Open banking: Regras, Critérios de Consentimento e Fluxo de Compliance Corporativo
Entenda como o compartilhamento de dados no Open Finance exige uma reestruturação profunda do compliance corporativo brasileiro.
A implementação do Open Banking (agora evoluído para Open Finance) no Brasil marcou o fim da era do monopólio de dados financeiros. Na vida real, o que costuma dar errado não é a tecnologia das APIs, mas a falha humana na gestão do consentimento e a subestimação da responsabilidade solidária entre as instituições. Muitas empresas acreditam que o compliance é um “carimbo” final, quando, na verdade, ele é o motor que evita multas milionárias da ANPD e suspensões severas do Banco Central.
O tema vira uma confusão jurídica quando há lacunas de prova sobre o momento exato em que o cliente autorizou ou revogou o acesso aos seus dados. Práticas inconsistentes na retenção de registros e políticas de segurança cibernética vagas criam um ambiente de vulnerabilidade para administradores. O que este artigo vai esclarecer é como alinhar as exigências da Resolução Conjunta nº 1/2020 com os padrões da LGPD, garantindo que o fluxo de dados não se transforme em um passivo judicial escalável.
Vamos detalhar a lógica de prova necessária para auditorias, os testes de resiliência que o Banco Central exige e o fluxo prático para manter a governança em dia. O objetivo é transformar o compliance corporativo de um centro de custo em um diferencial estratégico que gera confiança no ecossistema financeiro e protege o valor da marca no longo prazo.
Marcos de Compliance para Open Finance:
- Gestão de Consentimento: Prova técnica de que a autorização foi livre, informada e com finalidade específica.
- Responsabilidade Solidária: Entendimento de como o erro de um parceiro na cadeia de dados afeta a sua instituição.
- Cibersegurança: Implementação de autenticação forte e criptografia de ponta a ponta conforme as normas do BCB.
- Rastreabilidade de Logs: Registro imutável de todas as chamadas de API e acessos a dados de terceiros.
Veja mais nesta categoria: Direito Corporativo
Neste artigo:
Última atualização: 27 de janeiro de 2026.
Definição rápida: Open Banking é o sistema que permite o compartilhamento de dados e serviços entre instituições financeiras mediante consentimento do cliente, operando sob o controle rigoroso do Banco Central.
A quem se aplica: Bancos tradicionais, fintechs, instituições de pagamento e empresas de tecnologia (BaaS) que integram serviços financeiros em suas plataformas.
Tempo, custo e documentos:
- Adequação Inicial: O processo de compliance regulatório leva de 6 a 12 meses para implementação completa de infraestrutura.
- Custos: Investimento em APIs seguras, auditorias de segurança cibernética e contratação de DPOs especializados.
- Documentos: Logs de consentimento, Manuais de Segurança da Informação e Relatórios de Impacto à Proteção de Dados (RIPD).
Pontos que costumam decidir disputas:
Further reading:
- Validade do Consentimento: A prova de que o cliente não foi induzido ao erro ou forçado a aceitar termos genéricos.
- Tempo de Resposta: A agilidade da instituição em interromper o compartilhamento de dados após a revogação do cliente.
- Segregação de Acessos: Prova de que apenas os dados estritamente necessários para o serviço foram acessados.
Guia rápido sobre Open Banking e Compliance
O Open Finance não é apenas uma mudança tecnológica, é uma revolução de dever de cuidado. O compliance corporativo precisa migrar de um modelo reativo para um modelo preventivo, onde a governança de dados é auditada em tempo real. Em disputas reais, o que vira o jogo é a capacidade da empresa em apresentar uma trilha de auditoria limpa e inquestionável.
- Fases de Implementação: Respeito ao cronograma do Banco Central para dados de produtos, dados cadastrais e iniciação de pagamentos.
- Teste de Finalidade: Toda coleta de dados deve ter um propósito de negócio claro e documentado.
- Janelas de Consentimento: O prazo máximo de validade de um consentimento não pode exceder 12 meses sem renovação expressa.
- Prática Razoável: Manter canais de atendimento específicos para o Open Finance, permitindo que o cliente gerencie seus acessos de forma simples.
Entendendo o Open Finance na prática jurídica
No Brasil, o Open Finance opera sob o princípio da reciprocidade e da transparência. Juridicamente, a maior inovação é a transferência do poder de decisão para o titular do dado. No entanto, o que significa “razoável” na prática? Significa que as instituições devem garantir que o compartilhamento de informações não prejudique o consumidor. Se uma fintech utiliza dados de Open Banking para realizar predatory lending (empréstimos abusivos), o compliance falhou e a empresa está sujeita a sanções administrativas graves.
