Open Finance: novas regras reforçam controle de empresas sobre dados

Para quem administra uma empresa, a mudança pede atenção a duas questões: identificar quem recebe os dados e entender quem pode autorizar o acesso em nome do negócio. A previsão de novas jornadas, porém, não significa que todos os bancos já ofereçam o mesmo procedimento. O texto condiciona o uso dos fluxos de aprovação desacoplados à regulamentação específica.

Quem recebe os dados precisa estar identificado

Open Finance é o compartilhamento de informações e serviços financeiros mediante autorização do cliente. A norma trata, entre outros pontos, de uma situação específica: a instituição que recebe dados pelo sistema e firma uma parceria para transmiti-los a outra entidade. A resolução chama esses participantes de instituição integradora e entidade parceira.

Antes desse compartilhamento, a integradora deve identificar o cliente e obter seu consentimento expresso em relação a cada parceira. A autorização deve ocorrer no ambiente da integradora. O novo artigo 38-A também exige que a parceira seja claramente identificada tanto na obtenção quanto na gestão do consentimento.

A exigência é um dos pontos destacados nas coberturas da Agência Brasil e do Poder360. A leitura do texto oficial permite delimitar seu alcance: trata-se do regime de parcerias descrito na resolução, e não de uma autorização genérica para qualquer empresa acessar contas bancárias.

A proteção alcança também dados derivados

Um detalhe do artigo 36 ajuda a avaliar serviços que usam dados para análises financeiras. O regime de parceria abrange informações cadastrais e transacionais obtidas no Open Finance e dados produzidos por tratamento, análise ou modelagem que continuem identificando, ou permitindo identificar, o cliente. A norma cita notas e pontuações de crédito como exemplo.

Isso significa que transformar informações bancárias em uma pontuação não retira automaticamente esse resultado das regras de compartilhamento. O contrato deve vedar o repasse dos dados obtidos pela parceira a terceiros, inclusive dos dados derivados abrangidos pelo artigo 36. Também deve proibir procedimentos de engenharia reversa voltados a reconstruir dados transacionais.

Análise editorial: para uma empresa que compara soluções de gestão ou análise financeira, perguntar apenas quais extratos serão acessados pode deixar parte da decisão de fora. Também importa saber quais análises serão produzidas, se continuarão vinculadas ao CNPJ e quem poderá recebê-las. Esse cuidado decorre do alcance da própria resolução; não pressupõe irregularidade de um fornecedor específico.

Autorizações poderão ocorrer em momentos diferentes

O texto define o fluxo de aprovação desacoplado como aquele em que a solicitação começa no ambiente da instituição receptora de dados ou da iniciadora de pagamento e é aprovada posteriormente no ambiente da transmissora ou da instituição que mantém a conta, sem redirecionamento automático.

As etapas poderão ser executadas em momentos distintos e, quando aplicável, por usuários diferentes. O UOL destaca a possibilidade de adequar a jornada aos processos internos das companhias. A resolução, entretanto, não informa uma data única em que essa experiência estará disponível para toda pessoa jurídica.

Em um exemplo hipotético, um responsável financeiro poderia iniciar a solicitação e outro representante autorizado concluir a aprovação mais tarde. A divisão efetiva depende das regras de representação da empresa, do serviço oferecido e da regulamentação aplicável. A previsão não dispensa os poderes necessários para agir em nome do negócio.

Segurança passa por contratos e pela administração

A integradora deve avaliar a capacidade da parceira de proteger as informações e acompanhar a relação. Os contratos precisam prever medidas para interromper o compartilhamento diante de incidentes de segurança ou limitações ao cumprimento das regras. Em caso de fundada suspeita de fraude, a instituição que a detectar deve considerar o consentimento sem efeito e observar os procedimentos de revogação previstos na regulamentação.

O conselho de administração e a diretoria das instituições participantes devem atuar no funcionamento, no monitoramento e na correção de falhas do Open Finance. A resolução estabelece que suas responsabilidades não podem ser delegadas. Nas instituições sem conselho, as atribuições correspondentes ficam com a diretoria.

O prazo de dezembro é dirigido às instituições

A resolução entra em vigor na data de publicação. Para instituições com contratos de parceria vigentes nessa data, o novo artigo 52-A determina a apresentação da relação de entidades parceiras ao Banco Central até 1º de dezembro de 2026. As informações sobre adequação dos contratos e consentimentos seguirão um cronograma a ser definido pelo BC.

Esse prazo não foi estabelecido como uma obrigação geral de cadastro para MEIs ou empresas que usam serviços financeiros. Recomendamos que o responsável pelo negócio consulte as autorizações existentes, identifique cada destinatário e confirme com sua instituição como funcionam a aprovação e a revogação. A norma reforça o controle sobre os dados; ela não garante concessão de crédito, juros menores ou implantação imediata de novos recursos.

Apuração concluída para a edição de 22 de outubro de 2026, com corte às 22h de Brasília. Foram comparadas três coberturas de redações distintas e lida a Resolução Conjunta nº 21 no site do Banco Central. A disponibilidade de jornadas em bancos específicos não foi testada.