¿Qué es el Open Banking? PSD2, consentimiento y datos | Cash Book
Respuesta rápida
El open banking es un conjunto de normas y estándares técnicos que permiten autorizar a tu banco para compartir datos de tu cuenta o iniciar pagos a través de un tercero regulado. En la Unión Europea proviene de la segunda Directiva de Servicios de Pago, PSD2. En el Reino Unido surge de una orden de la Autoridad de Competencia y Mercados que obligó a los nueve bancos más grandes a publicar una API común. Existen dos roles regulados: información de cuenta, que lee saldos y transacciones, e iniciación de pagos, que mueve dinero. Ambos requieren autorización de un regulador y tu consentimiento explícito y temporal, el cual puede ser revocado en cualquier momento.
La gente escucha "open banking" e imagina al banco compartiendo sus datos por ahí. Alguna versión de: hay un acuerdo, las apps están en una lista, las transacciones ya están en algún lugar. Es casi lo contrario. Todo funciona bajo el consentimiento que tú das, a un proveedor nombrado, para un alcance específico, por un tiempo limitado, y que puedes retirar. Los bancos tampoco se ofrecieron como voluntarios. Los reguladores les obligaron a construir la puerta, y solo se abre cuando tú lo dices.
Dos roles, y un regulador detrás de cada uno
En la Unión Europea la base legal es la segunda Directiva de Servicios de Pago, Directiva (UE) 2015/2366, conocida como PSD2. Creó dos roles regulados, y la diferencia entre ellos es la diferencia entre leer y escribir. Un proveedor de servicios de información de cuenta lee: saldos, historial de transacciones, detalles de cuenta. Un proveedor de servicios de iniciación de pagos escribe: ordena una transferencia desde tu cuenta sin una tarjeta de por medio. Las apps de presupuesto quieren lo primero. Los botones de pago quieren lo segundo. Ambos necesitan autorización de un regulador nacional, y ambos necesitan tu consentimiento explícito para cada conexión. La PSD2 será reemplazada por un paquete sucesor: una directiva sobre licencias junto con un reglamento directamente aplicable que contiene las normas de open banking y fraude. La Comisión Europea publica el estado actual de la cuestión.
El Reino Unido llegó por otro camino. La Autoridad de Competencia y Mercados (CMA) investigó la banca minorista, descubrió que los clientes rara vez cambiaban de banco y que los competidores tenían dificultades para competir, y su orden de remedio exigió a los nueve mayores proveedores de cuentas corrientes, los CMA9, construir un estándar de API común y financiar un organismo central para redactar las normas y supervisarlas. Ese organismo fue la Open Banking Implementation Entity. Ahora opera como Open Banking Limited, y la Autoridad de Conducta Financiera (FCA) autoriza a las empresas que utilizan el estándar.
Vale la pena tenerlo en cuenta, porque mucha gente lo entiende al revés: la conexión es con un tercero que opera bajo su propia autorización. Tu banco está proporcionando el acceso. No está respaldando la aplicación.
La redirección, y la empresa que no elegiste
El flujo se siente igual bajo ambos regímenes. Eliges un proveedor dentro de una app, eres redirigido a tu banco, te autenticas como siempre haces, apruebas un alcance de acceso nombrado y vuelves a la app. La aplicación nunca recibe tu contraseña bancaria. Esa parte es un diseño genuinamente bueno.
El consentimiento es de tiempo limitado. Los estándares técnicos de la PSD2 requerían originalmente una nueva autenticación cada 90 días para el acceso continuo a los datos, y una enmienda posterior amplió ese plazo, que es la razón por la que las conexiones bancarias dentro de las apps de presupuesto dejan de enviar datos periódicamente y te piden que inicies sesión de nuevo. No es que la aplicación sea difícil.
Luego está el detalle que casi nadie lee con atención. Muy pocas aplicaciones de consumo poseen la licencia; compran el acceso a un agregador autorizado como Plaid, TrueLayer o Tink, que posee los permisos y gestiona las conexiones con miles de instituciones, por lo que un interruptor de sincronización bancaria suele significar que tu historial de transacciones pasa por una cuarta empresa que nunca elegiste, nombrada en la pantalla de consentimiento y lejos de la página de marketing. Revocar es un trabajo de dos lugares por la misma razón. Desactiva el consentimiento dentro de la aplicación, luego abre la app de tu banco, que mantiene la lista de terceros conectados y un control para revocarlos, porque eliminar algo de tu teléfono no le dice al banco de forma fiable que cierre la puerta detrás.
Un feed te dice qué salió, no para qué era
El open banking responde bien a una pregunta: qué salió de la cuenta. No responde a la pregunta sobre la que realmente gira un presupuesto, que es para qué era el dinero, y ninguna cantidad de calidad de API soluciona eso, porque un feed te entrega una cadena de comercio, un importe y una fecha, y decidir que un descriptor de tarjeta ilegible era una comida de trabajo en lugar de la compra del supermercado sigue siendo tarea tuya. Déjalo pasar cuatro días y no te acordarás. Por eso los rastreadores sincronizados terminan tan a menudo con una categoría grande e inútil de "sin clasificar" a final de mes.