As disputas normalmente se desenrolam no campo da segurança cibernética. Quando ocorre um vazamento de dados em uma instituição receptora, a instituição transmissora pode ser arrastada para o litígio. A regra/teste aqui é a diligência na escolha dos parceiros (Vendor Management). O compliance corporativo deve exigir provas de que o parceiro possui certificações de segurança e cumpre as normas do BCB. Ignorar a saúde tecnológica de um parceiro de API é aceitar um risco jurídico que a diretoria dificilmente conseguirá justificar em uma auditoria.
Pontos de Virada na Disputa de Dados:
- Hierarquia de Prova: Logs do sistema autenticados por carimbo de tempo vs. alegações verbais do usuário.
- Padrão de Consentimento: Uso de linguagem clara vs. termos técnicos jurídicos incompreensíveis para o leigo.
- Fluxo de Revogação: Facilidade de “um clique” para parar o compartilhamento vs. barreiras burocráticas impostas.
- Mitigação de Danos: Prova de que a empresa agiu imediatamente para conter um vazamento após a detecção.
Ângulos legais e práticos que mudam o resultado
A qualidade da documentação é o que separa uma empresa resiliente de uma vulnerável. No Open Finance, o compliance deve produzir provas diárias. Se o Banco Central questionar a política de Prevenção à Lavagem de Dinheiro (PLD) dentro do ecossistema de APIs, a instituição deve ser capaz de mostrar como os dados recebidos de terceiros são cruzados com as listas de sanções. A variação por jurisdição aqui é mínima, pois as resoluções do BCB são federais, mas o rigor do judiciário em casos de danos morais por vazamento tem sido crescente.
Outro ângulo crítico são os cálculos de benchmark de razoabilidade sobre a recusa de dados. Uma instituição não pode se recusar a transmitir dados de um cliente para um concorrente sem uma justificativa técnica plausível (como suspeita fundamentada de fraude). A retenção indevida de dados por “medo da concorrência” é vista como infração concorrencial e pode gerar processos perante o CADE (Conselho Administrativo de Defesa Econômica), além das multas do próprio Banco Central.
Caminhos viáveis que as partes usam para resolver
Para resolver impasses no Open Finance, o compliance corporativo costuma utilizar estas rotas:
- Mediação Tecnológica: Uso da estrutura de governança do Open Finance (Secretaria de Governança) para dirimir conflitos técnicos entre instituições.
- Notificação Corretiva: Quando uma falha é detectada em um parceiro, o envio imediato de um pacote de provas e a exigência de regularização sob pena de corte da API.
- Acordos com a ANPD: Em casos de incidentes de dados, a celebração de Termos de Ajustamento de Conduta (TAC) para evitar a escalada de sanções pecuniárias.
Aplicação prática de Compliance no Open Finance
O fluxo de trabalho para manter a conformidade corporativa no Open Banking exige uma integração total entre o jurídico, o DPO e o time de TI. O processo quebra quando estes setores operam em silos. A aplicação prática deve focar na transparência algorítmica e na segurança das interfaces. Abaixo, o passo a passo sequenciado para uma governança robusta:
- Mapeamento do Fluxo de Dados: Identificar cada dado que entra via API, quem o acessa internamente e onde ele é armazenado.
- Homologação de APIs: Realizar testes de intrusão e estresse para garantir que a infraestrutura suporta as chamadas regulatórias sem vazamentos.
- Implementação do Painel de Consentimento: Criar uma interface intuitiva onde o cliente visualiza todos os acessos concedidos e seus prazos.
- Auditoria de Logs de Transação: Revisar semanalmente os registros de sucesso e erro nas transmissões de dados para detectar anomalias.
- Relatório de Conformidade Periódico: Documentar mensalmente o cumprimento das janelas de prazo do Banco Central e as atualizações de segurança.
- Simulado de Resposta a Incidentes: Treinar a equipe para agir em caso de sequestro de dados ou acesso não autorizado, gerando evidências de boa-fé.
Detalhes técnicos e atualizações relevantes
Em 2026, as atualizações mais importantes focam na Iniciação de Pagamentos e no compartilhamento de dados de seguros e investimentos. O padrão de itemização exigido pelo Banco Central é extremamente detalhado, e qualquer discrepância entre o que é transmitido e o que o cliente visualiza pode gerar denúncias nos canais oficiais. A retenção de registros deve seguir a regra geral de 5 anos para fins financeiros, mas para fins de privacidade, a LGPD exige que o dado seja excluído assim que a finalidade cessar.
