Publicado no DOU em 5 mai 2020
Dispõe sobre a implementação do Open Finance. (Redação da ementa dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
O Banco Central do Brasil, na forma do art. 9º da Lei nº 4.595, de 31 de dezembro de 1964 , torna público que sua Diretoria Colegiada, em sessão realizada em 22 de abril de 2020, e o Conselho Monetário Nacional, em sessão realizada em 30 de abril de 2020, com base no art. 4º, inciso VIII, da referida Lei, e no art. 9º, caput e inciso II, da Lei nº 12.865, de 9 de outubro de 2013 , resolveram:
DO OBJETO E DO ÂMBITO DE APLICAÇÃO
Art. 1º Esta Resolução Conjunta dispõe sobre a implementação do Open Finance por parte de instituições financeiras, instituições de pagamento e demais instituições autorizadas a funcionar pelo Banco Central do Brasil. (Redação do artigo dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
Art. 1º Esta Resolução Conjunta dispõe sobre a implementação do Sistema Financeiro Aberto (Open Banking) por parte de instituições financeiras, instituições de pagamento e demais instituições autorizadas a funcionar pelo Banco Central do Brasil.
DISPOSIÇÕES PRELIMINARES
Das Definições
Art. 2º Para os fins do disposto nesta Resolução Conjunta, considera-se:
I - Open Finance: compartilhamento padronizado de dados e serviços por meio de abertura e integração de sistemas; (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a parir de 02/05/2022).
II - cliente: qualquer pessoa natural ou jurídica, exceto as instituições de que trata o art. 1º, que mantém relacionamento destinado à prestação de serviço financeiro ou à realização de operação financeira com as instituições de que trata esta Resolução Conjunta, inclusive para a realização de transação de pagamento;
III - instituição transmissora de dados: instituição participante que compartilha com a instituição receptora os dados do escopo desta Resolução Conjunta;
IV - instituição receptora de dados: instituição participante que apresenta solicitação de compartilhamento à instituição transmissora de dados para recepção dos dados do escopo desta Resolução Conjunta;
V - instituição detentora de conta: instituição participante que mantém conta de depósitos à vista ou de poupança ou conta de pagamento pré-paga de cliente;
VI - instituição iniciadora de transação de pagamento: instituição participante que presta serviço de iniciação de transação de pagamento sem deter em momento algum os fundos transferidos na prestação do serviço;
VII - serviço de iniciação de transação de pagamento: serviço que possibilita a iniciação da instrução de uma transação de pagamento, ordenado pelo cliente, relativamente a uma conta de depósitos ou de pagamento pré-paga, comandada por instituição não detentora da conta à instituição que a detém; (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
VIII - consentimento: manifestação livre, informada, prévia e inequívoca de vontade, feita por meio eletrônico, pela qual o cliente concorda com o compartilhamento de dados ou de serviços para finalidades determinadas;
IX - chamada de interface: requisição de dados e de serviços apresentada pela instituição receptora de dados ou iniciadora de transação de pagamento à instituição transmissora de dados ou detentora de conta;
X - assinatura de método: é a identificação única de cada método, que consiste na definição do nome do método, bem como dos parâmetros de entrada e saída em uma função de programação;
XI - transações de pagamento sucessivas: transações de pagamento realizadas entre os mesmos pagadores e recebedores de acordo com periodicidades ou condições específicas contratadas; e (Redação do inciso dada pela Resolução Conjunta CMN Nº 10 DE 04/07/2024).
XII - agregação de dados: consolidação de dados compartilhados de acordo com o disposto nesta Resolução Conjunta com a finalidade de prestar serviços aos seus clientes.
Dos Objetivos e Dos Princípios
Art. 3º Constituem objetivos do Open Finance: (Redação do caput dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
III - aumentar a eficiência do Sistema Financeiro Nacional e do Sistema de Pagamentos Brasileiro; e
IV - promover a cidadania financeira.
Art. 4º As instituições de que trata o art. 1º, para fins do cumprimento dos objetivos de que trata o art. 3º, devem conduzir suas atividades com ética e responsabilidade, com observância da legislação e regulamentação em vigor, bem como dos seguintes princípios:
II - segurança e privacidade de dados e de informações sobre serviços compartilhados no âmbito desta Resolução Conjunta;
IV - tratamento não discriminatório;
V - reciprocidade; (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir 02/05/2022).
(Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir 02/05/2022):
a) entre os participantes; e
b) com outras iniciativas de Open Finance no âmbito dos mercados financeiro, de capitais, de seguros, de previdência e de capitalização.
CAPÍTULO III DO ESCOPO DO OPEN FINANCE (Redação dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
CAPÍTULO III DO ESCOPO DO OPEN BANKING
Do Escopo de Dados e Serviços
Art. 5º O Open Finance abrange o compartilhamento de, no mínimo: (Redação do caput dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
a) canais de atendimento relacionados com:
1. dependências próprias;
2. correspondentes no País;
3. canais eletrônicos; e
4. demais canais disponíveis aos clientes;
b) produtos e serviços relacionados com:
1. contas de depósito à vista;
2. contas de depósito de poupança;
3. contas de pagamento pré-pagas;
4. contas de pagamento pós-pagas;
5. operações de crédito;
6. operações de câmbio;
7. serviços de credenciamento em arranjos de pagamento;
8. contas de depósito a prazo e outros produtos com natureza de investimento;
9. seguros; e
10. previdência complementar aberta;
c) cadastro de clientes e de seus representantes; e
d) transações de clientes relacionadas com:
1. contas de depósito à vista;
2. contas de depósito de poupança;
3. contas de pagamento pré-pagas;
4. contas de pagamento pós-pagas;
5. operações de crédito;
6. conta de registro e controle de que trata a Resolução nº 3.402, de 6 de setembro de 2006 ;
7. operações de câmbio;
8. serviços de credenciamento em arranjos de pagamento;
9. contas de depósito a prazo e outros produtos com natureza de investimento;
10. seguros;
11. previdência complementar aberta; e
a) iniciação de transação de pagamento; e
b) encaminhamento de proposta de operação de crédito.
§ 1º É facultado às instituições participantes de que trata o art. 6º, por meio da convenção de que trata o art. 44, incluir outros dados e serviços no escopo do Open Finance, desde que observados os princípios, os requisitos para compartilhamento e as demais disposições desta Resolução Conjunta. (Redação do parágrafo dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
§ 2º Para fins do compartilhamento de dados sobre produtos e serviços de que trata o inciso I, alínea "b", do caput, devem ser considerados apenas os produtos e serviços disponíveis à contratação por meio dos canais de atendimento da instituição transmissora de dados, inclusive correspondentes no País.
§ 3º É necessário obter consentimento do cliente, nos termos do art. 10, para fins do compartilhamento de dados de cadastro e de transações e de serviços de que tratam os incisos I, alíneas "c" e "d", e II, do caput, bem como dos que tratam o § 1º, no caso de dados e serviços a ele relacionados.
§ 4º O compartilhamento de dados de cadastro de que trata o inciso I, alínea "c", do caput, deve abranger:
I - os dados fornecidos diretamente pelo cliente ou obtidos por meio de consulta a bancos de dados de caráter público ou privado, exceto:
a) os dados classificados como dado pessoal sensível pela legislação;
b) as notas ou pontuações de crédito; e
c) as credenciais e outras informações utilizadas com o objetivo de efetuar a autenticação do cliente; e
II - o último dado disponível, com discriminação da data de sua obtenção.
