Banco Central
Resolução Conjunta
•
22/10/2026
Resolução Conjunta N° 21 de 22/10/2026
Sumário Regulatório
O Banco Central do Brasil, na forma do art. 9º da Lei nº 4.595, de 31 de dezembro de 1964, torna público que sua Diretoria Colegiada, em sessão realizada em 14 de outubro de 2026, e o Conselho Monetário Nacional, em sessão realizada em 22 de outubro...
Conteúdo do Documento
O Banco Central do Brasil, na forma do art. 9º da Lei nº 4.595, de 31 de dezembro de 1964, torna público que sua Diretoria Colegiada, em sessão realizada em 14 de outubro de 2026, e o Conselho Monetário Nacional, em sessão realizada em 22 de outubro de 2026, com base nos arts. 4º, caput, inciso VIII, da referida Lei, 9º-A, caput, inciso I, da Lei nº 4.728, de 14 de julho de 1965, e 9º, caput, inci...
O Banco Central do Brasil, na forma do art. 9º da Lei nº 4.595, de 31 de dezembro de 1964, torna público que sua Diretoria Colegiada, em sessão realizada em 14 de outubro de 2026, e o Conselho
Monetário Nacional, em sessão realizada em 22 de outubro de 2026, com base nos arts. 4º,
caput, inciso VIII, da referida Lei, 9º-A, caput, inciso I, da Lei nº 4.728, de 14 de julho de 1965, e 9º,
caput, inciso II, da Lei nº 12.865, de 9 de outubro de 2013,
R E S O L V E R A M :
Art. 1º A Resolução Conjunta nº 1, de 4 de maio de 2020, publicada no Diário Oficial da União de 5 de maio de 2020, passa a vigorar com as seguintes alterações:
"Art. 2º ..............................................................
.........................................................................
II - cliente: qualquer pessoa natural ou jurídica que mantém relacionamento destinado à prestação de serviço financeiro ou à realização de operação financeira com as instituições de que trata esta Resolução Conjunta, inclusive para a realização de transação
de pagamento;
.........................................................................
XIV - instituição credora original: instituição credora da operação objeto da portabilidade;
XV - instituição proponente: instituição receptora da operação objeto da portabilidade;
XVI - instituição integradora: instituição receptora de dados que celebra contrato de parceria para a transmissão de dados oriundos do
Open Finance para uma entidade parceira;
XVII - entidade parceira: entidade que celebra contrato de parceria com instituição integradora para a recepção de dados oriundos do
Open Finance;
XVIII - grupo econômico: grupo composto pela entidade controladora e todas as suas controladas, direta ou indiretamente; e
XIX - fluxo de aprovação desacoplado: procedimento de compartilhamento de dados ou de serviços no qual a solicitação de consentimento é realizada no ambiente da instituição receptora de dados ou da instituição iniciadora de transação de pagamento e a aprovação
do consentimento ocorre, posteriormente, no ambiente da instituição transmissora de dados ou da instituição detentora de conta, sem redirecionamento automático." (NR)
"Art. 8º ..............................................................
Parágrafo único. .......................................................
.........................................................................
III - ocorrer de forma sucessiva; e
..................................................................." (NR)
"Art. 9º ...............................................................
.........................................................................
§ 1º ...................................................................
§ 2º Admite-se a solicitação de compartilhamento de dados e serviços, de que trata o art. 5º,
caput, inciso I, alíneas "c" e "d", e inciso II, alínea "a", sem o redirecionamento para outros ambientes ou sistemas eletrônicos, de que trata o inciso III do
caput, no âmbito de fluxos de aprovação desacoplados, observado o disposto em regulamentação específica.
§ 3º As etapas de solicitação e de aprovação do consentimento no âmbito de fluxos de aprovação desacoplados poderão ser executadas em momentos distintos e, quando aplicável, por usuários distintos." (NR)
"Art. 15. .............................................................
........................................................................
§ 2º É vedado à instituição transmissora de dados ou detentora de conta propor ao cliente a revogação de consentimento.
.......................................................................
§ 5º Nos casos de fundada suspeita de fraude, a instituição que detectar a fraude deve considerar sem efeito o consentimento, bem como observar o disposto no § 4º e os demais procedimentos previstos na regulamentação vigente em relação à revogação do consentimento."
(NR)
"Art. 31. A instituição participante é responsável pela confiabilidade, pela integridade, pela disponibilidade, pela segurança, pelo desempenho e pelo sigilo em relação ao compartilhamento de dados e serviços em que esteja envolvida, bem como pelo cumprimento
da legislação e da regulamentação em vigor." (NR)
"Art. 32. As instituições participantes devem designar diretor responsável pelo compartilhamento de que trata esta Resolução Conjunta.
.............................................................." (NR)
"Art. 33. As instituições de que trata o art. 1º devem elaborar relatório referente ao compartilhamento de dados e serviços em que estiveram envolvidas e ao seu desempenho no
Open Finance.
§ 1º O conteúdo mínimo, a periodicidade e outros requisitos complementares referentes ao relatório mencionado no
caput serão definidos pelo Banco Central do Brasil.
§ 2º O relatório mencionado no caput, observado o disposto no art. 48-A, deve ser submetido aos responsáveis pelas áreas de conformidade e auditoria interna e ao comitê de risco da instituição.
§ 3º Na hipótese de a instituição não possuir comitê de risco, o relatório mencionado no
caput deve ser submetido ao responsável pela área de gerenciamento de riscos na instituição.