- Padrão de Mensageria: Uso obrigatório do padrão ISO 20022 para garantir a interoperabilidade entre as instituições brasileiras e globais.
- Janelas de Manutenção: Notificação obrigatória ao ecossistema sobre indisponibilidade de APIs para evitar quebras de fluxo de parceiros.
- Desgaste Tecnológico: O que é considerado “segurança de ponta” hoje será obsoleto em 18 meses; o compliance deve provar atualizações constantes.
- Jurisdição de Nuvem: Instituições devem assegurar que provedores de cloud (como AWS ou Azure) cumprem as normas de sigilo bancário brasileiro.
Estatísticas e leitura de cenários
A análise do cenário atual mostra que o Open Finance no Brasil atingiu a maturidade, mas os riscos de compliance ainda são o calcanhar de Aquiles de muitas operações. Estes dados são sinais monitoráveis para gestores de risco.
Distribuição de Incidentes de Compliance no Open Finance
Indica necessidade de automação no controle de prazos das autorizações.
Reflete gargalos de infraestrutura em instituições de médio porte.
Mudanças de Indicadores (2024 → 2026)
- Tempo médio de revogação: 24 horas → 15 minutos (Melhoria impulsionada por pressão regulatória direta).
- Taxa de renovação de consentimento: 40% → 62% devido a melhores estratégias de UX e transparência.
- Custo de multa média por dado vazado: Aumento de 35% após endurecimento da ANPD em casos financeiros.
Pontos Monitoráveis
- Latência das APIs: Acima de 500ms costuma sinalizar problemas de compliance técnico iminentes.
- Volume de pedidos de exclusão: Picos repentinos indicam crise de confiança ou falha na comunicação de marketing.
- Diferença de Scores: Se o score de crédito interno diverge drasticamente do score baseado no Open Finance, há risco de erro de modelo algorítmico.
Exemplos práticos de Compliance no Open Banking
Cenário de Justificativa Sólida:
Uma instituição financeira recebe uma denúncia de que acessou dados sem consentimento. O compliance apresenta logs auditáveis com hash criptográfico, provando o IP de origem do cliente, o horário da autenticação de dois fatores e o aceite detalhado dos termos. Por que se sustenta: A prova técnica é imutável e segue o padrão de transparência exigido pelo Banco Central.
Cenário de Perda Judicial:
Uma empresa receptora de dados utiliza as informações de extrato para oferecer produtos de seguro de vida de forma agressiva, sem que essa finalidade estivesse descrita no pedido de compartilhamento. O cliente processa por desvio de finalidade. Resultado: Condenação ao pagamento de danos morais e multa administrativa. O erro: Falta de aderência ao teste de finalidade específica da LGPD dentro do Open Banking.
Erros comuns em Compliance e Open Banking
Consentimento “Tudo ou Nada”: Exigir que o cliente aceite o compartilhamento de todos os dados para liberar uma função simples viola o princípio da minimização.
Falta de Auditoria em Terceiros: Confiar cegamente no compliance do parceiro de Banking as a Service (BaaS) sem realizar Due Diligence periódica.
Ignorar a Revogação de Acesso: Manter o processamento de dados após o cliente ter clicado em “cancelar” no portal de transparência gera risco de crime de descumprimento de ordem regulatória.
Logs sem Carimbo de Tempo: Armazenar registros de acesso que não permitem provar a ordem cronológica dos fatos em uma disputa judicial.
FAQ sobre Open Banking e Compliance
O Open Finance é obrigatório para todas as empresas do setor financeiro?
O Banco Central dividiu as instituições em categorias (S1 a S4). As grandes instituições (S1 e S2) são obrigadas a participar como transmissoras de dados, enquanto as menores podem escolher participar. No entanto, para ser uma instituição receptora e aproveitar os benefícios dos dados de terceiros, a adesão às regras do Open Finance é obrigatória.
Empresas que decidem participar voluntariamente assumem todos os deveres de compliance das instituições obrigatórias. Isso inclui a manutenção de APIs seguras, infraestrutura de atendimento ao cliente e reporte regular ao diretório de participantes, sem exceções de porte.
Qual o papel do DPO (Data Protection Officer) no Open Banking?
O DPO é a ponte entre a estratégia de negócio e o cumprimento legal. No Open Finance, ele não cuida apenas da política de privacidade do site, mas monitora o ciclo de vida do dado compartilhado via API. Ele deve garantir que os Relatórios de Impacto à Proteção de Dados (RIPD) reflitam os riscos específicos do ecossistema compartilhado.
