Open Finance é seguro? Os 3 dados que a norma proíbe compartilhar e o protocolo de 7 dias para auditar o seu

Você baixou o app de um banco que nunca usou e, logo na primeira tela, ele já mostrava o saldo da sua conta antiga. Ninguém pediu sua senha, ninguém ligou, o dado simplesmente estava lá. É nesse instante que quase todo mundo digita a mesma pergunta: open finance é seguro?

A conclusão seguinte costuma ser a errada: a de que o banco novo entrou na sua conta, que alguém vendeu seus dados, que há uma porta aberta em algum lugar. Entre as duas instituições existe uma via regulada que carrega uma cópia de dados específicos, apenas os que você liberou, e apenas enquanto você deixar.

A virada está em trocar a pergunta. Em vez de perguntar se o sistema é seguro no abstrato, pergunte o que exatamente trafega por ele. Essa resposta não é opinião de banco nem promessa de marketing, está escrita na Resolução Conjunta nº 1, de 4 de maio de 2020, que criou o sistema.

Abaixo estão os três dados que a norma proíbe compartilhar, a regra de prazo que mudou em 2023 e que muito texto ainda repete errado, como revogar um consentimento, e um protocolo de sete dias para auditar o que você já autorizou e não lembra mais.

O que é o Open Finance, sem a explicação do banco

Open Finance é a regra que obriga instituições financeiras a entregar, quando o cliente autoriza, os dados que elas guardam sobre ele. Antes disso, seu histórico de conta era um ativo do banco. Agora é um ativo seu, que você aponta para onde quiser.

O escopo está no artigo 5º e vai bem além da conta corrente. Entram poupança, contas de pagamento, operações de crédito, câmbio, investimentos, seguros e previdência complementar aberta, além de dois serviços: a iniciação de transação de pagamento e o encaminhamento de proposta de operação de crédito.

Sobre o histórico, o parágrafo 5º do mesmo artigo determina que o compartilhamento abrange, no mínimo, as transações dos últimos doze meses dos produtos com contrato vigente. Guarde o detalhe: esses doze meses descrevem o tamanho da janela de extrato, não a validade da sua autorização. Confundir as duas coisas é a origem de boa parte dos textos errados sobre o assunto.

Open Finance é seguro? A norma lista três dados que ninguém pode compartilhar

A resposta honesta não é sim nem não, é uma lista. O parágrafo 4º do artigo 5º define o que entra no compartilhamento de dados cadastrais e abre três exceções explícitas. São elas que sustentam o modelo.

Sintoma: o medo de que a senha vá junto

Quem autoriza pela primeira vez sente que está entregando a chave da conta. A sensação lembra os agregadores antigos, que pediam login e senha do banco para raspar a tela.

Por que acontece: aquele modelo funcionava assim mesmo, e era inseguro de verdade. O Open Finance nasceu para matar a prática. A alínea c do parágrafo 4º exclui do compartilhamento as credenciais e outras informações utilizadas com o objetivo de efetuar a autenticação do cliente. Senha está fora do escopo por regra, não por boa vontade da instituição.

O ajuste: se alguém pedir a senha do seu banco fora do aplicativo do próprio banco, aquilo não é Open Finance, é golpe. Volte a esse critério sempre.

Sintoma: o receio de que o score vá para o banco novo

Muita gente evita autorizar por medo de que a pontuação de crédito viaje junto e derrube uma proposta.

Por que acontece: score virou sinônimo de reputação financeira, então parece natural que esteja no pacote. A alínea b do parágrafo 4º diz o contrário: notas ou pontuações de crédito estão expressamente excluídas do compartilhamento de dados cadastrais.

O ajuste: a outra instituição recebe seu histórico bruto, os produtos contratados, os limites, e forma a própria opinião. Esse é o ponto do sistema. O que ela não recebe é a nota que um bureau já atribuiu a você.

Sintoma: a dúvida sobre dados pessoais delicados

Saúde e biometria aparecem nas preocupações de quem já leu sobre proteção de dados.

Por que acontece: essas categorias têm proteção reforçada na Lei nº 13.709 de 2018, a LGPD, cujo artigo 5º, inciso II, define dado pessoal sensível como aquele sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, além de dado genético ou biométrico vinculado a uma pessoa natural. A alínea a do parágrafo 4º puxa a mesma definição e exclui tudo isso do compartilhamento.

O ajuste: pare de tratar Open Finance e LGPD como assuntos separados. O primeiro roda dentro do segundo, e a lista de exclusões existe por causa disso.

