Questionário Conheça o seu Cliente (KYC) em Portugal

O Questionário Conheça o seu Cliente (KYC) é o documento financeiro utilizado em Portugal nos termos de Lei nº 83/2017 de 18 de Agosto (PBCFT).

A Lei nº 83/2017 impõe deveres de identificação e diligência nos artigos 24.º a 36.º, especificando que as entidades obrigadas — banco, sociedade financeira, seguradora, prestador de serviços de pagamento, empresa de investimento, corretor de seguros, notário, advogado, solicitador, contabilista certificado registado na Ordem dos Contabilistas Certificados (OCC) e revisor oficial de contas inscrito na OROC — devem identificar o cliente e verificar a sua identidade com base em documentos, dados ou informações obtidos de fontes fiáveis e independentes antes de iniciarem qualquer relação de negócio. O Banco de Portugal (BdP), enquanto autoridade de supervisão do setor bancário, publicou a Carta-Circular nº 2/2019/DSC que consolida as orientações de aplicação do dever de identificação no setor financeiro, complementando as Orientações da Autoridade Bancária Europeia (EBA) sobre gestão do risco de branqueamento de capitais.

O Questionário KYC serve três finalidades distintas. Primeira, cumprir o dever legal de identificação e verificação de identidade imposto pelos artigos 24.º e 25.º da Lei nº 83/2017, que exige a obtenção do nome completo, data de nascimento, número de identificação fiscal (NIF) emitido pela Autoridade Tributária e Aduaneira (AT), número de identificação de pessoa coletiva (NIPC) para entidades, número do cartão de cidadão ou passaporte, e morada com código postal no formato NNNN-NNN. Segunda, identificar os titulares efetivos nos termos do artigo 30.º da Lei nº 83/2017 e do Registo Central do Beneficiário Efetivo (RCBE) criado pela Lei nº 89/2017 de 21 de Agosto — qualquer pessoa singular que detenha ou controle, direta ou indiretamente, mais de 25% do capital ou dos direitos de voto da entidade cliente deve ser declarada. Terceira, avaliar o risco de branqueamento de capitais associado ao cliente, com base na natureza da atividade, na origem dos fundos, no país de residência e na exposição política (PEP — Politically Exposed Person).

A Autoridade Tributária e Aduaneira (AT) e o Departamento Central de Investigação e Ação Penal (DCIAP) são os organismos de investigação e coordenação anti-branqueamento no plano nacional, enquanto a Unidade de Informação Financeira (UIF), integrada na Polícia Judiciária, recebe as participações de operações suspeitas nos termos do artigo 52.º da Lei nº 83/2017. A não observância dos deveres de identificação e diligência pode determinar a aplicação de contraordenações graves ou muito graves nos termos dos artigos 169.º a 186.º da Lei nº 83/2017, com coimas até 5 milhões de euros para pessoas singulares e até 10% do volume de negócios para pessoas coletivas, aplicadas pelo Banco de Portugal, pela Comissão do Mercado de Valores Mobiliários (CMVM) ou pela Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF), consoante a entidade supervisionada.

O Questionário KYC em Portugal deve ser atualizado sempre que ocorra alteração substancial nos dados do cliente, ou pelo menos com a periodicidade definida nas políticas e procedimentos internos da entidade obrigada, nos termos do artigo 35.º da Lei nº 83/2017 relativo ao dever de acompanhamento contínuo. A forms-legal.com disponibiliza este modelo como ponto de partida que deve ser adaptado ao perfil de risco específico de cada entidade obrigada e ao setor de atividade, com revisão por jurista especializado em conformidade (compliance) antes da implementação operacional.

O Questionário KYC em Portugal é obrigatório em todos os cenários de estabelecimento de uma relação de negócio com novo cliente ou de execução de transações ocasionais que atinjam os limites monetários definidos na Lei nº 83/2017. A aplicabilidade do questionário decorre diretamente do artigo 23.º da Lei nº 83/2017, que lista as situações que obrigam à aplicação das medidas de diligência quanto à clientela.