Além disso, o DPO é o responsável por responder a requisições de titulares e notificações da ANPD sobre possíveis incidentes. Em auditorias do Banco Central, a presença de um DPO com conhecimento técnico em arquitetura de dados financeiros é um forte indicador de maturidade em compliance corporativo.
Como provar que o consentimento do cliente é válido?
A prova de validade exige três camadas: o registro digital da ação (log com timestamp), o espelho da interface que o cliente visualizou (para provar que não houve design deceptivo) e a confirmação por canal seguro (como MFA ou senha bancária). A falta de qualquer um desses elementos torna o consentimento juridicamente frágil.
O compliance deve garantir que o consentimento não tenha sido obtido por meio de “checkboxes” pré-marcadas ou termos escondidos. A Resolução Conjunta do BCB exige que a finalidade, o prazo e a instituição receptora estejam destacados em uma tela de confirmação clara e sem distrações.
Quais as penalidades para vazamento de dados no ecossistema?
As penalidades são cumulativas. Pela LGPD, as multas podem chegar a 2% do faturamento, limitadas a R$ 50 milhões por infração. Pelo Banco Central, a instituição pode sofrer desde multas pecuniárias até a cassação da licença de operação, além de ser excluída do ecossistema do Open Finance.
Ainda existe a esfera civil: as ações judiciais por danos morais e materiais movidas pelos clientes afetados. Se o vazamento atingir um grande número de pessoas, ações civis públicas movidas pelo Ministério Público ou por associações de defesa do consumidor podem gerar condenações bilionárias.
O que é autenticação forte no Open Finance?
Autenticação forte (SCA – Strong Customer Authentication) exige o uso de pelo menos dois fatores de categorias diferentes: algo que o cliente sabe (senha), algo que ele possui (token/celular) ou algo que ele é (biometria). No Open Finance brasileiro, isso é obrigatório para qualquer etapa de concessão de consentimento.
O compliance deve auditar se o sistema de SCA está imune a ataques de engenharia social comum, como o redirecionamento para páginas falsas. A integridade do redirecionamento entre a instituição receptora e a transmissora é um dos pontos mais sensíveis da arquitetura técnica sob fiscalização.
Uma instituição pode recusar o compartilhamento de dados solicitados?
A recusa só é permitida em casos restritos e justificados, como suspeita fundamentada de fraude, ataques cibernéticos em curso ou problemas de autenticação do cliente. Negar o compartilhamento para evitar que o cliente migre para um concorrente é considerado prática anticompetitiva gravíssima.
Sempre que uma chamada de API for negada, a instituição deve gerar um código de erro técnico específico e documentar a razão da recusa. Em auditorias, o Banco Central analisa se a taxa de erro de transmissão de uma instituição é maior para determinados concorrentes, o que sinaliza sabotagem deliberada do sistema.
Como a LGPD se aplica a dados financeiros compartilhados?
A LGPD atua como norma geral, enquanto as resoluções do BCB são normas específicas. Em caso de conflito, aplicam-se as regras mais rigorosas para a proteção do titular. O Open Finance amplia o conceito de “portabilidade de dados”, exigindo que as informações sejam transmitidas de forma estruturada e legível por máquinas.
Importante notar que dados financeiros são considerados sensíveis em potencial, pois revelam o estilo de vida, crenças e hábitos de consumo do titular. Por isso, o tratamento desses dados para fins secundários (como marketing) exige um novo consentimento, separado daquele dado para a prestação do serviço financeiro principal.
O que acontece com os dados após o fim do período de consentimento?
A regra de ouro é a minimização e o descarte. Uma vez que o consentimento expira e não é renovado, a instituição receptora deve cessar qualquer coleta de novos dados. Quanto aos dados já coletados, eles só podem ser mantidos se houver outra base legal que justifique a retenção, como o cumprimento de obrigações regulatórias ou fiscais.
O compliance deve implementar rotinas de “purga” automática de dados. Manter um banco de dados de ex-clientes do Open Finance por tempo indeterminado cria um risco desnecessário: em caso de vazamento, a empresa responderá por dados que ela nem deveria possuir legalmente naquele momento.
Como funciona a responsabilidade solidária entre instituições parceiras?
No Open Finance, a cadeia de responsabilidade é integrada. Se um iniciador de pagamentos falha e causa prejuízo ao cliente, o banco detentor da conta pode ser acionado judicialmente por ser parte do ecossistema. Embora as instituições possam ajustar o regresso entre si via contrato, perante o cliente a responsabilidade costuma ser solidária.
