Qu'est-ce que l'Open Banking ? DSP2, Consentement et Données | Cash Book
Réponse rapide
L'open banking est un ensemble de règles et de normes techniques permettant à votre banque de partager vos données de compte ou d'initier un paiement via un tiers régulé. Dans l'Union européenne, il découle de la directive sur les services de paiement, la DSP2. Au Royaume-Uni, il provient d'une décision de la Competition and Markets Authority imposant aux neuf plus grandes banques de publier une API commune. Il existe deux rôles régulés : l'information sur les comptes, qui lit les soldes et les transactions, et l'initiation de paiement, qui déplace l'argent. Les deux nécessitent l'autorisation d'un régulateur et votre consentement explicite et limité dans le temps, révocable à tout moment.
Les gens entendent « open banking » et imaginent la banque distribuant leurs données. Une sorte d'accord où les applications sont sur une liste et les transactions circulent déjà quelque part. C'est presque l'inverse. Tout repose sur un consentement que vous donnez, à un prestataire nommé, pour un périmètre défini, pour une durée limitée, et que vous pouvez retirer. Les banques n'ont rien fait de leur plein gré non plus. Les régulateurs les ont forcées à construire cette porte, et elle ne s'ouvre que lorsque vous le décidez.
Deux rôles, et un régulateur derrière chacun
Dans l'Union européenne, la base légale est la deuxième directive sur les services de paiement, Directive (UE) 2015/2366, connue sous le nom de DSP2. Elle a créé deux rôles régulés, et la différence entre eux est celle entre la lecture et l'écriture. Un prestataire de services d'information sur les comptes lit : soldes, historique des transactions, détails du compte. Un prestataire de services d'initiation de paiement écrit : il ordonne un virement depuis votre compte sans carte intermédiaire. Les applications de budget veulent le premier. Les boutons de paiement veulent le second. Les deux nécessitent l'autorisation d'un régulateur national et votre consentement explicite pour chaque connexion. La DSP2 doit être remplacée par un ensemble de textes successeurs : une directive sur l'agrément accompagnée d'un règlement directement applicable portant sur l'open banking et les règles de fraude. La Commission européenne publie l'état actuel des choses.
Le Royaume-Uni a suivi une voie différente. La Competition and Markets Authority a enquêté sur la banque de détail, a constaté que les clients changeaient rarement de banque et que les nouveaux acteurs peinaient à rivaliser. Sa décision a imposé aux neuf plus grands fournisseurs de comptes courants, la CMA9, de construire une norme d'API commune et de financer un organisme central pour rédiger les règles et les contrôler. Cet organisme était l'Open Banking Implementation Entity. Il opère désormais sous le nom d'Open Banking Limited, et la Financial Conduct Authority autorise les entreprises qui utilisent cette norme.
Il est important de garder cela à l'esprit, car beaucoup de gens inversent les rôles : la connexion se fait avec un tiers opérant sous sa propre autorisation. Votre banque fournit l'accès. Elle ne cautionne pas l'application.
La redirection, et l'entreprise que vous n'avez pas choisie
Le processus semble identique dans les deux régimes. Vous choisissez un prestataire dans une application, vous êtes redirigé vers votre banque, vous vous authentifiez comme d'habitude, vous approuvez un périmètre d'accès nommé, et vous êtes renvoyé vers l'application. Celle-ci ne reçoit jamais votre mot de passe bancaire. Cette partie est une conception réellement efficace.
Le consentement est limité dans le temps. Les normes techniques de la DSP2 exigeaient initialement une nouvelle authentification tous les 90 jours pour un accès continu aux données, et un amendement ultérieur a prolongé cette fenêtre. C'est pourquoi les connexions bancaires dans les applications de budget cessent périodiquement de transmettre des données et vous demandent de vous reconnecter. Ce n'est pas l'application qui est capricieuse.
Ensuite, il y a le détail que presque personne ne lit attentivement. Très peu d'applications grand public détiennent elles-mêmes la licence ; elles achètent l'accès auprès d'un agrégateur agréé comme Plaid, TrueLayer ou Tink, qui détient les permissions et gère les connexions avec des milliers d'institutions. Ainsi, une option de synchronisation bancaire signifie généralement que votre historique de transactions transite par une quatrième entreprise que vous n'avez jamais choisie, nommée sur l'écran de consentement et absente de la page marketing. La révocation est une tâche à effectuer à deux endroits pour la même raison. Désactivez le consentement dans l'application, puis ouvrez l'application de votre banque, qui conserve la liste des tiers connectés et une option pour les révoquer, car supprimer une application de votre téléphone n'indique pas toujours à la banque de fermer la porte derrière elle.
Un flux vous dit ce qui est parti, pas ce que c'était
L'open banking répond bien à une question : ce qui a quitté le compte. Il ne répond pas à la question sur laquelle repose un budget, à savoir à quoi servait l'argent. Aucune qualité d'API ne peut corriger cela, car un flux vous transmet un libellé de marchand, un montant et une date. Décider qu'un libellé de carte illisible correspondait à un déjeuner de travail plutôt qu'à des courses reste votre responsabilité. Attendez quatre jours et vous ne vous en souviendrez plus. C'est pourquoi les trackers synchronisés finissent si souvent avec une large catégorie « non classé » inutile à la fin du mois.
Le timing est la seconde limite. Les transactions par carte arrivent en attente et sont réglées plus tard, parfois pour un montant différent. Cela signifie qu'un solde connecté n'est pas la même chose que l'argent disponible, et le timing du flux de trésorerie est un problème distinct du chiffre affiché. Les retraits d'espèces arrivent sous forme d'une ligne unique masquant cinq achats. La couverture a aussi des lacunes : efficace pour les comptes courants dans l'UE et au Royaume-Uni, plus limitée pour l'épargne, les cartes de crédit et les petites institutions.
