RESOLUÇÃO CONJUNTA Nº 21, DE 22 DE OUTUBRO DE 2026

RESOLUÇÃO CONJUNTA Nº 21, DE 22 DE OUTUBRO DE 2026
Altera a Resolução Conjunta nº 1, de 4 de maio de
2020, que dispõe sobre a implementação do Open
Finance.
O Banco Central do Brasil, na forma do art. 9º da Lei nº 4.595, de 31 de
dezembro de 1964, torna público que sua Diretoria Colegiada, em sessão realizada em
14 de outubro de 2026, e o Conselho Monetário Nacional, em sessão realizada em 22
de outubro de 2026, com base nos arts. 4º, caput, inciso VIII, da referida Lei, 9º-A,
caput, inciso I, da Lei nº 4.728, de 14 de julho de 1965, e 9º, caput, inciso II, da Lei nº
12.865, de 9 de outubro de 2013, resolveram:
Art. 1º A Resolução Conjunta nº 1, de 4 de maio de 2020, publicada no Diário
Oficial da União de 5 de maio de 2020, passa a vigorar com as seguintes alterações:
"Art. 2º .....................................................................................
...................................................................................................
II - cliente: qualquer pessoa natural ou jurídica que mantém relacionamento
destinado à prestação de serviço financeiro ou à realização de operação financeira com
as instituições de que trata esta Resolução Conjunta, inclusive para a realização de
transação de pagamento;
...................................................................................................
XIV - instituição credora original: instituição credora da operação objeto da
portabilidade;
XV - instituição proponente: instituição receptora da operação objeto da
portabilidade;
XVI - instituição integradora: instituição receptora de dados que celebra
contrato de parceria para a transmissão de dados oriundos do Open Finance para uma
entidade parceira;
XVII - entidade parceira: entidade que celebra contrato de parceria com
instituição integradora para a recepção de dados oriundos do Open Finance;
XVIII - grupo econômico: grupo composto pela entidade controladora e todas
as suas controladas, direta ou indiretamente; e
XIX - fluxo de aprovação desacoplado: procedimento de compartilhamento de
dados ou de serviços no qual a solicitação de consentimento é realizada no ambiente da
instituição receptora de dados ou da instituição iniciadora de transação de pagamento
e a aprovação do consentimento ocorre, posteriormente, no ambiente da instituição
transmissora de dados ou da instituição detentora de conta, sem redirecionamento
automático." (NR)
"Art. 8º .....................................................................................
Parágrafo único. .......................................................................
...................................................................................................
III - ocorrer de forma sucessiva; e
.........................................................................................." (NR)
"Art. 9º ...................................................................................
...................................................................................................
§ 1º ...........................................................................................
§ 2º Admite-se a solicitação de compartilhamento de dados e serviços, de
que trata o art. 5º, caput, inciso I, alíneas "c" e "d", e inciso II, alínea "a", sem o
redirecionamento para outros ambientes ou sistemas eletrônicos, de que trata o inciso
III do caput, no âmbito de fluxos de aprovação desacoplados, observado o disposto em
regulamentação específica.
§ 3º As etapas de solicitação e de aprovação do consentimento no âmbito de
fluxos de aprovação desacoplados poderão ser executadas em momentos distintos e,
quando aplicável, por usuários distintos." (NR)
"Art. 15. ....................................................................................
...................................................................................................
§ 2º É vedado à instituição transmissora de dados ou detentora de conta
propor ao cliente a revogação de consentimento.
...................................................................................................
§ 5º Nos casos de fundada suspeita de fraude, a instituição que detectar a
fraude deve considerar sem efeito o consentimento, bem como observar o disposto no
§ 4º e os demais procedimentos previstos na regulamentação vigente em relação à
revogação do consentimento." (NR)
"Art. 31. A instituição participante é responsável pela confiabilidade, pela
integridade, pela disponibilidade, pela segurança, pelo desempenho e pelo sigilo em
relação ao compartilhamento de dados e serviços em que esteja envolvida, bem como
pelo cumprimento da legislação e da regulamentação em vigor." (NR)
"Art. 32. As instituições participantes devem designar diretor responsável pelo
compartilhamento de que trata esta Resolução Conjunta.
.........................................................................................." (NR)
"Art. 33. As instituições de que trata o art. 1º devem elaborar relatório
referente ao compartilhamento de dados e serviços em que estiveram envolvidas e ao
seu desempenho no Open Finance.
