A Resolução Conjunta nº 21, aprovada pela Diretoria Colegiada do Banco Central (em 14 de outubro de 2026) e pelo Conselho Monetário Nacional (em 22 de outubro de 2026), foi publicada no Diário Oficial da União em 26 de outubro de 2026. O ato é datado de 22 de outubro, entra em vigor na data da publicação e altera a Resolução Conjunta nº 1, de 4 de maio de 2020, que trata da implementação do Open Finance.
Entre as mudanças está o "fluxo de aprovação desacoplado": a solicitação de consentimento é feita no ambiente da instituição receptora de dados ou da iniciadora de transação de pagamento, e a aprovação ocorre depois, no ambiente da transmissora de dados ou da detentora de conta, sem redirecionamento automático. As etapas poderão ser executadas em momentos distintos e, quando aplicável, por usuários distintos. A norma também veda à transmissora ou detentora de conta propor ao cliente a revogação do consentimento e prevê que, em fundada suspeita de fraude, o consentimento seja considerado sem efeito.
Os contratos de parceria passam a ter papéis definidos: instituição integradora (receptora que transmite dados a outra entidade) e entidade parceira. É vedado celebrar ou manter esses contratos, por exemplo, entre instituições autorizadas pelo Banco Central, para que a parceira atue em nome da integradora, ou com parceira cujo nome use termos típicos de instituições do sistema financeiro ou de pagamentos. Se surgir evento que faça incidir algumas dessas vedações, as partes têm no máximo seis meses para encerrar a parceria.
A integradora deve identificar o cliente e obter consentimento expresso para cada entidade parceira, dado no ambiente da própria integradora. O tratamento de dados deve durar só o tempo necessário à finalidade, com eliminação ao final. Antes de contratar, a integradora deve verificar a capacidade da parceira, atestada por auditor independente registrado na CVM, com verificação ao menos anual. Os contratos devem, entre outros pontos, proibir a parceira de compartilhar os dados com terceiros e de fazer engenharia reversa.
As instituições participantes respondem pela confiabilidade, integridade, disponibilidade, segurança, desempenho e sigilo do compartilhamento e devem designar um diretor responsável. Devem elaborar relatório sobre o compartilhamento e seu desempenho, assinado por esse diretor e submetido aos responsáveis pelas áreas de conformidade e auditoria interna e ao comitê de risco (ou ao responsável pelo gerenciamento de riscos, se não houver comitê). Conteúdo mínimo e periodicidade serão definidos pelo Banco Central. Conselho de administração e diretoria têm deveres de envolvimento que não podem ser delegados.