Lei 15.397/2026: o que muda para quem cadastra usuário

A Lei 15.397/2026 alterou o Código Penal para endurecer crimes patrimoniais praticados por meio digital e criou o tipo da cessão de conta bancária. Ela não impõe obrigação de compliance a empresas, mas muda a posição de quem cadastra em qualquer discussão probatória.

Publicada e em vigor desde 4 de maio de 2026, a lei tem ementa direta: majorar penas de furto, roubo, estelionato, receptação e interrupção de serviço telemático, além de tipificar novas condutas. A leitura de mercado foi rápida demais em alguns pontos e lenta demais em outro. Rápida ao anunciar deveres que o texto não cria. Lenta ao perceber o efeito prático real, que é probatório.

O que a lei efetivamente alterou

• Art. 171, § 2º, VII (novo). Conteúdo: Ceder, de forma gratuita ou onerosa, conta bancária para que nela transitem recursos destinados a financiar atividade criminosa ou que sejam fruto dela. Pena: Reclusão de 1 a 5 anos e multa, na moldura do estelionato.
• Art. 171, § 2º-A. Conteúdo: Fraude praticada com uso de informações fornecidas pela vítima ou por terceiro induzido a erro por rede social, contato telefônico, correio eletrônico fraudulento ou duplicação de dispositivo eletrônico ou aplicação de internet. Pena: Reclusão de 4 a 8 anos e multa.
• Art. 155, § 4º-B. Conteúdo: Furto mediante fraude cometido por meio de dispositivo eletrônico ou informático, com ou sem violação de mecanismo de segurança. Pena: Reclusão de 4 a 10 anos e multa.
• Art. 180 e art. 180-A. Conteúdo: Majoração da pena de receptação e tipificação da receptação de animal doméstico. Pena: Reclusão de 2 a 6 anos e de 3 a 8 anos.
• Art. 266. Conteúdo: Majoração da pena por interrupção ou perturbação de serviço telemático ou de informação de utilidade pública. Pena: Reclusão de 2 a 4 anos e multa, em dobro nas hipóteses do § 2º, que ganhou nova redação.

Fonte: texto da Lei 15.397/2026 publicado pelo Planalto, consultado em setembro de 2026.

O inciso VII é a novidade que mais interessa a quem opera cadastro. Antes dele, quem emprestava a conta para movimentação de dinheiro ilícito era enquadrado por caminhos indiretos, em geral lavagem de dinheiro, com discussão longa sobre dolo. Agora existe tipo próprio, com moldura menor que a da lavagem. A doutrina já debate o efeito disso, e o ponto aparece em artigo publicado no Migalhas em 27 de maio de 2026: um tipo específico e mais brando pode funcionar como limite à imputação por lavagem em casos que antes recebiam enquadramento mais severo.

O que a lei não diz

Essa parte é tão importante quanto a anterior, porque circula muita afirmação exagerada.

A Lei 15.397/2026 não cria dever de verificação de identidade para empresas. Não define procedimento de cadastro, não estabelece prazo de retenção de documento, não institui obrigação de comunicação ao COAF que já não existisse e não altera a LGPD. Ela é lei penal: descreve condutas de pessoas e comina penas.

Também não transforma a plataforma em responsável penal pelo cadastro fraudulento que passou. Responsabilidade penal no Brasil é pessoal, e o texto não muda isso.

Quem estiver vendendo adequação obrigatória à Lei 15.397/2026 está inventando obrigação. O que existe é consequência indireta, e ela é relevante.

Por que a origem do cadastro virou questão de prova

Com tipo penal próprio para a cessão de conta, o número de investigações que começam pela conta sobe. E toda investigação que começa pela conta chega, cedo ou tarde, a uma pergunta para a empresa que a abriu: como vocês validaram que essa pessoa era essa pessoa?

