os prestadores de serviços sobre criptoativos estão plenamente sujeitos. A regulamentação MiCA unificou as obrigações a nível europeu, eliminando as diferenças entre Estados-Membros.

Com que frequência devo atualizar o KYC dos meus clientes?

A regulamentação exige revisão periódica. A frequência depende do nível de risco: anual para clientes de alto risco, a cada 3-5 anos para risco padrão.

Não sabe se a sua empresa está obrigada? Consulte os especialistas da Joinble e ajudamo-lo a avaliar as suas obrigações e a implementar a solução adequada.