Brésil : la banque centrale renforce la sécurité et la gouvernance de l’Open Finance

Un cadre réglementaire ajusté pour les données financières

La Banque centrale du Brésil et le Conseil monétaire national ont approuvé de nouvelles règles concernant l’Open Finance, le système qui permet aux clients d’autoriser la circulation de certaines informations entre institutions financières et prestataires. La résolution conjointe n° 21, datée du 22 octobre 2026, modifie la résolution fondatrice n° 1 du 4 mai 2020. L’objectif n’est pas d’interrompre le partage des données, mais de l’encadrer dans un environnement où les services se multiplient et où les risques opérationnels se diversifient.

Les données financières peuvent faciliter la comparaison des offres, l’accès à des services personnalisés ou une meilleure organisation des comptes d’entreprise. Elles représentent aussi une responsabilité importante pour les institutions qui les reçoivent ou les transmettent. La nouvelle réglementation cherche à clarifier les obligations des acteurs, notamment lorsque des partenaires techniques interviennent dans les parcours numériques.

La banque centrale obtient des leviers de contrôle supplémentaires

Le texte prévoit que la Banque centrale puisse restreindre ou interdire certains partages de données lorsque les obligations réglementaires ne sont pas respectées. Elle peut également demander la suspension ou la cessation d’un contrat de partenariat en cas de risque pour la sécurité ou la solidité du système financier ou du système de paiements. Ces dispositions ne correspondent pas à un blocage généralisé de l’Open Finance : elles créent des mécanismes d’intervention ciblés et motivés.

La réglementation renforce en parallèle les responsabilités de gouvernance au sein des institutions participantes. Les directions et organes compétents doivent assurer le suivi de la conformité et des mesures correctrices nécessaires. Cette clarification répond à une difficulté fréquente des plateformes numériques : une chaîne de partenaires peut être complexe, mais l’utilisateur doit pouvoir identifier qui est responsable de la protection de ses informations.

Des délais pour revoir les contrats existants

La résolution fixe également un calendrier pour les institutions déjà engagées dans des partenariats de partage de données. Celles qui disposent de contrats en vigueur à la date de publication doivent remettre à la Banque centrale, au plus tard le 1er décembre 2026, la liste de leurs partenaires concernés. Des informations relatives à la mise en conformité des contrats et des consentements existants devront ensuite être fournies selon un calendrier que la Banque centrale déterminera.

Cette phase de transition est importante pour les banques et entreprises de technologie financière. La conformité exigera une cartographie précise des flux d’informations, une révision éventuelle de certains contrats et l’adaptation des systèmes de contrôle. Les coûts correspondants ne sont pas documentés dans l’annonce ; il serait donc prématuré de chiffrer leur impact sur les prestataires ou sur le prix final des services.

Une ouverture ciblée aux besoins des entreprises

Un autre aspect des règles concerne le consentement, notamment dans les relations entre entreprises et institutions financières. La Banque centrale explique préparer des parcours dans lesquels l’autorisation d’accès peut intervenir à des moments différents chez l’établissement qui reçoit l’information et chez celui qui la transmet. Pour les personnes morales, différentes personnes habilitées pourront intervenir selon les procédures internes de représentation et d’approbation.

Cette adaptation répond à un besoin concret : les décisions financières d’une entreprise ne sont pas toujours prises par une seule personne. Les nouveaux parcours doivent respecter les délégations de pouvoir sans rendre le service inutilement complexe. Leur déploiement futur reste distinct de la publication immédiate de la résolution.

Le Brésil entend ainsi consolider l’Open Finance comme infrastructure de concurrence et d’innovation, tout en montrant que la confiance constitue une condition de son développement. Le principal indicateur de réussite ne sera pas seulement le nombre de connexions techniques, mais la capacité des utilisateurs à comprendre, contrôler et, si nécessaire, interrompre le partage de leurs données.

Le consentement ne peut être réduit à une formalité

Le partage de données repose sur la capacité du client à comprendre quels renseignements circulent, entre quels établissements et pour quels services. Pour les entreprises, cette exigence implique une articulation entre la réglementation bancaire et les procédures internes d’autorisation. Une société peut avoir plusieurs représentants légaux ou des circuits de validation distincts selon les montants en jeu. Les parcours numériques devront refléter ces réalités sans multiplier les obstacles inutiles. La confiance exigera aussi des modalités accessibles pour retrouver les autorisations accordées et signaler un usage contesté. Aucun de ces bénéfices n’est automatique : ils dépendront des interfaces mises en place par les institutions et des contrôles de l’autorité de supervision.