O Open Finance brasileiro deixou de ser experiência regulatória e virou infraestrutura de escala nacional. Em fevereiro de 2026, o sistema completou cinco anos reunindo mais de 100 milhões de contas conectadas e entre 154 e 220 milhões de consentimentos ativos de compartilhamento de dados, segundo levantamentos recentes da Febraban e da Associação Open Finance Brasil. É justamente esse salto de maturidade que levou o Banco Central a colocar na mesa uma pauta que estava represada há anos: regulamentar de forma mais rígida as parcerias que permitem a empresas não autorizadas acessar dados financeiros de clientes através de instituições participantes.
Para fintechs, esse não é um debate abstrato. Grande parte do ecossistema — de iniciadores de pagamento a plataformas de crédito, gestão financeira e scoring alternativo — depende diretamente de contratos de parceria com instituições participantes para acessar dados via API. Entender o que muda, quando muda e o que precisa ser ajustado tecnicamente é condição para continuar operando dentro das regras.
Por que o Banco Central decidiu agir agora
Segundo Mardilson Queiroz, chefe do Departamento de Regulação do Sistema Financeiro (Denor) do Banco Central, “o ecossistema já atingiu maturidade e forte crescimento, o que exige um olhar sobre essas parcerias”. A frase resume o raciocínio por trás da nova rodada regulatória: quando o Open Finance operava em escala menor, o risco de uso indevido de dados era limitado. Com mais de 5 bilhões de chamadas de API por semana e R$ 31 bilhões em crédito originado com dados compartilhados, qualquer falha de controle em uma ponta da cadeia de parcerias passa a ter potencial de impacto sistêmico.
O modelo de parcerias já não é marginal: responde por mais de 20% dos consentimentos do sistema e sustenta produtos em setores como crédito, educação, prevenção a fraude, agronegócio e transporte. Em julho de 2026, Ana Carla Abrão, presidente da Associação Open Finance Brasil, declarou à CNN que o Banco Central prepara mudanças com anúncio possível em até 60 dias, com foco explícito em proibir a revenda de dados obtidos via Open Finance e deixar claro quem responde por vazamentos: “se esse dado vazar ou for vendido, é aquela instituição que cometeu um delito”.
O que muda na prática: dois papéis novos e consentimento 1x1x1
A proposta em discussão cria dois papéis regulatórios que hoje não existem formalmente:
- Instituição Integradora — bancos, fintechs ou cooperativas participantes do Open Finance que recebem e gerenciam os dados do cliente diretamente do sistema.
- Entidade Parceira — empresa não regulamentada pelo Banco Central que recebe dados do cliente por meio de um contrato de parceria com a Instituição Integradora.
- Mapeamento de finalidade de cada dado consumido. Contratos de finalidade estrita exigem que cada campo de dado acessado tenha um uso declarado e rastreável — não é mais suficiente pedir escopo amplo “por precaução”.
- Logs de acesso auditáveis e retenção documentada. A exigência de auditabilidade contínua implica registrar quem acessou qual dado, quando e com qual finalidade, com histórico disponível para verificação do Banco Central e da instituição integradora.
- Vedação a resshare. Se o modelo 1x1x1 for confirmado, qualquer arquitetura que hoje redistribua dados recebidos para outros sistemas internos ou parceiros de negócio precisará ser revista.
- Certificação de segurança da informação. Entidades parceiras devem esperar exigências equivalentes às de um Gestor de Banco de Dados (GBD) — algo próximo dos controles já usados por birôs de crédito como Serasa Experian e Equifax.
- Mecanismo de desconexão rápida. Contratos deverão prever forma de suspender o acesso de uma entidade parceira rapidamente em caso de suspeita de violação, o que exige arquitetura técnica capaz de revogar credenciais e tokens sem depender de ciclos de deploy longos.
- Registro formal da parceria no Registrato. A formalização da relação junto ao Banco Central deixa de ser apenas contratual e passa a ter um componente de registro público, o que aumenta a exposição a fiscalização.
Sobre essa estrutura, a proposta soma cinco eixos: mitigação de risco de transferência não autorizada de dados; padronização técnica de segurança e comunicação; transparência ao consumidor sobre quem recebe seus dados; reciprocidade, exigindo que empresas fora do Open Finance também compartilhem dados próprios quando acessam o sistema; e adequação de capital mínimo para quem exerce atividades de compartilhamento de dados.