§ 1º O conteúdo mínimo, a periodicidade e outros requisitos complementares
referentes ao relatório mencionado no caput serão definidos pelo Banco Central do Brasil.
§ 2º O relatório mencionado no caput, observado o disposto no art. 48-A,
deve ser submetido aos responsáveis pelas áreas de conformidade e auditoria interna e
ao comitê de risco da instituição.
§ 3º Na hipótese de a instituição não possuir comitê de risco, o relatório
mencionado no caput deve ser submetido ao responsável pela área de gerenciamento de
riscos na instituição.
§ 4º O diretor responsável pelo compartilhamento de que trata o art. 32
deve assinar o relatório mencionado no caput." (NR)
"Art. 36. Considera-se contrato de parceria e deve observar o disposto nesta
Seção qualquer contrato estabelecido por instituição participante que preveja o
compartilhamento de:
I - dados de cadastro ou de transações de clientes de que trata o art. 5º,
caput, inciso I, alíneas "c" e "d" obtidos no âmbito do Open Finance; ou
II - dados derivados de tratamento, análise ou modelagem dos dados de que
trata o inciso I que permaneçam identificando ou permitindo identificar o cliente pessoa
natural ou jurídica, a exemplo de notas ou pontuações de crédito.
...................................................................................................
§ 1º-A No contrato de que trata o caput, as partes assumem os papéis de instituição
integradora e de entidade parceira, conforme definido no art. 2º, caput, incisos XVI e XVII.
...................................................................................................
§ 5º É vedado celebrar ou manter contrato de parceria de que trata o caput:
I - entre instituições autorizadas a funcionar pelo Banco Central do Brasil;
II - com entidade não autorizada a funcionar pelo Banco Central do Brasil
integrante de grupo econômico de que participe instituição autorizada a funcionar pelo
Banco Central do Brasil não participante do Open Finance, no caso do compartilhamento
de dados de que trata o art. 5º, caput, inciso I;
III - com o objetivo de que a entidade parceira atue em nome da instituição
integradora para fins de compartilhamento dos dados de que trata o caput; e
IV - com entidade parceira que, em sua nomenclatura, empregue termos
característicos definidores da nomenclatura das instituições do Sistema Financeiro
Nacional ou do Sistema de Pagamentos Brasileiro ou expressões similares em vernáculo
ou em idioma estrangeiro.
§ 5º-A Na hipótese de, depois de celebrado o contrato de parceria, surgir
qualquer evento que faça incidir alguma das vedações previstas nos incisos I, II e IV do
§ 5º, as partes devem adotar as medidas para o encerramento da relação contratual de
parceria de que trata o art. 38, caput, inciso XIX, no prazo máximo de seis meses,
contados a partir do evento de que trata este parágrafo.
...................................................................................................
§ 7º O tratamento de dados pelas instituições que celebrarem o contrato de
parceria de que trata o caput deve durar apenas o tempo necessário para a finalidade
do consentimento, sendo obrigatória a prestação de informações ao titular a respeito, e,
ao seu término, deve ser realizada a eliminação dos dados, em consonância com a
legislação vigente de proteção de dados pessoais.
§ 8º Previamente ao compartilhamento de que trata o caput, a instituição
integradora deve:
I - identificar o cliente; e
II - obter o consentimento do cliente de forma expressa e relativamente a
cada entidade parceira, observado o disposto no art. 38-A.
§ 9º O consentimento de que trata o inciso II do § 8º deve ser dado no
ambiente da instituição integradora.
§ 10. O disposto no caput se aplica, inclusive, ao compartilhamento de dados
entre instituição participante e entidade não autorizada a funcionar pelo Banco Central
do Brasil pertencentes a um mesmo grupo econômico.
§ 11. O disposto no caput não se aplica ao compartilhamento de dados com
entidade que atue exclusivamente como operador, nos termos do art. 5º, caput, inciso
VII, da Lei nº 13.709, de 14 de agosto de 2018." (NR)
"Art. 37. A instituição integradora, previamente à celebração de contrato de
parceria, deve adotar procedimentos que contemplem:
...................................................................................................