§ 4º O diretor responsável pelo compartilhamento de que trata o art. 32 deve assinar o relatório mencionado no
caput." (NR)
"Art. 36. Considera-se contrato de parceria e deve observar o disposto nesta Seção qualquer contrato estabelecido por instituição participante que preveja o compartilhamento de:
I - dados de cadastro ou de transações de clientes de que trata o art. 5º, caput, inciso I, alíneas "c" e "d" obtidos no âmbito do
Open Finance; ou
II - dados derivados de tratamento, análise ou modelagem dos dados de que trata o inciso I que permaneçam identificando ou permitindo identificar o cliente pessoa natural ou jurídica, a exemplo de notas ou pontuações de crédito.
........................................................................
§ 1º-A No contrato de que trata o caput, as partes assumem os papéis de instituição integradora e de entidade parceira, conforme definido no art. 2º,
caput, incisos XVI e XVII.
........................................................................
§ 5º É vedado celebrar ou manter contrato de parceria de que trata o caput:
I - entre instituições autorizadas a funcionar pelo Banco Central do Brasil;
II - com entidade não autorizada a funcionar pelo Banco Central do Brasil integrante de grupo econômico de que participe instituição autorizada a funcionar pelo Banco Central do Brasil não participante do
Open Finance, no caso do compartilhamento de dados de que trata o art. 5º,
caput, inciso I;
III - com o objetivo de que a entidade parceira atue em nome da instituição integradora para fins de compartilhamento dos dados de que trata o
caput; e
IV - com entidade parceira que, em sua nomenclatura, empregue termos característicos definidores da nomenclatura das instituições do Sistema Financeiro Nacional ou do Sistema de Pagamentos Brasileiro ou expressões similares em vernáculo ou em idioma estrangeiro.
§ 5º-A Na hipótese de, depois de celebrado o contrato de parceria, surgir qualquer evento que faça incidir alguma das vedações previstas nos incisos I, II e IV do § 5º, as partes devem adotar as medidas para o encerramento da relação contratual de parceria
de que trata o art. 38, caput, inciso XIX, no prazo máximo de seis meses, contados a partir do evento de que trata este parágrafo.
........................................................................
§ 7º O tratamento de dados pelas instituições que celebrarem o contrato de parceria de que trata o
caput deve durar apenas o tempo necessário para a finalidade do consentimento, sendo obrigatória a prestação de informações ao titular a respeito, e, ao seu término, deve ser realizada a eliminação dos dados, em consonância com a legislação vigente
de proteção de dados pessoais.
§ 8º Previamente ao compartilhamento de que trata o caput, a instituição integradora deve:
I - identificar o cliente; e
II - obter o consentimento do cliente de forma expressa e relativamente a cada entidade parceira, observado o disposto no art. 38-A.
§ 9º O consentimento de que trata o inciso II do § 8º deve ser dado no ambiente da instituição integradora.
§ 10. O disposto no caput se aplica, inclusive, ao compartilhamento de dados entre instituição participante e entidade não autorizada a funcionar pelo Banco Central do Brasil pertencentes a um mesmo grupo econômico.
§ 11. O disposto no caput não se aplica ao compartilhamento de dados com entidade que atue exclusivamente como operador, nos termos do art. 5º,
caput, inciso VII, da Lei nº 13.709, de 14 de agosto de 2018." (NR)
"Art. 37. A instituição integradora, previamente à celebração de contrato de parceria, deve adotar procedimentos que contemplem:
........................................................................
II - a verificação da capacidade da potencial entidade parceira de assegurar:
a) o cumprimento da legislação e da regulamentação em vigor, inclusive dos requisitos técnicos e operacionais a serem definidos pelo Banco Central do Brasil para a contratação de parcerias;
........................................................................
c) a confidencialidade, a integridade, a disponibilidade e a recuperação de dados compartilhados;
d) a aderência a certificações exigidas pela instituição integradora para a execução do compartilhamento de dados, inclusive as estabelecidas nos termos do art. 44,
caput, inciso I, alínea "b";
e) o acesso da instituição integradora aos relatórios elaborados por auditor independente, contratado pela potencial entidade parceira, relativos aos procedimentos e aos controles a serem utilizados no compartilhamento e tratamento de dados pela entidade parceira;
........................................................................
g) a qualidade dos controles de acesso voltados à proteção dos dados compartilhados.
........................................................................
§ 3º A instituição integradora deve possuir recursos e competências necessários para a gestão da parceria e o adequado monitoramento da entidade parceira, inclusive a análise de informações e o uso dos recursos providos nos termos do inciso II, alínea "f",
do caput.
§ 4º Os procedimentos de que trata o caput devem contemplar a avaliação da legislação e da regulamentação dos países e da região em cada país para onde os dados de clientes poderão ser remetidos, observados os parâmetros mencionados no art. 36, §
3º, caso a contratação contemple o compartilhamento para o exterior, bem como o disposto na legislação vigente.
§ 5º A verificação da capacidade da entidade parceira, de que trata o inciso II do
caput, deve ser atestada por auditor independente registrado na Comissão de Valores Mobiliários, com observância de regras a serem definidas pelo Banco Central do Brasil quanto à documentação exigida.
§ 6º O auditor independente deverá possuir capacidade técnica, administrativa e operacional compatível com o desempenho da atividade prevista no § 5º." (NR)
"Art. 38. .............................................................
........................................................................
