Nota: Redação Anterior:
Dispõe sobre a implementação do Sistema Financeiro Aberto (Open Banking).

O Banco Central do Brasil, na forma do art. 9º da Lei nº 4.595, de 31 de dezembro de 1964 , torna público que sua Diretoria Colegiada, em sessão realizada em 22 de abril de 2020, e o Conselho Monetário Nacional, em sessão realizada em 30 de abril de 2020, com base no art. 4º, inciso VIII, da referida Lei, e no art. 9º, caput e inciso II, da Lei nº 12.865, de 9 de outubro de 2013 , resolveram:

CAPÍTULO I

DO OBJETO E DO ÂMBITO DE APLICAÇÃO

Art. 1º Esta Resolução Conjunta dispõe sobre a implementação do Open Finance por parte de instituições financeiras, instituições de pagamento e demais instituições autorizadas a funcionar pelo Banco Central do Brasil. (Redação do artigo dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Art. 1º Esta Resolução Conjunta dispõe sobre a implementação do Sistema Financeiro Aberto (Open Banking) por parte de instituições financeiras, instituições de pagamento e demais instituições autorizadas a funcionar pelo Banco Central do Brasil.

CAPÍTULO II

DISPOSIÇÕES PRELIMINARES

Seção I

Das Definições

Art. 2º Para os fins do disposto nesta Resolução Conjunta, considera-se:

I - Open Finance: compartilhamento padronizado de dados e serviços por meio de abertura e integração de sistemas; (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a parir de 02/05/2022).

Nota: Redação Anterior:
I - Open Banking: compartilhamento padronizado de dados e serviços por meio de abertura e integração de sistemas;

II - cliente: qualquer pessoa natural ou jurídica, exceto as instituições de que trata o art. 1º, que mantém relacionamento destinado à prestação de serviço financeiro ou à realização de operação financeira com as instituições de que trata esta Resolução Conjunta, inclusive para a realização de transação de pagamento;

III - instituição transmissora de dados: instituição participante que compartilha com a instituição receptora os dados do escopo desta Resolução Conjunta;

IV - instituição receptora de dados: instituição participante que apresenta solicitação de compartilhamento à instituição transmissora de dados para recepção dos dados do escopo desta Resolução Conjunta;

V - instituição detentora de conta: instituição participante que mantém conta de depósitos à vista ou de poupança ou conta de pagamento pré-paga de cliente;

VI - instituição iniciadora de transação de pagamento: instituição participante que presta serviço de iniciação de transação de pagamento sem deter em momento algum os fundos transferidos na prestação do serviço;

VII - serviço de iniciação de transação de pagamento: serviço que possibilita a iniciação da instrução de uma transação de pagamento, ordenado pelo cliente, relativamente a uma conta de depósitos ou de pagamento pré-paga, comandada por instituição não detentora da conta à instituição que a detém; (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Nota: Redação Anterior:
VII - serviço de iniciação de transação de pagamento: serviço que possibilita a iniciação da instrução de uma transação de pagamento, ordenado pelo cliente, relativamente a uma conta de depósitos ou de pagamento pré-paga;

VIII - consentimento: manifestação livre, informada, prévia e inequívoca de vontade, feita por meio eletrônico, pela qual o cliente concorda com o compartilhamento de dados ou de serviços para finalidades determinadas;

IX - chamada de interface: requisição de dados e de serviços apresentada pela instituição receptora de dados ou iniciadora de transação de pagamento à instituição transmissora de dados ou detentora de conta;

X - assinatura de método: é a identificação única de cada método, que consiste na definição do nome do método, bem como dos parâmetros de entrada e saída em uma função de programação;

XI - transações de pagamento sucessivas: transações de pagamento realizadas entre os mesmos pagadores e recebedores de acordo com uma periodicidade, decorrentes de um mesmo negócio jurídico ou relação jurídica; e

XII - agregação de dados: consolidação de dados compartilhados de acordo com o disposto nesta Resolução Conjunta com a finalidade de prestar serviços aos seus clientes.

Seção II

Dos Objetivos e Dos Princípios

Art. 3º Constituem objetivos do Open Finance: (Redação do caput dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Nota: Redação Anterior:
Art. 3º Constituem objetivos do Open Banking:

I - incentivar a inovação;

II - promover a concorrência;

III - aumentar a eficiência do Sistema Financeiro Nacional e do Sistema de Pagamentos Brasileiro; e

IV - promover a cidadania financeira.

Art. 4º As instituições de que trata o art. 1º, para fins do cumprimento dos objetivos de que trata o art. 3º, devem conduzir suas atividades com ética e responsabilidade, com observância da legislação e regulamentação em vigor, bem como dos seguintes princípios:

I - transparência;

II - segurança e privacidade de dados e de informações sobre serviços compartilhados no âmbito desta Resolução Conjunta;

III - qualidade dos dados;

IV - tratamento não discriminatório;

V - reciprocidade; (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir 02/05/2022).

Nota: Redação Anterior:
V - reciprocidade; e

(Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir 02/05/2022):

VI - interoperabilidade:

a) entre os participantes; e

b) com outras iniciativas de Open Finance no âmbito dos mercados financeiro, de capitais, de seguros, de previdência e de capitalização.

Nota: Redação Anterior:
VI - interoperabilidade.

CAPÍTULO III DO ESCOPO DO OPEN FINANCE (Redação dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

CAPÍTULO III DO ESCOPO DO OPEN BANKING

Seção I

Do Escopo de Dados e Serviços

Art. 5º O Open Finance abrange o compartilhamento de, no mínimo: (Redação do caput dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Nota: Redação Anterior:
Art. 5º O Open Banking abrange o compartilhamento de, no mínimo:

I - dados sobre:

a) canais de atendimento relacionados com:

1. dependências próprias;

2. correspondentes no País;

3. canais eletrônicos; e

4. demais canais disponíveis aos clientes;

b) produtos e serviços relacionados com:

1. contas de depósito à vista;

2. contas de depósito de poupança;

3. contas de pagamento pré-pagas;

4. contas de pagamento pós-pagas;

5. operações de crédito;

6. operações de câmbio;

7. serviços de credenciamento em arranjos de pagamento;

8. contas de depósito a prazo e outros produtos com natureza de investimento;

9. seguros; e

10. previdência complementar aberta;

c) cadastro de clientes e de seus representantes; e

d) transações de clientes relacionadas com:

1. contas de depósito à vista;

2. contas de depósito de poupança;

3. contas de pagamento pré-pagas;

4. contas de pagamento pós-pagas;

5. operações de crédito;

6. conta de registro e controle de que trata a Resolução nº 3.402, de 6 de setembro de 2006 ;

7. operações de câmbio;

8. serviços de credenciamento em arranjos de pagamento;

9. contas de depósito a prazo e outros produtos com natureza de investimento;

10. seguros;

11. previdência complementar aberta; e

II - serviços de:

a) iniciação de transação de pagamento; e

b) encaminhamento de proposta de operação de crédito.

§ 1º É facultado às instituições participantes de que trata o art. 6º, por meio da convenção de que trata o art. 44, incluir outros dados e serviços no escopo do Open Finance, desde que observados os princípios, os requisitos para compartilhamento e as demais disposições desta Resolução Conjunta. (Redação do parágrafo dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

§ 1º É facultado às instituições participantes de que trata o art. 6º, por meio da convenção de que trata o art. 44, incluir outros dados e serviços no escopo do Open Banking, desde que observados os princípios, os requisitos para compartilhamento e as demais disposições desta Resolução Conjunta.

§ 2º Para fins do compartilhamento de dados sobre produtos e serviços de que trata o inciso I, alínea "b", do caput, devem ser considerados apenas os produtos e serviços disponíveis à contratação por meio dos canais de atendimento da instituição transmissora de dados, inclusive correspondentes no País.

