Open Finance para empresas: consentimento terá de identificar cada parceiro

A Resolução Conjunta nº 21/2026 organiza o compartilhamento de dados do Open Finance por meio de contratos de parceria e entrou em vigor em 26 de outubro de 2026, data de sua publicação no Diário Oficial da União.

A mudança organiza contratos e responsabilidades dentro do Open Finance. Ela interessa especialmente a empresas que usam ou avaliam serviços baseados em dados financeiros, mas não cria, por si só, uma oferta de crédito nem torna um novo serviço automaticamente disponível a todos os clientes.

O Banco Central descreve a atualização como voltada a dar mais clareza às parcerias e a ampliar o uso do Open Finance por pessoas jurídicas, com salvaguardas de privacidade, segurança e governança. Para entender o efeito prático, é importante separar três papéis: a pessoa ou empresa titular dos dados, a instituição que recebe e encaminha os dados, e a entidade parceira que os recebe por contrato.

O que são instituição integradora e entidade parceira

A resolução define instituição integradora como uma instituição participante do Open Finance que recebe dados e celebra contrato para transmiti-los a uma entidade parceira. A entidade parceira é a organização que firma esse contrato com a integradora para receber dados originados no Open Finance. Ela não se torna automaticamente participante do sistema por causa da parceria.

Essa distinção evita tratar qualquer aplicativo, plataforma ou empresa que apareça numa conversa comercial como se fosse uma entidade parceira qualificada pela norma. A função precisa existir dentro de uma relação contratual de parceria com uma instituição participante, conforme as regras aplicáveis. A integradora continua responsável por identificar o cliente, obter o consentimento e supervisionar a relação.

A parceria pode envolver dados cadastrais ou de transações que vieram do Open Finance. Também pode envolver dados derivados de análise ou modelagem, quando eles ainda permitam identificar o cliente, como uma pontuação associada a uma pessoa ou empresa. A resolução trata essas situações como compartilhamento sujeito às salvaguardas do contrato de parceria.

Para uma empresa, um exemplo hipotético seria um serviço de gestão financeira que recebe dados de contas por meio de uma instituição participante e os usa para oferecer uma funcionalidade própria. O exemplo só se enquadra nesse modelo regulatório se houver a relação contratual descrita na norma; não basta que um serviço consulte informações por outra via ou se apresente genericamente como conectado ao Open Finance.

Como deve funcionar o consentimento

Antes do compartilhamento, a instituição integradora deve identificar o cliente e obter consentimento expresso para cada entidade parceira. A autorização deve ocorrer no ambiente da integradora. Não é uma autorização genérica para uma lista indefinida de organizações: a parceira correspondente precisa ser identificada claramente tanto no processo de obtenção quanto na gestão posterior do consentimento.

Na prática, a granularidade por parceira permite que o titular compreenda qual organização receberá dados por meio daquela relação. Quando a empresa analisa uma autorização, os elementos mais úteis para entender seu alcance são a identidade da instituição integradora, o nome da entidade parceira, os dados envolvidos, a finalidade apresentada, o prazo ou duração informado e a forma de administrar ou revogar o consentimento. A tela concreta pode variar conforme a implementação; a resolução não determina que todos os participantes passem a exibir uma interface idêntica.

A norma também manda a integradora observar as regras de obtenção e revogação de consentimento já estabelecidas para o Open Finance, e permite que o Banco Central publique diretrizes e procedimentos específicos para contratos de parceria e para as informações apresentadas ao cliente. Portanto, a regra de identificar cada parceira está vigente, enquanto detalhes adicionais de apresentação podem depender de orientação regulatória e da implementação de cada instituição.

Consentimento e contrato são partes relacionadas, mas não são a mesma coisa. O contrato organiza deveres entre a instituição integradora e a entidade parceira; a autorização expressa do cliente permite o compartilhamento para cada parceira identificada. A existência de um contrato não substitui o consentimento individual exigido antes da transmissão dos dados.