Ninguém pode incluir você sem um clique seu

O sintoma: você abre um app novo, vê a conta antiga refletida ali e não lembra de ter autorizado nada.

Por que acontece: o consentimento costuma estar embutido numa jornada que você fez por outro motivo, como pedir um cartão ou simular um empréstimo. A tela aparece no meio do fluxo, você toca em continuar e ela some da memória em dois dias.

O que a norma proíbe é o passo seguinte, autorizar por você. O parágrafo 3º do artigo 10 veda obter o consentimento por contrato de adesão, por formulário com opção de aceite previamente preenchida e de forma presumida, sem manifestação ativa do cliente. Caixinha já marcada é irregular, cláusula escondida em contrato também.

O ajuste: leia dois campos antes de continuar, a finalidade e a lista de dados. O artigo 14 obriga a instituição a mostrar as instituições envolvidas, os dados, o prazo de validade e a finalidade. Campo vago ali é motivo objetivo para não autorizar.

A regra dos 12 meses mudou em 2023 e quase ninguém corrigiu o texto

O sintoma: você leu em algum lugar que o consentimento vence sozinho em um ano e passou a confiar nisso como uma faxina automática.

Por que acontece: a informação já foi verdadeira. A redação original da Resolução Conjunta nº 1 exigia, no artigo 10, parágrafo 1º, inciso III, que o consentimento tivesse prazo de validade compatível com as finalidades, limitado a doze meses. Esse trecho final foi retirado. A redação em vigor, dada pela Resolução Conjunta nº 7, de 26 de outubro de 2023, manteve só a exigência de prazo compatível com a finalidade.

Uma ressalva honesta: o texto citado é a versão consolidada, que segue recebendo alterações, a mais recente pela Resolução Conjunta nº 10, de 4 de julho de 2024. Confira a data da versão sempre que o assunto for prazo.

O ajuste: pare de contar com vencimento automático. Consentimento de longa duração é legal, desde que o prazo seja compatível com a finalidade declarada. A faxina virou tarefa sua, e é por isso que o protocolo abaixo existe.

O risco real não é o Open Finance, é o falso Open Finance

O sintoma: chega uma ligação, um SMS ou um link dizendo que você precisa validar, recadastrar ou regularizar seu Open Finance, quase sempre com prazo apertado.

Por que acontece: o nome virou isca. Soa oficial, tem cara de Banco Central, e a maioria das pessoas não sabe como o fluxo legítimo funciona, o que abre espaço para o criminoso inventar um.

O fluxo verdadeiro tem forma fixa. O artigo 8º determina que a solicitação compreende as etapas de consentimento, autenticação e confirmação, exclusivamente por canais eletrônicos, por meio de interface dedicada, de forma sucessiva e ininterrupta. Na prática, você começa no app de quem vai receber os dados, é redirecionado para o app de quem os detém, se autentica lá dentro e confirma. Quem valida sua identidade é a instituição que já tem a sua conta, conforme o artigo 16.

Há ainda um filtro pouco conhecido. O parágrafo 2º do artigo 15 veda à instituição que detém a conta propor ao cliente a revogação de um consentimento, exceto em caso de suspeita justificada de fraude. Banco ligando do nada para pedir que você cancele autorizações é comportamento que a norma não prevê como rotina.

O ajuste: não autorize nada que tenha começado em um link recebido. Feche tudo, abra o aplicativo pelo ícone na sua tela e refaça o caminho por dentro. Se o pedido era legítimo, estará lá.

Como cancelar o Open Finance e em quanto tempo o acesso cai

O artigo 15 garante a revogação a qualquer tempo, por procedimento seguro, ágil, preciso e conveniente. O parágrafo 1º acrescenta uma proteção prática: a instituição deve oferecer a revogação ao menos pelo mesmo canal em que ela foi concedida, se esse canal ainda existir.

Os prazos estão no parágrafo 3º e mudam conforme o caso. Para iniciação de transação de pagamento, a revogação ocorre em até um dia. Para os demais casos, incluindo compartilhamento de dados, é imediata. E, pelo parágrafo 4º, precisa ser comunicada na hora às outras instituições envolvidas.

Isso conversa com a LGPD, cujo artigo 8º, parágrafo 5º, estabelece que o consentimento pode ser revogado a qualquer momento por procedimento gratuito e facilitado. App que esconde o botão ou empurra você para um atendimento interminável não tem usabilidade ruim, está descumprindo a regra.