§ 3º É necessário obter consentimento do cliente, nos termos do art. 10, para fins do compartilhamento de dados de cadastro e de transações e de serviços de que tratam os incisos I, alíneas "c" e "d", e II, do caput, bem como dos que tratam o § 1º, no caso de dados e serviços a ele relacionados.

§ 4º O compartilhamento de dados de cadastro de que trata o inciso I, alínea "c", do caput, deve abranger:

I - os dados fornecidos diretamente pelo cliente ou obtidos por meio de consulta a bancos de dados de caráter público ou privado, exceto:

a) os dados classificados como dado pessoal sensível pela legislação;

b) as notas ou pontuações de crédito; e

c) as credenciais e outras informações utilizadas com o objetivo de efetuar a autenticação do cliente; e

II - o último dado disponível, com discriminação da data de sua obtenção.

§ 5º O compartilhamento de dados de transações de que trata o inciso I, alínea "d", do caput:

I - diz respeito a dados relacionados com o cliente:

a) sobre produtos e serviços contratados ou distribuídos por meio da instituição transmissora de dados; e

b) acessíveis por meio dos seus canais de atendimento eletrônicos, inclusive no tocante aos limites de crédito eventualmente contratados; e

II - abrange, no mínimo, os dados e o histórico de transações realizadas nos últimos doze meses com relação aos produtos e serviços com contratos vigentes nesse período.

§ 6º Para fins do compartilhamento de dados sobre canais de atendimento, produtos e serviços de que trata o inciso I, alíneas "a" e "b", do caput, a confederação constituída por cooperativas centrais de crédito em sistema de três níveis e a cooperativa central de crédito em sistema de dois níveis podem incumbir-se da disponibilização das informações de forma agregada de suas filiadas, mantida a responsabilidade de cada filiada sobre as informações compartilhadas a ela relacionadas. (Parágrafo acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Seção II Da Participação no Open Finance (Redação dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Nota: Redação Anterior:
Seção II Da Participação no Open Banking

Art. 6º São participantes do Open Finance: (Redação do caput dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Nota: Redação Anterior:
Art. 6º São participantes do Open Banking:

I - no caso do compartilhamento de dados de que trata o art. 5º, inciso I:

a) de forma obrigatória, as instituições enquadradas nos Segmentos 1 (S1) e 2 (S2), de que trata a Resolução nº 4.553, de 30 de janeiro de 2017 ; e

b) de forma voluntária, as demais instituições de que trata o art. 1º;

II - no caso do compartilhamento de serviço de iniciação de transação de pagamento de que trata o art. 5º, inciso II, alínea "a", de forma obrigatória:

a) as instituições detentoras de conta; e

b) as instituições iniciadoras de transação de pagamento; e

III - no caso de compartilhamento de serviço de encaminhamento de proposta de operação de crédito de que trata o art. 5º, inciso II, alínea "b", de forma obrigatória, as instituições de que trata o art. 1º que tenham firmado contrato de correspondente no País, cujo objeto contemple a atividade de atendimento para fins de recepção e encaminhamento de propostas de operações de crédito e de arrendamento mercantil, por meio de plataforma eletrônica, concedidas pela instituição contratante, bem como outros serviços prestados para o acompanhamento da operação, conforme previsto na regulamentação sobre contratação de correspondentes no País. (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Nota: Redação Anterior:
III - no caso de compartilhamento de serviço de encaminhamento de proposta de crédito de que trata o art. 5º, inciso II, alínea "b", de forma obrigatória, as instituições de que trata o art. 1º que tenham firmado contrato de correspondente no País, cujo objeto contemple a atividade de atendimento prevista no art. 8º, inciso V, da Resolução nº 3.954, de 24 de fevereiro de 2011, por meio eletrônico. (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021). Nota: Redação Anterior:
III - no caso de compartilhamento de serviço de encaminhamento de proposta de crédito de que trata o art. 5º, inciso II, alínea "b", de forma obrigatória, as instituições de que trata o art. 1º que tenham firmado contrato de correspondente no País, cujo objeto contemple a atividade de atendimento prevista no art. 8º, inciso V, da Resolução nº 3.954, de 24 de fevereiro de 2011 , por meio eletrônico, observado o prazo de implementação mencionado no art. 55, inciso III.

§ 1º É obrigatório o compartilhamento dos dados e dos serviços: (Redação dada pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021).

Nota: Redação Anterior:
§ 1º É obrigatório o compartilhamento dos dados e dos serviços, observados os prazos de implementação mencionados no art. 55:

I - em formato para o acesso pelo público, conforme disposto no art. 23, § 2º, para os dados do art. 5º, inciso I, alíneas "a" e "b"; e

II - entre as instituições participantes de cada caso mencionado nos incisos I e II do caput para os dados do art. 5º, incisos I, alíneas "c" e "d", e II, alínea "a".

§ 2º Excetuam-se da exigência de participação obrigatória de que trata o inciso I, alínea "a", do caput, as instituições integrantes de conglomerados prudenciais que não prestem os serviços a que se referem os dados de transações de clientes previstos no art. 5º, inciso I, alínea "d".

§ 3º A participação voluntária de que trata o inciso I, alínea "b", do caput, pressupõe a disponibilidade de interface dedicada de que trata o art. 23 na condição de instituição transmissora de dados.

§ 4º Excetuam-se das exigências de participação obrigatória de que tratam os incisos I a III do caput as instituições assim dispensadas pelo Banco Central do Brasil, com base em critérios relacionados à quantidade e à natureza de clientes, aos tipos de serviço contratados e distribuídos, bem como aos canais de acesso eletrônicos disponíveis e utilizados pelos clientes, observados os objetivos e princípios constantes desta Resolução Conjunta. (Parágrafo acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Art. 7º As instituições participantes devem registrar sua participação no repositório de participantes mantido por meio de sistema eletrônico, mencionado no art. 44, inciso VI.

CAPÍTULO IV

DOS REQUISITOS PARA COMPARTILHAMENTO

Seção I

Da Solicitação de Compartilhamento

Art. 8º A solicitação de compartilhamento de dados de cadastro e de transações e de serviços de que trata o art. 5º, incisos I, alíneas "c" e "d", e inciso II, alínea "a", compreende as etapas do consentimento, autenticação e confirmação.

Parágrafo único. As etapas de que trata o caput devem:

I - ser efetuadas com segurança, agilidade, precisão e conveniência, por meio da interface dedicada de que trata o art. 23;

II - ser realizadas exclusivamente por canais eletrônicos;

III - ocorrer de forma sucessiva e ininterrupta; e

IV - ter duração compatível com os seus objetivos e nível de complexidade.

Art. 9º As instituições participantes devem assegurar a prestação de informações aos clientes de forma clara, objetiva e adequada sobre:

I - as etapas de que trata o art. 8º, caput;

II - os procedimentos associados às etapas de que trata o inciso I; e

III - o redirecionamento para outros ambientes ou sistemas eletrônicos, inclusive de outras instituições, quando aplicável.

Seção II

Do Consentimento

Art. 10. A instituição receptora de dados ou iniciadora de transação de pagamento, previamente ao compartilhamento de que trata esta Resolução Conjunta, deve identificar o cliente e obter o seu consentimento.

§ 1º O consentimento mencionado no caput deve:

I - ser solicitado por meio de linguagem clara, objetiva e adequada;

II - referir-se a finalidades determinadas;

III - ter prazo de validade compatível com as finalidades de que trata o inciso II, limitado a doze meses;

IV - discriminar a instituição transmissora de dados ou detentora de conta, conforme o caso;

V - discriminar os dados ou serviços que serão objeto de compartilhamento, observada a faculdade de agrupamento de que trata o art. 11;

VI - incluir a identificação do cliente; e

VII - ser obtido após a data de entrada em vigor desta Resolução Conjunta, com observância do cronograma de implementação estabelecido pelo Banco Central do Brasil. (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021).

Nota: Redação Anterior:
VII - ser obtido após a data de entrada em vigor desta Resolução Conjunta, com observância dos prazos estabelecidos no art. 55.

