Alguém usa um cartão de crédito roubado na sua loja. O portador descobre, registra um boletim de ocorrência e envia a você uma solicitação por escrito: por favor, me envie cópias dos registros da transação da compra fraudulenta. Você tem 30 dias para entregá-los, sem nenhum custo. Não são 30 dias úteis. Não são 30 dias depois que o seu advogado achar conveniente. São trinta dias a partir do recebimento, por força de lei federal — e "questões de privacidade" não é desculpa, porque o texto da lei diz isso explicitamente.
Essa é a regra que a Amazon violou de forma tão contundente que a Comissão Federal de Comércio (FTC) obteve contra a empresa uma penalidade civil de US$ 2,25 milhões em junho de 2026, a maior já aplicada sob essa disposição. E a disposição se aplica ao seu negócio exatamente como se aplicou à Amazon. Se você vende bens ou serviços mediante remuneração — ou seja, se você administra um negócio — a Seção 609(e) da Fair Credit Reporting Act (Lei de Relatórios de Crédito Justos) já o nomeia.
O que a Amazon realmente fez de errado
Primeiro, uma correção que vale a pena fazer, porque vários resumos deste caso erraram: a multa não tinha nada a ver com verificação de antecedentes de emprego ou de crédito. A Amazon foi penalizada sob a Seção 609(e) da FCRA, a parte da lei que garante às vítimas de roubo de identidade o direito de obter os registros de inscrição e de transações comerciais por trás de uma fraude cometida em seus nomes.
De acordo com a denúncia que o Departamento de Justiça apresentou em nome da FTC em um tribunal federal em Washington, D.C., a Amazon violou a lei "conscientemente". Consumidores que contataram a empresa sobre fraudes em suas contas ou cartões de pagamento foram informados por atendentes de que os registros não poderiam ser fornecidos por razões de "segurança" ou "privacidade". No que o diretor do Escritório de Proteção ao Consumidor da FTC chamou de "calvário kafkiano", a Amazon exigia que as vítimas identificassem o ladrão que roubou suas informações antes de liberar os registros — em um caso, informando ao consumidor que não poderia compartilhar registros sobre uma conta fraudulenta a menos que ele adivinhasse o nome na conta, o nome usado pelo ladrão de identidade. O consumidor tentou 30 vezes e não conseguiu. A Amazon também negou registros a órgãos policiais que investigavam a fraude.
Dois detalhes do caso devem concentrar a atenção de qualquer dono de pequeno negócio. Primeiro, a equipe da FTC havia alertado os advogados da Amazon em junho de 2023 para revisarem a conformidade com essa exata disposição após receber a reclamação de um consumidor. As violações continuaram. Segundo, a Amazon não tinha nenhum procedimento escrito para lidar com essas solicitações até o início de 2025 — depois de saber que a FTC havia aberto uma investigação. A ausência de um processo não foi uma defesa; foi parte da história. Como parte do acordo, a Amazon deve publicar um aviso público em seu site explicando como as vítimas de roubo de identidade podem solicitar registros.
Com mais de 1,1 milhão de relatos de roubo de identidade registrados na FTC em 2024, e 2025 em ritmo de alta, a chegada da solicitação de uma vítima na sua caixa de entrada é uma questão de quando, não de se. Aqui está o que a lei exige de você quando isso acontecer.
A regra dos 30 dias que todo negócio deveria conhecer
A Seção 609(e) é curta e notavelmente direta para uma lei federal:
Quem é abrangido. Qualquer entidade empresarial que tenha concedido crédito a, vendido bens ou serviços a, aceitado pagamento de, ou de outra forma realizado uma transação comercial mediante remuneração com alguém que alegadamente usou a identidade de outra pessoa sem autorização. Observe o "alegadamente": você não tem o direito de julgar se o roubo de identidade realmente aconteceu antes de cumprir. A alegação da vítima, respaldada pela documentação descrita abaixo, aciona o seu dever.