Protocolo de 7 dias para auditar seus consentimentos

Ler sobre segurança não muda nada. O que muda é olhar o seu caso. Este roteiro leva poucos minutos por dia e devolve uma resposta concreta.

• Dia 1, inventário. Liste todo aplicativo financeiro do celular, inclusive os que você não abre há meses. A maioria chuta cinco e chega a doze.
• Dia 2, o app principal. Abra o banco onde cai seu salário e procure a área de Open Finance, em geral dentro de configurações ou privacidade. Anote quantos consentimentos ativos existem e para quem.
• Dia 3, o resto da lista. Repita nos outros. Contas antigas e carteiras digitais esquecidas são onde aparecem as surpresas.
• Dia 4, teste da finalidade. Para cada consentimento, responda em uma frase o que você ganha com ele hoje. Não conseguiu terminar a frase? Marque para revogar.
• Dia 5, revogação. Cancele os marcados, anote a hora e verifique se o acesso caiu na hora. Se não caiu, e não for iniciação de pagamento, você tem um caso para reclamar.
• Dia 6, encaminhamento. Ficou pendência? Registre a demanda. Os artigos 34 e 35 estabelecem que a instituição é responsável por tratar demandas sobre o compartilhamento e deve informar quais canais existem para isso.
• Dia 7, o calendário. Marque repetição a cada seis meses. Como o teto de doze meses saiu da norma, essa revisão manual virou a sua única faxina garantida.

O resultado é uma resposta sobre o seu caso. Terminou com dois consentimentos que fazem sentido? O sistema trabalha para você. Terminou com nove, sete deles esquecidos? O problema nunca foi a norma, foi a sua rotina de autorizações.

Quando não é o Open Finance

Esta explicação tem limites, e ignorá-los faz você procurar solução no lugar errado. Ela não se aplica aqui:

• Dinheiro saiu da conta. Compartilhamento de dados não move saldo. Houve transferência não reconhecida? O caminho é contestação e boletim de ocorrência, não revisão de consentimentos.
• Alguém acessou sua conta com login e senha. Isso é comprometimento de credencial, e credencial está fora do escopo do compartilhamento. Troque a senha e acione a instituição.
• Ligação de falso funcionário. O problema é engenharia social. Nenhuma configuração resolve, porque o ataque acontece antes de qualquer sistema.
• Crédito recusado. A análise usa critérios próprios e bureaus. Autorizar ou revogar compartilhamento não é botão de aprovação.
• Vazamento em empresa que não é financeira. Loja, operadora ou rede social não participam desse sistema. O caso é de LGPD pura.

Open Finance vale a pena?

Vale quando existe finalidade clara e curta: portabilidade de crédito com proposta melhor, consolidação de contas em um painel, comprovação de renda sem reunir extratos em PDF. Você troca visibilidade por algo mensurável. O caso mais concreto é quem está preso em crédito rotativo caro e quer migrar para uma linha com prazo definido, situação que detalhei em juros do cheque especial.

Não vale como hábito distraído. Autorizar em toda simulação e nunca revisar transforma um sistema desenhado para devolver controle em mais uma camada de bagunça. A norma exige finalidade determinada no consentimento. Use o mesmo critério antes de tocar em continuar.

Perguntas frequentes

Leia também

• Bancos Digitais e Fintechs: o Guia Completo para Organizar seu Dinheiro
• Como escolher um banco digital em 2026 sem cair em 5 armadilhas
• App de controle financeiro grátis: os 7 melhores de 2026
• Entenda o que é conta digital e mude sua vida financeira
• Novas Regras do PIX na Receita Federal: o que muda

Fontes

• Resolução Conjunta nº 1, de 4 de maio de 2020, texto consolidado, Banco Central do Brasil e Conselho Monetário Nacional. Artigos 5º, 6º, 8º, 10, 14, 15, 16, 34 e 35.
• Resolução Conjunta nº 1, redação anterior, Banco Central do Brasil. Artigo 10, parágrafo 1º, inciso III, com o antigo limite de doze meses.
• Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais, Presidência da República. Artigo 5º, inciso II, e artigo 8º, parágrafo 5º.

Aviso: este conteúdo é informativo e educacional, baseado na regulamentação vigente na data de publicação. Ele não constitui recomendação financeira, jurídica ou de investimento e não substitui a orientação de um profissional habilitado nem o atendimento da sua instituição financeira. Normas do sistema financeiro são alteradas com frequência, então confira a versão vigente antes de tomar qualquer decisão.