§ 2º A alteração das condições de que tratam os incisos II a V do § 1º requer a obtenção de novo consentimento do cliente.

§ 3º É vedado obter o consentimento do cliente:

I - por meio de contrato de adesão;

II - por meio de formulário com opção de aceite previamente preenchida; ou

III - de forma presumida, sem manifestação ativa pelo cliente.

§ 4º É vedada a prestação de informação para a instituição transmissora de dados sobre as finalidades de que trata o § 1º, inciso II.

§ 5º A vedação de que trata o § 4º não se aplica aos contratos de parceria de que trata o art. 36 ou a outros casos previstos na legislação ou regulamentação em vigor.

§ 6º No caso de transações de pagamento sucessivas, o cliente, a seu critério, poderá definir prazo superior ao estabelecido no § 1º, inciso III, podendo condicionar o prazo de validade do consentimento ao encerramento das referidas transações.

Art. 11. Os dados objeto de compartilhamento podem ser apresentados ao cliente de forma agrupada, com base em critérios a serem estabelecidos na convenção de que trata o art. 44.

Parágrafo único. Para fins do disposto no caput, o agrupamento de dados deve:

I - ser identificado de forma clara, objetiva e adequada;

II - possibilitar a discriminação dos dados pelo cliente em nível granular; e

III - guardar relação com os dados representados em nível granular.

Art. 12. A instituição receptora de dados deve assegurar que os dados objeto do compartilhamento sejam pertinentes às finalidades determinadas de que trata o art. 10, § 1º, inciso II.

Art. 13. Para o compartilhamento de serviço de iniciação de transação de pagamento de que trata o art. 5º, inciso II, alínea "a", além dos requisitos previstos no § 1º do art. 10, o consentimento deve contemplar, no mínimo, as seguintes informações:

I - a forma de pagamento;

II - o valor da transação de pagamento;

III - as informações referentes ao recebedor da transação de pagamento; e

IV - a data de pagamento.

§ 1º No caso de transações de pagamento sucessivas, o consentimento deve ainda dispor sobre a periodicidade das transações e o prazo, observado o disposto no art. 10, § 6º.

§ 2º O disposto no inciso II do caput é facultativo nos casos de transações de pagamento sucessivas cujo valor pactuado seja variável.

§ 3º As informações exigidas no caput devem ser aquelas estritamente necessárias para a execução da transação de pagamento e compatíveis com o regulamento ou instrumento que discipline o funcionamento do arranjo de pagamento referente à respectiva transação de pagamento.

§ 4º A instituição iniciadora de transação de pagamento deve solicitar o consentimento do cliente a cada nova transação de pagamento, exceto em caso de transações de pagamento sucessivas, quando o prazo de validade do consentimento observará o disposto no art. 10, § 6º.

Art. 14. As instituições participantes devem prestar ao cliente, no mínimo, as seguintes informações sobre os consentimentos, com prazos válidos, relativos aos compartilhamentos nos quais estejam envolvidas:

I - a identificação das instituições participantes;

II - os dados e serviços objeto de compartilhamento;

III - o período de validade do consentimento;

IV - a data de requisição do consentimento; e

V - a finalidade do consentimento, no caso de instituição receptora de dados ou iniciadora de transação de pagamento.

Art. 15. As instituições participantes envolvidas no compartilhamento de dados ou serviços devem assegurar a possibilidade da revogação do respectivo consentimento, a qualquer tempo, mediante solicitação do cliente, por meio de procedimento seguro, ágil, preciso e conveniente, observado o disposto na legislação e regulamentação em vigor.

§ 1º Para os fins do disposto no caput, as instituições devem disponibilizar ao cliente a opção da revogação de consentimento ao menos pelo mesmo canal de atendimento no qual foi concedido, caso ainda existente.

§ 2º É vedado à instituição transmissora de dados ou detentora de conta propor ao cliente a revogação de consentimento, exceto em caso de suspeita justificada de fraude.

§ 3º A revogação de que trata o caput deve ser efetuada com observância dos seguintes prazos:

I - em até um dia, contado a partir da solicitação do cliente, no caso do compartilhamento de serviço de iniciação de transação de pagamento de que trata o art. 5º, inciso II, alínea "a"; e

II - de forma imediata, para os demais casos.

§ 4º A efetuação da revogação, na forma do § 3º, deve ser informada imediatamente para as demais instituições participantes envolvidas no compartilhamento.

Seção III

Da Autenticação

Art. 16. A instituição transmissora de dados ou detentora de conta deve adotar procedimentos e controles para autenticação:

I - do cliente; e

II - da instituição receptora de dados ou iniciadora de transação de pagamento.

Parágrafo único. Os procedimentos e controles de que trata o caput devem:

I - no caso da autenticação de cliente, ser realizados uma única vez a cada consentimento; e

II - no caso da autenticação de instituição receptora de dados ou iniciadora de transação de pagamento, ser realizados uma única vez a cada chamada de interface.

Art. 17. Os procedimentos e controles para autenticação de cliente devem ser compatíveis com os aplicáveis ao acesso, pelos clientes, a canais de atendimento eletrônicos disponibilizados pela instituição, levando-se em consideração:

I - o nível de risco;

II - o tipo de dado ou serviço objeto de compartilhamento; e

III - o canal de atendimento.

§ 1º A compatibilidade de que trata o caput abrange, inclusive:

I - os fatores de autenticação;

II - a quantidade de etapas; e

III - a duração do procedimento.

§ 2º A convenção de que trata o art. 44 pode propor recomendações quanto a padrões relacionados aos procedimentos e controles de que trata o caput, com vistas à observância por parte das instituições participantes do disposto no art. 8º, parágrafo único.

Art. 18. Os procedimentos e controles para autenticação de que tratam os arts. 16 e 17 devem ser compatíveis com a política de segurança cibernética da instituição, prevista na regulamentação em vigor.

Art. 19. É admitida a contratação de serviços para execução dos procedimentos e controles para autenticação de que tratam os arts. 16 e 17, com observância do disposto no:

I - Capítulo III da Circular nº 3.909, de 16 de agosto de 2018 , e, no que couber, nos Capítulos IV e V da referida Circular, no caso de instituições de pagamento; e

II - Capítulo III da Resolução nº 4.658, de 26 de abril de 2018 , e, no que couber, nos Capítulos IV e V da referida Resolução, no caso de instituições financeiras e demais instituições autorizadas a funcionar pelo Banco Central do Brasil.

§ 1º No caso da contratação de que trata o caput, a responsabilidade para os fins desta Resolução Conjunta permanece com a instituição transmissora de dados ou detentora de conta.

§ 2º É vedada a contratação para fins da autenticação de instituição de que trata o art. 16, inciso II, da própria instituição receptora de dados ou iniciadora de transação de pagamento.

Seção IV

Da Confirmação de Compartilhamento

Art. 20. A instituição transmissora de dados ou detentora de conta deve solicitar confirmação de compartilhamento ao cliente.

Parágrafo único. O procedimento de confirmação deve:

I - ocorrer simultaneamente aos procedimentos para autenticação de que trata o art. 16; e

II - assegurar ao cliente a possibilidade de discriminar o teor do compartilhamento, observado o escopo de dados e serviços e a faculdade de agrupamento de que tratam os arts. 5º e 11, bem como os dados ou serviços discriminados na etapa de consentimento de que trata o art. 10, § 1º, inciso V.

Art. 21. No caso do compartilhamento de dados de cadastro e de transações de que trata o art. 5º, inciso I, alíneas "c" e "d", devem ser discriminadas na confirmação, no mínimo, as seguintes informações:

I - identificação da instituição receptora de dados;

II - período de validade do consentimento; e

III - dados que serão objeto de compartilhamento, com observância do escopo de dados e serviços e da faculdade de agrupamento de que tratam os arts. 5º e 11, bem como os dados ou serviços discriminados na etapa de consentimento de que trata o art. 10, § 1º, inciso V.

