O Open Finance brasileiro ganhou novas regras para o compartilhamento de dados com empresas parceiras. A Resolução Conjunta nº 21, de 22 de outubro de 2026, do Banco Central e do Conselho Monetário Nacional (CMN), foi publicada no Diário Oficial da União de 26 de outubro de 2026 e entrou em vigor nessa data. A norma altera a Resolução Conjunta nº 1/2020 e reforça a necessidade de identificar quem recebe as informações, obter autorização específica do cliente e monitorar a segurança das parcerias.
Para empresas que usam plataformas de gestão financeira, conciliação bancária automatizada e integração de extratos, a atualização ajuda a esclarecer quem pode receber os dados bancários, em quais condições e quais instituições respondem pela proteção do compartilhamento.
O que mudou nas regras do Open Finance em 2026?
A nova resolução trata principalmente dos contratos de parceria pelos quais uma instituição participante do Open Finance, denominada instituição integradora, transmite a uma entidade parceira dados obtidos nesse ecossistema.
Entre as alterações estão:
- Consentimento específico para cada entidade parceira: a instituição integradora deve identificar o cliente e obter autorização expressa para cada empresa que receberá seus dados.
- Identificação clara do destinatário: a entidade parceira precisa aparecer de forma compreensível na obtenção e na gestão da autorização.
- Proteção também de dados derivados: a regulamentação abrange não apenas informações cadastrais e transacionais, mas também análises que permitam identificar o cliente, como determinadas pontuações de crédito.
- Reforço de segurança e governança: instituições integradoras devem verificar a capacidade das parceiras, monitorar o compartilhamento e prever a interrupção do acesso em situações de risco ou descumprimento.
- Limites ao repasse a terceiros: os contratos devem impedir que parceiras criem modelos de negócio voltados a compartilhar novamente com terceiros os dados recebidos por essa via.
Importante: as regras específicas da seção de parcerias não se aplicam indistintamente a qualquer empresa que use uma API bancária. Seu alcance depende da estrutura contratual, da origem dos dados e do papel efetivamente desempenhado pelos participantes.
Como passa a funcionar o consentimento para compartilhar dados?
No Open Finance, o cliente já precisava autorizar o compartilhamento. A mudança traz detalhamento para o caso de dados transmitidos de uma instituição participante a entidades parceiras: a autorização deve ser expressa, relativa a cada parceira e obtida no ambiente da instituição integradora.
Exemplo: uma empresa utiliza um serviço de gestão que reúne extratos de diferentes bancos. Se os dados forem obtidos pelo Open Finance e repassados por uma instituição integradora a uma parceira enquadrada na nova regra, o consentimento deverá identificar claramente essa destinatária. Assim, a autorização para uma parceria não equivale automaticamente a autorização genérica para diversas empresas.
A norma também exige que o tratamento dure somente pelo período necessário à finalidade consentida, com informações ao titular e eliminação dos dados ao fim desse período, observada a legislação aplicável de proteção de dados.
O que é o fluxo de aprovação desacoplado?
Outra novidade é o chamado fluxo de aprovação desacoplado. Ele permite que a solicitação do compartilhamento e a aprovação do consentimento aconteçam em momentos diferentes e, quando cabível, por usuários distintos.
Na prática, isso pode atender situações em que um funcionário do financeiro inicia a solicitação, mas a autorização cabe a um administrador ou representante da empresa. No entanto, a própria resolução condiciona o uso desse fluxo a regulamentação específica. Portanto, não se deve presumir que todas as instituições já ofereçam a funcionalidade.
Qual é o prazo de 1º de dezembro de 2026?
O artigo 52-A, incluído na Resolução Conjunta nº 1/2020, determina que as instituições abrangidas que já possuíam contratos de parceria vigentes na data da publicação enviem ao Banco Central a relação de entidades parceiras até 1º de dezembro de 2026.
Esse prazo não é uma exigência para que todos os clientes refaçam suas autorizações até dezembro. O cronograma de adequação dos contratos existentes e dos consentimentos já concedidos ainda será estabelecido pelo Banco Central. As instituições também devem acompanhar requisitos técnicos complementares que venham a ser definidos.
Quais responsabilidades recaem sobre bancos e instituições integradoras?
A resolução reforça que as instituições participantes respondem pela segurança, integridade, disponibilidade, sigilo e conformidade dos compartilhamentos em que estão envolvidas. Nas parcerias, a instituição integradora deve avaliar a capacidade da entidade parceira antes da contratação.