No setor bancário regulado pelo Banco de Portugal ao abrigo do Regime Geral das Instituições de Crédito e Sociedades Financeiras (RGICSF, DL nº 298/92 de 31 de Dezembro), o KYC é exigido para abertura de conta de depósito, concessão de crédito, emissão de cartão bancário, contratação de serviços de pagamento, serviços de cofre, custódia de valores mobiliários e celebração de contratos de leasing financeiro (locação financeira — DL 149/95 de 14 de Junho). A identificação mínima inclui NIF, NIPC, Cartão de Cidadão ou passaporte, IBAN PT50 e comprovativo de morada com código postal NNNN-NNN, acrescida da declaração de origem de fundos quando o montante da transação supere 15 000 € ao abrigo do artigo 35.º nº 2 da Lei nº 83/2017.

No mercado de capitais, a Comissão do Mercado de Valores Mobiliários (CMVM) exige identificação reforçada nos termos do Regulamento (UE) 600/2014 (MiFIR) e da Diretiva 2014/65/UE (MiFID II) transpostos para o ordenamento português pelo DL 357-A/2007. As empresas de investimento e intermediários financeiros registados na CMVM devem aplicar o KYC antes de executar ordens de compra ou venda de instrumentos financeiros, gerir carteiras ou prestar consultoria de investimento, incluindo avaliação de adequação (suitability) e conveniência (appropriateness) para proteção do investidor.

No setor segurador supervisionado pela Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF), o KYC é exigido para subscrição de contratos de seguro de vida com componente de poupança ou investimento, transferência de seguros de capitalização e resgate de apólices — situações abrangidas pelo artigo 24.º nº 1 alínea a) da Lei nº 83/2017 e sujeitas à supervisão da ASF ao abrigo do DL 94-B/98 de 17 de Abril.

As entidades não financeiras sujeitas ao regime da Lei nº 83/2017 — advogados inscritos na Ordem dos Advogados quando atuam fora do mandato judicial, solicitadores, notários, agentes imobiliários com licença AMI emitida pelo Instituto dos Mercados Públicos do Imobiliário e da Construção (IMPIC), prestadores de serviços a sociedades e trustes, e operadores de moeda virtual — devem aplicar o questionário KYC em todas as transações que envolvam transferências de fundos superiores a 15 000 € em numerário ou equivalente, independentemente de essa quantia ser paga em uma ou várias operações aparentemente relacionadas, nos termos do artigo 23.º nº 1 alínea b) da Lei nº 83/2017.

As situações de risco elevado que exigem medidas de diligência reforçada ao abrigo do artigo 36.º da Lei nº 83/2017 — cliente identificado como Pessoa Politicamente Exposta (PEP) nos termos do artigo 4.º, cliente residente em país ou território de risco elevado constante das listas da OCDE ou do GAFI, estrutura de propriedade opaca ou incomum, e operações complexas ou de montante invulgarmente elevado — implicam que o questionário KYC seja complementado com declaração de origem de fundos e de fonte de riqueza, cópia de extratos bancários recentes, certidão permanente do RCBE atualizada, e, sendo caso disso, informação sobre o beneficiário efetivo final da estrutura de detenção.

Um Questionário KYC juridicamente eficaz em Portugal cobre os elementos de identificação, diligência e avaliação de risco exigidos pela Lei nº 83/2017 e pelas orientações sectoriais do Banco de Portugal, da CMVM e da ASF. A omissão de qualquer bloco central compromete o cumprimento dos deveres de diligência e expõe a entidade obrigada às sanções dos artigos 169.º a 186.º da Lei nº 83/2017.

Bloco 1 — Identificação do cliente pessoa singular. Recolha de nome completo, data de nascimento, naturalidade, nacionalidade, NIF de 9 dígitos emitido pela Autoridade Tributária e Aduaneira (AT), número e data de validade do Cartão de Cidadão (12 caracteres: 8 dígitos + 1 dígito verificador + 2 letras versão + 1 verificador), ou número de passaporte para não residentes, morada completa com código postal NNNN-NNN, contacto telefónico (+351 seguido de 9 dígitos), e endereço de correio eletrónico. Para clientes não residentes em Portugal é necessária a indicação do número de identificação fiscal do país de residência e do país de domicílio fiscal.