El tiempo es el segundo límite. Las transacciones con tarjeta llegan como pendientes y se liquidan más tarde, a veces por un importe diferente, lo que significa que un saldo conectado no es lo mismo que el dinero que puedes gastar, y el tiempo del flujo de caja es un problema distinto a la cifra en pantalla. Los retiros de efectivo llegan como una sola línea que oculta cinco compras. La cobertura también tiene agujeros: es buena para cuentas corrientes en la UE y el Reino Unido, pero más escasa para ahorros, tarjetas de crédito e instituciones más pequeñas.
Así que un feed es una herramienta de conciliación decente pero una herramienta de concienciación pobre. Te informa a posteriori. El momento que cambia el comportamiento es el momento en que estás en la caja, que es el argumento que la guía de seguimiento de gastos desarrolla en detalle.
El otro lado del intercambio
Cash Book nunca se conecta a un banco. Es una elección deliberada y tiene un coste real: nada llega por sí solo, nunca. Lo que recibes a cambio es que no hay pantalla de consentimiento, ni agregador en medio, ni reautenticación cada 90 días, ni una copia de tu historial de transacciones en el servidor de nadie, porque los datos viven en el iPhone y, si lo activas, en tu propia cuenta de iCloud, que es lo que cubre la sincronización y privacidad de iCloud.
La velocidad de entrada es lo que reemplaza al feed. El registro por voz convierte una frase hablada en una o varias transacciones; la guía de escaneo de recibos cubre cómo fotografiar una factura en lugar de escribirla; y el registro automático de Apple Pay utiliza la automatización de Atajos de Apple para que un pago con tarjeta se registre solo, tal como explica la guía de Apple Pay. Apple no proporciona una API para los pagos con tarjeta. El disparador de Atajos es la única ruta que tiene cualquier aplicación.
Una app sincronizada te da completitud y te pide que clasifiques después. Una app manual te da atención y te pide que registres en el momento. Ninguna es gratuita, y quien venda una como si lo fuera está omitiendo algo.
Si el trabajo consiste en comprobar los detalles de la cuenta de otra persona antes de enviarle dinero, ese es un problema completamente distinto, y el validador de IBAN realiza la comprobación estructural mientras que la entrada IBAN explica lo que no puede decirte. Para la autorización de un proveedor específico, búscalo en el registro público del regulador nacional.
Obtén Cash Book en la App StoreGratis por 7 días. $19.99 pago único de por vida.
Preguntas frecuentes
¿Es seguro el open banking?
Su diseño evita el mayor riesgo: te autenticas en tu propio banco y la aplicación nunca ve tu contraseña bancaria. El acceso está limitado, registrado y es revocable desde la aplicación de tu banco. Los riesgos residuales son los habituales de cualquier dato, como qué empresa guarda la copia de tus transacciones y por cuánto tiempo; por ello, lee la pantalla de consentimiento antes de aprobar y verifica la autorización regulatoria del proveedor.
¿Cuál es la diferencia entre AIS y PIS?
Un servicio de información de cuenta (AIS) lee: saldos, transacciones y detalles de cuenta. Un servicio de iniciación de pagos (PIS) escribe: ordena una transferencia desde tu cuenta sin usar una tarjeta. Las aplicaciones de presupuesto y contabilidad usan el primero. Los botones de pago que abonan directamente desde tu cuenta bancaria usan el segundo. Son permisos separados bajo la PSD2 y una empresa puede tener uno sin el otro.
¿Por qué mi conexión bancaria me pide iniciar sesión constantemente?
El consentimiento para el acceso a la información de cuenta está limitado por regulación, no por la aplicación. Los estándares técnicos de la PSD2 requerían originalmente una autenticación reforzada cada 90 días para mantener el acceso, y una enmienda posterior amplió ese plazo. Cuando caduca, la conexión deja de enviar datos hasta que te vuelvas a autenticar en tu banco.
¿Utiliza Cash Book open banking?
No. Cash Book nunca se conecta a un banco, por lo que no hay consentimiento que otorgar ni nada que reautenticar. Las transacciones se introducen por voz, escaneo de recibos, registro automático de Apple Pay mediante la app Atajos de Apple, o el teclado, y permanecen en el iPhone o en tu propia cuenta de iCloud. Es un compromiso, no una ventaja gratuita: nada llega por sí solo desde el banco.
¿Quién tiene realmente la licencia cuando una app ofrece sincronización bancaria?
Normalmente no es la aplicación. La mayoría de las apps de consumo compran el acceso a un agregador autorizado como Plaid, TrueLayer o Tink, que posee los permisos y mantiene las conexiones con miles de bancos. Esto significa que tus datos pasan por una empresa que no elegiste. El proveedor aparece en la pantalla de consentimiento y en la política de privacidad de la app.
¿Es el open banking lo mismo que el open finance?
No. El open banking cubre cuentas de pago. El open finance es la idea más amplia de extender el mismo modelo de acceso a ahorros, pensiones, inversiones, hipotecas y seguros. Varias jurisdicciones están consultando sobre ello, y la Unión Europea ha legislado un marco de acceso a datos financieros separado de las normas de servicios de pago. El alcance que realmente puedes compartir hoy sigue siendo mayoritariamente cuentas de pago.
¿Puedo evitar que una app vea mi cuenta?
Sí, desde dos lugares. Revoca el consentimiento dentro de la aplicación y también revisa la app de tu banco, que mantiene una lista de terceros conectados y un control de revocación. Hacer ambas cosas vale la pena, ya que una aplicación que deja de funcionar no siempre avisa al banco para cerrar la conexión.
Fuentes
Obtén Cash Book en la App StoreGratis por 7 días. $19.99 pago único de por vida.