III - a indicação dos países e da região em cada país para onde os dados de clientes poderão ser remetidos;
IV - a adoção de medidas de segurança para a recepção e o armazenamento pela entidade parceira dos dados compartilhados de clientes;
V - o acesso da instituição integradora a:
a) informações fornecidas pela entidade parceira, visando a verificar o cumprimento do disposto nos incisos III e IV;
b) informações relativas às certificações e aos relatórios de auditor independente, citados no art. 37,
caput, inciso II, alíneas "d" e "e", e § 5º; e
........................................................................
VI - a obrigação de a entidade parceira notificar a instituição integradora sobre a subcontratação de serviços relativos ao compartilhamento, observado o disposto no inciso XII;
VII - a permissão de acesso do Banco Central do Brasil aos contratos de parceria e às informações referentes aos dados compartilhados, bem como aos relatórios de auditor independente, de que tratam o inciso XX e o art. 37,
caput, inciso II, alínea "e", e § 5º;
VIII - a adoção de medidas pela instituição integradora, em decorrência de determinação do Banco Central do Brasil;
.........................................................................
X - a obrigação de a entidade parceira manter a instituição integradora permanentemente informada sobre eventuais limitações que possam afetar o compartilhamento ou o cumprimento da legislação e da regulamentação em vigor;
XI - os procedimentos para o tratamento de demandas encaminhadas pelo cliente de que trata o art. 34;
XII - a vedação ao substabelecimento do contrato de parceria a terceiros;
XIII - a vedação à entidade parceira de celebrar contratos, ou de qualquer outra forma estabelecer modelo de negócio, para o compartilhamento, com terceiros, de dados obtidos por meio do contrato de parceria, inclusive aqueles referidos no art. 36,
caput, inciso II;
XIV - os procedimentos para o consentimento do cliente para o compartilhamento de dados, observado o disposto no art. 38-A;
XV - os procedimentos para a gestão de consentimento pela entidade parceira, observado o disposto no art. 38-A;
XVI - a obrigação de que a entidade parceira observe, no tratamento de dados do cliente, o disposto no art. 36, § 7º;
XVII - a vedação à entidade parceira de adoção de medidas com vistas à realização de engenharia reversa ou de procedimentos equivalentes voltados à reconstrução de dados transacionais de clientes pessoas naturais ou jurídicas;
XVIII - a adoção de medidas tempestivas pela instituição integradora com vistas à interrupção do compartilhamento de dados com a entidade parceira em decorrência de incidentes de violação da segurança dos dados ou de limitações ao cumprimento da legislação
e da regulamentação em vigor;
XIX - a adoção de medidas para o caso de encerramento da relação contratual de parceria, com a devida transparência aos clientes sobre as consequências quanto aos consentimentos obtidos; e
XX - a verificação da capacidade da entidade parceira, atestada por auditor independente registrado na Comissão de Valores Mobiliários, em periodicidade, no mínimo, anual, com observância da exigência de que trata o art. 37, § 6º, bem como de regras a serem
definidas pelo Banco Central do Brasil quanto à documentação exigida.
§ 1º ................................................................
I - a prestação de serviços, pela entidade parceira, de atividades de atendimento a clientes em nome da instituição integradora, previstas na regulamentação que dispõe sobre correspondentes no País; e
........................................................................
III - processamento e armazenamento de dados e de computação em nuvem, na forma da regulamentação específica.
§ 2º Os papéis e responsabilidades citados no inciso II do caput devem contemplar o dever da entidade parceira e da instituição integradora de informar ao cliente que a entidade parceira não atua em nome da instituição integradora, para fins do compartilhamento.
§ 3º A obrigação de que trata o inciso X do caput deve contemplar a comunicação de incidentes de violação da segurança dos dados compartilhados e as medidas adotadas pela entidade parceira para a sua prevenção e solução.
§ 4º O contrato mencionado no caput deve prever, para o caso da decretação de regime de resolução, pelo Banco Central do Brasil, da instituição integradora:
I - a obrigação de a entidade parceira conceder pleno e irrestrito acesso do responsável pelo regime de resolução aos contratos de parceria e às informações citadas no inciso VII do
caput que estejam em poder da entidade parceira.
................................................................" (NR)
"Art. 38-A. A instituição integradora deve assegurar:
I - a identificação clara da entidade parceira durante o processo de obtenção e de gestão do consentimento do cliente; e
II - a observância, no mínimo, das regras para a obtenção e a revogação do consentimento para o compartilhamento de dados definidas nos arts. 10, 11, 12, 14 e 15.
Parágrafo único. O Banco Central do Brasil poderá definir diretrizes e procedimentos relacionados ao consentimento do cliente no âmbito de contratos de parceria, bem como as informações que devem ser apresentadas ao cliente durante a etapa de consentimento."
(NR)
"Art. 38-B. A instituição integradora deve prestar informações para o monitoramento das parcerias de acordo com forma, conteúdo e periodicidade mínimos a serem definidos pelo Banco Central do Brasil." (NR)
"Art. 39. A instituição integradora é responsável pela confiabilidade, pela integridade, pela disponibilidade, pela segurança, pelo desempenho e pelo sigilo do compartilhamento e dos dados compartilhados, bem como pelo cumprimento da legislação e da regulamentação
em vigor.
