Brasil endurece reglas de Open Finance

Actualización 28 de octubre de 2026: además de endurecer las reglas de Open Finance para contratos de asociación y consentimiento, el Banco Central de Brasil informó 99 incidentes cibernéticos hasta septiembre de 2026, frente a 76 en todo 2025. De esos casos, 68 fueron clasificados como fraude, mientras el regulador matizó que el aumento también refleja mejores capacidades de monitoreo y detección.

El Consejo Monetario Nacional y el Banco Central de Brasil aprobaron la Resolución Conjunta N.º 21, que actualiza las reglas de Open Finance para los contratos de asociación entre instituciones financieras y empresas vinculadas. La norma suma exigencias de evaluación, seguridad contractual, consentimiento específico del cliente y reporte de contratos vigentes al regulador.

¿Qué obliga la nueva resolución?

La nueva regulación exige que las instituciones que actúen como integradoras evalúen si sus empresas asociadas pueden cumplir las reglas y proteger la información compartida. Esa evaluación deberá ser certificada al menos una vez por año por un auditor independiente registrado ante la Comissão de Valores Mobiliários.

Además, los contratos de asociación tendrán que definir medidas de seguridad, límites a la transferencia de datos a terceros y procedimientos para interrumpir el intercambio de información si ocurre un incidente. Finsiders Brasil señaló que la reforma busca aclarar el alcance de esos contratos y reducir divergencias de interpretación entre participantes del sistema.

¿Cómo cambia el consentimiento del cliente?

La resolución también exige que el consentimiento del cliente sea expreso y específico para cada empresa asociada dentro del entorno de la institución integradora. Según la cobertura disponible, esto refuerza el control sobre qué datos se comparten y con quién dentro de los esquemas de Open Finance.

La cobertura independiente describe que la medida alcanza asociaciones en las que bancos, fintechs y cooperativas transfieren datos obtenidos mediante Open Finance a empresas externas al sistema financiero. En ese marco, las nuevas reglas refuerzan las responsabilidades sobre seguridad, privacidad y gobernanza de los datos compartidos.

¿Qué pasa con los contratos ya vigentes?

Las instituciones que ya mantengan contratos alcanzados por las nuevas reglas deberán informar al Banco Central, hasta el 1 de diciembre de 2026, la relación de empresas asociadas con contratos vigentes. Además, deben informar sobre la adecuación de contratos y consentimientos existentes conforme al cronograma que defina el Banco Central.

Una fuente secundaria indicó además que el Banco Central podría vetar o imponer restricciones al intercambio de datos y ordenar la suspensión o terminación de contratos cuando exista impacto sobre la seguridad o el funcionamiento del Sistema Financiero Nacional o del Sistema de Pagos Brasileño. Agência Brasil agregó que las nuevas reglas permiten suspender el intercambio de datos cuando existan situaciones que representen riesgos para la seguridad de la información.

¿Qué muestran los nuevos datos sobre incidentes cibernéticos?

El Banco Central informó que hasta septiembre de 2026 se registraron 99 incidentes cibernéticos, frente a 76 durante todo 2025, y que 68 de esos casos fueron clasificados como fraude. O Globo sostuvo que ese volumen es el más alto desde al menos 2018, y añadió el antecedente de 59 incidentes en 2024.

Folha de S.Paulo indicó que los 68 incidentes clasificados como fraude representaron el 69% del total registrado hasta septiembre de 2026. Según Valor, el regulador matizó que el aumento debe analizarse junto con el perfeccionamiento de las capacidades de monitoreo y detección, una aclaración que apunta a un sistema con más capacidad para identificar y reportar eventos.

¿Desde cuándo rige?

La Resolución Conjunta N.º 21 entró en vigor el día de su publicación, según una fuente secundaria que reproduce el contenido normativo. Con eso, las instituciones alcanzadas por la norma deben ajustar sus contratos y mecanismos de control bajo las nuevas exigencias ya vigentes.