O que você deve fornecer. Uma cópia da inscrição e dos registros de transações comerciais sob seu controle que comprovem a transação alegadamente fraudulenta — seja você mesmo quem mantém esses registros ou alguém que os mantenha em seu nome. Pense em registros de pedidos, inscrições de conta, faturas, recibos, autorizações de pagamento, endereços de entrega vinculados à transação. A lei inclui expressamente os registros mantidos por outra pessoa em seu nome, o que, na prática moderna, significa que os registros que estão no seu processador de pagamentos, na sua plataforma de e-commerce ou no seu sistema de ponto de venda contam como seus para essa finalidade.
Quem pode recebê-los. A vítima, qualquer órgão ou agente policial federal, estadual ou local que a vítima nomear na solicitação, ou um órgão policial que investigue o roubo e que a vítima tenha autorizado a receber os registros. A recusa da Amazon em compartilhar com as autoridades foi uma violação separada.
O prazo. Não depois de 30 dias após o recebimento da solicitação.
O preço. Nada. A lei diz que os registros "devem ser fornecidos sem custo".
A forma da solicitação. Deve ser por escrito, enviada a um endereço que você especifique, caso tenha especificado um — mais um motivo para designar um ponto de contato agora, e não depois que a solicitação chegar. Se você pedir, a vítima deve incluir informações relevantes sobre a transação para ajudá-lo a encontrá-la: a data, um número de conta ou de transação, ou outros detalhes identificadores, mas apenas se conhecidos pela vítima ou prontamente obteníveis. Leia essa limitação com atenção: "se conhecidos" tem um papel real. Você pode pedir ajuda para localizar os registros. Não pode fazer da capacidade da vítima de fornecer detalhes uma condição prévia, e certamente não pode exigir que ela nomeie o ladrão, como a Amazon fez.
O que a vítima precisa lhe mostrar
A lei não deixa a sua porta escancarada. Antes de entregar qualquer coisa, a vítima deve fornecer duas coisas, na forma que você escolher:
-
Comprovação de identidade. À sua escolha: documento de identidade emitido pelo governo, informações de identificação pessoal do mesmo tipo que a pessoa não autorizada forneceu a você, ou o tipo de informação identificadora que você normalmente solicita de novos candidatos ou para novas transações.
-
Comprovação da alegação de roubo de identidade. À sua escolha: uma cópia de um boletim de ocorrência que comprove a alegação, mais uma declaração padronizada de roubo de identidade devidamente preenchida — do tipo gerado pelo processo do IdentityTheft.gov da FTC — ou outra declaração de fatos que você considere aceitável.
A única exceção: se você já tem um alto grau de confiança de que sabe quem é a vítima, pode dispensar a verificação. Na prática, peça o pacote padrão sempre e guarde uma cópia do que foi recebido junto com a própria solicitação. Uma lista de verificação consistente protege dos dois lados: impede que você divulgue informações a um impostor e documenta que todos os solicitantes receberam o mesmo tratamento.
As desculpas que não funcionam
O caso da Amazon é útil justamente porque demonstra, ao custo de US$ 2,25 milhões, quais recusas falham:
"Privacidade e segurança nos impedem de compartilhar." A lei antecipa essa objeção e a anula antecipadamente: as disposições de privacidade financeira que normalmente restringem a divulgação de informações de clientes a terceiros não podem ser usadas para negar a divulgação à vítima. O Congresso decidiu, em 2003, que o direito da vítima de ver os registros sobre fraudes cometidas em seu nome supera os instintos de privacidade do negócio. Treine especificamente qualquer pessoa que responda a e-mails ou telefonemas de clientes sobre esse ponto, porque "não posso compartilhar detalhes da conta por razões de privacidade" é, de outra forma, exatamente o reflexo certo.
"Primeiro nos diga quem roubou sua identidade." A vítima é, quase por definição, a pessoa que não sabe quem roubou sua identidade. Condicionar a divulgação à identificação do ladrão transforma um dever de 30 dias em um dever impossível, e é por isso que os reguladores o descreveram daquela forma.
"Precisamos de mais tempo." Trinta dias a partir do recebimento é o prazo. Estornos, disputas com processadores e revisões internas de fraude correm em seus próprios relógios; nenhum deles pausa este.
"Há uma taxa de registros." As cópias são gratuitas. Sem taxa de pesquisa, sem taxa de cópia, sem cobrança administrativa.