§ 5º O compartilhamento de dados de transações de que trata o inciso I, alínea "d", do caput:
I - diz respeito a dados relacionados com o cliente:
a) sobre produtos e serviços contratados ou distribuídos por meio da instituição transmissora de dados; e
b) acessíveis por meio dos seus canais de atendimento eletrônicos, inclusive no tocante aos limites de crédito eventualmente contratados; e
II - abrange, no mínimo, os dados e o histórico de transações realizadas nos últimos doze meses com relação aos produtos e serviços com contratos vigentes nesse período.
§ 6º Para fins do compartilhamento de dados sobre canais de atendimento, produtos e serviços de que trata o inciso I, alíneas "a" e "b", do caput, a confederação constituída por cooperativas centrais de crédito em sistema de três níveis e a cooperativa central de crédito em sistema de dois níveis podem incumbir-se da disponibilização das informações de forma agregada de suas filiadas, mantida a responsabilidade de cada filiada sobre as informações compartilhadas a ela relacionadas. (Parágrafo acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
Seção II Da Participação no Open Finance (Redação dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
Art. 6º São participantes do Open Finance: (Redação do caput dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
I - no caso do compartilhamento de dados de que trata o art. 5º, inciso I:
Nota LegisWeb - Alteração Futura:
(Redação da alínea dada pela Resolução Conjunta CMN Nº 10 DE 04/07/2024, efeitos a partir de 01/01/2025):
a) de forma obrigatória:
1. as instituições enquadradas nos Segmentos 1 (S1) e 2 (S2), de que trata a Resolução nº 4.553, de 30 de janeiro de 2017; e
Nota LegisWeb: Ver Instrução Normativa BCB Nº 486 DE 04/07/2024, que divulga base de dados a ser utilizada como referência para identificação de instituições sujeitas à participação obrigatória no Open Finance.
2. as instituições individuais e as instituições pertencentes a conglomerados com número de clientes superior a cinco milhões, conforme base de dados indicada pelo Banco Central do Brasil; e
a) de forma obrigatória, as instituições enquadradas nos Segmentos 1 (S1) e 2 (S2), de que trata a Resolução nº 4.553, de 30 de janeiro de 2017 ; e
b) de forma voluntária, as demais instituições de que trata o art. 1º;
II - no caso do compartilhamento de serviço de iniciação de transação de pagamento de que trata o art. 5º, caput, inciso II, alínea "a": (Redação do inciso dada pela Resolução Conjunta CMN Nº 10 DE 04/07/2024);
(Redação do alínea dada pela Resolução Conjunta CMN Nº 10 DE 04/07/2024):
a) de forma obrigatória:
1. as instituições participantes obrigatórias no Pix;
2. as instituições detentoras de conta integrantes de conglomerados que possuam instituições participantes obrigatórias no Pix; e
3. as instituições iniciadoras de transação de pagamento; e
b) as instituições iniciadoras de transação de pagamento; e
III - no caso de compartilhamento de serviço de encaminhamento de proposta de operação de crédito de que trata o art. 5º, inciso II, alínea "b", de forma obrigatória, as instituições de que trata o art. 1º que tenham firmado contrato de correspondente no País, cujo objeto contemple a atividade de atendimento para fins de recepção e encaminhamento de propostas de operações de crédito e de arrendamento mercantil, por meio de plataforma eletrônica, concedidas pela instituição contratante, bem como outros serviços prestados para o acompanhamento da operação, conforme previsto na regulamentação sobre contratação de correspondentes no País. (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
§ 1º É obrigatório o compartilhamento dos dados e dos serviços: (Redação dada pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021).
I - em formato para o acesso pelo público, conforme disposto no art. 23, § 2º, para os dados do art. 5º, inciso I, alíneas "a" e "b"; e
II - entre as instituições participantes de cada caso mencionado nos incisos I e II do caput para os dados do art. 5º, incisos I, alíneas "c" e "d", e II, alínea "a".
§ 2º Excetuam-se da exigência de participação obrigatória de que trata o inciso I, alínea "a", do caput, as instituições integrantes de conglomerados prudenciais que não prestem os serviços a que se referem os dados de transações de clientes previstos no art. 5º, inciso I, alínea "d".
§ 3º A participação voluntária de que trata o inciso I, alínea "b", do caput, pressupõe a disponibilidade de interface dedicada de que trata o art. 23 na condição de instituição transmissora de dados.
§ 4º Excetuam-se das exigências de participação obrigatória de que tratam os incisos I a III do caput as instituições assim dispensadas pelo Banco Central do Brasil, com base em critérios relacionados à quantidade e à natureza de clientes, aos tipos de serviço contratados e distribuídos, bem como aos canais de acesso eletrônicos disponíveis e utilizados pelos clientes, observados os objetivos e princípios constantes desta Resolução Conjunta. (Parágrafo acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
§ 5º As instituições de que trata o art. 1º que superarem o limite de que trata o inciso I, alínea "a", item 2, do caput, ou que se enquadrarem como participantes obrigatórias no Pix, nos termos do inciso II, alínea "a", item 1, do caput, terão prazo de seis meses para se tornarem instituições participantes do Open Finance. (Parágrafo acrescentado pela Resolução Conjunta CMN Nº 10 DE 04/07/2024, efeitos a partir de 01/01/2025).
§ 6º Para fins do disposto no § 5º, considera-se que uma instituição superou o limite de que trata o inciso I, alínea "a", item 2, do caput, caso ela tenha ficado acima do referido limite por dois trimestres consecutivos. (Parágrafo acrescentado pela Resolução Conjunta CMN Nº 10 DE 04/07/2024, efeitos a partir de 01/01/2025).
§ 7º Caso uma instituição opte por ser participante de forma voluntária, nos termos do inciso I, alínea "b", do caput, as demais instituições integrantes de seu conglomerado devem tornar-se participantes do Open Finance. (Parágrafo acrescentado pela Resolução Conjunta CMN Nº 10 DE 04/07/2024, efeitos a partir de 01/07/2025).
Art. 7º As instituições participantes devem registrar sua participação no repositório de participantes mantido por meio de sistema eletrônico, mencionado no art. 44, inciso VI.
DOS REQUISITOS PARA COMPARTILHAMENTO
Da Solicitação de Compartilhamento
Art. 8º A solicitação de compartilhamento de dados de cadastro e de transações e de serviços de que trata o art. 5º, incisos I, alíneas "c" e "d", e inciso II, alínea "a", compreende as etapas do consentimento, autenticação e confirmação.
Parágrafo único. As etapas de que trata o caput devem:
I - ser efetuadas com segurança, agilidade, precisão e conveniência, por meio da interface dedicada de que trata o art. 23;
II - ser realizadas exclusivamente por canais eletrônicos;
III - ocorrer de forma sucessiva e ininterrupta; e
IV - ter duração compatível com os seus objetivos e nível de complexidade.
Art. 9º As instituições participantes devem assegurar a prestação de informações aos clientes de forma clara, objetiva e adequada sobre:
I - as etapas de que trata o art. 8º, caput;
II - os procedimentos associados às etapas de que trata o inciso I; e
III - o redirecionamento para outros ambientes ou sistemas eletrônicos, inclusive de outras instituições, quando aplicável.
Parágrafo único. Admite-se o compartilhamento do serviço de iniciação de transação de pagamento de que trata o art. 5º, caput, inciso II, alínea "a", sem o redirecionamento para outros ambientes ou sistemas eletrônicos, inclusive de outras instituições, de que trata o inciso III do caput, observado o disposto em regulamentação específica. (Parágrafo acrescentado pela Resolução Conjunta CMN Nº 10 DE 04/07/2024).