Art. 22. No caso do compartilhamento de serviço de iniciação de transação de pagamento de que trata o art. 5º, inciso II, alínea "a", devem ser discriminadas na confirmação, no mínimo, as seguintes informações:

I - valor da transação de pagamento;

II - informações referentes ao recebedor da transação de pagamento; e

III - data de pagamento.

§ 1º No caso de transações de pagamento sucessivas, a confirmação deve dispor ainda sobre a periodicidade das transações e o prazo, observado o disposto no art. 10, § 1º, inciso III, e § 6º.

§ 2º O disposto no inciso I do caput é facultativo nos casos de transações de pagamento sucessivas cujo valor pactuado seja variável.

§ 3º As informações exigidas no caput devem ser compatíveis com o regulamento ou instrumento que discipline o funcionamento do arranjo de pagamento referente à respectiva transação de pagamento.

Seção V

Das Interfaces Dedicadas ao Compartilhamento

Art. 23. As instituições participantes devem disponibilizar interfaces dedicadas ao compartilhamento de dados e serviços de que trata esta Resolução Conjunta, padronizadas de acordo com os padrões estabelecidos pela convenção de que trata o art. 44.

§ 1º Os dados e serviços mencionados no caput devem ser representados em meio digital e processáveis por máquina, em formato livre de restrição quanto à sua utilização.

§ 2º No caso das interfaces para o compartilhamento dos dados de que trata o art. 5º, inciso I, alíneas "a" e "b", as instituições participantes devem assegurar o seu acesso gratuito ao público, com possibilidade de definição, com base em parâmetros justificados e equitativos, por meio da convenção de que trata o art. 44, de limites de chamadas de interface.

§ 3º A confederação constituída por cooperativas centrais de crédito em sistema de três níveis e a cooperativa central de crédito em sistema de dois níveis podem incumbir-se, em relação às suas filiadas, da disponibilização da interface de que trata o caput.

Art. 24. As instituições devem fornecer às demais participantes informações a respeito das interfaces dedicadas de forma clara, adequada à natureza do compartilhamento e acessível, inclusive com relação ao controle de versões e ao suporte à conexão.

Art. 25. Os casos de indisponibilidade que gerem situação de crise na instituição devem ser comunicados tempestivamente ao Banco Central do Brasil. (Redação do artigo dada pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021).

Nota: Redação Anterior:

Art. 25. A instituição transmissora de dados ou detentora de conta deve disponibilizar alternativa para o compartilhamento às demais instituições participantes no caso de indisponibilidade das interfaces dedicadas.

§ 1º Os casos de indisponibilidade que gerem situação de crise na instituição devem ser comunicados tempestivamente ao Banco Central do Brasil.

§ 2º Para os casos de indisponibilidade das interfaces e utilização de alternativas para o compartilhamento, a instituição transmissora de dados ou detentora de conta deve:

I - garantir que a instituição receptora de dados ou iniciadora de transação de pagamento não tenha acesso a dados ou serviços distintos dos consentidos pelo cliente; e

II - manter registro de acesso e dos dados e serviços acessados por meio da alternativa de que trata o caput.

Seção VI

Disposições Gerais

Art. 26. A instituição transmissora de dados ou detentora de conta deve prestar informações tempestivas à instituição receptora de dados ou iniciadora de transação de pagamento acerca da efetivação da solicitação de compartilhamento ou, se for o caso, dos motivos que impossibilitarem o compartilhamento.

§ 1º A convenção de que trata o art. 44 deverá padronizar os motivos de impossibilidade de compartilhamento de que trata o caput.

§ 2º No caso do compartilhamento do serviço de iniciação de transação de pagamento, a padronização dos motivos de que trata o § 1º deve ser compatível com o regulamento ou instrumento que discipline o funcionamento do arranjo de pagamento referente à respectiva transação de pagamento.

§ 3º A impossibilidade de compartilhamento de que trata o caput deve ser devidamente documentada, acompanhada dos motivos e evidências que a fundamentaram.

Art. 27. A instituição receptora de dados ou iniciadora de transação de pagamento deve comunicar ao cliente a efetivação da solicitação de compartilhamento.

§ 1º A comunicação de que trata o caput deve, no mínimo:

I - discriminar as finalidades determinadas de que trata o art. 10, § 1º, inciso II, bem como os dados e serviços objeto de compartilhamento; e

II - ser realizada por canais de atendimento eletrônicos.

§ 2º No caso do compartilhamento de serviço de iniciação de transação de pagamento de que trata o art. 5º, inciso II, alínea "a", a comunicação de que trata o caput deve ainda observar as regras do arranjo de pagamento referente à respectiva transação de pagamento.

Art. 28. É vedado às instituições participantes a criação de obstáculos ao compartilhamento, tais como requisição de autorizações adicionais do cliente, validação adicional do consentimento dado pelo cliente à instituição receptora de dados ou iniciadora de transação de pagamento, ou instruções de acesso complexas.

Art. 29. É vedado às instituições detentoras de contas restringir, limitar ou impedir a iniciação de transação de pagamento de que trata o art. 5º, inciso II, alínea "a", bem como discriminá-la em relação às transações executadas diretamente pelo cliente por meio dos seus canais de atendimento.

Art. 30. As instituições participantes devem disponibilizar canal de atendimento para a prestação de suporte técnico relacionado à solicitação de compartilhamento às demais instituições participantes, inclusive no que diz respeito:

I - às etapas de compartilhamento de dados ou serviços;

II - à conectividade com as interfaces dedicadas ao compartilhamento;

III - à indisponibilidade das interfaces dedicadas; e..... (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021).

Nota: Redação Anterior:
III - à indisponibilidade das interfaces dedicadas e à alternativa para compartilhamento; e

IV - à confiabilidade, à integridade e à disponibilidade dos dados compartilhados.

Parágrafo único. As instituições participantes devem registrar no repositório de participantes mencionado no art. 44, inciso VI, informações sobre a forma de acesso ao canal de atendimento de que trata o caput.

CAPÍTULO V

DAS RESPONSABILIDADES

Seção I

Da Responsabilidade pelo Compartilhamento

Art. 31. A instituição participante é responsável pela confiabilidade, pela integridade, pela disponibilidade, pela segurança e pelo sigilo em relação ao compartilhamento de dados e serviços em que esteja envolvida, bem como pelo cumprimento da legislação e da regulamentação em vigor.

Seção II

Do Diretor Responsável pelo Compartilhamento

Art. 32. As instituições participantes e as instituições contratantes da parceria de que trata o art. 36 devem designar diretor responsável pelo compartilhamento de que trata esta Resolução Conjunta.

Parágrafo único. O diretor mencionado no caput pode desempenhar outras funções na instituição, desde que não haja conflito de interesses.

Art. 33. O diretor responsável pelo compartilhamento de que trata o art. 32 deve elaborar relatório semestral referente ao compartilhamento de dados e serviços em que a instituição esteve envolvida, nas datas-bases de 30 de junho e 31 de dezembro.

§ 1º O relatório de que trata o caput deve abordar, no mínimo:

I - as demandas de clientes a respeito do compartilhamento registradas no período, segregando as decorrentes de fraudes das demais, com as providências adotadas para o seu tratamento;

II - as demandas do canal de atendimento para a prestação de suporte técnico, segregando as relativas a indisponibilidade das interfaces dedicadas;

III - os incidentes relacionados com a violação da segurança dos dados e informações sobre serviços relacionados ao compartilhamento, bem como as medidas adotadas para a sua prevenção e solução de que tratam os arts. 38, § 3º, e 48, inciso III, se for o caso;

IV - os resultados dos testes de continuidade de negócios de que trata o art. 48, inciso IV, considerando os cenários de indisponibilidade das interfaces utilizadas para o compartilhamento de que trata esta Resolução Conjunta; e

V - a quantidade de chamadas de interface no período, segregadas por cliente e por tipo de dado ou serviço compartilhado, bem como os indicadores referentes ao desempenho das interfaces usadas para o compartilhamento de que trata o art. 41.