Quais proteções devem estar no contrato

A Resolução Conjunta nº 21 ampliou os itens que o contrato de parceria deve disciplinar. O foco é manter controle sobre o ciclo dos dados, delimitar responsabilidades e criar condições para que a instituição integradora interrompa o fluxo quando houver risco ou descumprimento.

Entre os pontos previstos estão:

• regras para obtenção e gestão do consentimento do cliente;
• identificação clara da entidade parceira durante o consentimento;
• responsabilidades das partes e informação ao cliente de que a parceira não atua em nome da integradora para o compartilhamento;
• dever de a parceira comunicar limitações que possam afetar o compartilhamento ou o cumprimento das normas;
• medidas tempestivas da integradora para interromper o compartilhamento diante de incidente de segurança ou de limitações regulatórias;
• vedação a substabelecer o contrato a terceiros;
• vedação a compartilhar com terceiros os dados recebidos por meio da parceria, inclusive dados derivados que continuem identificando o cliente;
• proibição de engenharia reversa ou procedimento equivalente para reconstruir dados transacionais;
• tratamento pelo tempo necessário à finalidade do consentimento e eliminação ao término, conforme a legislação aplicável;
• verificação periódica da capacidade da parceira, com atestação por auditor independente registrado na CVM ao menos uma vez por ano.

A vedação a compartilhar com terceiros não significa que uma empresa titular nunca possa autorizar novos usos em qualquer contexto. Ela descreve uma restrição dirigida à entidade parceira: os dados obtidos por aquele contrato não podem ser repassados em uma nova parceria ou modelo de negócio com terceiros. A autorização da pessoa ou empresa também não elimina os limites do contrato nem as obrigações de segurança e governança.

O Banco Central explica que a instituição integradora deverá avaliar previamente a capacidade da parceira para cumprir a regulamentação, proteger dados e manter controles. A avaliação e o monitoramento não são transferidos ao cliente. A norma prevê também responsabilidades institucionais de governança; o titular não precisa auditar a empresa parceira para que a obrigação exista.

O que a empresa pode observar sem confundir papéis

A resolução não anuncia um checklist obrigatório para o cliente nem muda toda jornada de Open Finance. Ainda assim, compreender o desenho do consentimento ajuda uma empresa a interpretar uma autorização que lhe seja apresentada. O ponto central é saber qual relação está sendo autorizada, em vez de presumir que “conectar uma conta” equivale a permitir qualquer uso dos dados.

Uma leitura cuidadosa pode distinguir:

• Quem recebe primeiro: a instituição participante que atua como integradora e em cujo ambiente o consentimento é dado.
• Quem recebe pela parceria: a entidade parceira identificada especificamente para aquele consentimento.
• Quais dados e finalidade aparecem: o alcance descrito no consentimento e a finalidade para a qual o tratamento é necessário.
• Como administrar a autorização: os meios de consulta e revogação previstos para o consentimento no Open Finance.
• Qual é o papel da parceira: ela não atua em nome da integradora para compartilhar os dados, e sua relação com a instituição é disciplinada por contrato próprio.

Esses pontos são uma forma de entender a transparência exigida, não uma ordem para aceitar ou rejeitar uma autorização. Uma empresa pode avaliar se a finalidade apresentada faz sentido para sua necessidade e se reconhece as organizações envolvidas. A resolução não exige contratação de produto, concessão de crédito ou adesão a um serviço específico.

Se a autorização ou a comunicação comercial não deixar claro quem é a entidade parceira, isso é diferente de afirmar que qualquer compartilhamento está automaticamente irregular: pode ser necessário distinguir a interface apresentada, o tipo de serviço e a implementação de cada instituição. A regra normativa é que a instituição integradora assegure a identificação clara durante a obtenção e a gestão do consentimento. Dúvidas sobre uma autorização concreta devem ser tratadas nos canais oficiais da instituição envolvida, sem compartilhar senhas ou códigos de acesso.