"Nosso processador é quem detém esses registros, não nós." Os registros mantidos por outra pessoa em seu nome estão explicitamente abrangidos. Se os seus dados de transação vivem no Stripe, no Square, no Shopify ou no portal do comerciante do seu banco, recuperá-los é tarefa sua.
Quando você pode dizer não
A lei não é absoluta, e conhecer os limites importa tanto quanto conhecer o dever. Um negócio pode recusar, de boa-fé, quando a disposição não exige de fato a divulgação, quando a identidade do solicitante ainda deixa o negócio sem um alto grau de confiança após revisar os materiais de verificação, quando a solicitação se baseia em uma deturpação de fato, ou quando o material solicitado são dados de navegação na internet — histórico de navegação sobre a visita de alguém a um site ou serviço online — e não registros de transação.
Há também uma defesa afirmativa prevista na própria lei: se chegar a uma ação de execução, você pode derrubar a alegação demonstrando que fez uma busca razoavelmente diligente nos seus registros comerciais disponíveis e que os registros solicitados não existem ou não estão razoavelmente disponíveis. Observe o que essa defesa recompensa: uma busca genuína, documentada. "Nunca procuramos" e "não temos processo para procurar" são o seu oposto.
Duas proteções resguardam os negócios que cumprem de boa-fé. Primeiro, nenhum negócio pode ser responsabilizado civilmente sob qualquer lei por uma divulgação de boa-fé feita ao abrigo desta disposição — portanto, a preocupação com privacidade aponta exatamente para a direção errada. Cumprir é protegido; recusar é penalizado. Segundo, a disposição não cria nenhuma nova obrigação de manutenção de registros: ela não exige que você obtenha, retenha ou mantenha registros que você não manteria de outra forma no curso normal dos negócios ou sob outra lei. Ela apenas rege os registros que você já tem.
Construa seu processo antes que uma solicitação chegue
A lição mais transferível da Amazon é a mais barata: escreva o procedimento agora. Um processo de uma página vale mais do que uma improvisação de US$ 2,25 milhões. O seu deve cobrir, no mínimo:
- Um endereço e um responsável designados. Publique para onde vão as solicitações por escrito — um endereço postal ou uma caixa de entrada monitorada — e nomeie a pessoa responsável por tratá-las. A lei permite que você especifique o endereço para o qual as solicitações devem ser enviadas, mas apenas se você de fato tiver especificado um.
- Um pacote de verificação. Documento de identidade com foto emitido pelo governo, boletim de ocorrência e uma declaração de roubo de identidade preenchida, solicitados sempre da mesma forma.
- Um relógio de 30 dias. Registre a data de chegada de cada solicitação e agende o prazo. Dias corridos, não dias úteis.
- Um mapa de recuperação. Anote, sistema por sistema, onde vivem seus registros de transação: painel do processador, backend de e-commerce, exportação do PDV, arquivo contábil. O mapa de recuperação é o que transforma uma correria em pânico em uma tarefa de dez minutos.
- Um registro de respostas. O que foi solicitado, o que foi verificado, o que foi enviado, quando e a quem. Se algum regulador perguntar, este registro é a sua prova de diligência razoável.
- Uma regra de nenhuma condição. Sem taxas, sem exigir que a vítima identifique o ladrão, sem recusa por "privacidade" à vítima verificada ou às autoridades policiais por ela designadas.
Revise a página uma vez por ano, como você revisa sua rotina de backup. Os volumes de roubo de identidade continuam subindo, e a FTC agora mostrou que levará um caso de 609(e) até uma penalidade recorde.
Seus livros são o seu arquivo de conformidade
Aqui está a parte que toca diretamente a sua contabilidade: o mapa de recuperação acima só é tão bom quanto os seus registros subjacentes. Uma solicitação 609(e) exige que você produza todos os registros que comprovem uma transação específica — o que significa que seus dados de transação devem ser pesquisáveis por pedido, conta, cliente e data, meses depois do fato. Negócios cujos livros são uma caixa de sapatos de repasses do processador sem vínculo com pedidos individuais não conseguem responder em 30 dias, por mais dispostos que estejam.
