Redação CadÚnico BrasilO Conselho Monetário Nacional (CMN) e o Banco Central (BC) mudaram as regras do Open Finance, o sistema em que o cliente autoriza instituições financeiras a trocar seus dados entre si. A Resolução Conjunta nº 21, aprovada pela diretoria do BC em 14 de outubro e pelo CMN em 22 de outubro, foi publicada no Diário Oficial da União em 26 de outubro e passou a valer na data da publicação. O texto altera a Resolução Conjunta nº 1, de 2020, que organizou a implantação do sistema no país.
As mudanças miram principalmente as parcerias entre instituições financeiras e empresas que recebem dados vindos do Open Finance, como prestadoras de serviços de análise de crédito. A norma também reforça a responsabilidade da cúpula dos bancos e prepara caminho para autorizações em etapas, pensadas sobretudo para clientes pessoa jurídica.
Consentimento separado para cada parceiro
A resolução cria duas figuras. A instituição integradora é a que recebe os dados do cliente e firma contrato para repassá-los a uma empresa parceira; a entidade parceira é quem recebe essas informações por meio desse contrato. A partir de agora, a integradora deve identificar com clareza o parceiro durante a coleta e a gestão do consentimento, e o cliente precisa autorizar o compartilhamento com cada uma dessas empresas, em vez de dar um aval genérico.
A norma também impõe limites aos parceiros. Eles não podem repassar a terceiros os dados obtidos, nem informações derivadas que ainda permitam identificar o cliente, como notas ou pontuações de crédito. Ficam proibidas ainda tentativas de engenharia reversa para reconstruir transações de clientes. Empresas parceiras não podem usar nomes com termos típicos de bancos e instituições de pagamento, e tanto elas quanto a integradora devem avisar o cliente de que o parceiro não age em nome da instituição.
Antes de fechar o contrato, a integradora precisa verificar se o parceiro tem condições de proteger os dados, e essa avaliação deve ser atestada por auditor independente registrado na Comissão de Valores Mobiliários (CVM), com renovação no mínimo anual. Em caso de incidente de segurança, a integradora deve interromper rapidamente o envio de dados. O BC, por sua vez, poderá vetar ou restringir o compartilhamento e determinar a suspensão ou o fim de uma parceria quando houver risco à segurança do sistema financeiro.
Diretoria e conselho passam a responder
Outra frente da resolução é a governança. Cada instituição participante deve designar um diretor responsável pelo compartilhamento e elaborar um relatório sobre sua atuação no Open Finance, assinado por esse diretor e submetido às áreas de conformidade, auditoria interna e ao comitê de risco. O conselho de administração deve tomar ciência do relatório, definir diretrizes para os controles internos e garantir correções rápidas quando houver falhas. Essas responsabilidades não podem ser delegadas.
Instituições que já tinham contratos de parceria terão de enviar ao BC a lista de parceiros até 1º de dezembro de 2026. A adequação dos contratos e dos consentimentos existentes seguirá um cronograma ainda a ser definido pelo Banco Central.
Autorização em etapas para empresas
A norma também abre espaço para o que chama de fluxo de aprovação desacoplado. Hoje, o cliente pede o compartilhamento em uma instituição e é redirecionado automaticamente para a outra para confirmar. No novo modelo, previsto para casos específicos e sujeito a regulamentação complementar, o pedido e a aprovação poderão ocorrer em momentos diferentes e, quando aplicável, por usuários diferentes. Para empresas que exigem a assinatura de mais de um representante em decisões financeiras, isso tende a simplificar o processo.
Em nota, a Associação dos Iniciadores de Transação de Pagamento (INIT) avaliou que as regras reforçam a segurança sem fechar espaço para inovação e disse que o desafio passa a ser a implementação.
Como funciona o Open Finance
Segundo o Banco Central, todo compartilhamento precisa ser autorizado previamente pelo cliente, ter objetivo determinado, prazo adequado a esse objetivo e poder ser cancelado a qualquer momento. A troca ocorre por interfaces padronizadas (APIs) e sempre entre duas instituições por vez: a que envia e a que recebe. De acordo com o BC, os dados não ficam em uma base central nem passam pela autarquia.
O processo tem três etapas obrigatórias. Primeiro, o cliente dá o consentimento no aplicativo ou site da instituição que vai receber os dados. Depois, é levado ao ambiente do banco que guarda as informações para se autenticar com biometria, senha ou token, sem que a primeira instituição veja esses dados. Por fim, confirma um resumo com os dados envolvidos, quem vai recebê-los e por quanto tempo vale a autorização.
O sistema começou a operar com dados de clientes em 2021 e foi ganhando funções: pagamentos via Pix em 2022, dados de investimentos em 2023, de câmbio em 2024, Pix por aproximação e Pix Automático em 2025 e portabilidade de crédito pessoal sem consignação em 2026. Segundo o BC, eram 145 milhões de autorizações de compartilhamento de dados em agosto de 2026, e as transações Pix iniciadas pelo Open Finance somavam cerca de R$ 5 bilhões por mês. Mais de 700 instituições participam, o que, de acordo com o BC, cobre 99% dos clientes de instituições autorizadas.
Como acompanhar e cancelar autorizações
O cliente pode revogar uma autorização quando quiser, pelo aplicativo ou site de qualquer uma das duas instituições envolvidas. A regulamentação proíbe que o banco que envia os dados sugira ao cliente o cancelamento. Quando houver suspeita fundamentada de fraude, a instituição que a identificar deve tornar o consentimento sem efeito.
Cuidado com golpes que usam o nome do sistema
O nome do sistema também aparece em tentativas de fraude. O Procon-SP alertou em outubro que pedidos para “ativar” ou “regularizar” o Open Finance feitos por telefone, e-mail, SMS, WhatsApp ou redes sociais podem ser fraude. Algumas precauções recomendadas pelo órgão e pelo BC:
- iniciar qualquer compartilhamento apenas pelo aplicativo ou site oficial da instituição que vai receber os dados;
- nunca informar senhas, tokens ou códigos de segurança a terceiros, já que eles não são compartilhados pelo Open Finance;
- antes de autorizar, conferir qual instituição receberá os dados, quais informações serão acessadas, para que e por quanto tempo;
- em caso de compartilhamento não autorizado, cobrança indevida ou suspeita de fraude, procurar logo a instituição pelos canais oficiais, guardar os registros do atendimento e, se preciso, acionar órgãos de defesa do consumidor, o Banco Central e a polícia.