Regulação do Open Finance sem complicação

O Open Finance brasileiro não é um acordo de mercado. É um sistema criado e supervisionado pelo Banco Central, com norma própria, cronograma próprio e sanção para quem descumpre. Este artigo reúne as normas que valem hoje, em ordem, e o que cada uma estabelece.

Se você precisa citar a base legal em contrato, documentação técnica ou parecer, a resposta curta é: Resolução Conjunta nº 1, de 4 de maio de 2020, do Conselho Monetário Nacional e do Banco Central, com as alterações posteriores listadas abaixo.

A norma que criou o sistema: Resolução Conjunta nº 1/2020

Em maio de 2020, o Conselho Monetário Nacional (CMN) e o Banco Central publicaram a Resolução Conjunta nº 1, que regulamenta o Open Finance no Brasil.

O art. 2º traz a definição legal: Open Finance é o "compartilhamento padronizado de dados e serviços por meio de abertura e integração de sistemas".

O art. 3º lista os objetivos do sistema: incentivar a inovação, promover a concorrência, aumentar a eficiência do Sistema Financeiro Nacional e do Sistema de Pagamentos Brasileiro, e promover a cidadania financeira.

A mesma norma define quais dados fazem parte do escopo, quem são os participantes, os requisitos e responsabilidades para o compartilhamento das informações, a exigência de que o compartilhamento seja gratuito para o cliente e o uso de padrões mínimos comuns entre todos os participantes.

A linha do tempo das normas

Vale registrar a troca de nome, porque ainda gera confusão: desde 2 de maio de 2022 o termo oficial na regulamentação é Open Finance. O texto consolidado da Resolução Conjunta nº 1 não traz mais nenhuma ocorrência de Open Banking.

Consentimento: o que a regra diz hoje

Esse ponto mudou e muito material na internet ainda repete a regra antiga, inclusive versões anteriores deste artigo.

O art. 2º define consentimento como a "manifestação livre, informada, prévia e inequívoca de vontade, feita por meio eletrônico, pela qual o cliente concorda com o compartilhamento de dados ou de serviços para finalidades determinadas".

Pela redação dada pela Resolução Conjunta nº 7, de 26 de outubro de 2023, o consentimento deve:

• ser solicitado por meio de linguagem clara, objetiva e adequada;
• referir-se a finalidades determinadas;
• ter prazo de validade compatível com essas finalidades.

Ou seja: não existe mais um teto fixo de 12 meses para o consentimento. O prazo precisa ser compatível com a finalidade declarada. No caso de iniciação de pagamento, o consentimento deve dispor também sobre a periodicidade das transações e o prazo.

O número 12 meses continua aparecendo na norma, mas em outro lugar e com outro sentido: o art. 5º, § 5º, inciso II, estabelece que o compartilhamento de dados de transações abrange, no mínimo, o histórico dos últimos doze meses. Isso é janela de histórico, não validade de autorização.

As instituições participantes devem assegurar a revogação do consentimento a qualquer momento, mediante solicitação do cliente, por procedimento seguro e ágil.

Para quem constrói produto, a consequência prática é direta: renovação de consentimento é parte do fluxo normal da aplicação, não uma exceção a tratar depois.

Quem é obrigado a participar

Outro ponto que mudou recentemente.

Até o fim de 2024, a obrigatoriedade alcançava apenas as instituições enquadradas nos Segmentos 1 (S1) e 2 (S2) da Resolução nº 4.553, de 30 de janeiro de 2017, ou seja, as instituições financeiras de grande porte.

Desde 1º de janeiro de 2025, por força da Resolução Conjunta nº 10, de 4 de julho de 2024, o grupo obrigatório passou a incluir também as instituições individuais e as pertencentes a conglomerados com mais de cinco milhões de clientes, conforme base de dados indicada pelo Banco Central.

As instituições de menor porte seguem podendo aderir de forma voluntária. Se aderirem, passam a ter acesso aos dados, mas também ficam obrigadas a compartilhar os das próprias bases. É o princípio da reciprocidade, previsto no art. 4º da norma.

LGPD e sigilo bancário

Por se tratar de compartilhamento de dados pessoais, o Open Finance também segue a Lei Geral de Proteção de Dados. A iniciativa precisa atender aos princípios de transparência, segurança, privacidade e tratamento não discriminatório que regem a LGPD, princípios que a própria Resolução Conjunta nº 1 repete no art. 4º.