Parágrafo único. Sobrevindo à celebração a situação vedada pelo art. 36, § 5º, inciso I, enquanto não for encerrado o contrato de parceria, cada instituição passa a ser responsável pelo ambiente tecnológico e sistema eletrônico por ela disponibilizado, inclusive
os registros gerados durante a execução dos procedimentos relacionados ao consentimento e ao compartilhamento de dados." (NR)
"Seção V
Dos Mecanismos de Acompanhamento e de Controle" (NR)
"Art. 40. As instituições de que trata o art. 1º devem instituir mecanismos de acompanhamento e de controle com vistas a assegurar a confiabilidade, a disponibilidade, a integridade, a segurança, o desempenho e o sigilo de que tratam os arts. 31 e 39, bem
como a implementação e a efetividade dos requisitos de que trata esta Resolução Conjunta, incluindo:
........................................................................
II - o atendimento aos itens monitorados estabelecidos na regulamentação do Banco Central do Brasil e na documentação da convenção de que trata o art. 44; e
.................................................................." (NR)
"Art. 41. Os mecanismos de acompanhamento e de controle da instituição devem abranger a aferição dos itens monitorados estabelecidos na regulamentação do Banco Central do Brasil.
Parágrafo único. A convenção de que trata o art. 44 poderá definir itens monitorados complementares aos de que trata o
caput, bem como mecanismos de transparência e divulgação de tais itens ao público." (NR)
"Art. 44. .............................................................
.........................................................................
§ 8º A execução dos serviços, pela Estrutura de Governança do Open Finance, no âmbito da convenção de que trata o
caput e nos termos do § 1º, não afasta a responsabilidade das instituições participantes do
Open Finance pelo cumprimento de suas obrigações regulamentares, nem seu dever de acompanhar e supervisionar os serviços prestados pela Estrutura de Governança do
Open Finance." (NR)
"Art. 48-A. O conselho de administração e a diretoria das instituições de que trata o art. 1º devem envolver-se ativamente na implementação, no funcionamento, no monitoramento e no aprimoramento do
Open Finance, de forma a garantir o atingimento dos objetivos de que trata o art. 3º, observado que:
I - cabe ao conselho de administração:
a) tomar ciência do relatório mencionado no art. 33;
b) estabelecer diretrizes estratégicas para os mecanismos de acompanhamento e de controle de que trata o art. 40;
c) assegurar a observância do disposto na regulamentação relativa ao Open Finance, inclusive na convenção de que trata o art. 44;
d) garantir que medidas preventivas e corretivas sejam tomadas de forma tempestiva quando falhas de qualquer natureza forem identificadas, incluindo desconformidades em relação aos itens monitorados; e
e) prover os meios necessários para garantir que as atividades relacionadas com o
Open Finance sejam exercidas adequadamente, nos termos desta Resolução Conjunta; e
II - cabe à diretoria garantir a implementação e a efetividade dos mecanismos de acompanhamento e de controle de que trata o art. 40." (NR)
"Art. 48-B. Para as instituições que não possuam conselho de administração, as responsabilidades, as atribuições e as competências previstas nesta Resolução Conjunta devem ser imputadas à diretoria da instituição." (NR)
"Art. 48-C. As responsabilidades, as atribuições e as competências do conselho de administração e da diretoria da instituição definidas nesta Resolução Conjunta não podem ser delegadas." (NR)
"Art. 49. .............................................................
........................................................................
V - o relatório de que trata o art. 33;
........................................................................
VII - os procedimentos e os documentos relativos à verificação da capacidade da potencial entidade parceira, de que trata o art. 37, § 1º;
..................................................................." (NR)
"Art. 51. ..............................................................
........................................................................
IV - a exigência de certificações e de outros requisitos técnicos a serem requeridos de entidade parceira, pela instituição integradora;
..................................................................." (NR)
"Art. 52. O Banco Central do Brasil poderá, em decisão fundamentada:
I - vetar ou impor restrições ao compartilhamento de dados de que trata o art. 36, quando constatar, a qualquer tempo, a inobservância do disposto nesta Resolução Conjunta, estabelecendo prazo para a adequação de processos; e
II - determinar a suspensão ou o encerramento do contrato de parceria em casos que afetem a segurança ou a higidez do Sistema Financeiro Nacional ou do Sistema de Pagamentos Brasileiro." (NR)
"Art. 52-A. As instituições de que trata o art. 1º que possuírem até a data da publicação da Resolução Conjunta nº 21, de 22 de outubro de 2026, contratos vigentes que prevejam o compartilhamento de dados de que trata o art. 36 devem apresentar ao Banco Central
do Brasil:
I - a relação de entidades parceiras com as quais possuem contratos vigentes, até 1º de dezembro de 2026; e
II - informações relativas à adequação dos contratos e dos consentimentos existentes ao cumprimento desta Resolução Conjunta, observado cronograma a ser definido pelo Banco Central do Brasil.
Parágrafo único. O Banco Central do Brasil poderá definir requisitos técnicos para a adequação mencionada no inciso II do
caput." (NR)
Art. 2º Ficam revogados os seguintes dispositivos da Resolução Conjunta nº 1, de 4 de maio de 2020, publicada no Diário Oficial da União de 5 de maio de 2020:
I - do art. 33:
a) os incisos I, II, III, IV e V do § 1º; e
b) os incisos I e II do § 2º;
II - o § 1º do art. 36;
III - do art. 37:
a) a alínea “b” do inciso II do
caput; e
b) o § 2º;
IV - do art. 38:
a) o inciso II do § 1º; e
b) o inciso II do § 4º; e
V - o art. 53.
