RC 21: o que muda nas parcerias de dados do Open Finance

O que é a RC 21

Desde 22 de outubro de 2026, o compartilhamento de dados do Open Finance com empresas parceiras tem regras próprias. A Resolução Conjunta nº 21, do Banco Central e do Conselho Monetário Nacional, alterou a norma que criou o Open Finance em 2020 e entrou em vigor no dia da publicação. A norma traz regras mais claras para essas parcerias, reforça o consentimento do cliente e eleva os padrões de segurança e desempenho.

No Open Finance, o cliente autoriza o compartilhamento dos seus dados bancários com outra instituição para usar um produto ou serviço. A RC 21 trata de uma situação comum nesse mercado. Uma instituição autorizada pelo Banco Central recebe os dados do cliente pelo Open Finance e os repassa a uma empresa que os usa no próprio produto: um app de finanças pessoais, uma plataforma de crédito, um sistema de gestão.

A RC 21 dá nome a cada parte dessa relação. A instituição autorizada que recebe os dados e os repassa é a instituição integradora. A empresa que recebe os dados dela, por contrato, é a entidade parceira. O acordo entre as duas é o contrato de parceria.

O que define o alcance é o dado continuar identificando o cliente, não o nome que ele recebe.

Como funciona o fluxo

São quatro passos. O cliente autoriza uma vez no banco e confirma, na tela da integradora, quem vai receber os dados.

O cliente autoriza no banco e, na tela da integradora, confirma qual empresa vai receber os dados. A parceira usa os dados só para aquela finalidade e não pode repassá-los.

Os pontos que mais importam

1. Um consentimento para cada parceira. O cliente autoriza expressamente o repasse para aquela empresa específica, no ambiente da instituição integradora, que precisa identificá-lo antes de repassar qualquer dado. A parceira aparece com clareza, e as mesmas regras de consentimento e revogação do Open Finance valem aqui.
2. Escopo amplo. Entram dados cadastrais e de transações e também dados derivados que continuem identificando o cliente, como notas e pontuações de crédito. Fica de fora quem só processa dados em nome da integradora, sem finalidade própria. Os serviços de iniciação de pagamento também não entram.
3. Avaliação prévia da parceira. Antes da contratação, a integradora verifica se a parceira tem controles de segurança, confidencialidade e acesso adequados. Essa verificação é atestada por auditor independente registrado na CVM, nos termos que o Banco Central vai regulamentar, e refeita pelo menos uma vez por ano.
4. Contrato com conteúdo mínimo. O contrato precisa prever, entre outros pontos, para onde os dados podem ir, o acesso do Banco Central, a comunicação de incidentes e o que acontece com os consentimentos se a parceria acabar.
5. Sem repasse a terceiros. A parceira usa os dados só para a finalidade que o cliente aceitou e os elimina quando a finalidade termina. Ela não pode repassá-los, nem os derivados, nem tentar reconstruir dados de transações por engenharia reversa.
6. Quatro parcerias vedadas. Não pode haver parceria de dados entre duas instituições autorizadas, nem com empresa de grupo que tenha instituição autorizada fora do Open Finance. Também não pode haver parceira atuando em nome da integradora, nem parceira com nome típico de instituição financeira ou de pagamento, inclusive em outro idioma.
7. Quem responde é a integradora. Ela responde, perante o Banco Central, pela segurança, pela disponibilidade e pelo sigilo dos dados repassados. A norma também passa a cobrar desempenho, isto é, a qualidade dos serviços das APIs, medida em indicadores definidos pelo Banco Central.

Na prática, é assim que o cliente confirma o repasse para a parceira:

A tela fica no ambiente da integradora. Os textos são ilustrativos; as informações obrigatórias dessa etapa ainda serão detalhadas pelo Banco Central.

A norma também abre caminho para o fluxo de aprovação desacoplado: o pedido de consentimento nasce num ambiente e a aprovação acontece depois, no banco, sem redirecionamento e até por outra pessoa. É o que pode viabilizar, por exemplo, pagamentos e autorizações em empresas que exigem mais de um aprovador. Esse fluxo ainda depende de regulamentação específica e das especificações técnicas do Open Finance.

O que não muda e o que ainda vem

O cliente continua autorizando no banco e passa a confirmar, de forma explícita, quem vai receber os dados, podendo revogar a qualquer momento. Para instituições que participam do Open Finance com licença própria, a relação com seus provedores de tecnologia também não muda. Parte das vedações, como a de parceria entre instituições autorizadas, já existia e foi mantida.

As regras já valem, mas a forma de cumprir parte delas depende de regulamentação complementar do Banco Central:

O que isso significa para quem usa dados do Open Finance

Para quem recebe dados por meio de uma instituição integradora, o recado é direto: consentimento com o seu nome, contrato mais completo, verificação anual e uso restrito à finalidade. Empresas que já operam assim tendem a ter pouco a mudar.

O time de Inovação Regulatória do Iniciador atuou ativamente na construção da norma com o Banco Central, pela cadeira 2.3 da governança do Open Finance e pelas associações ABFintechs e INIT. Seguimos nesse diálogo agora, na regulamentação complementar.

No Iniciador, o consentimento para cada parceira já é coletado no nosso ambiente, logo depois da autorização no banco, numa tela que identifica quem vai receber os dados. Para instituições autorizadas pelo Banco Central, o caminho continua sendo participar do Open Finance com licença própria, e o Iniciador oferece a infraestrutura para isso.

É uma norma que conversa com a forma como o Iniciador sempre enxergou o Open Finance: responsabilidade clara, cliente no centro e infraestrutura confiável. Acompanhamos essa construção de perto desde o início e seguimos em diálogo próximo com o regulador e com a governança do ecossistema.

Fonte: Resolução Conjunta nº 21, de 22 de outubro de 2026 — Banco Central do Brasil