§ 2º O relatório mencionado no caput deve ser:

I - submetido ao comitê de risco da instituição, quando existente; e

II - apresentado ao conselho de administração ou, na sua inexistência, à diretoria da instituição até noventa dias após a respectiva data-base.

Seção III

Da Responsabilidade pelo Encaminhamento de Demandas

Art. 34. As instituições de que trata o art. 1º são responsáveis por tratar as demandas encaminhadas por seus clientes a respeito do compartilhamento de dados e serviços em que estiveram envolvidas.

Parágrafo único. A exigência de que trata o caput também se aplica ao tratamento de demandas do público quanto à interface de que trata o art. 23, § 2º.

Art. 35. As instituições de que trata o art. 1º devem informar aos seus clientes que as demandas a respeito do compartilhamento de dados e serviços podem ser apresentadas por meio:

I - dos canais de atendimento da instituição; e

II - dos canais para encaminhamento de demandas de que trata o art. 44, inciso III, no caso de instituições participantes.

Parágrafo único. As instituições de que trata o art. 1º devem prestar informações aos seus clientes a respeito das formas de acesso aos canais de que trata do caput.

Seção IV

Da Contratação de Parceria

Art. 36 . É admitida a contratação de parceria por parte das instituições de que trata o art. 1º com entidades não autorizadas a funcionar pelo Banco Central do Brasil com o objetivo de compartilhar dados de que trata o art. 5º, inciso I, alíneas "c" e "d", bem como de outros dados e serviços que venham a ser incluídos no escopo do Open Finance nos termos do art. 5º, § 1º. (Redação do caput dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Nota: Redação Anterior:
Art. 36. É admitida a contratação de parceria por parte das instituições de que trata o art. 1º com entidades não autorizadas a funcionar pelo Banco Central do Brasil com o objetivo de compartilhar dados de que trata o art. 5º, inciso I, alíneas "c" e "d", bem como de outros dados e serviços que venham a ser incluídos no escopo do Open Banking nos termos do art. 5º, § 1º.

§ 1º O compartilhamento de que trata o caput pressupõe prévio e expresso consentimento do cliente.

§ 2º As instituições devem assegurar que suas políticas e estratégias para gerenciamento de riscos previstas na regulamentação em vigor contemplem, inclusive, os critérios de decisão para a contratação de parcerias com o objetivo de que trata o caput.

§ 3º No caso da contratação de parcerias em que se preveja o compartilhamento com entidades localizadas no exterior, as políticas e estratégias de que trata o § 2º devem contemplar os parâmetros utilizados pela instituição para a avaliação dos países e da região em cada país para onde os dados dos clientes poderão ser compartilhados, com observância da legislação vigente.

§ 4º As políticas e as estratégias de que trata o § 2º devem ser aprovadas pelo conselho de administração ou, na sua inexistência, pela diretoria da instituição.

§ 5º É vedada a contratação de parcerias de que trata o caput:

I - entre instituições autorizadas a funcionar pelo Banco Central do Brasil; e

II - com o objetivo de que o parceiro contratado atue em nome da instituição contratante para fins de compartilhamento.

§ 6º A contratação de parceria de que trata o caput deve ser precedida da emissão de parecer favorável por parte do diretor de que trata o art. 32, com observância das exigências de que trata o art. 37.

Art. 37. As instituições de que trata o art. 1º, previamente à contratação de que trata o art. 36, devem adotar procedimentos que contemplem:

I - a adoção de práticas de governança corporativa e de gestão proporcionais aos riscos a que estejam expostas; e

II - a verificação da capacidade do potencial parceiro de assegurar:

a) o cumprimento da legislação e da regulamentação em vigor;

b) o acesso da instituição contratante a informações sobre a efetividade da transferência de dados e de informações sobre serviços compartilhados;

c) a confidencialidade, a integridade, a disponibilidade e a recuperação de dados e de informações sobre serviços compartilhados;

d) a aderência a certificações exigidas pela instituição contratante para a execução do compartilhamento, inclusive as estabelecidas nos termos do inciso I, alínea "b", do art. 44;

e) o acesso da instituição contratante aos relatórios elaborados por empresa de auditoria especializada independente, contratada pelo potencial parceiro, relativos aos procedimentos e aos controles utilizados no compartilhamento;

f) o provimento de informações e a existência de recursos de gestão adequados ao monitoramento do compartilhamento; e

g) a qualidade dos controles de acesso voltados à proteção dos dados e de informações sobre serviços compartilhados.

§ 1º Os procedimentos de que trata o caput, inclusive no que diz respeito às informações relativas à verificação mencionada no inciso II, devem ser documentados e mantidos atualizados.

§ 2º Os recursos de gestão de que trata a alínea "f" do inciso II do caput devem contemplar o acesso a:

I - registros de consentimento dos clientes armazenados pelo potencial parceiro; e

II - confirmações de que os dados ou informações sobre serviços compartilhados pela instituição contratante foram recebidos pelo potencial parceiro.

§ 3º A instituição contratante deve possuir recursos e competências necessários para a adequada gestão da parceria, inclusive a análise de informações e uso dos recursos providos nos termos da alínea "f" do inciso II do caput.

§ 4º Os procedimentos de que trata o caput devem contemplar a avaliação da legislação e da regulamentação dos países e da região em cada país para onde os dados ou informações sobre serviços de clientes poderão ser compartilhados, observados os parâmetros mencionados no art. 36, § 3º, caso a contratação contemple o compartilhamento para o exterior, bem como o disposto na legislação vigente.

Art. 38. O contrato de que trata o art. 36 deve prever, no mínimo:

I - o objeto do contrato, que deve contemplar o compartilhamento de que trata o art. 36;

II - os papéis e as responsabilidades das partes contratantes;

III - a indicação dos países e da região em cada país para onde os dados ou informações sobre serviços de clientes poderão ser compartilhados;

IV - a adoção de medidas de segurança para a recepção e o armazenamento pelo parceiro contratado dos dados ou informações sobre serviços compartilhados de clientes;

V - o acesso da instituição contratante a:

a) informações fornecidas pelo parceiro contratado, visando a verificar o cumprimento do disposto nos incisos III e IV;

b) informações relativas às certificações e aos relatórios de auditoria especializada, citados no art. 37, inciso II, alíneas "d" e "e"; e

c) informações e recursos de gestão adequados ao monitoramento do compartilhamento, citado no art. 37, inciso II, alínea "f";

VI - a obrigação de o parceiro contratado notificar a instituição contratante sobre a subcontratação de serviços relativos ao compartilhamento;

VII - a permissão de acesso do Banco Central do Brasil aos contratos firmados para o compartilhamento, à documentação e às informações referentes aos dados ou informações sobre serviços compartilhados, bem como aos códigos de acesso a tais informações;

VIII - a adoção de medidas pela instituição contratante, em decorrência de determinação do Banco Central do Brasil;

IX - a observância dos padrões tecnológicos e de procedimentos operacionais estabelecidos no inciso I, alínea "b", do art. 44;

X - a obrigação de o parceiro contratado manter a instituição contratante permanentemente informada sobre eventuais limitações que possam afetar o compartilhamento ou o cumprimento da legislação e da regulamentação em vigor; e

XI - os procedimentos para o tratamento de demandas encaminhadas pelo cliente de que trata o art. 34.

§ 1º É vedado incluir, no objeto do contrato de que trata o inciso I do caput:

I - a prestação de serviços, pelo parceiro contratado, de atividades de atendimento a clientes em nome da instituição contratante, previstas na regulamentação que dispõe sobre correspondentes no País; e

II - o compartilhamento de dados de transações de clientes que trata o art. 5º, inciso I, alínea "d", relativos a produtos e serviços contratados em outras instituições.