Bloco 2 — Identificação do cliente pessoa coletiva. Denominação social completa tal como consta na Conservatória do Registo Comercial, NIPC de 9 dígitos emitido pelo Registo Nacional de Pessoas Coletivas (RNPC), sede estatutária com código postal NNNN-NNN, forma jurídica (Sociedade por Quotas Lda., Sociedade Anónima S.A., Empresário em Nome Individual, Cooperativa, etc. ao abrigo do Código das Sociedades Comerciais — CSC, DL 262/86), código CAE (Classificação Portuguesa das Atividades Económicas Rev. 3), data de constituição, Conservatória e número de registo, e identificação dos gerentes ou administradores com poderes de vinculação confirmados pela certidão permanente disponível em www.empresaonline.pt.

Bloco 3 — Titularidade efetiva. Ao abrigo do artigo 30.º da Lei nº 83/2017 e da Lei nº 89/2017 (RCBE), o questionário deve identificar toda pessoa singular que, direta ou indiretamente, detenha mais de 25% do capital social ou dos direitos de voto, ou exerça de outro modo controlo efetivo sobre a entidade. Para cada titular efetivo recolha nome completo, data de nascimento, NIF ou número de documento de identidade, nacionalidade, morada, e percentagem de participação. A entidade deve declarar se procedeu ao registo da titularidade efetiva no RCBE gerido pelo Instituto dos Registos e do Notariado, I.P. (IRN) e fornecer confirmação de registo actualizado.

Bloco 4 — Origem dos fundos e da riqueza. Declaração de origem dos fundos a movimentar na relação de negócio: rendimentos de atividade profissional, pensão, dividendos de participações, rendimentos prediais de arrendamento, mais-valias imobiliárias ou mobiliárias, herança, doação, venda de activos, financiamento bancário, ou outros. Para montantes superiores a 15 000 € ao abrigo do artigo 35.º nº 2 da Lei nº 83/2017, a declaração deve ser documentada com recibos de vencimento, extractos de conta, escrito particular de venda, certidão de habilitação de herdeiros da Conservatória do Registo Civil, ou documentação equivalente.

Bloco 5 — Perfil de risco e PEP. O questionário deve incluir campo para identificação de Pessoa Politicamente Exposta (PEP) nos termos do artigo 4.º da Lei nº 83/2017: chefes de Estado, membros do Governo e Assembleia da República, juízes do Supremo Tribunal de Justiça, presidentes de câmara municipal e de junta de freguesia, membros de órgãos de administração de empresas públicas, e respectivos familiares directos e pessoas a elas estreitamente associadas. PEPs exigem aprovação da gestão de topo, medidas de diligência reforçada ao abrigo do artigo 36.º, e monitorização contínua da relação de negócio.

Bloco 6 — Consentimento e declarações. Declaração do cliente de que os dados fornecidos são verídicos, de boa fé e completos, consentimento para tratamento de dados pessoais ao abrigo do artigo 6.º do RGPD e da Lei nº 58/2019, autorização para consulta do Mapa de Responsabilidades de Crédito do Banco de Portugal quando aplicável, e compromisso de atualização dos dados em caso de alteração substancial nos termos do artigo 35.º da Lei nº 83/2017.

A forms-legal.com disponibiliza este Questionário KYC como modelo de base adaptável ao regime de prevenção do branqueamento de capitais em Portugal. As entidades obrigadas devem consultar um especialista em compliance e o Banco de Portugal, a CMVM ou a ASF consoante o setor de atividade, para validar o questionário face às exigências específicas aplicáveis. Documentos relacionados disponíveis no nosso catálogo: Declaração RCBE — Beneficiário Efetivo e Declaração de Início de Atividade de Empresário em Nome Individual.

O preenchimento do Questionário KYC em Portugal deve seguir uma sequência estruturada para garantir que todos os campos obrigatórios nos termos da Lei nº 83/2017 estão completos e que a informação recolhida é verificável contra as fontes indicadas.