Do Consentimento
Art. 10. A instituição receptora de dados ou iniciadora de transação de pagamento, previamente ao compartilhamento de que trata esta Resolução Conjunta, deve identificar o cliente e obter o seu consentimento.
§ 1º O consentimento mencionado no caput deve:
I - ser solicitado por meio de linguagem clara, objetiva e adequada;
II - referir-se a finalidades determinadas;
III - ter prazo de validade compatível com as finalidades de que trata o inciso II; (Redação do inciso dada pela Resolução Conjunta CMN Nº 7 DE 26/10/2023).
IV - discriminar a instituição transmissora de dados ou detentora de conta, conforme o caso;
V - discriminar os dados ou serviços que serão objeto de compartilhamento, observada a faculdade de agrupamento de que trata o art. 11;
VI - incluir a identificação do cliente; e
VII - ser obtido após a data de entrada em vigor desta Resolução Conjunta, com observância do cronograma de implementação estabelecido pelo Banco Central do Brasil. (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021).
§ 2º Para alterar a condição de que trata o inciso IV do § 1º é necessário obter novo consentimento do cliente. (Redação do parágrafo dada pela Resolução Conjunta CMN Nº 7 DE 26/10/2023).
§ 3º É vedado obter o consentimento do cliente:
I - por meio de contrato de adesão;
II - por meio de formulário com opção de aceite previamente preenchida; ou
III - de forma presumida, sem manifestação ativa pelo cliente.
§ 4º É vedada a prestação de informação para a instituição transmissora de dados sobre as finalidades de que trata o § 1º, inciso II.
§ 5º A vedação de que trata o § 4º não se aplica aos contratos de parceria de que trata o art. 36 ou a outros casos previstos na legislação ou regulamentação em vigor.
(Revogado pela Resolução Conjunta CMN Nº 7 DE 26/10/2023):
§ 6º No caso de transações de pagamento sucessivas, o cliente, a seu critério, poderá definir prazo superior ao estabelecido no § 1º, inciso III, podendo condicionar o prazo de validade do consentimento ao encerramento das referidas transações.
§ 7º Para alterar as condições de que tratam os incisos II, III ou V do § 1º, a instituição receptora de dados ou a instituição iniciadora de transação de pagamento deve informar ao cliente o teor da alteração, de forma específica, e obter a sua concordância, ficando dispensada a obrigatoriedade dos procedimentos de autenticação do cliente e confirmação no ambiente da instituição transmissora de dados ou da instituição detentora de conta de que tratam os arts. 16 a 22. (Redação do parágrafo dada pela Resolução Conjunta CMN Nº 10 DE 04/07/2024).
§ 8º A concordância de que trata o § 7º deve ocorrer por meio de manifestação específica e ativa do cliente. (Parágrafo acrescentado pela Resolução Conjunta CMN Nº 7 DE 26/10/2023).
Art. 11. Os dados objeto de compartilhamento podem ser apresentados ao cliente de forma agrupada, com base em critérios a serem estabelecidos na convenção de que trata o art. 44.
Parágrafo único. Para fins do disposto no caput, o agrupamento de dados deve:
I - ser identificado de forma clara, objetiva e adequada;
II - possibilitar a discriminação dos dados pelo cliente em nível granular; e
III - guardar relação com os dados representados em nível granular.
Art. 12. A instituição receptora de dados deve assegurar que os dados objeto do compartilhamento sejam pertinentes às finalidades determinadas de que trata o art. 10, § 1º, inciso II.
Art. 13. Para o compartilhamento de serviço de iniciação de transação de pagamento de que trata o art. 5º, inciso II, alínea "a", além dos requisitos previstos no § 1º do art. 10, o consentimento deve contemplar, no mínimo, as seguintes informações:
II - o valor da transação de pagamento;
III - as informações referentes ao recebedor da transação de pagamento; e
§ 1º No caso de transações de pagamento sucessivas, o consentimento deve ainda dispor sobre a periodicidade das transações e o prazo. (Redação do parágrafo dada pela Resolução Conjunta CMN Nº 7 DE 26/10/2023).
§ 2º O disposto no inciso II do caput é facultativo nos casos de transações de pagamento sucessivas cujo valor pactuado seja variável.
§ 3º As informações exigidas no caput devem ser aquelas estritamente necessárias para a execução da transação de pagamento e compatíveis com o regulamento ou instrumento que discipline o funcionamento do arranjo de pagamento referente à respectiva transação de pagamento.
§ 4º A instituição iniciadora de transação de pagamento deve solicitar o consentimento do cliente a cada nova transação de pagamento, exceto em caso de transações de pagamento sucessivas. (Redação do parágrafo dada pela Resolução Conjunta CMN Nº 7 DE 26/10/2023).
(Artigo acrescentado pela Resolução Conjunta CMN Nº 10 DE 04/07/2024):
Art. 13-A. Excetua-se do disposto no art. 13 o consentimento relativo às transações de pagamento ocorridas na forma do compartilhamento disposto no art. 9º, parágrafo único, que deve contemplar, no mínimo, as seguintes informações:
II - o prazo de validade do consentimento; e
III - os valores máximos por transação e por dia que o cliente deseja autorizar.
Parágrafo único. No caso do compartilhamento de que trata o caput, a instituição iniciadora de transação de pagamento deve solicitar o consentimento do cliente uma única vez, enquanto durar a validade do referido consentimento.
Art. 14. As instituições participantes devem prestar ao cliente, no mínimo, as seguintes informações sobre os consentimentos, com prazos válidos, relativos aos compartilhamentos nos quais estejam envolvidas:
I - a identificação das instituições participantes;
II - os dados e serviços objeto de compartilhamento;
III - o período de validade do consentimento;
IV - a data de requisição do consentimento; e
V - a finalidade do consentimento, no caso de instituição receptora de dados ou iniciadora de transação de pagamento.
Art. 15. As instituições participantes envolvidas no compartilhamento de dados ou serviços devem assegurar a possibilidade da revogação do respectivo consentimento, a qualquer tempo, mediante solicitação do cliente, por meio de procedimento seguro, ágil, preciso e conveniente, observado o disposto na legislação e regulamentação em vigor.
§ 1º Para os fins do disposto no caput, as instituições devem disponibilizar ao cliente a opção da revogação de consentimento ao menos pelo mesmo canal de atendimento no qual foi concedido, caso ainda existente.
§ 2º É vedado à instituição transmissora de dados ou detentora de conta propor ao cliente a revogação de consentimento, exceto em caso de suspeita justificada de fraude.
§ 3º A revogação de que trata o caput deve ser efetuada com observância dos seguintes prazos:
I - em até um dia, contado a partir da solicitação do cliente, no caso do compartilhamento de serviço de iniciação de transação de pagamento de que trata o art. 5º, inciso II, alínea "a"; e
II - de forma imediata, para os demais casos.
§ 4º A efetuação da revogação, na forma do § 3º, deve ser informada imediatamente para as demais instituições participantes envolvidas no compartilhamento.
Da Autenticação
Art. 16. A instituição transmissora de dados ou detentora de conta deve adotar procedimentos e controles para autenticação:
II - da instituição receptora de dados ou iniciadora de transação de pagamento.
Parágrafo único. Os procedimentos e controles de que trata o caput devem:
I - no caso da autenticação de cliente, ser realizados uma única vez a cada consentimento ou a cada transação de pagamento ocorrida na forma do compartilhamento disposto no art. 9º, parágrafo único; e (Redação do inciso dada pela Resolução Conjunta CMN Nº 10 DE 04/07/2024).