§ 2º Os papéis e responsabilidades citados no inciso II do caput devem contemplar o dever do parceiro contratado e da instituição contratante de informar o cliente que o parceiro não atua em nome da instituição, para fins do compartilhamento.

§ 3º A obrigação de que trata o inciso X do caput deve contemplar a comunicação de incidentes de violação da segurança dos dados e informações sobre serviços relacionados ao compartilhamento e as medidas adotadas pelo parceiro contratado para a sua prevenção e solução.

§ 4º O contrato mencionado no caput deve prever, para o caso da decretação de regime de resolução da instituição contratante pelo Banco Central do Brasil:

I - a obrigação de o parceiro contratado conceder pleno e irrestrito acesso do responsável pelo regime de resolução aos contratos, aos acordos, à documentação e às informações referentes ao compartilhamento, bem como aos códigos de acesso, citados no inciso VII do caput, que estejam em poder do parceiro; e

II - a obrigação de notificação prévia do responsável pelo regime de resolução sobre a intenção de o parceiro contratado interromper o compartilhamento, com pelo menos trinta dias de antecedência da data prevista para a interrupção, observado que:

a) o parceiro contratado obriga-se a aceitar eventual pedido de prazo adicional de trinta dias para a interrupção do compartilhamento, feito pelo responsável pelo regime de resolução; e

b) a notificação prévia deverá ocorrer também na situação em que a interrupção for motivada por inadimplência da contratante.

Art. 39. A instituição contratante é responsável pela confiabilidade, pela disponibilidade, pela segurança e pelo sigilo do compartilhamento de que trata o art. 36, bem como pelo cumprimento da legislação e da regulamentação em vigor.

Seção V

Dos Mecanismos de Acompanhamento e Controle

Art. 40. As instituições de que trata o art. 1º devem instituir mecanismos de acompanhamento e de controle com vistas a assegurar a confiabilidade, a disponibilidade, a integridade, a segurança e o sigilo de que tratam os arts. 31 e 39, bem como a implementação e a efetividade dos requisitos de que trata esta Resolução Conjunta, incluindo:

I - a definição de processos, testes e trilhas de auditoria;

II - a definição de métricas e indicadores compatíveis; e

III - a identificação e a correção de eventuais deficiências.

§ 1º A definição dos mecanismos de que trata o caput deve contemplar:

I - os registros de consentimento, de autenticação, de confirmação e de revogação do consentimento para o compartilhamento de que trata esta Resolução Conjunta, no caso de instituições participantes;

II - as informações a respeito dos dados e serviços compartilhados, inclusive das credenciais de identificação dos clientes;

III - as notificações recebidas sobre a subcontratação de que trata o art. 38, inciso VI, quando houver; e

IV - as comunicações recebidas sobre os incidentes de que trata o art. 38, § 3º, quando houver.

§ 2º Os mecanismos de que trata o caput devem:

I - ser submetidos a testes periódicos pela auditoria interna, quando aplicável, compatíveis com os controles internos da instituição;

II - ser compatíveis com a política de segurança cibernética da instituição, prevista na regulamentação em vigor; e

III - assegurar que as demais instituições envolvidas no compartilhamento não tenham acesso às credenciais utilizadas pelo cliente para sua identificação e autenticação.

Art. 41. Os mecanismos de acompanhamento e controle da instituição devem abranger indicadores relativos ao desempenho das interfaces usadas para o compartilhamento.

Parágrafo único. A convenção de que trata o art. 44 poderá definir indicadores complementares relativos ao desempenho das interfaces de que trata o caput, bem como mecanismos de transparência e divulgação de tais indicadores ao público.

Seção VI

Do Ressarcimento de Despesas entre Instituições Participantes

Art. 42. Admite-se o ressarcimento de despesas entre instituições participantes decorrentes do compartilhamento de dados e serviços de que trata esta Resolução Conjunta, observadas as vedações à cobrança de que trata o art. 43.

Parágrafo único. Para efeitos do disposto no caput, com relação aos dados e serviços de que trata o art. 5º, incisos I, alíneas "c" e "d", e II, alínea "a", as instituições participantes devem assegurar:

I - o tratamento equitativo e o acesso não discriminatório de instituições participantes, o que pressupõe, entre outros, o acesso aos dados atualizados, sem imposição de janelas de acesso e sem prioridade entre participantes; e

II - a definição, por meio da convenção de que trata o art. 44, com base em parâmetros justificados, aplicáveis igualmente a todas as instituições participantes, de:

a) limites de chamadas de interface por cliente, por instituição, por dia e por assinatura de método, no caso do compartilhamento de dados de que trata o art. 5º, inciso I, alíneas "c" e "d"; e

b) valores e forma de cobrança entre participantes.

Art. 43. É vedado o ressarcimento de despesas, entre as instituições participantes:

I - por quaisquer chamadas de interface com relação aos serviços de iniciação de transação de pagamento de que trata o inciso II, alínea "a", desse artigo;

II - por, no mínimo:

a) duas chamadas de interface ao mês, por instituição participante, por cliente e por assinatura de método, acerca dos dados de cadastro de que trata o art. 5º, inciso I, alínea "c"; e

b) cento e vinte chamadas de interface ao mês, por instituição participante e por cliente, no que se refere aos dados de transações de que trata o art. 5º, inciso I, alínea "d".

CAPÍTULO VI

DA CONVENÇÃO

Art. 44. As instituições participantes devem celebrar convenção, com observância das disposições desta Resolução Conjunta, sobre aspectos relativos:

I - aos padrões tecnológicos e aos procedimentos operacionais, que abrangem, no mínimo:

a) a implementação de interfaces dedicadas de que trata o art. 23, inclusive:

1. o desenho da interface;

2. o protocolo para transmissão de dados;

3. o formato para troca de dados; e

4. os controles de acesso às interfaces e aos dados;

b) os padrões e certificados de segurança; e

c) a solicitação de compartilhamento de dados e serviços, de forma a harmonizar:

1. as informações apresentadas aos clientes;

2. a forma de interação com os clientes; e

3. a duração das etapas;

II - à padronização do leiaute dos dados e serviços, abrangendo, inclusive:

a) o dicionário de dados; e

b) o agrupamento de dados de que trata o art. 11;

III - aos canais para encaminhamento de demandas de clientes;

IV - aos procedimentos e aos mecanismos para o tratamento e a resolução de disputas entre as instituições participantes, inclusive as decorrentes de demandas encaminhadas por meio dos canais de que trata o inciso III;

V - ao ressarcimento entre os participantes;

VI - ao repositório de participantes;

VII - aos direitos e às obrigações dos participantes; (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Nota: Redação Anterior:
VII - aos direitos e às obrigações dos participantes; e

(Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022):

VIII - aos procedimentos e aos mecanismos para monitoramento dos participantes quanto ao cumprimento de:

a) obrigações de que trata o inciso VII; e

b) outras obrigações previstas em documentos elaborados no âmbito da convenção;

Nota: Redação Anterior:
VIII - aos demais aspectos considerados necessários para o cumprimento do disposto nesta Resolução Conjunta.

IX - às medidas aplicáveis aos participantes pelo eventual descumprimento das obrigações previstas em documentos elaborados no âmbito da convenção de que trata o inciso VIII e aos procedimentos para aplicação de tais medidas; (Inciso acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

X - às políticas e aos procedimentos de controles internos, de gestão de riscos, de auditoria e de transparência referentes aos serviços prestados aos participantes no âmbito da convenção; (Inciso acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

XI - à política de governança, contemplando as responsabilidades, as diretrizes e as atribuições referentes aos serviços prestados aos participantes no âmbito da convenção; (Inciso acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

XII - às políticas e aos procedimentos de comunicação à sociedade acerca do processo de implementação do Open Finance, das responsabilidades e das atribuições dos participantes e dos resultados alcançados; e (Inciso acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

XIII - aos demais aspectos considerados necessários para o cumprimento do disposto nesta Resolução Conjunta. (Inciso acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

§ 1º Para fins do disposto no caput, deve ser estabelecida estrutura responsável pela governança do processo, constituída de forma a garantir:

I - a representatividade e a pluralidade de instituições e segmentos participantes;

II - o acesso não discriminatório das instituições participantes;

III - a mitigação de conflitos de interesse; e

IV - a sustentabilidade do Open Finance. (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Nota: Redação Anterior:
IV - a sustentabilidade do Open Banking.