O fluxo desacoplado ainda depende de implementação

A atualização também abre espaço para jornadas em que a solicitação de compartilhamento e sua aprovação ocorram em ambientes ou momentos diferentes. Para pessoas jurídicas, quando aplicável, a aprovação poderá envolver usuários distintos da empresa, algo que pode se ajustar a processos internos de representação e alçada.

Essa possibilidade não deve ser lida como um recurso que já está disponível em todos os bancos ou aplicativos. O Banco Central descreveu a mudança como preparação para futura implementação; padrões técnicos e regulamentação complementar ainda precisam viabilizar o fluxo. A Resolução Conjunta nº 21 não autoriza prometer uma tela nova, uma aprovação remota específica ou a participação de usuários diferentes em qualquer jornada existente.

Até que os requisitos técnicos sejam definidos e implementados, a empresa deve considerar apenas os caminhos que sua instituição realmente disponibiliza. Se uma plataforma disser que o fluxo desacoplado já está ativo por causa da nova resolução, a afirmação precisa ser confirmada com a instituição participante responsável; a norma, sozinha, não comprova disponibilidade comercial ou operacional.

O prazo de 1º de dezembro é uma obrigação das instituições

O artigo 52-A estabelece uma etapa de transição para instituições que já tinham contratos de parceria vigentes na data de publicação da resolução. Essas instituições devem apresentar ao Banco Central, até 1º de dezembro de 2026, a relação das entidades parceiras com contratos vigentes.

A mesma disposição trata separadamente das informações sobre adequação dos contratos e dos consentimentos existentes. A entrega dessas informações observará um cronograma que o próprio Banco Central ainda definirá, e o regulador poderá estabelecer requisitos técnicos para a adequação. Portanto, não se deve converter a data de 1º de dezembro em um prazo para o cliente atualizar cadastro, renovar autorização, procurar um banco ou interromper um compartilhamento.

O alcance da mudança para empresas e MEI

O Banco Central destaca a utilidade das novas regras para clientes pessoa jurídica. A resolução usa a definição de cliente que abrange pessoa natural ou jurídica com relacionamento para serviço ou operação financeira com as instituições abrangidas; o regime de parceria se aplica aos dados descritos no artigo 36 e ao contrato que atende às definições normativas.

Por isso, a referência a empresas não significa que toda pessoa jurídica, todo microempreendedor individual ou todo usuário de Open Finance passe automaticamente por uma nova tela. A aplicação depende da relação concreta, dos dados compartilhados e de haver contrato de parceria no escopo da resolução.

A norma tampouco diz que todos os usos de dados fora de parcerias mudaram da mesma forma. A Resolução Conjunta nº 21 altera regras de contratos de parceria no Open Finance, mantendo o restante das jornadas sujeito aos dispositivos próprios aplicáveis. O recorte mais seguro é perguntar qual instituição recebe os dados, se há uma entidade parceira e qual consentimento corresponde àquela relação.

Como interpretar a proteção sem presumir uma oferta

Regras de compartilhamento de dados e ofertas financeiras são assuntos distintos. A resolução disciplina condições para transmissão e tratamento de dados em contratos de parceria. Ela não cria direito a crédito, não determina aprovação de financiamento, não fixa juros nem garante que uma ferramenta baseada em dados esteja disponível para uma empresa.

Uma entidade parceira pode atuar em diferentes serviços, mas seu enquadramento não transforma automaticamente uma análise ou pontuação em proposta de empréstimo. Quando uma oferta de crédito existir, seus custos, condições, critérios de elegibilidade e efeitos contratuais devem ser avaliados à parte. Consentir com compartilhamento não é contratar crédito, e contratar uma ferramenta não deve ser apresentado como consequência obrigatória da autorização.

Fontes oficiais: Resolução Conjunta nº 21/2026, Banco Central e explicação do Banco Central publicada em 10 de novembro de 2026.