Essa pergunta não é nova. O que mudou foi a frequência e o grau de detalhe esperado na resposta. Responder que existe um processo de cadastro não basta. O que sustenta a posição da empresa é o registro do caso concreto: qual documento foi apresentado, quais bases foram consultadas, se houve prova de vida, qual o resultado de cada etapa, qual versão da política estava valendo naquele dia e quem decidiu quando houve análise humana.

Três situações tornam isso concreto:

• Um marketplace recebe ofício sobre um vendedor que recebia repasses de terceiros. A pergunta que chega não é sobre o produto anunciado, é sobre o cadastro.
• Uma operadora de telecom é questionada sobre linhas ativadas em lote com documentos que depois se revelaram cedidos.
• Uma plataforma P2P precisa explicar por que uma conta com três anos de uso começou a receber valores incompatíveis com o perfil declarado.

Em nenhum dos três a defesa é a política escrita. É o rastro.

O que muda na operação de cadastro

A mudança prática não é adicionar etapas. É tornar cada etapa demonstrável e estendê-la além do dia da abertura.

• Guardar o resultado final do cadastro. Depois: Guardar o resultado de cada etapa, com motivo e carimbo de tempo.
• Política de verificação como documento interno. Depois: Versão da política vinculada a cada cadastro aprovado.
• Verificação apenas na entrada. Depois: Reverificação em eventos de risco ao longo da vida da conta.
• Análise humana sem registro estruturado. Depois: Decisão humana com autor, critério e justificativa gravados.
• Fila de exceção tratada como atraso. Depois: Fila de exceção tratada como evidência de triagem.

O ponto do meio é o que mais falta nas operações brasileiras. Cadastro aprovado em 2024 sob uma política, e conta que em 2026 passa a operar de modo incompatível com o que foi declarado. Se a verificação parou no primeiro dia, o rastro também parou, e a empresa fica sem nada para mostrar sobre os dois anos seguintes. Reverificar em eventos de risco é o que mantém o histórico vivo. Esse é o mesmo raciocínio que aparece em conta laranja: como identificar antes de virar caso de polícia, e a camada técnica está nas soluções de verificação da Shiel ID.

O que fazer agora

1. Mapeie quanto tempo sua empresa leva hoje para reconstruir o histórico de validação de um cadastro específico feito há 18 meses. Se a resposta passa de um dia, o rastro está incompleto.
2. Passe a versionar a política de verificação e a gravar em cada cadastro qual versão foi aplicada.
3. Estruture o registro da decisão humana: autor, critério usado, documento consultado e justificativa, em campo próprio e não em comentário livre.
4. Defina a lista de eventos que disparam reverificação, incluindo troca de titularidade, mudança de dispositivo e alteração relevante de padrão de uso.
5. Peça ao jurídico uma leitura própria do texto da Lei 15.397/2026 aplicada ao seu setor, em vez de adotar resumo de fornecedor.

Perguntas frequentes

A Lei 15.397/2026 obriga minha empresa a fazer KYC? Não. É lei penal, que tipifica condutas de pessoas e majora penas. Obrigações de verificação continuam vindo da regulação setorial aplicável ao seu negócio, não dessa lei.

Quando ela entrou em vigor? Na data da publicação, 4 de maio de 2026, conforme o texto publicado pelo Planalto.

Ceder a conta para um conhecido movimentar dinheiro já era crime antes? Podia ser enquadrado por vias indiretas, em geral lavagem de dinheiro, com discussão sobre dolo. Agora existe tipo próprio no art. 171, § 2º, VII, com moldura penal de 1 a 5 anos e multa.

A empresa pode ser responsabilizada penalmente por cadastro fraudulento? A responsabilidade penal é pessoal e a lei não muda isso. O risco concreto para a empresa é de outra ordem: responder a investigações e a questionamentos regulatórios sem conseguir demonstrar como validou aquele cadastro.

Qual o primeiro passo se hoje não guardamos esse rastro? Comece pelo registro por etapa e pela versão da política aplicada. Sem esses dois, qualquer reconstrução posterior vira reconstrução de memória, e memória não serve como prova.

Para avaliar como isso se aplica à sua operação, fale com o time comercial da Shiel ID.