II - a verificação da capacidade da potencial entidade parceira de assegurar:
a) o cumprimento da legislação e da regulamentação em vigor, inclusive dos
requisitos técnicos e operacionais a serem definidos pelo Banco Central do Brasil para a
contratação de parcerias;
...................................................................................................
c) a confidencialidade, a integridade, a disponibilidade e a recuperação de
dados compartilhados;
d) a aderência a certificações exigidas pela instituição integradora para a
execução do compartilhamento de dados, inclusive as estabelecidas nos termos do art.
44, caput, inciso I, alínea "b";
e) o acesso da instituição integradora aos relatórios elaborados por auditor
independente, contratado pela potencial entidade parceira, relativos aos procedimentos
e aos controles a serem utilizados no compartilhamento e tratamento de dados pela
entidade parceira;
...................................................................................................
g) a qualidade dos controles de acesso voltados à proteção dos dados
compartilhados.
...................................................................................................
§ 3º A instituição integradora deve possuir recursos e competências
necessários para a gestão da parceria e o adequado monitoramento da entidade
parceira, inclusive a análise de informações e o uso dos recursos providos nos termos do
inciso II, alínea "f", do caput.
§ 4º Os procedimentos de que trata o caput devem contemplar a avaliação
da legislação e da regulamentação dos países e da região em cada país para onde os
dados de clientes poderão ser remetidos, observados os parâmetros mencionados no art.
36, § 3º, caso a contratação contemple o compartilhamento para o exterior, bem como
o disposto na legislação vigente.
§ 5º A verificação da capacidade da entidade parceira, de que trata o inciso
II do caput, deve ser atestada por auditor independente registrado na Comissão de
Valores Mobiliários, com observância de regras a serem definidas pelo Banco Central do
Brasil quanto à documentação exigida.
§ 6º O auditor independente deverá possuir capacidade técnica, administrativa
e operacional compatível com o desempenho da atividade prevista no § 5º." (NR)
"Art. 38. ....................................................................................
..................................................................................................
III - a indicação dos países e da região em cada país para onde os dados de
clientes poderão ser remetidos;
IV - a adoção de medidas de segurança para a recepção e o armazenamento
pela entidade parceira dos dados compartilhados de clientes;
V - o acesso da instituição integradora a:
a) informações fornecidas pela entidade parceira, visando a verificar o
cumprimento do disposto nos incisos III e IV;
b) informações relativas às certificações e aos relatórios de auditor
independente, citados no art. 37, caput, inciso II, alíneas "d" e "e", e § 5º; e
...................................................................................................
VI - a obrigação de a entidade parceira notificar a instituição integradora
sobre a subcontratação de serviços relativos ao compartilhamento, observado o disposto
no inciso XII;
VII - a permissão de acesso do Banco Central do Brasil aos contratos de
parceria e às informações referentes aos dados compartilhados, bem como aos relatórios
de auditor independente, de que tratam o inciso XX e o art. 37, caput, inciso II, alínea
"e", e § 5º;
VIII - a adoção de medidas pela instituição integradora, em decorrência de
determinação do Banco Central do Brasil;
...................................................................................................
X - a obrigação de a entidade parceira manter a instituição integradora
permanentemente informada sobre eventuais limitações que possam afetar o
compartilhamento ou o cumprimento da legislação e da regulamentação em vigor;
XI - os procedimentos para o tratamento de demandas encaminhadas pelo
cliente de que trata o art. 34;
XII - a vedação ao substabelecimento do contrato de parceria a terceiros;
XIII - a vedação à entidade parceira de celebrar contratos, ou de qualquer
outra forma estabelecer modelo de negócio, para o compartilhamento, com terceiros, de
dados obtidos por meio do contrato de parceria, inclusive aqueles referidos no art. 36,
caput, inciso II;
XIV - os procedimentos para o consentimento do cliente para o
compartilhamento de dados, observado o disposto no art. 38-A;
XV - os procedimentos para a gestão de consentimento pela entidade
parceira, observado o disposto no art. 38-A;
XVI - a obrigação de que a entidade parceira observe, no tratamento de
dados do cliente, o disposto no art. 36, § 7º;
XVII - a vedação à entidade parceira de adoção de medidas com vistas à
realização de engenharia reversa ou de procedimentos equivalentes voltados à
reconstrução de dados transacionais de clientes pessoas naturais ou jurídicas;
XVIII - a adoção de medidas tempestivas pela instituição integradora com
vistas à interrupção do compartilhamento de dados com a entidade parceira em
decorrência de incidentes de violação da segurança dos dados ou de limitações ao
cumprimento da legislação e da regulamentação em vigor;
XIX - a adoção de medidas para o caso de encerramento da relação
contratual de parceria, com a devida transparência aos clientes sobre as consequências
quanto aos consentimentos obtidos; e
XX - a verificação da capacidade da entidade parceira, atestada por auditor
independente registrado na Comissão de Valores Mobiliários, em periodicidade, no
mínimo, anual, com observância da exigência de que trata o art. 37, § 6º, bem como de
regras a serem definidas pelo Banco Central do Brasil quanto à documentação
exigida.
