Hva er Open Banking? PSD2, samtykke og data | Cash Book
Raskt svar
Open banking er et sett med regler og tekniske standarder som lar deg gi banken din tillatelse til å dele kontodata, eller starte en betaling, via en regulert tredjepart. I EU stammer dette fra det andre betalingstjenestedirektivet, PSD2. I Storbritannia kommer det fra et vedtak fra Competition and Markets Authority som påla de ni største bankene å publisere et felles API. Det finnes to regulerte roller: kontoinformasjon, som leser saldo og transaksjoner, og betalingsinitiering, som flytter penger. Begge krever autorisasjon fra en tilsynsmyndighet og ditt eksplisitte, tidsbegrensede samtykke. Begge kan trekkes tilbake når som helst.
Mange tenker at open banking betyr at banken deler dataene dine fritt. De ser for seg en ordning der apper står på en liste og transaksjoner flyter rundt. Det er nesten det motsatte. Alt baserer seg på samtykke du gir, til én navngitt tilbyder, for et spesifikt formål, i en begrenset periode – og du kan når som helst trekke det tilbake. Bankene gjorde heller ikke dette frivillig. Tilsynsmyndighetene tvang dem til å bygge døren, og den åpnes bare når du gir beskjed.
To roller, og en tilsynsmyndighet bak hver
I EU er det juridiske grunnlaget det andre betalingstjenestedirektivet, direktiv (EU) 2015/2366, kjent som PSD2. Det skapte to regulerte roller, og forskjellen mellom dem er forskjellen på å lese og skrive. En kontoinformasjonstjeneste leser: saldo, transaksjonshistorikk og kontodetaljer. En betalingsinitieringstjeneste skriver: den instruerer en overføring fra kontoen din uten et kort involvert. Budsjettapper vil ha den første. Betalingsknapper vil ha den andre. Begge trenger autorisasjon fra en nasjonal tilsynsmyndighet, og begge trenger ditt eksplisitte samtykke for hver tilkobling. PSD2 skal erstattes av en etterfølgerpakke: et direktiv om lisensiering sammen med en direkte anvendelig forordning som inneholder regler om open banking og svindel. Europakommisjonen publiserer gjeldende status.
Storbritannia valgte en annen vei. Competition and Markets Authority undersøkte detaljbankmarkedet, fant at kunder sjelden byttet bank og at utfordrere slet med å konkurrere. Deres vedtak påla de ni største tilbyderne av brukskontoer, CMA9, å bygge en felles API-standard og finansiere et sentralt organ for å skrive og håndheve reglene. Dette organet var Open Banking Implementation Entity. Det opererer nå som Open Banking Limited, og Financial Conduct Authority autoriserer firmaene som bruker standarden.
Det er verdt å merke seg, fordi mange misforstår: Tilkoblingen skjer med en tredjepart som opererer under sin egen autorisasjon. Banken din gir tilgang, men den godkjenner ikke appen.
Omdirigeringen, og selskapet du ikke valgte
Flyten føles lik under begge regimer. Du velger en tilbyder i en app, blir omdirigert til banken din, autentiserer deg slik du alltid gjør, godkjenner et spesifikt tilgangsomfang, og blir sendt tilbake. Appen mottar aldri bankpassordet ditt. Den delen er god design.
Samtykket er tidsbegrenset. De tekniske standardene i PSD2 krevde opprinnelig ny autentisering hver 90. dag for fortsatt datatilgang. En senere endring utvidet dette vinduet, noe som er grunnen til at banktilkoblinger i budsjettapper periodisk slutter å levere data og ber deg logge inn på nytt. Det er ikke appen som er vanskelig.
Så er det detaljen nesten ingen leser nøye. Svært få forbrukerapper har lisensen selv; de kjøper tilgang fra en autorisert aggregator som Plaid, TrueLayer eller Tink, som innehar tillatelsene og driver tilkoblingene til tusenvis av institusjoner. En bryter for banksynkronisering betyr derfor vanligvis at transaksjonshistorikken din går gjennom et fjerde selskap du aldri valgte, navngitt på samtykkeskjermen og langt unna markedsføringssiden. Å tilbakekalle tilgang er en to-trinns jobb av samme grunn. Slå av samtykket i appen, og åpne deretter bankens egen app, som har listen over tilkoblede tredjeparter og en kontroll for å fjerne dem. Å slette en app fra telefonen gir ikke alltid banken beskjed om å lukke døren.
En feed forteller deg hva som forsvant, ikke hva det var til
Open banking svarer godt på ett spørsmål: Hva forlot kontoen? Den svarer ikke på spørsmålet et budsjett faktisk handler om, nemlig hva pengene var til. Ingen API-kvalitet fikser dette, fordi en feed bare gir deg en tekststreng fra selgeren, et beløp og en dato. Å avgjøre om en uleselig kortbeskrivelse var en lunsj på jobb eller dagligvarer, er fortsatt din oppgave. Venter du fire dager, husker du det ikke. Det er derfor synkroniserte trackere så ofte ender opp med en stor, ubrukelig sekkepost for ukategoriserte utgifter ved månedsslutt.
Timing er den andre begrensningen. Korttransaksjoner dukker opp som reserverte og gjøres opp senere, noen ganger med et annet beløp. Det betyr at en synkronisert saldo ikke er det samme som penger du kan bruke, og kontantstrøm er et annet problem enn tallet på skjermen. Kontantuttak dukker opp som én linje som skjuler fem kjøp. Dekningen har også hull: bra for brukskontoer i EU og Storbritannia, tynnere for sparing, kredittkort og mindre institusjoner.