A norma prevê atestação por auditor independente registrado na Comissão de Valores Mobiliários (CVM) para a verificação da capacidade da parceira, além de previsão contratual de verificação ao menos anual, observadas as regras documentais que o Banco Central ainda poderá detalhar.
O conselho de administração e a diretoria das instituições participantes recebem responsabilidades expressas de acompanhamento e controle que não podem ser delegadas. Em situações previstas pela regulamentação, o Banco Central poderá restringir compartilhamentos ou determinar a suspensão ou o encerramento de parcerias.
O que muda para pequenas empresas e profissionais PJ?
Para quem utiliza o Open Finance como cliente — por exemplo, uma clínica, um escritório de advocacia, um comércio ou um profissional PJ —, a principal orientação é acompanhar as autorizações de uso dos dados financeiros e verificar quais empresas estão identificadas como destinatárias.
A resolução não cria uma obrigação contábil ou fiscal nova para todas as pequenas empresas. Os efeitos práticos podem aparecer na experiência de autorização e gestão do compartilhamento, especialmente quando o serviço depende de parceria entre instituições financeiras e provedores de tecnologia.
Como ficam os sistemas de conciliação bancária e os ERPs?
Soluções de gestão financeira podem usar informações de contas bancárias para importar extratos, conciliar lançamentos, monitorar recebimentos e apoiar a análise do fluxo de caixa. Nesse contexto, a norma recomenda uma atenção especial à cadeia de fornecimento dos dados.
Uma empresa que desenvolve ou contrata essas soluções deve verificar, conforme seu papel no fluxo:
- Se o provedor atua como instituição integradora, entidade parceira, operador de dados ou em outro enquadramento contratual;
- Se a origem dos dados bancários é o Open Finance e se existe repasse a parceiros abrangidos pela resolução;
- Como são registrados consentimentos, destinatários, finalidades e revogações;
- Quais controles existem para acesso, armazenamento, incidentes e encerramento da relação contratual;
- Como o fornecedor acompanhará as novas exigências de segurança e o cronograma de adequação do Banco Central.
Essas verificações são pertinentes inclusive quando o compartilhamento abrange dados derivados que ainda identifiquem o cliente, e não apenas extratos em formato original.
Open Finance na rotina da Carmelitas Contabilidade
A integração bancária pode reduzir tarefas manuais e facilitar a organização da movimentação financeira de empresas e profissionais PJ. A Carmelitas já abordou essa aplicação no artigo Carmelitas passa a capturar extratos bancários via Open Finance e facilita a rotina dos clientes.
O avanço da regulamentação reforça a importância de combinar automação, controles de acesso e transparência sobre o tratamento das informações. Empresas que desejam melhorar suas rotinas administrativas também podem conhecer as Ferramentas Carmelitas.
Perguntas frequentes
O Open Finance continua exigindo autorização do cliente?
Sim. O compartilhamento depende das condições legais e regulamentares aplicáveis. Nas parcerias abrangidas pela Resolução Conjunta nº 21/2026, a instituição integradora deve obter consentimento expresso e específico para cada entidade parceira.
Preciso renovar meu consentimento até 1º de dezembro?
A norma não estabelece esse prazo geral para os clientes. A data de 1º de dezembro de 2026 refere-se à entrega da relação de parceiras ao Banco Central pelas instituições abrangidas com contratos vigentes. O cronograma de adaptação dos consentimentos existentes será definido pelo regulador.
Qualquer software de contabilidade passa a ser regulado diretamente pelo Banco Central?
Não necessariamente. O enquadramento depende do modelo de operação, da contratação e do efetivo papel da empresa na cadeia de compartilhamento. Prestadores que atuem exclusivamente como operadores de dados, nos termos da LGPD, não se enquadram automaticamente na definição de contrato de parceria do artigo 36.
Os bancos poderão suspender compartilhamentos em caso de risco?
As instituições integradoras devem adotar procedimentos para interrupção tempestiva do compartilhamento com parceiras em situações de incidente de segurança ou limitações de conformidade, observadas as condições regulamentares.
Fontes oficiais
Banco Central do Brasil — Resolução Conjunta nº 21, de 22 de outubro de 2026.
Diário Oficial da União — publicação da Resolução Conjunta nº 21/2026 (26/10/2026).
Banco Central — Resolução Conjunta nº 1/2020, alterada pela nova norma.
Publicado em 27 de outubro de 2026. Conteúdo informativo; obrigações específicas dependem do enquadramento das instituições e dos contratos de parceria.