§ 1º ..........................................................................................
I - a prestação de serviços, pela entidade parceira, de atividades de
atendimento a clientes em nome da instituição integradora, previstas na regulamentação
que dispõe sobre correspondentes no País; e
...................................................................................................
III - processamento e armazenamento de dados e de computação em nuvem,
na forma da regulamentação específica.
§ 2º Os papéis e responsabilidades citados no inciso II do caput devem
contemplar o dever da entidade parceira e da instituição integradora de informar ao
cliente que a entidade parceira não atua em nome da instituição integradora, para fins
do compartilhamento.
§ 3º A obrigação de que trata o inciso X do caput deve contemplar a
comunicação de incidentes de violação da segurança dos dados compartilhados e as
medidas adotadas pela entidade parceira para a sua prevenção e solução.
§ 4º O contrato mencionado no caput deve prever, para o caso da
decretação de regime de resolução, pelo Banco Central do Brasil, da instituição
integradora:
I - a obrigação de a entidade parceira conceder pleno e irrestrito acesso do
responsável pelo regime de resolução aos contratos de parceria e às informações citadas
no inciso VII do caput que estejam em poder da entidade parceira.
.........................................................................................." (NR)
"Art. 38-A. A instituição integradora deve assegurar:
I - a identificação clara da entidade parceira durante o processo de obtenção
e de gestão do consentimento do cliente; e
II - a observância, no mínimo, das regras para a obtenção e a revogação do
consentimento para o compartilhamento de dados definidas nos arts. 10, 11, 12, 14 e
15.
Parágrafo único. O Banco Central do Brasil poderá definir diretrizes e
procedimentos relacionados ao consentimento do cliente no âmbito de contratos de
parceria, bem como as informações que devem ser apresentadas ao cliente durante a
etapa de consentimento." (NR)
"Art. 38-B. A instituição integradora deve prestar informações para o
monitoramento das parcerias de acordo com forma, conteúdo e periodicidade mínimos
a serem definidos pelo Banco Central do Brasil." (NR)
"Art. 39. A instituição integradora é responsável pela confiabilidade, pela
integridade, pela disponibilidade, pela segurança, pelo desempenho e pelo sigilo do
compartilhamento e dos dados compartilhados, bem como pelo cumprimento da
legislação e da regulamentação em vigor.
Parágrafo único. Sobrevindo à celebração a situação vedada pelo art. 36, §
5º, inciso I, enquanto não for encerrado o contrato de parceria, cada instituição passa
a ser responsável pelo ambiente tecnológico e sistema eletrônico por ela disponibilizado,
inclusive os registros gerados durante a execução dos procedimentos relacionados ao
consentimento e ao compartilhamento de dados." (NR)
"Seção V
Dos Mecanismos de Acompanhamento e de Controle" (NR)
"Art. 40. As instituições de que trata o art. 1º devem instituir mecanismos de
acompanhamento e de controle com vistas a assegurar a confiabilidade, a
disponibilidade, a integridade, a segurança, o desempenho e o sigilo de que tratam os
arts. 31 e 39, bem como a implementação e a efetividade dos requisitos de que trata
esta Resolução Conjunta, incluindo:
...................................................................................................
II - o atendimento aos itens monitorados estabelecidos na regulamentação do
Banco Central do Brasil e na documentação da convenção de que trata o art. 44; e
........................................................................................." (NR)
"Art. 41. Os mecanismos de acompanhamento e de controle da instituição
devem abranger a aferição dos itens monitorados estabelecidos na regulamentação do
Banco Central do Brasil.
Parágrafo único. A convenção de que trata o art. 44 poderá definir itens
monitorados complementares aos de que trata o caput, bem como mecanismos de
transparência e divulgação de tais itens ao público." (NR)
"Art. 44. ....................................................................................
...................................................................................................