Primeiro passo — Selecionar o tipo de cliente. Antes de iniciar o preenchimento, identifique se o cliente é pessoa singular (incluindo empresário em nome individual — ENI, com registo na Autoridade Tributária e Aduaneira) ou pessoa coletiva (Lda., S.A., Cooperativa, Sucursal, Fundação, Associação, etc. ao abrigo do Código das Sociedades Comerciais DL 262/86). A distinção é relevante porque determina os campos de identificação, os documentos de suporte exigidos, e o tratamento da titularidade efetiva nos termos do artigo 30.º da Lei nº 83/2017.

Segundo passo — Preencher os dados de identificação. Para pessoas singulares: copie o nome completo do Cartão de Cidadão (12 caracteres: 8 dígitos + verificador + 2 letras versão + verificador final), registe o NIF de 9 dígitos tal como aparece no Portal das Finanças, confirme a data de nascimento no formato DD/MM/AAAA, e registre a morada completa com código postal NNNN-NNN e localidade. Para pessoas coletivas: consulte a certidão permanente em www.empresaonline.pt e copie a denominação social completa, o NIPC de 9 dígitos, a sede estatutária, e os dados dos representantes com poderes de gerência ou administração. Anexe ou indique o número de acesso à certidão permanente.

Terceiro passo — Declarar a titularidade efetiva. Identifique todos os titulares efetivos que detenham mais de 25% do capital ou dos direitos de voto da entidade cliente ao abrigo do artigo 30.º da Lei nº 83/2017. Para estruturas multi-camadas (holdings, grupos internacionais), percorra a cadeia de propriedade até identificar as pessoas singulares controladoras em última instância. Confirme se a entidade cumpriu a obrigação de registo no RCBE gerido pelo IRN, verificando a submissão anual de confirmação devida até 31 de Julho ao abrigo da Lei nº 89/2017.

Quarto passo — Declarar a origem dos fundos. Selecione a categoria aplicável e indique o montante aproximado a movimentar. Para fundos provenientes de rendimentos do trabalho dependente, junte os últimos três recibos de vencimento emitidos pelo empregador ao abrigo do artigo 276.º do Código do Trabalho (Lei 7/2009). Para rendimentos de atividade independente, junte o extrato do Portal das Finanças com os recibos verdes emitidos. Para mais-valias de imóveis, junte a escritura de venda ou o Documento Particular Autenticado (DPA) celebrado nos termos do DL 116/2008. Para herança, junte certidão de habilitação de herdeiros emitida pela Conservatória do Registo Civil.

Quinto passo — Declaração PEP. Responda à questão sobre Pessoa Politicamente Exposta (PEP) ao abrigo do artigo 4.º da Lei nº 83/2017. Em caso afirmativo, indique o cargo político, o país de exercício das funções, e a data de cessação das funções se aplicável. Recorde que a qualidade de PEP se mantém por 12 meses após a cessação das funções para efeitos das medidas de diligência reforçada do artigo 36.º da Lei nº 83/2017.

Sexto passo — Consentimento e assinatura. O cliente deve assinar o questionário preferencialmente com reconhecimento presencial de assinatura em notário, balcão da Conservatória ou perante advogado nos termos do artigo 38.º do Decreto-Lei nº 76-A/2006, ou com assinatura eletrónica qualificada através de Cartão de Cidadão ou Chave Móvel Digital (CMD) ao abrigo do Regulamento (UE) 910/2014 (eIDAS) e do DL 12/2021 de 9 de Fevereiro. A entidade obrigada deve conservar o questionário e os documentos de suporte pelo prazo mínimo de 7 anos após o término da relação de negócio, nos termos do artigo 51.º da Lei nº 83/2017, para disponibilização às autoridades competentes — Banco de Portugal, CMVM, ASF, UIF ou autoridade judiciária — em caso de investigação.