Este é um dos argumentos silenciosos para manter o seu próprio livro-razão em vez de tratar o painel do processador como seus livros. Quando cada venda é registrada com o identificador do pedido e o canal como metadados, extrair o registro completo de uma transação disputada é uma única consulta em vez de uma escavação. No Beancount, os metadados de transação fazem exatamente esse trabalho:
2026-01-02 open Assets:Checking:Operating USD
2026-01-02 open Income:Sales:Online USD
2026-01-02 open Expenses:Chargebacks:Fraud USD
2026-03-14 * "Online order #48210" "Card payment - J. Rivera"
order-id: "48210"
channel: "online-store"
Assets:Checking:Operating 189.99 USD
Income:Sales:Online -189.99 USD
2026-03-20 * "Chargeback - order #48210" "Issuer fraud dispute"
order-id: "48210"
Assets:Checking:Operating -189.99 USD
Expenses:Chargebacks:Fraud 189.99 USDCom o identificador do pedido tanto na venda quanto no estorno posterior, uma única consulta revela o rastro completo — a venda, o estorno, as datas, os valores — em segundos. Essa é a forma que um registro pronto para 609(e) assume: cada transação rastreável ao seu documento de origem, cada estorno vinculado ao seu original. Se seus livros atuais não conseguem fazer isso, a solução é um projeto de contabilidade com retorno em conformidade, e não o contrário. Leitores que querem os detalhes mecânicos podem encontrar a documentação de consultas em /docs/.
Um dever diferente da FCRA: verificação de antecedentes de emprego
Como este caso é frequentemente descrito de forma equivocada, uma breve esclarecimento para empregadores que fazem verificações de antecedentes ou de crédito de candidatos a vagas: esse é um dever real da FCRA, mas ele está em outra parte da lei e funciona de forma totalmente diferente da Seção 609(e). Segundo a orientação conjunta da FTC e da EEOC para empregadores, antes de obter um relatório de uma empresa do ramo de compilação de informações de antecedentes, você deve fornecer ao candidato uma divulgação clara por escrito — em um documento separado — de que um relatório pode ser obtido, e obter autorização por escrito. Se depois você tomar uma ação adversa com base no relatório, como não contratar o candidato, deve primeiro fornecer um aviso prévio de ação adversa com uma cópia do relatório e um resumo dos direitos da FCRA, aguardar um período razoável e então enviar um aviso final de ação adversa com os dados de contato da empresa de relatórios e uma declaração dos direitos de contestação do candidato.
Dois deveres, uma lei, direções opostas: a Seção 609(e) trata dos registros que você entrega às vítimas de fraude; as disposições trabalhistas tratam dos relatórios que você recebe sobre candidatos. Não satisfaça um citando o outro.
Erros a evitar
- Tratar a solicitação de uma vítima como uma reclamação de cliente. É uma solicitação de lei federal com um relógio de 30 dias, não um tíquete de suporte. Encaminhe-a ao responsável designado no dia em que chegar.
- Deixar a equipe de linha de frente improvisar a resposta. "Não podemos compartilhar isso por razões de privacidade" é a resposta natural e a ilegal. Dê à equipe um roteiro: confirme o recebimento, solicite o pacote de verificação, registre a data.
- Pesquisar apenas nos seus próprios sistemas. Os registros de processador, plataforma e PDV mantidos em seu nome estão abrangidos. Seu mapa de recuperação deve incluí-los.
- Deixar solicitações de autoridades paradas. Um órgão policial designado ou autorizado pela vítima ocupa o lugar da vítima. Recusá-los é recusar a vítima.
- Presumir que pequenos negócios estão isentos. Nada na Seção 609(e) depende do tamanho da empresa. A loja de esquina que aceita cartões deve o mesmo dever que a varejista trilionária — que, desta vez, é a parte que pagou para demonstrá-lo.
Seu último passo útil é pequeno: abra uma página em branco, escreva os seis tópicos da seção de processo com os nomes e endereços reais do seu negócio preenchidos, e salve-a onde você a encontrará quando o envelope chegar. Os trinta dias começam no recebimento, e os negócios que enfrentam dificuldades nunca são os que se prepararam.