Art. 3º Esta Resolução Conjunta entra em vigor na data de sua publicação.
GABRIEL MURICCA GALÍPOLO
Presidente do Banco Central do Brasil
Monetário Nacional, em sessão realizada em 22 de outubro de 2026, com base nos arts. 4º,
caput, inciso VIII, da referida Lei, 9º-A, caput, inciso I, da Lei nº 4.728, de 14 de julho de 1965, e 9º,
caput, inciso II, da Lei nº 12.865, de 9 de outubro de 2013,
R E S O L V E R A M :
Art. 1º A Resolução Conjunta nº 1, de 4 de maio de 2020, publicada no Diário Oficial da União de 5 de maio de 2020, passa a vigorar com as seguintes alterações:
"Art. 2º ..............................................................
.........................................................................
II - cliente: qualquer pessoa natural ou jurídica que mantém relacionamento destinado à prestação de serviço financeiro ou à realização de operação financeira com as instituições de que trata esta Resolução Conjunta, inclusive para a realização de transação
de pagamento;
.........................................................................
XIV - instituição credora original: instituição credora da operação objeto da portabilidade;
XV - instituição proponente: instituição receptora da operação objeto da portabilidade;
XVI - instituição integradora: instituição receptora de dados que celebra contrato de parceria para a transmissão de dados oriundos do
Open Finance para uma entidade parceira;
XVII - entidade parceira: entidade que celebra contrato de parceria com instituição integradora para a recepção de dados oriundos do
Open Finance;
XVIII - grupo econômico: grupo composto pela entidade controladora e todas as suas controladas, direta ou indiretamente; e
XIX - fluxo de aprovação desacoplado: procedimento de compartilhamento de dados ou de serviços no qual a solicitação de consentimento é realizada no ambiente da instituição receptora de dados ou da instituição iniciadora de transação de pagamento e a aprovação
do consentimento ocorre, posteriormente, no ambiente da instituição transmissora de dados ou da instituição detentora de conta, sem redirecionamento automático." (NR)
"Art. 8º ..............................................................
Parágrafo único. .......................................................
.........................................................................
III - ocorrer de forma sucessiva; e
..................................................................." (NR)
"Art. 9º ...............................................................
.........................................................................
§ 1º ...................................................................
§ 2º Admite-se a solicitação de compartilhamento de dados e serviços, de que trata o art. 5º,
caput, inciso I, alíneas "c" e "d", e inciso II, alínea "a", sem o redirecionamento para outros ambientes ou sistemas eletrônicos, de que trata o inciso III do
caput, no âmbito de fluxos de aprovação desacoplados, observado o disposto em regulamentação específica.
§ 3º As etapas de solicitação e de aprovação do consentimento no âmbito de fluxos de aprovação desacoplados poderão ser executadas em momentos distintos e, quando aplicável, por usuários distintos." (NR)
"Art. 15. .............................................................
........................................................................
§ 2º É vedado à instituição transmissora de dados ou detentora de conta propor ao cliente a revogação de consentimento.
.......................................................................
§ 5º Nos casos de fundada suspeita de fraude, a instituição que detectar a fraude deve considerar sem efeito o consentimento, bem como observar o disposto no § 4º e os demais procedimentos previstos na regulamentação vigente em relação à revogação do consentimento."
(NR)
"Art. 31. A instituição participante é responsável pela confiabilidade, pela integridade, pela disponibilidade, pela segurança, pelo desempenho e pelo sigilo em relação ao compartilhamento de dados e serviços em que esteja envolvida, bem como pelo cumprimento
da legislação e da regulamentação em vigor." (NR)
"Art. 32. As instituições participantes devem designar diretor responsável pelo compartilhamento de que trata esta Resolução Conjunta.
.............................................................." (NR)
"Art. 33. As instituições de que trata o art. 1º devem elaborar relatório referente ao compartilhamento de dados e serviços em que estiveram envolvidas e ao seu desempenho no
Open Finance.
§ 1º O conteúdo mínimo, a periodicidade e outros requisitos complementares referentes ao relatório mencionado no
caput serão definidos pelo Banco Central do Brasil.
§ 2º O relatório mencionado no caput, observado o disposto no art. 48-A, deve ser submetido aos responsáveis pelas áreas de conformidade e auditoria interna e ao comitê de risco da instituição.
§ 3º Na hipótese de a instituição não possuir comitê de risco, o relatório mencionado no
caput deve ser submetido ao responsável pela área de gerenciamento de riscos na instituição.
§ 4º O diretor responsável pelo compartilhamento de que trata o art. 32 deve assinar o relatório mencionado no
caput." (NR)
"Art. 36. Considera-se contrato de parceria e deve observar o disposto nesta Seção qualquer contrato estabelecido por instituição participante que preveja o compartilhamento de:
I - dados de cadastro ou de transações de clientes de que trata o art. 5º, caput, inciso I, alíneas "c" e "d" obtidos no âmbito do
Open Finance; ou
II - dados derivados de tratamento, análise ou modelagem dos dados de que trata o inciso I que permaneçam identificando ou permitindo identificar o cliente pessoa natural ou jurídica, a exemplo de notas ou pontuações de crédito.
........................................................................
§ 1º-A No contrato de que trata o caput, as partes assumem os papéis de instituição integradora e de entidade parceira, conforme definido no art. 2º,
caput, incisos XVI e XVII.
........................................................................