Un flux est donc un outil de réconciliation décent mais un mauvais outil de prise de conscience. Il vous informe après coup. Le moment qui change les comportements est celui où vous êtes à la caisse, ce que le guide de suivi des dépenses explique en détail.
L'autre côté du compromis
Cash Book ne se connecte jamais à une banque. C'est un choix délibéré qui a un coût réel : rien n'arrive tout seul, jamais. En échange, il n'y a pas d'écran de consentement, pas d'agrégateur au milieu, pas de ré-authentification tous les 90 jours et aucune copie de votre historique de transactions sur le serveur de quelqu'un d'autre, car les données résident sur l'iPhone et, si vous l'activez, dans votre propre compte iCloud, ce que couvre la page iCloud sync and privacy.
La vitesse de saisie remplace le flux. La saisie vocale transforme une phrase parlée en une ou plusieurs transactions ; le guide de numérisation des reçus explique comment photographier une facture au lieu de la taper ; et l'enregistrement automatique Apple Pay utilise l'automatisation des Raccourcis d'Apple pour qu'un paiement par carte s'enregistre tout seul, comme l'explique le guide Apple Pay. Apple ne fournit aucune API pour les paiements par carte. Le déclencheur des Raccourcis est la seule voie possible pour toute application.
Une application synchronisée vous offre l'exhaustivité et vous demande de classer plus tard. Une application axée sur la saisie manuelle vous demande de l'attention et de noter au moment de l'achat. Aucune n'est gratuite, et quiconque prétend le contraire omet une partie de la réalité.
Si la tâche consiste à vérifier les coordonnées bancaires de quelqu'un avant de lui envoyer de l'argent, c'est un problème totalement différent. Le validateur IBAN effectue la vérification structurelle, tandis que l'entrée IBAN explique ce qu'il ne peut pas vous dire. Pour l'autorisation d'un prestataire spécifique, consultez le registre public du régulateur national.
Obtenir Cash Book sur l'App StoreGratuit pendant 7 jours. 19.99 $ pour un accès à vie.
Questions fréquentes
L'open banking est-il sûr ?
La conception évite le risque majeur : vous vous authentifiez auprès de votre propre banque et l'application ne voit jamais votre mot de passe bancaire. L'accès est limité, journalisé et révocable depuis l'application de votre banque. Les risques résiduels sont des risques de données classiques, comme l'identité de l'entreprise qui détient la copie de vos transactions et pour combien de temps. Lisez donc l'écran de consentement avant d'approuver et vérifiez l'autorisation réglementaire du prestataire.
Quelle est la différence entre AIS et PIS ?
Un service d'information sur les comptes (AIS) lit : soldes, transactions, détails du compte. Un service d'initiation de paiement (PIS) écrit : il ordonne un virement depuis votre compte sans utiliser de carte. Les applications de budget et de comptabilité utilisent le premier. Les boutons de paiement qui règlent un marchand directement depuis votre compte bancaire utilisent le second. Ce sont des permissions distinctes sous la DSP2 et une entreprise peut détenir l'une sans l'autre.
Pourquoi ma connexion bancaire me demande-t-elle régulièrement de me reconnecter ?
Le consentement pour l'accès aux informations de compte est limité dans le temps par la réglementation, et non par l'application. Les normes techniques de la DSP2 exigeaient initialement une authentification forte tous les 90 jours pour un accès continu, une fenêtre étendue par un amendement ultérieur. À l'expiration, la connexion cesse de transmettre des données jusqu'à ce que vous vous ré-authentifiiez auprès de votre banque.
Cash Book utilise-t-il l'open banking ?
Non. Cash Book ne se connecte jamais à une banque, il n'y a donc aucun consentement à donner et rien à ré-authentifier. Les transactions sont saisies par la voix, la photo d'un reçu, l'enregistrement automatique Apple Pay via l'application Raccourcis d'Apple, ou le clavier, et elles restent sur l'iPhone ou dans votre propre compte iCloud. C'est un compromis, pas une solution miracle : rien n'arrive automatiquement depuis la banque.
Qui détient réellement la licence lorsqu'une application propose la synchronisation bancaire ?
Généralement pas l'application elle-même. La plupart des applications grand public achètent l'accès auprès d'un agrégateur agréé comme Plaid, TrueLayer ou Tink, qui détient les permissions et maintient les connexions avec des milliers de banques. Cela signifie que vos données transitent par une entreprise que vous n'avez pas choisie. Le prestataire est nommé sur l'écran de consentement et dans la politique de confidentialité de l'application.
L'open banking est-il la même chose que l'open finance ?
Non. L'open banking couvre les comptes de paiement. L'open finance est l'idée plus large d'étendre ce modèle d'accès à l'épargne, aux retraites, aux investissements, aux prêts immobiliers et à l'assurance. Plusieurs juridictions y travaillent, et l'Union européenne a légiféré sur un cadre d'accès aux données financières distinct des règles sur les services de paiement. Le périmètre partageable aujourd'hui reste principalement limité aux comptes de paiement.
Puis-je empêcher une application de voir mon compte ?
Oui, de deux manières. Révoquez le consentement dans l'application, et vérifiez également l'application de votre banque, qui conserve une liste des tiers connectés avec une option de révocation. Il est utile de faire les deux, car une application qui cesse de fonctionner ne demande pas toujours à la banque de fermer la connexion.
Sources
Obtenir Cash Book sur l'App StoreGratuit pendant 7 jours. 19.99 $ pour un accès à vie.