II - no caso da autenticação de instituição receptora de dados ou iniciadora de transação de pagamento, ser realizados uma única vez a cada chamada de interface.
Art. 16-A. No caso de transações de pagamento ocorridas na forma do compartilhamento disposto no art. 9º, parágrafo único, a instituição iniciadora de transação de pagamento deve adotar procedimentos e controles para assegurar a confiabilidade, a integridade, a disponibilidade, a segurança e o sigilo de ambientes e sistemas eletrônicos sob sua responsabilidade, ao participar da execução dos procedimentos e controles de que trata o art. 16, caput, inciso I. (Artigo acrescentado pela Resolução Conjunta CMN Nº 10 DE 04/07/2024).
Art. 17. Os procedimentos e controles para autenticação de cliente devem ser compatíveis com os aplicáveis ao acesso, pelos clientes, a canais de atendimento eletrônicos disponibilizados pela instituição, levando-se em consideração:
II - o tipo de dado ou serviço objeto de compartilhamento; e
§ 1º A compatibilidade de que trata o caput abrange, inclusive:
I - os fatores de autenticação;
II - a quantidade de etapas; e
III - a duração do procedimento.
§ 2º A convenção de que trata o art. 44 pode propor recomendações quanto a padrões relacionados aos procedimentos e controles de que trata o caput, com vistas à observância por parte das instituições participantes do disposto nos arts. 8º, parágrafo único, e 9º, parágrafo único. (Redação do parágrafo dada pela Resolução Conjunta CMN Nº 10 DE 04/07/2024).
Art. 18. Os procedimentos e controles para autenticação de que tratam os arts. 16 e 17 devem ser compatíveis com a política de segurança cibernética da instituição, prevista na regulamentação em vigor.
Art. 19. É admitida a contratação de serviços para execução dos procedimentos e controles para autenticação de que tratam os arts. 16 e 17, com observância do disposto na regulamentação que dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem. (Redação do artigo dada pela Resolução Conjunta CMN Nº 10 DE 04/07/2024).
(Revogado pela Resolução Conjunta CMN Nº 10 DE 04/07/2024):
I - Capítulo III da Circular nº 3.909, de 16 de agosto de 2018 , e, no que couber, nos Capítulos IV e V da referida Circular, no caso de instituições de pagamento; e
(Revogado pela Resolução Conjunta CMN Nº 10 DE 04/07/2024):
II - Capítulo III da Resolução nº 4.658, de 26 de abril de 2018 , e, no que couber, nos Capítulos IV e V da referida Resolução, no caso de instituições financeiras e demais instituições autorizadas a funcionar pelo Banco Central do Brasil.
§ 1º No caso da contratação de que trata o caput, a responsabilidade para os fins desta Resolução Conjunta permanece com a instituição transmissora de dados ou detentora de conta.
§ 2º É vedada a contratação para fins da autenticação de instituição de que trata o art. 16, inciso II, da própria instituição receptora de dados ou iniciadora de transação de pagamento.
Da Confirmação de Compartilhamento
Art. 20. A instituição transmissora de dados ou detentora de conta deve solicitar confirmação de compartilhamento ao cliente.
Parágrafo único. O procedimento de confirmação deve:
I - ocorrer após os procedimentos para autenticação de que trata o art. 16; e (Redação do inciso dada pela Resolução Conjunta CMN Nº 10 DE 04/07/2024).
II - assegurar ao cliente a possibilidade de discriminar o teor do compartilhamento, observado o escopo de dados e serviços e a faculdade de agrupamento de que tratam os arts. 5º e 11, bem como os dados ou serviços discriminados na etapa de consentimento de que trata o art. 10, § 1º, inciso V.
Art. 20-A. A instituição iniciadora deve solicitar confirmação de compartilhamento ao cliente, nos casos em que as transações de pagamento ocorrerem na forma do compartilhamento disposto no art. 9º, parágrafo único. (Artigo acrescentado pela Resolução Conjunta CMN Nº 10 DE 04/07/2024).
Art. 21. No caso do compartilhamento de dados de cadastro e de transações de que trata o art. 5º, inciso I, alíneas "c" e "d", devem ser discriminadas na confirmação, no mínimo, as seguintes informações:
I - identificação da instituição receptora de dados;
II - período de validade do consentimento; e
III - dados que serão objeto de compartilhamento, com observância do escopo de dados e serviços e da faculdade de agrupamento de que tratam os arts. 5º e 11, bem como os dados ou serviços discriminados na etapa de consentimento de que trata o art. 10, § 1º, inciso V.
Art. 22. No caso do compartilhamento de serviço de iniciação de transação de pagamento de que trata o art. 5º, inciso II, alínea "a", devem ser discriminadas na confirmação, no mínimo, as seguintes informações:
I - valor da transação de pagamento;
II - informações referentes ao recebedor da transação de pagamento; e
§ 1º No caso de transações de pagamento sucessivas, a confirmação deve dispor ainda sobre a periodicidade das transações e o prazo. (Redação do parágrafo dada pela Resolução Conjunta CMN Nº 7 DE 26/10/2023).
§ 2º O disposto no inciso I do caput é facultativo nos casos de transações de pagamento sucessivas cujo valor pactuado seja variável.
§ 3º As informações exigidas no caput devem ser compatíveis com o regulamento ou instrumento que discipline o funcionamento do arranjo de pagamento referente à respectiva transação de pagamento.
Das Interfaces Dedicadas ao Compartilhamento
Art. 23. As instituições participantes devem disponibilizar interfaces dedicadas ao compartilhamento de dados e serviços de que trata esta Resolução Conjunta, padronizadas de acordo com os padrões estabelecidos pela convenção de que trata o art. 44.
§ 1º Os dados e serviços mencionados no caput devem ser representados em meio digital e processáveis por máquina, em formato livre de restrição quanto à sua utilização.
§ 2º No caso das interfaces para o compartilhamento dos dados de que trata o art. 5º, inciso I, alíneas "a" e "b", as instituições participantes devem assegurar o seu acesso gratuito ao público, com possibilidade de definição, com base em parâmetros justificados e equitativos, por meio da convenção de que trata o art. 44, de limites de chamadas de interface.
§ 3º A confederação constituída por cooperativas centrais de crédito em sistema de três níveis e a cooperativa central de crédito em sistema de dois níveis podem incumbir-se, em relação às suas filiadas, da disponibilização da interface de que trata o caput.
Art. 24. As instituições devem fornecer às demais participantes informações a respeito das interfaces dedicadas de forma clara, adequada à natureza do compartilhamento e acessível, inclusive com relação ao controle de versões e ao suporte à conexão.
Art. 25. Os casos de indisponibilidade que gerem situação de crise na instituição devem ser comunicados tempestivamente ao Banco Central do Brasil. (Redação do artigo dada pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021).
Disposições Gerais
Art. 26. A instituição transmissora de dados ou detentora de conta deve prestar informações tempestivas à instituição receptora de dados ou iniciadora de transação de pagamento acerca da efetivação da solicitação de compartilhamento ou, se for o caso, dos motivos que impossibilitarem o compartilhamento.
§ 1º A convenção de que trata o art. 44 deverá padronizar os motivos de impossibilidade de compartilhamento de que trata o caput.
§ 2º No caso do compartilhamento do serviço de iniciação de transação de pagamento, a padronização dos motivos de que trata o § 1º deve ser compatível com o regulamento ou instrumento que discipline o funcionamento do arranjo de pagamento referente à respectiva transação de pagamento.