§ 5º É vedado celebrar ou manter contrato de parceria de que trata o caput:
I - entre instituições autorizadas a funcionar pelo Banco Central do Brasil;
II - com entidade não autorizada a funcionar pelo Banco Central do Brasil integrante de grupo econômico de que participe instituição autorizada a funcionar pelo Banco Central do Brasil não participante do
Open Finance, no caso do compartilhamento de dados de que trata o art. 5º,
caput, inciso I;
III - com o objetivo de que a entidade parceira atue em nome da instituição integradora para fins de compartilhamento dos dados de que trata o
caput; e
IV - com entidade parceira que, em sua nomenclatura, empregue termos característicos definidores da nomenclatura das instituições do Sistema Financeiro Nacional ou do Sistema de Pagamentos Brasileiro ou expressões similares em vernáculo ou em idioma estrangeiro.
§ 5º-A Na hipótese de, depois de celebrado o contrato de parceria, surgir qualquer evento que faça incidir alguma das vedações previstas nos incisos I, II e IV do § 5º, as partes devem adotar as medidas para o encerramento da relação contratual de parceria
de que trata o art. 38, caput, inciso XIX, no prazo máximo de seis meses, contados a partir do evento de que trata este parágrafo.
........................................................................
§ 7º O tratamento de dados pelas instituições que celebrarem o contrato de parceria de que trata o
caput deve durar apenas o tempo necessário para a finalidade do consentimento, sendo obrigatória a prestação de informações ao titular a respeito, e, ao seu término, deve ser realizada a eliminação dos dados, em consonância com a legislação vigente
de proteção de dados pessoais.
§ 8º Previamente ao compartilhamento de que trata o caput, a instituição integradora deve:
I - identificar o cliente; e
II - obter o consentimento do cliente de forma expressa e relativamente a cada entidade parceira, observado o disposto no art. 38-A.
§ 9º O consentimento de que trata o inciso II do § 8º deve ser dado no ambiente da instituição integradora.
§ 10. O disposto no caput se aplica, inclusive, ao compartilhamento de dados entre instituição participante e entidade não autorizada a funcionar pelo Banco Central do Brasil pertencentes a um mesmo grupo econômico.
§ 11. O disposto no caput não se aplica ao compartilhamento de dados com entidade que atue exclusivamente como operador, nos termos do art. 5º,
caput, inciso VII, da Lei nº 13.709, de 14 de agosto de 2018." (NR)
"Art. 37. A instituição integradora, previamente à celebração de contrato de parceria, deve adotar procedimentos que contemplem:
........................................................................
II - a verificação da capacidade da potencial entidade parceira de assegurar:
a) o cumprimento da legislação e da regulamentação em vigor, inclusive dos requisitos técnicos e operacionais a serem definidos pelo Banco Central do Brasil para a contratação de parcerias;
........................................................................
c) a confidencialidade, a integridade, a disponibilidade e a recuperação de dados compartilhados;
d) a aderência a certificações exigidas pela instituição integradora para a execução do compartilhamento de dados, inclusive as estabelecidas nos termos do art. 44,
caput, inciso I, alínea "b";
e) o acesso da instituição integradora aos relatórios elaborados por auditor independente, contratado pela potencial entidade parceira, relativos aos procedimentos e aos controles a serem utilizados no compartilhamento e tratamento de dados pela entidade parceira;
........................................................................
g) a qualidade dos controles de acesso voltados à proteção dos dados compartilhados.
........................................................................
§ 3º A instituição integradora deve possuir recursos e competências necessários para a gestão da parceria e o adequado monitoramento da entidade parceira, inclusive a análise de informações e o uso dos recursos providos nos termos do inciso II, alínea "f",
do caput.
§ 4º Os procedimentos de que trata o caput devem contemplar a avaliação da legislação e da regulamentação dos países e da região em cada país para onde os dados de clientes poderão ser remetidos, observados os parâmetros mencionados no art. 36, §
3º, caso a contratação contemple o compartilhamento para o exterior, bem como o disposto na legislação vigente.
§ 5º A verificação da capacidade da entidade parceira, de que trata o inciso II do
caput, deve ser atestada por auditor independente registrado na Comissão de Valores Mobiliários, com observância de regras a serem definidas pelo Banco Central do Brasil quanto à documentação exigida.
§ 6º O auditor independente deverá possuir capacidade técnica, administrativa e operacional compatível com o desempenho da atividade prevista no § 5º." (NR)
"Art. 38. .............................................................
........................................................................
III - a indicação dos países e da região em cada país para onde os dados de clientes poderão ser remetidos;
IV - a adoção de medidas de segurança para a recepção e o armazenamento pela entidade parceira dos dados compartilhados de clientes;
V - o acesso da instituição integradora a:
a) informações fornecidas pela entidade parceira, visando a verificar o cumprimento do disposto nos incisos III e IV;
b) informações relativas às certificações e aos relatórios de auditor independente, citados no art. 37,
caput, inciso II, alíneas "d" e "e", e § 5º; e
........................................................................
VI - a obrigação de a entidade parceira notificar a instituição integradora sobre a subcontratação de serviços relativos ao compartilhamento, observado o disposto no inciso XII;
VII - a permissão de acesso do Banco Central do Brasil aos contratos de parceria e às informações referentes aos dados compartilhados, bem como aos relatórios de auditor independente, de que tratam o inciso XX e o art. 37,
caput, inciso II, alínea "e", e § 5º;
VIII - a adoção de medidas pela instituição integradora, em decorrência de determinação do Banco Central do Brasil;
.........................................................................
