A Agência Nacional de Telecomunicações determinou que as operadoras móveis criem, em até 90 dias, um diretório setorial centralizado e aberto à consulta pública para identificar as empresas responsáveis por mensagens SMS enviadas por códigos curtos. O Despacho Decisório nº 2/SCD, publicado no Diário Oficial da União nesta quarta-feira (4), restringe o envio de SMS A2P — mensagens enviadas por empresas a pessoas — a pessoas jurídicas identificadas nesse cadastro.
No mesmo prazo de 90 dias, prorrogável por 30 mediante justificativa à agência, as prestadoras deverão impedir a entrega de mensagens A2P identificadas por códigos curtos que não estejam cadastrados. O ato também exige campanhas de orientação antes de o diretório ser aberto ao público.
Códigos exclusivos e monitoramento em até 60 dias
O despacho fixa um prazo de até 60 dias, prorrogável por igual período mediante justificativa, para que cada código curto seja destinado a uma única pessoa jurídica. Exceções poderão ser admitidas por razão técnica, mas o diretório deverá identificar todos os usuários do código compartilhado.
As operadoras também terão de adotar política interna de segurança para SMS, criar um canal setorial para alertas e incidentes e implementar monitoramento automatizado capaz de identificar padrões anômalos, campanhas potencialmente fraudulentas, credenciais comprometidas e falsificação de identidade. Relatórios periódicos deverão mostrar, entre outros indicadores, a evolução do volume de mensagens bloqueadas.
Obrigações alcançam outros agentes do ecossistema
Para originadores, agregadores e integradores que utilizem códigos curtos na cadeia de SMS A2P cursada no serviço móvel, o despacho prevê, conforme suas atividades, deveres de manter dados de identificação atualizados, verificar a identidade dos contratantes e preservar registros para rastreabilidade das campanhas. O artigo 5º estabelece obrigações gerais distintas para os agentes nele abrangidos, sempre nos limites das atividades e competências aplicáveis. O prazo para as medidas dos artigos 5º a 7º é de 90 dias.
O ato também alcança responsáveis por aplicações e plataformas digitais usadas em autenticação, recuperação de credenciais, confirmação de identidade e autorização de transações. Essas plataformas deverão adotar medidas de identificação de remetentes, integridade, rastreabilidade e prevenção a fraudes, dentro das competências legais da Anatel.
O despacho também determina que a Superintendência Executiva avalie a efetividade das medidas e apresente ao Conselho Diretor, em até 180 dias, relatório com os resultados e eventuais propostas de encaminhamento a outras autoridades.