§ 3º A impossibilidade de compartilhamento de que trata o caput deve ser devidamente documentada, acompanhada dos motivos e evidências que a fundamentaram.
Art. 27. A instituição receptora de dados ou iniciadora de transação de pagamento deve comunicar ao cliente a efetivação da solicitação de compartilhamento.
§ 1º A comunicação de que trata o caput deve, no mínimo:
I - discriminar as finalidades determinadas de que trata o art. 10, § 1º, inciso II, bem como os dados e serviços objeto de compartilhamento; e
II - ser realizada por canais de atendimento eletrônicos.
§ 2º No caso do compartilhamento de serviço de iniciação de transação de pagamento de que trata o art. 5º, inciso II, alínea "a", a comunicação de que trata o caput deve ainda observar as regras do arranjo de pagamento referente à respectiva transação de pagamento.
Art. 28. É vedado às instituições participantes a criação de obstáculos ao compartilhamento, tais como requisição de autorizações adicionais do cliente, validação adicional do consentimento dado pelo cliente à instituição receptora de dados ou iniciadora de transação de pagamento, ou instruções de acesso complexas.
Art. 29. É vedado às instituições detentoras de contas restringir, limitar ou impedir a iniciação de transação de pagamento de que trata o art. 5º, inciso II, alínea "a", bem como discriminá-la em relação às transações executadas diretamente pelo cliente por meio dos seus canais de atendimento.
Art. 30. As instituições participantes devem disponibilizar canal de atendimento para a prestação de suporte técnico relacionado à solicitação de compartilhamento às demais instituições participantes, inclusive no que diz respeito:
I - às etapas de compartilhamento de dados ou serviços;
II - à conectividade com as interfaces dedicadas ao compartilhamento;
III - à indisponibilidade das interfaces dedicadas; e..... (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021).
IV - à confiabilidade, à integridade e à disponibilidade dos dados compartilhados.
Parágrafo único. As instituições participantes devem registrar no repositório de participantes mencionado no art. 44, inciso VI, informações sobre a forma de acesso ao canal de atendimento de que trata o caput.
DAS RESPONSABILIDADES
Da Responsabilidade pelo Compartilhamento
Art. 31. A instituição participante é responsável pela confiabilidade, pela integridade, pela disponibilidade, pela segurança e pelo sigilo em relação ao compartilhamento de dados e serviços em que esteja envolvida, bem como pelo cumprimento da legislação e da regulamentação em vigor.
Do Diretor Responsável pelo Compartilhamento
Art. 32. As instituições participantes e as instituições contratantes da parceria de que trata o art. 36 devem designar diretor responsável pelo compartilhamento de que trata esta Resolução Conjunta.
Parágrafo único. O diretor mencionado no caput pode desempenhar outras funções na instituição, desde que não haja conflito de interesses.
Art. 33. O diretor responsável pelo compartilhamento de que trata o art. 32 deve elaborar relatório semestral referente ao compartilhamento de dados e serviços em que a instituição esteve envolvida, nas datas-bases de 30 de junho e 31 de dezembro.
§ 1º O relatório de que trata o caput deve abordar, no mínimo:
I - as demandas de clientes a respeito do compartilhamento registradas no período, segregando as decorrentes de fraudes das demais, com as providências adotadas para o seu tratamento;
II - as demandas do canal de atendimento para a prestação de suporte técnico, segregando as relativas a indisponibilidade das interfaces dedicadas;
III - os incidentes relacionados com a violação da segurança dos dados e informações sobre serviços relacionados ao compartilhamento, bem como as medidas adotadas para a sua prevenção e solução de que tratam os arts. 38, § 3º, e 48, inciso III, se for o caso;
IV - os resultados dos testes de continuidade de negócios de que trata o art. 48, inciso IV, considerando os cenários de indisponibilidade das interfaces utilizadas para o compartilhamento de que trata esta Resolução Conjunta; e
V - a quantidade de chamadas de interface no período, segregadas por cliente e por tipo de dado ou serviço compartilhado, bem como os indicadores referentes ao desempenho das interfaces usadas para o compartilhamento de que trata o art. 41.
§ 2º O relatório mencionado no caput deve ser:
I - submetido ao comitê de risco da instituição, quando existente; e
II - apresentado ao conselho de administração ou, na sua inexistência, à diretoria da instituição até noventa dias após a respectiva data-base.
Da Responsabilidade pelo Encaminhamento de Demandas
Art. 34. As instituições de que trata o art. 1º são responsáveis por tratar as demandas encaminhadas por seus clientes a respeito do compartilhamento de dados e serviços em que estiveram envolvidas.
Parágrafo único. A exigência de que trata o caput também se aplica ao tratamento de demandas do público quanto à interface de que trata o art. 23, § 2º.
Art. 35. As instituições de que trata o art. 1º devem informar aos seus clientes que as demandas a respeito do compartilhamento de dados e serviços podem ser apresentadas por meio:
I - dos canais de atendimento da instituição; e
II - dos canais para encaminhamento de demandas de que trata o art. 44, inciso III, no caso de instituições participantes.
Parágrafo único. As instituições de que trata o art. 1º devem prestar informações aos seus clientes a respeito das formas de acesso aos canais de que trata do caput.
Da Contratação de Parceria
Art. 36 . É admitida a contratação de parceria por parte das instituições de que trata o art. 1º com entidades não autorizadas a funcionar pelo Banco Central do Brasil com o objetivo de compartilhar dados de que trata o art. 5º, inciso I, alíneas "c" e "d", bem como de outros dados e serviços que venham a ser incluídos no escopo do Open Finance nos termos do art. 5º, § 1º. (Redação do caput dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
§ 1º O compartilhamento de que trata o caput pressupõe prévio e expresso consentimento do cliente.
§ 2º As instituições devem assegurar que suas políticas e estratégias para gerenciamento de riscos previstas na regulamentação em vigor contemplem, inclusive, os critérios de decisão para a contratação de parcerias com o objetivo de que trata o caput.
§ 3º No caso da contratação de parcerias em que se preveja o compartilhamento com entidades localizadas no exterior, as políticas e estratégias de que trata o § 2º devem contemplar os parâmetros utilizados pela instituição para a avaliação dos países e da região em cada país para onde os dados dos clientes poderão ser compartilhados, com observância da legislação vigente.
§ 4º As políticas e as estratégias de que trata o § 2º devem ser aprovadas pelo conselho de administração ou, na sua inexistência, pela diretoria da instituição.
§ 5º É vedada a contratação de parcerias de que trata o caput:
I - entre instituições autorizadas a funcionar pelo Banco Central do Brasil; e
II - com o objetivo de que o parceiro contratado atue em nome da instituição contratante para fins de compartilhamento.
§ 6º A contratação de parceria de que trata o caput deve ser precedida da emissão de parecer favorável por parte do diretor de que trata o art. 32, com observância das exigências de que trata o art. 37.
Art. 37. As instituições de que trata o art. 1º, previamente à contratação de que trata o art. 36, devem adotar procedimentos que contemplem:
I - a adoção de práticas de governança corporativa e de gestão proporcionais aos riscos a que estejam expostas; e
II - a verificação da capacidade do potencial parceiro de assegurar:
a) o cumprimento da legislação e da regulamentação em vigor;
b) o acesso da instituição contratante a informações sobre a efetividade da transferência de dados e de informações sobre serviços compartilhados;
c) a confidencialidade, a integridade, a disponibilidade e a recuperação de dados e de informações sobre serviços compartilhados;
d) a aderência a certificações exigidas pela instituição contratante para a execução do compartilhamento, inclusive as estabelecidas nos termos do inciso I, alínea "b", do art. 44;
e) o acesso da instituição contratante aos relatórios elaborados por empresa de auditoria especializada independente, contratada pelo potencial parceiro, relativos aos procedimentos e aos controles utilizados no compartilhamento;
f) o provimento de informações e a existência de recursos de gestão adequados ao monitoramento do compartilhamento; e
g) a qualidade dos controles de acesso voltados à proteção dos dados e de informações sobre serviços compartilhados.