En feed er altså et greit verktøy for avstemming, men et dårlig verktøy for bevisstgjøring. Den forteller deg hva som skjedde etterpå. Øyeblikket som endrer atferd, er når du står ved kassen, noe guiden for utgiftssporing utdyper.
Den andre siden av byttet
Cash Book kobler seg aldri til en bank. Det er et bevisst valg, og det koster noe reelt: ingenting kommer inn av seg selv, noensinne. Til gjengjeld slipper du samtykkeskjermer, aggregatorer i midten, 90-dagers re-autentisering og kopier av transaksjonshistorikken din på andres servere. Dataene lever på din iPhone og, hvis du slår det på, i din egen iCloud-konto, noe iCloud-synkronisering og personvern dekker.
Registreringshastighet erstatter feeden. Stemmelogging gjør en setning om til én eller flere transaksjoner; guiden for kvitteringsskanning dekker fotografering av regninger i stedet for å taste dem inn; og Apple Pay-autologging bruker Apples Snarveier-automatisering slik at et kortkjøp logger seg selv, som forklart i Apple Pay-guiden. Apple tilbyr ikke et API for kortkjøp. Snarveier-utløseren er den eneste ruten noen app har.
En synkronisert app gir deg fullstendighet og ber deg kategorisere senere. En manuell app gir deg oppmerksomhet og ber deg logge i øyeblikket. Ingen av delene er gratis, og alle som selger det som om det er det, utelater noe.
Hvis jobben er å sjekke kontodetaljene til noen andre før du sender dem penger, er det et helt annet problem, og IBAN-valideringen kjører den strukturelle sjekken, mens IBAN-oppføringen forklarer hva den ikke kan fortelle deg. For en spesifikk tilbyders autorisasjon, slå den opp i det nasjonale tilsynets offentlige register.
Hent Cash Book i App StoreGratis i 7 dager. 19.99 kr for livstidstilgang.
Ofte stilte spørsmål
Er open banking trygt?
Designet unngår den største risikoen: Du autentiserer deg i din egen bank, og appen ser aldri bankpassordet ditt. Tilgangen er begrenset, logget og kan tilbakekalles fra bankens egen app. Den gjenværende risikoen er knyttet til vanlig databehandling, som hvilket selskap som lagrer kopien av transaksjonene dine og hvor lenge. Les derfor samtykkeskjermen før du godkjenner, og sjekk tilbyderens regulatoriske autorisasjon.
Hva er forskjellen på AIS og PIS?
En kontoinformasjonstjeneste (AIS) leser saldo, transaksjoner og kontodetaljer. En betalingsinitieringstjeneste (PIS) skriver: den instruerer en overføring fra kontoen din uten bruk av kort. Budsjett- og regnskapsapper bruker den første. Betalingsknapper som betaler en selger direkte fra bankkontoen din, bruker den andre. Dette er separate tillatelser under PSD2, og et selskap kan ha den ene uten den andre.
Hvorfor ber banktilkoblingen meg stadig om å logge inn på nytt?
Samtykke for tilgang til kontoinformasjon er tidsbegrenset av regelverket, ikke av appen. De tekniske standardene i PSD2 krevde opprinnelig ny sterk kundeautentisering hver 90. dag for fortsatt tilgang, og en senere endring forlenget dette vinduet. Når samtykket utløper, slutter tilkoblingen å levere data helt til du autentiserer deg på nytt i banken din.
Bruker Cash Book open banking?
Nei. Cash Book kobler seg aldri til en bank, så det er ingen samtykker å gi og ingenting å re-autentisere. Transaksjoner legges inn via stemme, kvitteringsbilde, Apple Pay-autologging gjennom Apples Snarveier-app, eller tastaturet, og de forblir på din iPhone eller i din egen iCloud-konto. Dette er et bevisst valg: ingenting hentes automatisk fra banken.
Hvem har egentlig lisensen når en app tilbyr banksynkronisering?
Vanligvis ikke appen selv. De fleste forbrukerapper kjøper tilgang fra en autorisert aggregator som Plaid, TrueLayer eller Tink, som innehar tillatelsene og vedlikeholder tilkoblinger til tusenvis av banker. Det betyr at dataene dine går gjennom et selskap du ikke har valgt. Tilbyderen er navngitt i samtykkeskjermen og i appens personvernerklæring.
Er open banking det samme som open finance?
Nei. Open banking dekker betalingskontoer. Open finance er den bredere ideen om å utvide den samme tilgangsmodellen til sparing, pensjon, investeringer, boliglån og forsikring. Flere jurisdiksjoner vurderer dette, og EU har vedtatt et rammeverk for finansiell datatilgang separat fra reglene for betalingstjenester. Omfanget du faktisk kan dele i dag, er fortsatt hovedsakelig betalingskontoer.
Kan jeg hindre en app i å se kontoen min?
Ja, på to steder. Trekk tilbake samtykket inne i appen, og sjekk også bankens egen app, som har en liste over tilkoblede tredjeparter og en kontroll for å tilbakekalle tilgang. Det er verdt å gjøre begge deler, da en app som slutter å fungere ikke alltid gir beskjed til banken om å lukke tilkoblingen.
Kilder
Hent Cash Book i App StoreGratis i 7 dager. 19.99 kr for livstidstilgang.