A LGPD estabelece que todo tratamento de dados pessoais deve ser pautado em propósitos legítimos, específicos, explícitos e informados. Se a finalidade do tratamento mudar, é preciso coletar novo consentimento.

A Lei do Sigilo Bancário (Lei Complementar nº 105, de 10 de janeiro de 2001) continua valendo e estabelece o dever de sigilo das instituições nas suas operações, incluindo a manipulação de dados que trafegam pelo Open Finance. Você encontra os documentos legais da Pluggy em pluggy.ai/legal.

Governança: Circular nº 4.032

A Circular nº 4.032, de 23 de junho de 2020, dispõe sobre a estrutura inicial responsável pela governança do Open Finance no Brasil, ou seja, as entidades e grupos responsáveis por planejar, executar e monitorar o projeto. Essa estrutura tem três níveis:

• Nível estratégico, integrado por um Conselho Deliberativo;
• Nível administrativo, formado por um Secretariado;
• Nível técnico, composto por Grupos Técnicos.

É essa estrutura que define os ciclos de release e os manuais técnicos que os participantes seguem.

Padronização: Resolução BCB nº 32

A Resolução BCB nº 32, de 29 de outubro de 2020, estabelece os requisitos técnicos e os procedimentos operacionais para a implementação do sistema. Para dar agilidade ao processo, a norma prevê que o detalhamento fique em manuais temáticos, e não no texto da resolução.

Na prática, é daí que vem a padronização das APIs. É por isso que uma integração única consegue falar com todas as instituições participantes em vez de exigir um projeto por banco.

Brasil e Europa: por que a comparação com a PSD2 confunde

Na União Europeia, a PSD2 (Diretiva Europeia de Serviços de Pagamento) determina que os bancos compartilhem informações com dois tipos de prestador:

• AISP (Account Information Service Provider), que acessa informações de conta;
• PISP (Payment Initiation Service Provider), que inicia pagamentos em nome do usuário.

No Brasil, a regulamentação criou a figura do Iniciador de Transação de Pagamento (ITP), equivalente ao PISP europeu. A leitura de dados no Brasil não exige uma licença separada de AISP: ela é feita por instituição autorizada participante do Open Finance.

Na prática isso significa que uma empresa de software pode oferecer leitura de dados e iniciação de pagamento dentro do próprio produto sem tirar licença própria, desde que o faça por meio de uma instituição autorizada. A Pluggy é autorizada pelo Banco Central como ITP.

Perguntas frequentes

Qual é a base legal do Open Finance no Brasil?

A Resolução Conjunta nº 1, de 4 de maio de 2020, do CMN e do Banco Central, com as alterações das Resoluções Conjuntas nº 3/2021, nº 4/2022, nº 7/2023 e nº 10/2024, mais a Circular nº 4.032/2020 e a Resolução BCB nº 32/2020.

O consentimento do cliente vale por quanto tempo?

Não há prazo fixo em lei. Desde a Resolução Conjunta nº 7/2023, o consentimento deve ter prazo de validade compatível com as finalidades declaradas, e pode ser revogado pelo cliente a qualquer momento.

Minha empresa precisa de autorização do Banco Central?

Para participar diretamente como instituição receptora, sim. A maioria das empresas de software acessa os dados por meio de uma instituição já autorizada, e nesse modelo não precisa de licença própria.

O Open Finance pode ser cobrado do cliente?

Não. A gratuidade para o cliente está prevista na Resolução Conjunta nº 1/2020. O custo existe na relação comercial entre a empresa e o seu provedor de infraestrutura.

Open Banking e Open Finance são a mesma coisa?

No Brasil, sim. Open Banking é o nome original do sistema. Open Finance é o nome vigente na regulamentação desde 2 de maio de 2022.

Fontes

• Resolução Conjunta nº 1, de 4 de maio de 2020 (CMN e Banco Central), texto consolidado
• Resolução Conjunta nº 3, de 24 de junho de 2021
• Resolução Conjunta nº 4, de 24 de março de 2022
• Resolução Conjunta nº 7, de 26 de outubro de 2023
• Resolução Conjunta nº 10, de 4 de julho de 2024
• Circular nº 4.015 e Circular nº 4.032, de 2020
• Resolução BCB nº 32, de 29 de outubro de 2020
• Resolução nº 4.553, de 30 de janeiro de 2017, que define os segmentos S1 a S5
• Lei Complementar nº 105, de 10 de janeiro de 2001, e Lei nº 13.709/2018 (LGPD)

Última atualização: 17 de setembro de 2026.