§ 1º Os procedimentos de que trata o caput, inclusive no que diz respeito às informações relativas à verificação mencionada no inciso II, devem ser documentados e mantidos atualizados.
§ 2º Os recursos de gestão de que trata a alínea "f" do inciso II do caput devem contemplar o acesso a:
I - registros de consentimento dos clientes armazenados pelo potencial parceiro; e
II - confirmações de que os dados ou informações sobre serviços compartilhados pela instituição contratante foram recebidos pelo potencial parceiro.
§ 3º A instituição contratante deve possuir recursos e competências necessários para a adequada gestão da parceria, inclusive a análise de informações e uso dos recursos providos nos termos da alínea "f" do inciso II do caput.
§ 4º Os procedimentos de que trata o caput devem contemplar a avaliação da legislação e da regulamentação dos países e da região em cada país para onde os dados ou informações sobre serviços de clientes poderão ser compartilhados, observados os parâmetros mencionados no art. 36, § 3º, caso a contratação contemple o compartilhamento para o exterior, bem como o disposto na legislação vigente.
Art. 38. O contrato de que trata o art. 36 deve prever, no mínimo:
I - o objeto do contrato, que deve contemplar o compartilhamento de que trata o art. 36;
II - os papéis e as responsabilidades das partes contratantes;
III - a indicação dos países e da região em cada país para onde os dados ou informações sobre serviços de clientes poderão ser compartilhados;
IV - a adoção de medidas de segurança para a recepção e o armazenamento pelo parceiro contratado dos dados ou informações sobre serviços compartilhados de clientes;
V - o acesso da instituição contratante a:
a) informações fornecidas pelo parceiro contratado, visando a verificar o cumprimento do disposto nos incisos III e IV;
b) informações relativas às certificações e aos relatórios de auditoria especializada, citados no art. 37, inciso II, alíneas "d" e "e"; e
c) informações e recursos de gestão adequados ao monitoramento do compartilhamento, citado no art. 37, inciso II, alínea "f";
VI - a obrigação de o parceiro contratado notificar a instituição contratante sobre a subcontratação de serviços relativos ao compartilhamento;
VII - a permissão de acesso do Banco Central do Brasil aos contratos firmados para o compartilhamento, à documentação e às informações referentes aos dados ou informações sobre serviços compartilhados, bem como aos códigos de acesso a tais informações;
VIII - a adoção de medidas pela instituição contratante, em decorrência de determinação do Banco Central do Brasil;
IX - a observância dos padrões tecnológicos e de procedimentos operacionais estabelecidos no inciso I, alínea "b", do art. 44;
X - a obrigação de o parceiro contratado manter a instituição contratante permanentemente informada sobre eventuais limitações que possam afetar o compartilhamento ou o cumprimento da legislação e da regulamentação em vigor; e
XI - os procedimentos para o tratamento de demandas encaminhadas pelo cliente de que trata o art. 34.
§ 1º É vedado incluir, no objeto do contrato de que trata o inciso I do caput:
I - a prestação de serviços, pelo parceiro contratado, de atividades de atendimento a clientes em nome da instituição contratante, previstas na regulamentação que dispõe sobre correspondentes no País; e
II - o compartilhamento de dados de transações de clientes que trata o art. 5º, inciso I, alínea "d", relativos a produtos e serviços contratados em outras instituições.
§ 2º Os papéis e responsabilidades citados no inciso II do caput devem contemplar o dever do parceiro contratado e da instituição contratante de informar o cliente que o parceiro não atua em nome da instituição, para fins do compartilhamento.
§ 3º A obrigação de que trata o inciso X do caput deve contemplar a comunicação de incidentes de violação da segurança dos dados e informações sobre serviços relacionados ao compartilhamento e as medidas adotadas pelo parceiro contratado para a sua prevenção e solução.
§ 4º O contrato mencionado no caput deve prever, para o caso da decretação de regime de resolução da instituição contratante pelo Banco Central do Brasil:
I - a obrigação de o parceiro contratado conceder pleno e irrestrito acesso do responsável pelo regime de resolução aos contratos, aos acordos, à documentação e às informações referentes ao compartilhamento, bem como aos códigos de acesso, citados no inciso VII do caput, que estejam em poder do parceiro; e
II - a obrigação de notificação prévia do responsável pelo regime de resolução sobre a intenção de o parceiro contratado interromper o compartilhamento, com pelo menos trinta dias de antecedência da data prevista para a interrupção, observado que:
a) o parceiro contratado obriga-se a aceitar eventual pedido de prazo adicional de trinta dias para a interrupção do compartilhamento, feito pelo responsável pelo regime de resolução; e
b) a notificação prévia deverá ocorrer também na situação em que a interrupção for motivada por inadimplência da contratante.
Art. 39. A instituição contratante é responsável pela confiabilidade, pela disponibilidade, pela segurança e pelo sigilo do compartilhamento de que trata o art. 36, bem como pelo cumprimento da legislação e da regulamentação em vigor.
Dos Mecanismos de Acompanhamento e Controle
Art. 40. As instituições de que trata o art. 1º devem instituir mecanismos de acompanhamento e de controle com vistas a assegurar a confiabilidade, a disponibilidade, a integridade, a segurança e o sigilo de que tratam os arts. 31 e 39, bem como a implementação e a efetividade dos requisitos de que trata esta Resolução Conjunta, incluindo:
I - a definição de processos, testes e trilhas de auditoria;
II - a definição de métricas e indicadores compatíveis; e
III - a identificação e a correção de eventuais deficiências.
§ 1º A definição dos mecanismos de que trata o caput deve contemplar:
I - os registros de consentimento, de autenticação, de confirmação e de revogação do consentimento para o compartilhamento de que trata esta Resolução Conjunta, no caso de instituições participantes;
II - as informações a respeito dos dados e serviços compartilhados, inclusive das credenciais de identificação dos clientes;
III - as notificações recebidas sobre a subcontratação de que trata o art. 38, inciso VI, quando houver; e
IV - as comunicações recebidas sobre os incidentes de que trata o art. 38, § 3º, quando houver.
§ 2º Os mecanismos de que trata o caput devem:
I - ser submetidos a testes periódicos pela auditoria interna, quando aplicável, compatíveis com os controles internos da instituição;
II - ser compatíveis com a política de segurança cibernética da instituição, prevista na regulamentação em vigor; e
III - assegurar que as demais instituições envolvidas no compartilhamento não tenham acesso às credenciais utilizadas pelo cliente para sua identificação e autenticação, observado o disposto no § 3º. (Artigo acrescemtado pela Resolução Conjunta CMN Nº 10 DE 04/07/2024).
§ 3º No caso do compartilhamento de que trata o art. 9º, parágrafo único, o disposto no inciso III do § 2º será aplicado na forma da regulamentação específica. (Parágrafo acrescemtado pela Resolução Conjunta CMN Nº 10 DE 04/07/2024).
Art. 41. Os mecanismos de acompanhamento e controle da instituição devem abranger indicadores relativos ao desempenho das interfaces usadas para o compartilhamento.