X - a obrigação de a entidade parceira manter a instituição integradora permanentemente informada sobre eventuais limitações que possam afetar o compartilhamento ou o cumprimento da legislação e da regulamentação em vigor;
XI - os procedimentos para o tratamento de demandas encaminhadas pelo cliente de que trata o art. 34;
XII - a vedação ao substabelecimento do contrato de parceria a terceiros;
XIII - a vedação à entidade parceira de celebrar contratos, ou de qualquer outra forma estabelecer modelo de negócio, para o compartilhamento, com terceiros, de dados obtidos por meio do contrato de parceria, inclusive aqueles referidos no art. 36,
caput, inciso II;
XIV - os procedimentos para o consentimento do cliente para o compartilhamento de dados, observado o disposto no art. 38-A;
XV - os procedimentos para a gestão de consentimento pela entidade parceira, observado o disposto no art. 38-A;
XVI - a obrigação de que a entidade parceira observe, no tratamento de dados do cliente, o disposto no art. 36, § 7º;
XVII - a vedação à entidade parceira de adoção de medidas com vistas à realização de engenharia reversa ou de procedimentos equivalentes voltados à reconstrução de dados transacionais de clientes pessoas naturais ou jurídicas;
XVIII - a adoção de medidas tempestivas pela instituição integradora com vistas à interrupção do compartilhamento de dados com a entidade parceira em decorrência de incidentes de violação da segurança dos dados ou de limitações ao cumprimento da legislação
e da regulamentação em vigor;
XIX - a adoção de medidas para o caso de encerramento da relação contratual de parceria, com a devida transparência aos clientes sobre as consequências quanto aos consentimentos obtidos; e
XX - a verificação da capacidade da entidade parceira, atestada por auditor independente registrado na Comissão de Valores Mobiliários, em periodicidade, no mínimo, anual, com observância da exigência de que trata o art. 37, § 6º, bem como de regras a serem
definidas pelo Banco Central do Brasil quanto à documentação exigida.
§ 1º ................................................................
I - a prestação de serviços, pela entidade parceira, de atividades de atendimento a clientes em nome da instituição integradora, previstas na regulamentação que dispõe sobre correspondentes no País; e
........................................................................
III - processamento e armazenamento de dados e de computação em nuvem, na forma da regulamentação específica.
§ 2º Os papéis e responsabilidades citados no inciso II do caput devem contemplar o dever da entidade parceira e da instituição integradora de informar ao cliente que a entidade parceira não atua em nome da instituição integradora, para fins do compartilhamento.
§ 3º A obrigação de que trata o inciso X do caput deve contemplar a comunicação de incidentes de violação da segurança dos dados compartilhados e as medidas adotadas pela entidade parceira para a sua prevenção e solução.
§ 4º O contrato mencionado no caput deve prever, para o caso da decretação de regime de resolução, pelo Banco Central do Brasil, da instituição integradora:
I - a obrigação de a entidade parceira conceder pleno e irrestrito acesso do responsável pelo regime de resolução aos contratos de parceria e às informações citadas no inciso VII do
caput que estejam em poder da entidade parceira.
................................................................" (NR)
"Art. 38-A. A instituição integradora deve assegurar:
I - a identificação clara da entidade parceira durante o processo de obtenção e de gestão do consentimento do cliente; e
II - a observância, no mínimo, das regras para a obtenção e a revogação do consentimento para o compartilhamento de dados definidas nos arts. 10, 11, 12, 14 e 15.
Parágrafo único. O Banco Central do Brasil poderá definir diretrizes e procedimentos relacionados ao consentimento do cliente no âmbito de contratos de parceria, bem como as informações que devem ser apresentadas ao cliente durante a etapa de consentimento."
(NR)
"Art. 38-B. A instituição integradora deve prestar informações para o monitoramento das parcerias de acordo com forma, conteúdo e periodicidade mínimos a serem definidos pelo Banco Central do Brasil." (NR)
"Art. 39. A instituição integradora é responsável pela confiabilidade, pela integridade, pela disponibilidade, pela segurança, pelo desempenho e pelo sigilo do compartilhamento e dos dados compartilhados, bem como pelo cumprimento da legislação e da regulamentação
em vigor.
Parágrafo único. Sobrevindo à celebração a situação vedada pelo art. 36, § 5º, inciso I, enquanto não for encerrado o contrato de parceria, cada instituição passa a ser responsável pelo ambiente tecnológico e sistema eletrônico por ela disponibilizado, inclusive
os registros gerados durante a execução dos procedimentos relacionados ao consentimento e ao compartilhamento de dados." (NR)
"Seção V
Dos Mecanismos de Acompanhamento e de Controle" (NR)
"Art. 40. As instituições de que trata o art. 1º devem instituir mecanismos de acompanhamento e de controle com vistas a assegurar a confiabilidade, a disponibilidade, a integridade, a segurança, o desempenho e o sigilo de que tratam os arts. 31 e 39, bem
como a implementação e a efetividade dos requisitos de que trata esta Resolução Conjunta, incluindo:
........................................................................
II - o atendimento aos itens monitorados estabelecidos na regulamentação do Banco Central do Brasil e na documentação da convenção de que trata o art. 44; e
.................................................................." (NR)
"Art. 41. Os mecanismos de acompanhamento e de controle da instituição devem abranger a aferição dos itens monitorados estabelecidos na regulamentação do Banco Central do Brasil.