§ 2º As informações sobre o padrão para implementação das interfaces dedicadas de que trata o inciso I, alínea "a", do caput, inclusive os controles de versionamentos, devem ser mantidas atualizadas e acessíveis às instituições participantes.

§ 3º As informações de que trata o § 2º devem ser mantidas atualizadas e acessíveis ao público, no que diz respeito às interfaces de que trata o art. 23, § 2º.

(Parágrafo acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022):

§ 4º Os procedimentos e os mecanismos para monitoramento de que trata o inciso VIII do caput devem contemplar, no mínimo, os seguintes aspectos:

I - a adequação do uso pelos participantes dos serviços prestados no âmbito da convenção;

II - a aderência dos participantes ao conteúdo dos guias e de outros documentos técnicos e operacionais elaborados no âmbito da convenção, quando aplicável; e

III - a apuração da qualidade dos dados compartilhados pelos participantes de que trata o art. 5º, inciso

I, alíneas "a" e "b".

§ 5º Os participantes devem ser notificados quanto à necessidade de eventuais ajustes em seus procedimentos decorrentes de problemas identificados no curso da atividade de monitoramento de que trata o inciso VIII do caput, inclusive quanto a prazos para tais ajustes, de forma compatível com a criticidade e a complexidade da situação. (Parágrafo acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

§ 6º As políticas e os procedimentos de que trata os incisos X e XII do caput devem contemplar os serviços prestados aos participantes no âmbito da convenção que forem subcontratados. (Parágrafo acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

§ 7º No âmbito da convenção de que trata o caput, fica vedado o estabelecimento de quaisquer mecanismos ou sistemas que centralizem informações relativas a dados e a transações de clientes no âmbito do Open Finance, exceto quando expressamente previsto na regulamentação vigente. (Parágrafo acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Art. 45. As regras, os procedimentos e os padrões definidos na convenção de que trata o art. 44 devem ser formalizados em instrumento firmado entre as instituições participantes:

I - em nível individual;

II - por outra instituição que detenha poderes de representação da instituição mencionada no inciso I; ou

III - por meio de suas associações representativas de nível nacional.

§ 1º O instrumento que formalizar a convenção deve conter o termo inicial para a observância obrigatória dos seus dispositivos.

§ 2º As regras, os procedimentos e os padrões de que trata o caput devem ser observados de maneira uniforme pelas instituições participantes.

§ 3º O instrumento que formalizar a convenção de que trata o § 1º, bem como os eventuais termos de adesão de novos participantes, devem ser mantidos à disposição do Banco Central do Brasil.

Art. 46. O Banco Central do Brasil deverá:

I - estabelecer a estrutura inicial responsável pela governança do processo de implementação do Open Finance, com base nas diretrizes dispostas no art. 44, § 1º; e (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Nota: Redação Anterior:
I - estabelecer a estrutura inicial responsável pela governança do processo de implementação do Open Banking no País, com base nas diretrizes dispostas no art. 44, § 1º; e

II - participar do processo de elaboração da convenção de que trata o art. 44, de forma a garantir o cumprimento dos objetivos previstos no art. 3º e a observância dos princípios de que trata o art. 4º.

Parágrafo único. Para a definição de que trata o inciso I do caput, o Banco Central do Brasil deverá promover discussões entre as instituições participantes, representadas por meio de suas associações representativas de nível nacional.

Art. 47. O conteúdo da convenção de que trata o art. 44, bem como suas alterações, devem ser submetidos à aprovação do Banco Central do Brasil, nos prazos por ele estabelecidos. (Redação do artigo dada pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021).

Nota: Redação Anterior:

Art. 47. O conteúdo da convenção de que trata o art. 44 deve ser submetido à aprovação do Banco Central do Brasil, respeitados os seguintes prazos:

I - até 1º de setembro de 2020, em relação:

a) ao disposto nos incisos III, VI e VII do art. 44; e

b) aos procedimentos operacionais e aos padrões tecnológicos e de leiaute de que tratam os incisos I e II do art. 44, acerca do compartilhamento de dados sobre canais de atendimento e produtos e serviços de que trata o art. 5º, inciso I, alíneas "a" e "b", itens 1 a 5;

II - até 1º de março de 2021, em relação:

a) ao disposto no inciso IV do art. 44; e

b) aos procedimentos operacionais e aos padrões tecnológicos e de leiaute de que tratam os incisos I e II do art. 44, acerca do compartilhamento de dados de cadastro e de transações de que trata o art. 5º, inciso I, alíneas "c" e "d", itens 1 a 5, bem como sobre o ressarcimento entre os participantes relativamente ao compartilhamento desses dados;

III - até 1º de junho de 2021, em relação aos procedimentos operacionais e aos padrões tecnológicos e de leiaute de que tratam os incisos I e II do art. 44, acerca do compartilhamento de serviços de que trata o art. 5º, inciso II; e

IV - até 2 de agosto de 2021, em relação aos procedimentos operacionais e aos padrões tecnológicos e de leiaute de que tratam os incisos I e II do art. 44, acerca do:

a) compartilhamento de dados sobre produtos e serviços de que trata o art. 5º, inciso I, alínea "b", itens 6 a 10; e

b) compartilhamento de dados de transações de que trata o art. 5º, inciso I, alínea "d", itens 6 a 11, bem como sobre o ressarcimento entre os participantes relativamente ao compartilhamento desses dados.

Parágrafo único. As alterações posteriores à aprovação do conteúdo da convenção, na forma do caput, deverão ser submetidas ao Banco Central do Brasil para aprovação, na forma por ele estabelecida.

CAPÍTULO VII

DISPOSIÇÕES GERAIS

Art. 48. As instituições devem assegurar que suas políticas para gerenciamento de riscos, previstas na regulamentação em vigor, disponham, com relação à continuidade de negócios, sobre:

I - os procedimentos a serem seguidos no caso da indisponibilidade das interfaces utilizadas para o compartilhamento; (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021).

Nota: Redação Anterior:
I - os procedimentos a serem seguidos no caso da indisponibilidade das interfaces utilizadas para o compartilhamento, levando em consideração a disponibilização de alternativas para o compartilhamento de que trata o art. 25;

II - o prazo estipulado para reinício ou normalização da disponibilidade da interface de que trata o inciso I;

III - o tratamento de incidentes relacionados com a violação da segurança dos dados relacionados ao compartilhamento e as medidas tomadas para a sua prevenção e solução; e

IV - a execução de testes de continuidade de negócios, considerando os cenários de indisponibilidade das interfaces de que trata o inciso I e a avaliação dos seus resultados.

Art. 49. As instituições de que trata o art. 1º devem manter à disposição do Banco Central do Brasil pelo prazo de cinco anos:

I - as informações referentes aos consentimentos em vigor de que trata o art. 14;

II - as informações relativas à revogação do consentimento de que trata o art. 15;

(Revogado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

III - o registro de acesso de que trata o art. 25, § 2º, inciso II;

IV - a documentação de que trata o art. 26, § 3º;

V - o relatório semestral, de que trata o art. 33;

VI - o parecer técnico de que trata o art. 36, § 6º;

VII - os procedimentos relativos à verificação da capacidade do potencial parceiro de que trata o art. 37, § 1º;

VIII - os contratos de que trata o art. 38, contado o prazo referido no caput a partir da extinção do contrato;

IX - os dados, os registros e as demais informações relativas aos mecanismos de acompanhamento e de controle de que trata o art. 40; (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Nota: Redação Anterior:
IX - os dados, os registros e as demais informações relativas aos mecanismos de acompanhamento e de controle de que trata o art. 40; e

X - o instrumento e os termos de adesão de que trata o art. 45, § 3º; e (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Nota: Redação Anterior:
X - o instrumento e os termos de adesão de que trata o art. 45, § 3º.