Sétimo passo — Avaliação de risco e aprovação interna. O responsável de compliance da entidade obrigada deve classificar o cliente numa das categorias de risco (baixo, médio, elevado) com base nos fatores do Anexo II (fatores de risco potencialmente menor) e do Anexo III (fatores de risco potencialmente maior) da Lei nº 83/2017, e aplicar o nível de diligência correspondente: simplificada (artigo 35.º), normal (artigos 24.º a 34.º), ou reforçada (artigo 36.º). A aprovação da relação de negócio com clientes de risco elevado ou PEP requer autorização da gestão de topo nos termos do artigo 36.º nº 2 da Lei nº 83/2017.

Os requisitos legais do Questionário KYC em Portugal derivam de um conjunto interligado de diplomas nacionais e europeus que estabelecem deveres de identificação, diligência, conservação de registos e comunicação de operações suspeitas.

Base legal primária — Lei nº 83/2017 de 18 de Agosto. A Lei PBCFT é o diploma central. O artigo 1.º define o objeto e o âmbito de aplicação; o artigo 2.º elenca as entidades obrigadas (incluindo instituições de crédito, sociedades financeiras, prestadores de serviços de pagamento, empresas de investimento, seguradoras, mediadores de seguros, agentes imobiliários, advogados, notários, solicitadores, contabilistas certificados e revisores oficiais de contas quando atuam fora de determinadas funções). Os artigos 24.º a 36.º regulam os deveres de identificação, verificação e diligência. O artigo 30.º especifica os critérios de identificação de titulares efetivos. O artigo 35.º impõe o dever de acompanhamento contínuo e de atualização periódica do KYC. O artigo 51.º estabelece o prazo de conservação de 7 anos dos registos de identificação e das transações.

Cadre europeu. A Lei nº 83/2017 transpõe a Quarta Diretiva AML (2015/849/UE) e as alterações da Quinta Diretiva (2018/843/UE), que integram as Recomendações do Grupo de Ação Financeira Internacional (GAFI/FATF). O Regulamento (UE) 2015/847 (Wire Transfer Regulation) impõe deveres adicionais de acompanhamento das transferências de fundos acima de 1 000 € com informação sobre o ordenante e o beneficiário. A Sexta Diretiva AML (Diretiva UE 2018/1673) criminaliza o branqueamento a nível europeu com pena de prisão mínima de 4 anos.

RCBE — Registo Central do Beneficiário Efetivo. A Lei nº 89/2017 de 21 de Agosto criou o RCBE gerido pelo Instituto dos Registos e do Notariado, I.P. (IRN). Todas as entidades com personalidade jurídica constituídas em Portugal devem declarar os seus titulares efetivos — pessoas singulares com participação direta ou indireta superior a 25% do capital ou dos direitos de voto, ou que de outro modo exerçam controlo efetivo. O prazo de confirmação anual é 31 de Julho. A não declaração ou declaração inexata no RCBE constitui contraordenação muito grave nos termos do artigo 186.º da Lei nº 83/2017, e o incumprimento bloqueia operativamente o NIPC junto da AT.

Proteção de dados pessoais. O tratamento de dados pessoais no contexto do KYC fica sujeito ao RGPD (Regulamento UE 2016/679) e à Lei nº 58/2019 de 8 de Agosto. A base de licitude assenta no cumprimento de obrigação legal ao abrigo do artigo 6.º nº 1 alínea c) do RGPD, o que dispensa consentimento específico mas exige informação ao titular nos termos dos artigos 13.º e 14.º do RGPD (política de privacidade). Os dados não podem ser reutilizados para fins diferentes da prevenção do branqueamento de capitais, salvo outra base de licitude. A Comissão Nacional de Proteção de Dados (CNPD) é a autoridade de controlo competente em Portugal.