§ 8º A execução dos serviços, pela Estrutura de Governança do Open Finance,
no âmbito da convenção de que trata o caput e nos termos do § 1º, não afasta a
responsabilidade das instituições participantes do Open Finance pelo cumprimento de
suas obrigações regulamentares, nem seu dever de acompanhar e supervisionar os
serviços prestados pela Estrutura de Governança do Open Finance." (NR)
"Art. 48-A. O conselho de administração e a diretoria das instituições de que
trata o art. 1º devem envolver-se ativamente na implementação, no funcionamento, no
monitoramento e no aprimoramento do Open Finance, de forma a garantir o
atingimento dos objetivos de que trata o art. 3º, observado que:
I - cabe ao conselho de administração:
a) tomar ciência do relatório mencionado no art. 33;
b) estabelecer diretrizes estratégicas para os mecanismos de
acompanhamento e de controle de que trata o art. 40;
c) assegurar a observância do disposto na regulamentação relativa ao Open
Finance, inclusive na convenção de que trata o art. 44;
d) garantir que medidas preventivas e corretivas sejam tomadas de forma
tempestiva quando falhas de qualquer natureza forem identificadas, incluindo
desconformidades em relação aos itens monitorados; e
e) prover os meios necessários para garantir que as atividades relacionadas
com o Open Finance sejam exercidas adequadamente, nos termos desta Resolução
Conjunta; e
II - cabe à diretoria garantir a implementação e a efetividade dos mecanismos
de acompanhamento e de controle de que trata o art. 40." (NR)
"Art. 48-B. Para as instituições que não possuam conselho de administração,
as responsabilidades, as atribuições e as competências previstas nesta Resolução
Conjunta devem ser imputadas à diretoria da instituição." (NR)
"Art. 48-C. As responsabilidades, as atribuições e as competências do
conselho de administração e da diretoria da instituição definidas nesta Resolução
Conjunta não podem ser delegadas." (NR)
"Art. 49. ....................................................................................
...................................................................................................
V - o relatório de que trata o art. 33;
...................................................................................................
VII - os procedimentos e os documentos relativos à verificação da capacidade
da potencial entidade parceira, de que trata o art. 37, § 1º;
.........................................................................................." (NR)
"Art. 51. ....................................................................................
...................................................................................................
IV - a exigência de certificações e de outros requisitos técnicos a serem
requeridos de entidade parceira, pela instituição integradora;
.........................................................................................." (NR)
"Art. 52. O Banco Central do Brasil poderá, em decisão fundamentada:
I - vetar ou impor restrições ao compartilhamento de dados de que trata o
art. 36, quando constatar, a qualquer tempo, a inobservância do disposto nesta
Resolução Conjunta, estabelecendo prazo para a adequação de processos; e
II - determinar a suspensão ou o encerramento do contrato de parceria em
casos que afetem a segurança ou a higidez do Sistema Financeiro Nacional ou do
Sistema de Pagamentos Brasileiro." (NR)
"Art. 52-A. As instituições de que trata o art. 1º que possuírem até a data da
publicação da Resolução Conjunta nº 21, de 22 de outubro de 2026, contratos vigentes
que prevejam o compartilhamento de dados de que trata o art. 36 devem apresentar ao
Banco Central do Brasil:
I - a relação de entidades parceiras com as quais possuem contratos vigentes,
até 1º de dezembro de 2026; e
II - informações relativas à adequação dos contratos e dos consentimentos
existentes ao cumprimento desta Resolução Conjunta, observado cronograma a ser
definido pelo Banco Central do Brasil.
Parágrafo único. O Banco Central do Brasil poderá definir requisitos técnicos
para a adequação mencionada no inciso II do caput." (NR)
Art. 2º Ficam revogados os seguintes dispositivos da Resolução Conjunta nº 1,
de 4 de maio de 2020, publicada no Diário Oficial da União de 5 de maio de 2020:
I - do art. 33:
a) os incisos I, II, III, IV e V do § 1º; e
b) os incisos I e II do § 2º;
II - o § 1º do art. 36;
III - do art. 37:
a) a alínea "b" do inciso II do caput; e
b) o § 2º;
IV - do art. 38:
a) o inciso II do § 1º; e
b) o inciso II do § 4º; e
V - o art. 53.
Art. 3º Esta Resolução Conjunta entra em vigor na data de sua publicação.
GABRIEL MURICCA GALÍPOLO
Presidente do Banco