Parágrafo único. A convenção de que trata o art. 44 poderá definir indicadores complementares relativos ao desempenho das interfaces de que trata o caput, bem como mecanismos de transparência e divulgação de tais indicadores ao público.
Do Ressarcimento de Despesas entre Instituições Participantes
Art. 42. Admite-se o ressarcimento de despesas entre instituições participantes decorrentes do compartilhamento de dados e serviços de que trata esta Resolução Conjunta, observadas as vedações à cobrança de que trata o art. 43.
Parágrafo único. Para efeitos do disposto no caput, com relação aos dados e serviços de que trata o art. 5º, incisos I, alíneas "c" e "d", e II, alínea "a", as instituições participantes devem assegurar:
I - o tratamento equitativo e o acesso não discriminatório de instituições participantes, o que pressupõe, entre outros, o acesso aos dados atualizados, sem imposição de janelas de acesso e sem prioridade entre participantes; e
II - a definição, por meio da convenção de que trata o art. 44, com base em parâmetros justificados, aplicáveis igualmente a todas as instituições participantes, de:
a) limites de chamadas de interface por cliente, por instituição, por dia e por assinatura de método, no caso do compartilhamento de dados de que trata o art. 5º, inciso I, alíneas "c" e "d"; e
b) valores e forma de cobrança entre participantes.
Art. 43. É vedado o ressarcimento de despesas, entre as instituições participantes:
I - por quaisquer chamadas de interface com relação aos serviços de iniciação de transação de pagamento de que trata o art. 5º, caput, inciso II, alínea "a"; e (Redação do inciso dada pela Resolução Conjunta CMN Nº 10 DE 04/07/2024).
a) duas chamadas de interface ao mês, por instituição participante, por cliente e por assinatura de método, acerca dos dados de cadastro de que trata o art. 5º, inciso I, alínea "c"; e
b) cento e vinte chamadas de interface ao mês, por instituição participante e por cliente, no que se refere aos dados de transações de que trata o art. 5º, inciso I, alínea "d".
DA CONVENÇÃO
Art. 44. As instituições participantes devem celebrar convenção, com observância das disposições desta Resolução Conjunta, sobre aspectos relativos:
I - aos padrões tecnológicos e aos procedimentos operacionais, que abrangem, no mínimo:
a) a implementação de interfaces dedicadas de que trata o art. 23, inclusive:
1. o desenho da interface;
2. o protocolo para transmissão de dados;
3. o formato para troca de dados; e
4. os controles de acesso às interfaces e aos dados;
b) os padrões e certificados de segurança; e
c) a solicitação de compartilhamento de dados e serviços, de forma a harmonizar:
1. as informações apresentadas aos clientes;
2. a forma de interação com os clientes; e
3. a duração das etapas;
II - à padronização do leiaute dos dados e serviços, abrangendo, inclusive:
a) o dicionário de dados; e
b) o agrupamento de dados de que trata o art. 11;
III - aos canais para encaminhamento de demandas de clientes;
IV - aos procedimentos e aos mecanismos para o tratamento e a resolução de disputas entre as instituições participantes, inclusive as decorrentes de demandas encaminhadas por meio dos canais de que trata o inciso III;
V - ao ressarcimento entre os participantes;
VI - ao repositório de participantes;
VII - aos direitos e às obrigações dos participantes; (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
(Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022):
VIII - aos procedimentos e aos mecanismos para monitoramento dos participantes quanto ao cumprimento de:
a) obrigações de que trata o inciso VII; e
b) outras obrigações previstas em documentos elaborados no âmbito da convenção;
IX - às medidas aplicáveis aos participantes pelo eventual descumprimento das obrigações previstas em documentos elaborados no âmbito da convenção de que trata o inciso VIII e aos procedimentos para aplicação de tais medidas; (Inciso acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
X - às políticas e aos procedimentos de controles internos, de gestão de riscos, de auditoria e de transparência referentes aos serviços prestados aos participantes no âmbito da convenção; (Inciso acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
XI - à política de governança, contemplando as responsabilidades, as diretrizes e as atribuições referentes aos serviços prestados aos participantes no âmbito da convenção; (Inciso acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
XII - às políticas e aos procedimentos de comunicação à sociedade acerca do processo de implementação do Open Finance, das responsabilidades e das atribuições dos participantes e dos resultados alcançados; e (Inciso acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
XIII - aos demais aspectos considerados necessários para o cumprimento do disposto nesta Resolução Conjunta. (Inciso acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
§ 1º Para fins do disposto no caput, deve ser estabelecida estrutura responsável pela governança do processo, constituída de forma a garantir:
I - a representatividade e a pluralidade de instituições e segmentos participantes;
II - o acesso não discriminatório das instituições participantes;
III - a mitigação de conflitos de interesse; e
IV - a sustentabilidade do Open Finance. (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
§ 2º As informações sobre o padrão para implementação das interfaces dedicadas de que trata o inciso I, alínea "a", do caput, inclusive os controles de versionamentos, devem ser mantidas atualizadas e acessíveis às instituições participantes.
§ 3º As informações de que trata o § 2º devem ser mantidas atualizadas e acessíveis ao público, no que diz respeito às interfaces de que trata o art. 23, § 2º.
(Parágrafo acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022):
§ 4º Os procedimentos e os mecanismos para monitoramento de que trata o inciso VIII do caput devem contemplar, no mínimo, os seguintes aspectos:
I - a adequação do uso pelos participantes dos serviços prestados no âmbito da convenção;
II - a aderência dos participantes ao conteúdo dos guias e de outros documentos técnicos e operacionais elaborados no âmbito da convenção, quando aplicável; e
III - a apuração da qualidade dos dados compartilhados pelos participantes de que trata o art. 5º, inciso
I, alíneas "a" e "b".
§ 5º Os participantes devem ser notificados quanto à necessidade de eventuais ajustes em seus procedimentos decorrentes de problemas identificados no curso da atividade de monitoramento de que trata o inciso VIII do caput, inclusive quanto a prazos para tais ajustes, de forma compatível com a criticidade e a complexidade da situação. (Parágrafo acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
§ 6º As políticas e os procedimentos de que trata os incisos X e XII do caput devem contemplar os serviços prestados aos participantes no âmbito da convenção que forem subcontratados. (Parágrafo acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
§ 7º No âmbito da convenção de que trata o caput, fica vedado o estabelecimento de quaisquer mecanismos ou sistemas que centralizem informações relativas a dados e a transações de clientes no âmbito do Open Finance, exceto quando expressamente previsto na regulamentação vigente. (Parágrafo acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
Art. 45. As regras, os procedimentos e os padrões definidos na convenção de que trata o art. 44 devem ser formalizados em instrumento firmado entre as instituições participantes:
II - por outra instituição que detenha poderes de representação da instituição mencionada no inciso I; ou
III - por meio de suas associações representativas de nível nacional.
§ 1º O instrumento que formalizar a convenção deve conter o termo inicial para a observância obrigatória dos seus dispositivos.
§ 2º As regras, os procedimentos e os padrões de que trata o caput devem ser observados de maneira uniforme pelas instituições participantes.
§ 3º O instrumento que formalizar a convenção de que trata o § 1º, bem como os eventuais termos de adesão de novos participantes, devem ser mantidos à disposição do Banco Central do Brasil.
Art. 46. O Banco Central do Brasil deverá:
I - fixar diretrizes para o estabelecimento da estrutura responsável pela governança do processo de implementação do Open Finance, com base nas diretrizes dispostas no art. 44, § 1º; (Redação do inciso dada pela Resolução Conjunta CMN Nº 10 DE 04/07/2024).
