Cos'è l'Open Banking? PSD2, Consenso e Dati | Cash Book
Risposta rapida
L'open banking è un insieme di regole e standard tecnici che ti permettono di autorizzare la tua banca a condividere i dati del conto o a disporre pagamenti tramite terze parti regolamentate. Nell'Unione Europea deriva dalla direttiva PSD2. Nel Regno Unito nasce da un ordine della Competition and Markets Authority che ha imposto alle nove banche principali di pubblicare API comuni. Esistono due ruoli regolamentati: l'accesso alle informazioni del conto, che legge saldi e transazioni, e l'avvio di pagamenti, che sposta denaro. Entrambi richiedono l'autorizzazione di un ente regolatore e il tuo consenso esplicito e a tempo determinato, revocabile in qualsiasi momento.
Spesso si pensa che l'open banking significhi che la banca distribuisca i dati in giro. Si immagina un accordo, liste di app, transazioni che circolano ovunque. È quasi l'opposto. Tutto si basa sul consenso che tu concedi, a un fornitore specifico, per uno scopo preciso e per un tempo limitato, che puoi revocare quando vuoi. Le banche non hanno fatto nulla di tutto ciò volontariamente. Gli enti regolatori le hanno obbligate a costruire questa porta, che si apre solo quando sei tu a volerlo.
Due ruoli, e un regolatore dietro ognuno
Nell'Unione Europea la base legale è la seconda direttiva sui servizi di pagamento, Direttiva (UE) 2015/2366, nota come PSD2. Ha creato due ruoli regolamentati: la differenza tra loro è quella tra leggere e scrivere. Un fornitore di servizi di informazione sui conti legge: saldi, cronologia delle transazioni, dettagli del conto. Un fornitore di servizi di disposizione di pagamento scrive: ordina un bonifico dal tuo conto senza una carta di mezzo. Le app di budgeting vogliono il primo. I pulsanti di pagamento vogliono il secondo. Entrambi necessitano dell'autorizzazione di un ente regolatore nazionale e del tuo consenso esplicito per ogni connessione. La PSD2 sarà sostituita da un pacchetto successore: una direttiva sulle licenze insieme a un regolamento direttamente applicabile che contiene le regole sull'open banking e sulle frodi. La Commissione Europea pubblica lo stato attuale della normativa.
Il Regno Unito ha seguito una strada diversa. La Competition and Markets Authority ha indagato sul settore bancario retail, scoprendo che i clienti cambiavano raramente banca e che i nuovi competitor faticavano a emergere. L'ordine correttivo ha imposto ai nove maggiori fornitori di conti correnti, i CMA9, di costruire uno standard API comune e finanziare un ente centrale per scrivere e far rispettare le regole. Quell'ente era l'Open Banking Implementation Entity. Ora opera come Open Banking Limited, e la Financial Conduct Authority autorizza le aziende che utilizzano lo standard.
È importante ricordare, perché molti fanno confusione: la connessione avviene con una terza parte che opera sotto la propria autorizzazione. La tua banca fornisce l'accesso, non sta approvando l'app.
Il reindirizzamento e l'azienda che non hai scelto
Il flusso è simile in entrambi i regimi. Scegli un fornitore all'interno di un'app, vieni reindirizzato alla tua banca, ti autentichi come sempre, approvi l'ambito di accesso e vieni riportato indietro. L'app non riceve mai la tua password bancaria. Questa parte è un ottimo design.
Il consenso è limitato nel tempo. Gli standard tecnici PSD2 richiedevano inizialmente una nuova autenticazione ogni 90 giorni; un emendamento ha esteso questa finestra, motivo per cui le connessioni bancarie nelle app di budgeting smettono periodicamente di funzionare e chiedono di riaccedere. Non è l'app a essere difficile.
Poi c'è il dettaglio che quasi nessuno legge. Pochissime app consumer detengono la licenza; acquistano l'accesso da aggregatori autorizzati come Plaid, TrueLayer o Tink, che gestiscono le connessioni con migliaia di istituti. Quindi, attivare la sincronizzazione bancaria significa che la tua cronologia transazioni passa attraverso una quarta azienda che non hai scelto, indicata nella schermata di consenso e mai menzionata nella pagina di marketing. Revocare è un lavoro da fare in due posti per lo stesso motivo. Disattiva il consenso nell'app, poi apri l'app della tua banca, che mantiene l'elenco delle terze parti connesse e un controllo per revocarle, perché eliminare l'app dal telefono non comunica sempre alla banca di chiudere la porta.
Un feed ti dice cosa è uscito, non per cosa era
L'open banking risponde bene a una domanda: cosa è uscito dal conto. Non risponde alla domanda su cui si basa un budget, ovvero a cosa servissero quei soldi. Nessuna qualità di API può risolvere questo problema, perché un feed ti fornisce solo una stringa del commerciante, un importo e una data. Decidere che un descrittore illeggibile della carta fosse un pranzo di lavoro piuttosto che la spesa spetta a te. Se aspetti quattro giorni, non te lo ricorderai più. Ecco perché i tracker sincronizzati finiscono regolarmente con un enorme, inutile contenitore di voci "non categorizzate" a fine mese.
Il tempo è il secondo limite. Le transazioni con carta arrivano come sospese e si contabilizzano più tardi, a volte con un importo diverso. Ciò significa che un saldo sincronizzato non è lo stesso denaro che puoi spendere, e la gestione del cash flow è un problema separato dalla cifra sullo schermo. I prelievi di contante arrivano come un'unica riga che nasconde cinque acquisti. Anche la copertura ha delle lacune: ottima per i conti correnti in UE e Regno Unito, più limitata per risparmi, carte di credito e istituti minori.
