Brasil endurece regras do Open Finance

Atualização 28 de outubro de 2026: além de endurecer as regras de Open Finance para contratos de associação e consentimento, o Banco Central do Brasil informou 99 incidentes cibernéticos até setembro de 2026, ante 76 em todo 2025. Desse total, 68 foram classificados como fraude, enquanto o regulador ponderou que a alta também reflete melhor capacidade de monitoramento e detecção.

O Conselho Monetário Nacional e o Banco Central do Brasil aprovaram a Resolução Conjunta Nº 21, que atualiza as regras de Open Finance para contratos de associação entre instituições financeiras e empresas vinculadas. A norma acrescenta exigências de avaliação, segurança contratual, consentimento específico do cliente e reporte de contratos vigentes ao regulador.

O que determina a nova resolução?

A nova regra exige que as instituições que atuem como integradoras avaliem se suas empresas associadas conseguem cumprir as normas e proteger as informações compartilhadas. Essa avaliação deverá ser certificada ao menos uma vez por ano por um auditor independente registrado na Comissão de Valores Mobiliários.

Além disso, os contratos de associação terão de definir medidas de segurança, limites para a transferência de dados a terceiros e procedimentos para interromper o intercâmbio de informações caso ocorra um incidente. O Finsiders Brasil informou que a reforma busca esclarecer o alcance desses contratos e reduzir divergências de interpretação entre os participantes do sistema.

Como muda o consentimento do cliente?

A resolução também exige que o consentimento do cliente seja expresso e específico para cada empresa associada dentro do ambiente da instituição integradora. Segundo a cobertura disponível, isso reforça o controle sobre quais dados são compartilhados e com quem dentro dos esquemas de Open Finance.

A cobertura independente descreve que a medida alcança associações em que bancos, fintechs e cooperativas transferem dados obtidos via Open Finance para empresas externas ao sistema financeiro. Nesse contexto, as novas regras reforçam as responsabilidades sobre segurança, privacidade e governança dos dados compartilhados.

O que acontece com os contratos já vigentes?

As instituições que já mantêm contratos abrangidos pelas novas regras deverão informar ao Banco Central, até 1º de dezembro de 2026, a relação de empresas associadas com contratos vigentes. Também precisam comunicar a adequação de contratos e consentimentos existentes conforme o cronograma definido pelo Banco Central.

Uma fonte secundária indicou ainda que o Banco Central pode vetar ou impor restrições à troca de dados e determinar a suspensão ou o encerramento de contratos quando houver impacto sobre a segurança ou o funcionamento do Sistema Financeiro Nacional ou do Sistema de Pagamentos Brasileiro. A Agência Brasil acrescentou que as novas regras permitem suspender o compartilhamento de dados quando houver situações que representem riscos à segurança da informação.

O que mostram os novos dados sobre incidentes cibernéticos?

O Banco Central informou que, até setembro de 2026, foram registrados 99 incidentes cibernéticos, ante 76 em todo 2025, e que 68 desses casos foram classificados como fraude. O Globo disse que esse volume é o mais alto desde pelo menos 2018 e citou o antecedente de 59 incidentes em 2024.

A Folha de S.Paulo informou que os 68 incidentes classificados como fraude representaram 69% do total registrado até setembro de 2026. Segundo o Valor, o regulador ponderou que a alta deve ser analisada junto com o aperfeiçoamento das capacidades de monitoramento e detecção, uma explicação que aponta para um sistema com mais capacidade de identificar e reportar eventos.

Desde quando vale?

A Resolução Conjunta Nº 21 entrou em vigor no dia da publicação, segundo uma fonte secundária que reproduz o conteúdo normativo. Com isso, as instituições alcançadas pela norma precisam ajustar contratos e mecanismos de controle já sob as novas exigências.