II - participar do processo de elaboração da convenção de que trata o art. 44, de forma a garantir o cumprimento dos objetivos previstos no art. 3º e a observância dos princípios de que trata o art. 4º; (Redação do inciso dada pela Resolução Conjunta CMN Nº 10 DE 04/07/2024).
III - estabelecer diretrizes para o desenvolvimento de especificações técnicas e de negócio; (Inciso acrescentado pela Resolução Conjunta CMN Nº 10 DE 04/07/2024).
IV - definir cronograma de desenvolvimento das especificações técnicas e de negócio e da implementação pelas instituições participantes; e (Inciso acrescentado pela Resolução Conjunta CMN Nº 10 DE 04/07/2024).
V - aprovar definições e procedimentos discutidos na estrutura de que trata o inciso I do caput para atendimento aos aspectos da convenção de que trata o art. 44. (Inciso acrescentado pela Resolução Conjunta CMN Nº 10 DE 04/07/2024).
Parágrafo único. Para a definição de que trata o inciso I do caput, o Banco Central do Brasil deverá promover discussões entre as instituições participantes, representadas por meio de suas associações representativas de nível nacional.
Art. 47. O conteúdo da convenção de que trata o art. 44, bem como suas alterações, devem ser submetidos à aprovação do Banco Central do Brasil, nos prazos por ele estabelecidos. (Redação do artigo dada pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021).
DISPOSIÇÕES GERAIS
Art. 48. As instituições devem assegurar que suas políticas para gerenciamento de riscos, previstas na regulamentação em vigor, disponham, com relação à continuidade de negócios, sobre:
I - os procedimentos a serem seguidos no caso da indisponibilidade das interfaces utilizadas para o compartilhamento; (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021).
II - o prazo estipulado para reinício ou normalização da disponibilidade da interface de que trata o inciso I;
III - o tratamento de incidentes relacionados com a violação da segurança dos dados relacionados ao compartilhamento e as medidas tomadas para a sua prevenção e solução; e
IV - a execução de testes de continuidade de negócios, considerando os cenários de indisponibilidade das interfaces de que trata o inciso I e a avaliação dos seus resultados.
Art. 49. As instituições de que trata o art. 1º devem manter à disposição do Banco Central do Brasil pelo prazo de cinco anos:
I - as informações referentes aos consentimentos em vigor de que trata o art. 14;
II - as informações relativas à revogação do consentimento de que trata o art. 15;
(Revogado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
III - o registro de acesso de que trata o art. 25, § 2º, inciso II;
IV - a documentação de que trata o art. 26, § 3º;
V - o relatório semestral, de que trata o art. 33;
VI - o parecer técnico de que trata o art. 36, § 6º;
VII - os procedimentos relativos à verificação da capacidade do potencial parceiro de que trata o art. 37, § 1º;
VIII - os contratos de que trata o art. 38, contado o prazo referido no caput a partir da extinção do contrato;
IX - os dados, os registros e as demais informações relativas aos mecanismos de acompanhamento e de controle de que trata o art. 40; (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
X - o instrumento e os termos de adesão de que trata o art. 45, § 3º; e (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
XI - os dados, as informações e a documentação relativos ao monitoramento de que trata o inciso VIII do caput do art. 44. (Inciso acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
Parágrafo único. Para fins do disposto nos incisos IX e XI do caput, o prazo deve ser contado a partir da data de implementação dos citados mecanismos. (Redação do parágrafo dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
DISPOSIÇÕES FINAIS
Art. 50. As instituições participantes podem realizar a agregação de dados de seus clientes compartilhados no âmbito desta Resolução Conjunta, desde que essa atividade guarde relação com o seu objeto social e seja inerente à consecução de seus objetivos.
Art. 51. O Banco Central do Brasil poderá adotar as medidas necessárias para o cumprimento do disposto nesta Resolução Conjunta, bem como estabelecer:
I - o detalhamento dos dados e serviços objeto de compartilhamento, de que trata o art. 5º;
a) à indisponibilidade das interfaces de que trata o art. 25; e
b) ao desempenho de processos de solicitação de compartilhamento pelo cliente de que trata o art. 8º;
III - os prazos para comunicação dos casos de indisponibilidade de que trata o art. 25; (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
IV - a exigência de certificações e de outros requisitos técnicos a serem requeridos das parceiras contratadas, pela instituição contratante, no compartilhamento que trata o art. 36;
V - os parâmetros complementares relativos às vedações para o ressarcimento de despesas de que trata o art. 43;
VI - a forma de participação de que trata o art. 46;
VII - a forma de submissão da convenção de que trata o art. 47;
VIII - os prazos máximos para reinício ou normalização da disponibilidade das interfaces, de que trata o art. 48, inciso II; (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021).
IX - demais requisitos e procedimentos operacionais para o cumprimento desta Resolução Conjunta; (Redação do inciso dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
(Inciso acrescentado pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021):
X - o cronograma de:
a) entregas de conteúdo da convenção de que trata o art. 47; e
b) implementação do Open Finance; e (Redação da alínea dada pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
XI - outros aspectos necessários à implementação do Open Finance, de acordo com as competências legais do Banco Central do Brasil. (Inciso acrescentado pela Resolução Conjunta BACEN/CMN Nº 4 DE 24/03/2022, com efeitos a partir de 02/05/2022).
Parágrafo único. Os parâmetros relativos à indisponibilidade e ao desempenho eventualmente definidos de acordo com o caput, inciso II, devem ser compatíveis com a regulamentação vigente, inclusive com o regulamento ou instrumento que discipline o funcionamento do arranjo de pagamento referente à respectiva transação de pagamento.
Art. 52. O Banco Central do Brasil poderá vetar ou impor restrições ao compartilhamento de que trata o art. 36 desta Resolução Conjunta, quando constatar, a qualquer tempo, a inobservância do disposto nesta Resolução Conjunta, bem como a limitação à atuação do Banco Central do Brasil, estabelecendo prazo para a adequação de processos.
Art. 53. As instituições de que trata o art. 1º que, na data de entrada em vigor desta Resolução Conjunta, já tiverem contratos com entidades não autorizadas por esta Autarquia para compartilhar dados e serviços nos termos do art. 36, devem apresentar ao Banco Central do Brasil, até 3 de novembro de 2020, cronograma para adequação ao cumprimento do disposto no art. 38.
Parágrafo único. O prazo final previsto no cronograma para adequação mencionado no caput não pode ultrapassar 31 de dezembro de 2021.
Art. 54. A Resolução nº 3.919, de 25 de novembro de 2010 , passa a vigorar com as seguintes alterações:
" Art. 1º .....
.....
§ 2º .....
I - em contas à ordem do Poder Judiciário e para a manutenção de depósitos em consignação de pagamento de que trata a Lei nº 8.951, de 13 de dezembro de 1994 ;
II - do sacado, em decorrência da emissão de boletos ou faturas de cobrança, carnês e assemelhados; e
III - pelo compartilhamento de dados de que trata a Resolução Conjunta nº 1, de 4 de maio de 2020." (NR)
" Art. 5º .....
.....
XIX - fornecimento emergencial de segunda via de cartão de crédito;
XXI - agregação de dados compartilhados no âmbito da Resolução Conjunta nº 1, de 2020.
....." (NR)
Art. 55. Esta Resolução Conjunta entra em vigor em 1º de junho de 2020. (Redação do artigo dada pela Resolução Conjunta BACEN/CMN Nº 3 DE 24/06/2021).
ROBERTO DE OLIVEIRA CAMPOS NETO
Presidente do Banco Central do Brasil