Parágrafo único. A convenção de que trata o art. 44 poderá definir itens monitorados complementares aos de que trata o
caput, bem como mecanismos de transparência e divulgação de tais itens ao público." (NR)
"Art. 44. .............................................................
.........................................................................
§ 8º A execução dos serviços, pela Estrutura de Governança do Open Finance, no âmbito da convenção de que trata o
caput e nos termos do § 1º, não afasta a responsabilidade das instituições participantes do
Open Finance pelo cumprimento de suas obrigações regulamentares, nem seu dever de acompanhar e supervisionar os serviços prestados pela Estrutura de Governança do
Open Finance." (NR)
"Art. 48-A. O conselho de administração e a diretoria das instituições de que trata o art. 1º devem envolver-se ativamente na implementação, no funcionamento, no monitoramento e no aprimoramento do
Open Finance, de forma a garantir o atingimento dos objetivos de que trata o art. 3º, observado que:
I - cabe ao conselho de administração:
a) tomar ciência do relatório mencionado no art. 33;
b) estabelecer diretrizes estratégicas para os mecanismos de acompanhamento e de controle de que trata o art. 40;
c) assegurar a observância do disposto na regulamentação relativa ao Open Finance, inclusive na convenção de que trata o art. 44;
d) garantir que medidas preventivas e corretivas sejam tomadas de forma tempestiva quando falhas de qualquer natureza forem identificadas, incluindo desconformidades em relação aos itens monitorados; e
e) prover os meios necessários para garantir que as atividades relacionadas com o
Open Finance sejam exercidas adequadamente, nos termos desta Resolução Conjunta; e
II - cabe à diretoria garantir a implementação e a efetividade dos mecanismos de acompanhamento e de controle de que trata o art. 40." (NR)
"Art. 48-B. Para as instituições que não possuam conselho de administração, as responsabilidades, as atribuições e as competências previstas nesta Resolução Conjunta devem ser imputadas à diretoria da instituição." (NR)
"Art. 48-C. As responsabilidades, as atribuições e as competências do conselho de administração e da diretoria da instituição definidas nesta Resolução Conjunta não podem ser delegadas." (NR)
"Art. 49. .............................................................
........................................................................
V - o relatório de que trata o art. 33;
........................................................................
VII - os procedimentos e os documentos relativos à verificação da capacidade da potencial entidade parceira, de que trata o art. 37, § 1º;
..................................................................." (NR)
"Art. 51. ..............................................................
........................................................................
IV - a exigência de certificações e de outros requisitos técnicos a serem requeridos de entidade parceira, pela instituição integradora;
..................................................................." (NR)
"Art. 52. O Banco Central do Brasil poderá, em decisão fundamentada:
I - vetar ou impor restrições ao compartilhamento de dados de que trata o art. 36, quando constatar, a qualquer tempo, a inobservância do disposto nesta Resolução Conjunta, estabelecendo prazo para a adequação de processos; e
II - determinar a suspensão ou o encerramento do contrato de parceria em casos que afetem a segurança ou a higidez do Sistema Financeiro Nacional ou do Sistema de Pagamentos Brasileiro." (NR)
"Art. 52-A. As instituições de que trata o art. 1º que possuírem até a data da publicação da Resolução Conjunta nº 21, de 22 de outubro de 2026, contratos vigentes que prevejam o compartilhamento de dados de que trata o art. 36 devem apresentar ao Banco Central
do Brasil:
I - a relação de entidades parceiras com as quais possuem contratos vigentes, até 1º de dezembro de 2026; e
II - informações relativas à adequação dos contratos e dos consentimentos existentes ao cumprimento desta Resolução Conjunta, observado cronograma a ser definido pelo Banco Central do Brasil.
Parágrafo único. O Banco Central do Brasil poderá definir requisitos técnicos para a adequação mencionada no inciso II do
caput." (NR)
Art. 2º Ficam revogados os seguintes dispositivos da Resolução Conjunta nº 1, de 4 de maio de 2020, publicada no Diário Oficial da União de 5 de maio de 2020:
I - do art. 33:
a) os incisos I, II, III, IV e V do § 1º; e
b) os incisos I e II do § 2º;
II - o § 1º do art. 36;
III - do art. 37:
a) a alínea “b” do inciso II do
caput; e
b) o § 2º;
IV - do art. 38:
a) o inciso II do § 1º; e
b) o inciso II do § 4º; e
V - o art. 53.
Art. 3º Esta Resolução Conjunta entra em vigor na data de sua publicação.
GABRIEL MURICCA GALÍPOLO
Presidente do Banco Central do Brasil
so II, da Lei nº 12.865, de 9 de outubro de 2013, R E S O L V E R A M : Art. 1º A Resolução Conjunta nº 1, de 4 de maio de 2020, publicada no Diário Oficial da União de 5 de maio de 2020, passa a vigorar com as seguintes alterações: "Art. 2º .............................................................. ......................................................................... II - cliente: qualquer pessoa natural ou jurídica que mantém relacionamento destinado à prestação de serviço financeiro ou à realização de operação financeira com as instituições de que trata esta Resolução Conjunta, inclusive para a realização de transação de pagamento; ............................................
Acesso Exclusivo para Assinantes
Cadastre-se ou faça login com sua conta do Radar Finsiders Brasil para visualizar esta regulação na íntegra, fazer download dos arquivos e ter acesso a relatórios exclusivos do mercado financeiro.