Para mitigar esse risco, os contratos de parceria devem prever cláusulas rigorosas de indenidade, seguros de responsabilidade civil cibernética e a obrigação de assistência mútua em caso de auditoria. O compliance deve verificar se os parceiros possuem solvência financeira para arcar com eventuais condenações solidárias.
Quais as métricas de sucesso para um compliance de Open Finance?
As métricas principais incluem o SLA de disponibilidade de APIs (que deve estar acima de 99%), o tempo médio para atender revogações de consentimento e a taxa de incidentes de dados reportados. Outro KPI vital é a velocidade de resposta a solicitações do Banco Central via sistema de comunicação oficial.
Um compliance de sucesso também monitora a “saúde do consentimento”: se muitos clientes abandonam o fluxo no meio, pode haver uma falha de comunicação ou excesso de burocracia que está prejudicando a adoção do sistema, o que exige ajustes conjuntos entre o jurídico e o time de produto.
Referências e próximos passos
- Consulte o Diretório de Participantes do Open Finance Brasil para verificar a situação cadastral de seus parceiros.
- Realize uma Auditoria de Segurança Cibernética focada nos requisitos da Resolução BCB nº 4.893/2021.
- Revise seus Avisos de Privacidade para garantir que as finalidades do Open Finance estão explicitadas de forma segregada.
- Mantenha um canal de denúncia aberto para falhas técnicas nas APIs, conforme exigido pela governança do ecossistema.
Leitura relacionada:
- LGPD no Setor Financeiro: guia prático de adequação para Fintechs.
- Responsabilidade Civil por Falhas em APIs: uma análise da jurisprudência brasileira.
- Prevenção à Lavagem de Dinheiro no Open Finance: novos desafios de monitoramento.
- Governança de Dados Corporativos: como estruturar um comitê de privacidade eficiente.
Base normativa e jurisprudencial
A espinha dorsal do Open Banking no Brasil é a Resolução Conjunta nº 1/2020 do Banco Central e do CMN, que estabelece os princípios e as diretrizes do sistema. Esta norma dialoga diretamente com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018), especialmente nos princípios da transparência e da finalidade. Além disso, as resoluções infralegais do Banco Central regulam aspectos técnicos como a segurança cibernética (Resolução BCB nº 85) e o processo de autorização de instituições.
Na jurisprudência, os tribunais superiores (STJ) têm reforçado que a segurança dos dados bancários é um dever de responsabilidade objetiva das instituições, com base no Código de Defesa do Consumidor e na Teoria do Risco do Negócio. Recentemente, decisões judiciais confirmaram que falhas na validação do consentimento no Open Finance autorizam a inversão do ônus da prova contra a instituição receptora dos dados.
Por fim, a interação com o Marco Civil da Internet (Lei nº 12.965/2014) é fundamental no que tange à guarda de logs de conexão e acesso a aplicações, estabelecendo o padrão mínimo de rastreabilidade que o compliance corporativo deve manter para garantir a defesa em processos administrativos e judiciais.
Considerações finais
O Open Banking não é uma tendência passageira, é a fundação da nova economia financeira brasileira. Em 2026, as empresas que prosperam são aquelas que tratam o compliance não como uma barreira, mas como o alicerce da sua proposta de valor. A governança de dados e o respeito ao consentimento do cliente tornaram-se ativos tão valiosos quanto o próprio capital social das companhias.
Ignorar as nuances regulatórias ou permitir lacunas de segurança na infraestrutura de APIs é expor a corporação a riscos existenciais. Ao adotar uma postura de transparência radical e investir em processos de compliance auditáveis, sua instituição garante não apenas a conformidade legal, mas a confiança necessária para liderar a inovação no sistema financeiro nacional, protegendo o patrimônio e a integridade de todos os envolvidos.
Ponto-chave 1: O consentimento é dinâmico e sua validade depende da prova técnica contínua de que o cliente mantém a autorização ativa.
Ponto-chave 2: A responsabilidade no Open Finance é sistêmica; a falha de segurança de um parceiro pode impactar juridicamente toda a cadeia de dados.
Ponto-chave 3: O compliance corporativo deve auditar não apenas o texto legal, mas a execução técnica das APIs e o descarte correto de dados expirados.
- Ação Preventiva: Implemente um sistema automatizado de controle de validade de consentimentos para evitar acessos expirados.
- Foco em Segurança: Realize pentests (testes de intrusão) trimestrais específicos para as suas interfaces de Open Finance.
- Ponto de Controle: Designe um responsável técnico que reporte diretamente ao Comitê de Risco sobre a saúde das APIs e o volume de revogações.
Este conteúdo é apenas informativo e não substitui a análise individualizada de um advogado habilitado ou profissional qualificado.