XI - os dados, as informações e a documentação relativos ao monitoramento de que trata o inciso VIII do caput do art. 44. (Inciso acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Parágrafo único. Para fins do disposto nos incisos IX e XI do caput, o prazo deve ser contado a partir da data de implementação dos citados mecanismos. (Redação do parágrafo dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Nota: Redação Anterior:
Parágrafo único. Para fins do disposto no inciso IX do caput, o prazo deve ser contado a partir da implementação dos citados mecanismos.

CAPÍTULO VIII

DISPOSIÇÕES FINAIS

Art. 50. As instituições participantes podem realizar a agregação de dados de seus clientes compartilhados no âmbito desta Resolução Conjunta, desde que essa atividade guarde relação com o seu objeto social e seja inerente à consecução de seus objetivos.

Art. 51. O Banco Central do Brasil poderá adotar as medidas necessárias para o cumprimento do disposto nesta Resolução Conjunta, bem como estabelecer:

I - o detalhamento dos dados e serviços objeto de compartilhamento, de que trata o art. 5º;

II - os parâmetros relativos:

a) à indisponibilidade das interfaces de que trata o art. 25; e

b) ao desempenho de processos de solicitação de compartilhamento pelo cliente de que trata o art. 8º;

III - os prazos para comunicação dos casos de indisponibilidade de que trata o art. 25; (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Nota: Redação Anterior:
III - os prazos para comunicação dos casos de indisponibilidade de que trata o art. 25, § 1º;

IV - a exigência de certificações e de outros requisitos técnicos a serem requeridos das parceiras contratadas, pela instituição contratante, no compartilhamento que trata o art. 36;

V - os parâmetros complementares relativos às vedações para o ressarcimento de despesas de que trata o art. 43;

VI - a forma de participação de que trata o art. 46;

VII - a forma de submissão da convenção de que trata o art. 47;

VIII - os prazos máximos para reinício ou normalização da disponibilidade das interfaces, de que trata o art. 48, inciso II; (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021).

Nota: Redação Anterior:
VIII - os prazos máximos para reinício ou normalização da disponibilidade das interfaces, de que trata o art. 48, inciso II; e

IX - demais requisitos e procedimentos operacionais para o cumprimento desta Resolução Conjunta; (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Nota: Redação Anterior:
IX - demais requisitos e procedimentos operacionais para o cumprimento desta Resolução Conjunta; e (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021). Nota: Redação Anterior:
IX - demais requisitos e procedimentos operacionais para o cumprimento desta Resolução Conjunta.

(Inciso acrescentado pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021):

X - o cronograma de:

a) entregas de conteúdo da convenção de que trata o art. 47; e

b) implementação do Open Finance; e (Redação da alínea dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Nota: Redação Anterior:
b) implementação do Open Banking.

XI - outros aspectos necessários à implementação do Open Finance, de acordo com as competências legais do Banco Central do Brasil. (Inciso acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).

Parágrafo único. Os parâmetros relativos à indisponibilidade e ao desempenho eventualmente definidos de acordo com o caput, inciso II, devem ser compatíveis com a regulamentação vigente, inclusive com o regulamento ou instrumento que discipline o funcionamento do arranjo de pagamento referente à respectiva transação de pagamento.

Art. 52. O Banco Central do Brasil poderá vetar ou impor restrições ao compartilhamento de que trata o art. 36 desta Resolução Conjunta, quando constatar, a qualquer tempo, a inobservância do disposto nesta Resolução Conjunta, bem como a limitação à atuação do Banco Central do Brasil, estabelecendo prazo para a adequação de processos.

Art. 53. As instituições de que trata o art. 1º que, na data de entrada em vigor desta Resolução Conjunta, já tiverem contratos com entidades não autorizadas por esta Autarquia para compartilhar dados e serviços nos termos do art. 36, devem apresentar ao Banco Central do Brasil, até 3 de novembro de 2020, cronograma para adequação ao cumprimento do disposto no art. 38.

Parágrafo único. O prazo final previsto no cronograma para adequação mencionado no caput não pode ultrapassar 31 de dezembro de 2021.

Art. 54. A Resolução nº 3.919, de 25 de novembro de 2010 , passa a vigorar com as seguintes alterações:   

" Art. 1º .....

.....

§ 2º .....

I - em contas à ordem do Poder Judiciário e para a manutenção de depósitos em consignação de pagamento de que trata a Lei nº 8.951, de 13 de dezembro de 1994 ;

II - do sacado, em decorrência da emissão de boletos ou faturas de cobrança, carnês e assemelhados; e

III - pelo compartilhamento de dados de que trata a Resolução Conjunta nº 1, de 4 de maio de 2020." (NR)

" Art. 5º .....

.....

XIX - fornecimento emergencial de segunda via de cartão de crédito;

XX - leilões agrícolas; e

XXI - agregação de dados compartilhados no âmbito da Resolução Conjunta nº 1, de 2020.

....." (NR)

Art. 55. Esta Resolução Conjunta entra em vigor em 1º de junho de 2020. (Redação do artigo dada pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021).

Nota: Redação Anterior:

(Redação do artigo dada pela Resolução Conjunta BACEN/CMN Nº 2 DE 27/11/2020):

Art. 55 . Esta Resolução Conjunta entra em vigor em 1º de junho de 2020, com observância dos seguintes prazos:

I - até 1º de fevereiro de 2021, para a implementação do disposto nos incisos III e VI do art. 44, bem como dos requisitos necessários para o compartilhamento de dados sobre canais de atendimento e produtos e serviços de que trata o art. 5º, inciso I, alíneas "a" e "b", itens 1 a 5;

II - até 15 de julho de 2021, para a implementação do disposto no inciso IV do art. 44, bem como dos requisitos necessários para o compartilhamento de dados de cadastro e de transações de que trata o art. 5º, inciso I, alíneas "c" e "d", itens 1 a 5;

III - até 30 de agosto de 2021, para a implementação dos requisitos necessários para o compartilhamento de serviços de que trata o art. 5º, inciso II; e

IV - até 15 de dezembro de 2021, para a implementação dos requisitos necessários para o compartilhamento de:

a) dados sobre produtos e serviços de que trata o art. 5º, inciso I, alínea "b", itens 6 a 10; e

b) dados de transações de que trata o art. 5º, inciso I, alínea "d", itens 6 a 11.

Nota: Redação Anterior:

Art. 55. Esta Resolução Conjunta entra em vigor em 1º de junho de 2020, com observância dos seguintes prazos:

I - até 30 de novembro de 2020, para a implementação do disposto nos incisos III e VI do art. 44, bem como dos requisitos necessários para o compartilhamento de dados sobre canais de atendimento e produtos e serviços de que trata o art. 5º, inciso I, alíneas "a" e "b", itens 1 a 5;

II - até 31 de maio de 2021, para a implementação do disposto no inciso IV do art. 44, bem como dos requisitos necessários para o compartilhamento de dados de cadastro e de transações de que trata o art. 5º, inciso I, alíneas "c" e "d", itens 1 a 5;

III - até 30 de agosto de 2021, para a implementação dos requisitos necessários para o compartilhamento de serviços de que trata o art. 5º, inciso II; e

IV - até 25 de outubro de 2021, para a implementação dos requisitos necessários para o compartilhamento de:

a) dados sobre produtos e serviços de que trata o art. 5º, inciso I, alínea "b", itens 6 a 10; e

b) dados de transações de que trata o art. 5º, inciso I, alínea "d", itens 6 a 11.

ROBERTO DE OLIVEIRA CAMPOS NETO

Presidente do Banco Central do Brasil