Na prática de consentimento, o modelo discutido é chamado internamente de “1x1x1”: consentimento individual do cliente por parceiro específico, identificação explícita da entidade parceira antes de qualquer compartilhamento, proibição de a parceira resompartilhar os dados recebidos com terceiros, e registro da relação no sistema Registrato do Banco Central. Parcerias ficariam vedadas com instituições já autorizadas pelo BC e com empresas cujo grupo econômico inclua entidades autorizadas que não sejam participantes do Open Finance — um filtro pensado para evitar que o mecanismo de parceria vire atalho para quem já deveria estar dentro do sistema regulado.
Padronizar não é o mesmo que proibir — mas o custo de compliance sobe
Parte do setor defende que a regulamentação apenas documenta práticas que operadores sérios já adotam. Gustavo Lino, head de políticas públicas da Cumbuca, resume assim: “padronizar não é criar barreira”. Na leitura dele, a proposta transforma controles já praticados por instituições maduras em exigências formais — due diligence pré-contratual de parceiros, contratos com finalidade estrita e limitada, monitoramento contínuo de compliance, logs de acesso auditáveis e mecanismos de desconexão rápida em caso de violação. O paralelo citado é o modelo de credenciadora/subcredenciadora em pagamentos e as regras de Banking as a Service, onde a responsabilidade se concentra na instituição supervisionada que filtra e monitora o acesso de terceiros.
Do outro lado, há preocupação real com o efeito cumulativo das mudanças. O capital mínimo exigido de Iniciadores de Transação de Pagamento (ITP) já subiu de R$ 1 milhão, valor vigente até 2024, para R$ 17 milhões pela Resolução Conjunta nº 14 — e, somado ao patrimônio líquido exigido, a barreira total para testar um modelo de negócio de ITP chega a cerca de R$ 30 milhões. Gustavo Lino — então presidente da Init e hoje à frente de políticas públicas na Cumbuca — resumiu a preocupação do setor de forma direta: “a dose do remédio virou veneno”, alertando para o risco de reverter cinco anos de avanço em competição bancária. Bruno Chan, CEO da Klavi, lembra que iniciadores de transação respondem por 25% a 30% dos consentimentos ativos do Open Finance — entre 25 e 30 milhões de autorizações —, volume que evidencia o quanto negócios menores já dependem dessa estrutura para operar.
Há também uma discussão jurídica sobre a natureza do dado. Larissa Galimberti, sócia do escritório Pinheiro Neto, aponta que dado transacional é diferente de score de crédito para fins de decisão de concessão — uma distinção que importa muito, por exemplo, para financiamento médico ou crédito educacional, onde negar acesso a dados granulares pode significar negar acesso ao próprio produto financeiro. Entre os setores mais expostos à discussão estão clínicas médicas com parcelamento próprio, startups de crédito educacional, financiadoras de crédito agrícola e ferramentas de gestão financeira pessoal — todos dependentes de dados compartilhados via parceria para funcionar.
Cuidados técnicos que fintechs deveriam antecipar
Independentemente do desenho final da norma, algumas frentes já aparecem em praticamente todas as versões da proposta discutidas publicamente, e vale começar a se preparar para elas:
Vale reforçar que a proposta, até a publicação deste artigo, ainda não passou por consulta pública formal — o Banco Central segue analisando contribuições do setor, com expectativa de vigência ao longo de 2026, valendo de imediato para novos contratos e com período de transição para os já existentes. Isso significa que fintechs que dependem de parcerias de dados têm uma janela para revisar arquitetura, contratos e processos de compliance antes que as regras se tornem obrigatórias — e não depois.
O pano de fundo segue o mesmo: o Brasil lidera hoje o ranking entre os países com regulação de open finance, à frente de mercados como Reino Unido, Canadá e Hong Kong, que serviram de referência para o desenho da proposta. Manter essa posição sem sufocar a inovação que trouxe o país até aqui é exatamente o equilíbrio que o Banco Central está tentando calibrar agora — e é esse equilíbrio que vai definir se fintechs menores continuam tendo espaço para operar dentro do ecossistema ou se o custo de compliance as empurra para fora dele.