Quindi un feed è un discreto strumento di riconciliazione ma un pessimo strumento di consapevolezza. Ti dice cosa è successo dopo. Il momento che cambia il comportamento è quando sei alla cassa, che è il punto centrale della guida al tracciamento delle spese su iPhone.
L'altro lato dello scambio
Cash Book non si connette mai a una banca. È una scelta deliberata che ha un costo reale: nulla arriva automaticamente, mai. In cambio, non c'è nessuna schermata di consenso, nessun aggregatore nel mezzo, nessuna riautenticazione ogni 90 giorni e nessuna copia della tua cronologia transazioni sui server di qualcun altro, perché i dati vivono sull'iPhone e, se lo attivi, nel tuo account iCloud, come spiegato in sincronizzazione iCloud e privacy.
La velocità di inserimento sostituisce il feed. La registrazione vocale trasforma una frase parlata in una o più transazioni; la guida alla scansione delle ricevute spiega come fotografare uno scontrino invece di digitarlo; e la registrazione automatica Apple Pay usa le automazioni di Shortcuts di Apple affinché un pagamento si registri da solo, come descritto nella guida ad Apple Pay. Apple non fornisce API per i pagamenti con carta. Il trigger di Shortcuts è l'unica via possibile per qualsiasi app.
Un'app sincronizzata ti offre completezza e ti chiede di categorizzare dopo. Un'app manuale ti chiede attenzione e di registrare al momento. Nessuna delle due è gratuita, e chiunque le venda come tali sta omettendo qualcosa.
Se il compito è verificare i dettagli del conto di qualcun altro prima di inviare denaro, è un problema completamente diverso: l'IBAN validator esegue il controllo strutturale, mentre la voce IBAN spiega cosa non può dirti. Per l'autorizzazione di uno specifico fornitore, consulta il registro pubblico dell'ente regolatore nazionale.
Scarica Cash Book su App StoreGratis per 7 giorni. 19.99 una tantum a vita.
Domande frequenti
L'open banking è sicuro?
Il sistema evita il rischio principale: ti autentichi direttamente presso la tua banca e l'app non vede mai la tua password. L'accesso è limitato, tracciato e revocabile dall'app della tua banca. I rischi residui sono quelli comuni legati ai dati, come chi detiene la copia delle tue transazioni e per quanto tempo; leggi sempre la schermata di consenso prima di approvare e verifica l'autorizzazione dell'ente regolatore.
Qual è la differenza tra AIS e PIS?
Un servizio di informazione sui conti (AIS) legge saldi, transazioni e dettagli del conto. Un servizio di disposizione di pagamento (PIS) scrive: ordina un bonifico dal tuo conto senza usare una carta. Le app di budgeting usano il primo. I pulsanti di pagamento che addebitano direttamente il conto usano il secondo. Sono permessi distinti sotto la PSD2 e un'azienda può possederne uno senza l'altro.
Perché la connessione bancaria mi chiede spesso di riaccedere?
Il consenso per l'accesso ai dati è limitato nel tempo per legge, non per scelta dell'app. Gli standard tecnici PSD2 richiedevano inizialmente una nuova autenticazione forte ogni 90 giorni; un emendamento successivo ha esteso questa finestra. Quando scade, la connessione smette di inviare dati finché non ti autentichi nuovamente presso la tua banca.
Cash Book usa l'open banking?
No. Cash Book non si connette mai a una banca, quindi non c'è alcun consenso da concedere né nulla da riautenticare. Le transazioni vengono inserite tramite voce, scansione di ricevute, registrazione automatica Apple Pay tramite l'app Shortcuts di Apple o tastiera, e rimangono sull'iPhone o nel tuo account iCloud. È un compromesso, non un vantaggio gratuito: nulla arriva automaticamente dalla banca.
Chi detiene la licenza quando un'app offre la sincronizzazione bancaria?
Di solito non l'app stessa. La maggior parte delle app consumer acquista l'accesso da aggregatori autorizzati come Plaid, TrueLayer o Tink, che detengono i permessi e mantengono le connessioni con migliaia di banche. Ciò significa che i tuoi dati passano attraverso un'azienda che non hai scelto. Il fornitore è indicato nella schermata di consenso e nell'informativa sulla privacy dell'app.
L'open banking è uguale all'open finance?
No. L'open banking riguarda i conti di pagamento. L'open finance è l'idea più ampia di estendere lo stesso modello a risparmi, pensioni, investimenti, mutui e assicurazioni. Diverse giurisdizioni ci stanno lavorando e l'Unione Europea ha legiferato un quadro per l'accesso ai dati finanziari separato dalle regole sui servizi di pagamento. Ciò che puoi condividere oggi riguarda ancora principalmente i conti di pagamento.
Posso impedire a un'app di vedere il mio conto?
Sì, in due modi. Revoca il consenso all'interno dell'app e controlla anche l'app della tua banca, che mantiene un elenco delle terze parti connesse e un controllo per la revoca. Farlo in entrambi i posti è consigliato, perché un'app che smette di funzionare non sempre comunica alla banca di chiudere la connessione.
Fonti
Scarica Cash Book su App StoreGratis per 7 giorni. 19.99 una tantum a vita.