Sanções pelo incumprimento. O regime sancionatório da Lei nº 83/2017 prevê nos artigos 169.º a 186.º três níveis de contraordenação: contraordenações simples (coima de 1 000 a 1 000 000 €), graves (2 000 a 2 500 000 €), e muito graves (5 000 a 5 000 000 € para pessoas singulares; 10% do volume de negócios para pessoas coletivas). As autoridades de supervisão — Banco de Portugal para o setor bancário, CMVM para o mercado de capitais, ASF para seguros e pensões — publicam as decisões sancionatórias no Diário da República e nos seus sítios institucionais, o que representa dano reputacional significativo. A participação de operações suspeitas à Unidade de Informação Financeira (UIF) da Polícia Judiciária, ao abrigo do artigo 52.º da Lei nº 83/2017, é obrigatória e não pode ser divulgada ao cliente (proibição de tipping-off do artigo 73.º).

Os erros mais frequentes no preenchimento e gestão do Questionário KYC em Portugal comprometem o cumprimento dos deveres de diligência e expõem a entidade obrigada a sanções graves ao abrigo da Lei nº 83/2017.

Identificação insuficiente da titularidade efetiva. O erro mais crítico consiste em identificar apenas os sócios ou acionistas diretos sem percorrer a cadeia de propriedade até às pessoas singulares controladoras em última instância. O artigo 30.º da Lei nº 83/2017 exige identificação dos beneficiários efetivos em cada nível da cadeia de detenção. Numa estrutura holding com três camadas, se uma sociedade-mãe detém 60% de uma holding que por sua vez detém 50% do cliente, os sócios da sociedade-mãe com participação superior a 25% são titulares efetivos do cliente nos termos deste artigo. A solução passa por solicitar a certidão permanente do RCBE atualizada e, para estruturas internacionais, extratos de registo equivalentes apostilados.

Não atualização periódica do questionário. O artigo 35.º da Lei nº 83/2017 impõe dever de acompanhamento contínuo e de atualização dos dados de identificação sempre que ocorra alteração substancial ou com a periodicidade estabelecida nas políticas internas de risco. A manutenção de questionários desatualizados é infração comum detetada nas inspeções do Banco de Portugal. As políticas internas devem fixar ciclos de revisão por categoria de risco: 1 ano para clientes de risco elevado ou PEP, 2 anos para risco médio, 3 anos para risco baixo.

Omissão da declaração de origem dos fundos para transações acima de 15 000 €. O artigo 35.º nº 2 da Lei nº 83/2017 exige declaração e documentação da origem dos fundos para transações de valor igual ou superior a 15 000 € em numerário ou equivalente. Muitas entidades recolhem apenas declarações escritas sem documentos de suporte, o que não satisfaz o requisito legal de obtenção de informação de «fontes fiáveis e independentes» exigido pelo artigo 25.º nº 1 da Lei nº 83/2017.

Tratamento incorreto de clientes PEP. As entidades obrigadas frequentemente omitem a aplicação de medidas de diligência reforçada do artigo 36.º para familiares diretos e pessoas estreitamente associadas ao PEP — categorias expressamente incluídas no artigo 4.º nº 2 e nº 3 da Lei nº 83/2017. A aprovação pela gestão de topo exigida pelo artigo 36.º nº 2 deve ser documentada por escrito, com evidência da análise de risco efectuada.

Conservação de registos por prazo insuficiente. O artigo 51.º da Lei nº 83/2017 impõe conservação dos documentos e registos de identificação por 7 anos após o término da relação de negócio ou da transação ocasional. Muitas entidades aplicam prazos mais curtos, ficando em incumprimento quando solicitadas pelos supervisores ou pela UIF no contexto de investigação criminal por branqueamento de capitais ou financiamento do terrorismo. Os registos devem estar disponíveis em prazo breve (tipicamente 24 a 48 horas) após pedido da autoridade competente.

Desenvolvimento de formulários KYC genéricos sem adaptação ao perfil de risco setorial. A Lei nº 83/2017 adota uma abordagem baseada no risco — as medidas de diligência devem ser proporcionais ao risco identificado. Um questionário único sem diferenciação entre clientes de baixo, médio e elevado risco não cumpre os requisitos dos Anexos II e III da Lei nº 83/2017 nem as orientações da EBA sobre gestão do risco de branqueamento de capitais publicadas em Março de 2021 e revistas em Novembro de 2023.