Wat is Open Banking? PSD2, Toestemming en Data | Cash Book
Snel antwoord
Open banking is een verzameling regels en technische standaarden waarmee je je bank opdracht geeft om rekeninggegevens te delen of een betaling te starten via een gereguleerde derde partij. In de Europese Unie komt dit voort uit de tweede Payment Services Directive, PSD2. In het Verenigd Koninkrijk vloeit het voort uit een besluit van de Competition and Markets Authority dat de negen grootste banken verplichtte een gemeenschappelijke API te publiceren. Er zijn twee gereguleerde rollen: rekeninginformatie, die saldi en transacties leest, en betalingsinitiatie, die geld verplaatst. Beide vereisen toestemming van een toezichthouder en jouw expliciete, tijdelijke goedkeuring. Deze toestemming kan op elk moment worden ingetrokken.
Mensen horen open banking en denken dat de bank zomaar hun gegevens deelt. Een idee als: er is een afspraak, de apps staan op een lijst, de transacties zwerven ergens rond. Het is bijna het tegenovergestelde. Alles draait om toestemming die jij geeft, aan één specifieke aanbieder, voor een bepaald doel, voor een beperkte tijd, en je kunt die toestemming altijd intrekken. De banken deden dit ook niet vrijwillig. Toezichthouders dwongen hen de deur te bouwen, en die gaat alleen open als jij dat zegt.
Twee rollen, en een toezichthouder achter elke rol
In de Europese Unie is de juridische basis de tweede Payment Services Directive, Richtlijn (EU) 2015/2366, bekend als PSD2. Deze creëerde twee gereguleerde rollen, en het verschil daartussen is het verschil tussen lezen en schrijven. Een rekeninginformatiedienst leest: saldi, transactiegeschiedenis, rekeninggegevens. Een betalingsinitiatiedienst schrijft: het instrueert een overboeking vanaf je rekening zonder dat er een kaart aan te pas komt. Budget-apps willen de eerste. Betaalknoppen willen de tweede. Beide hebben toestemming nodig van een nationale toezichthouder, en beide hebben jouw expliciete toestemming nodig voor elke verbinding. PSD2 wordt vervangen door een opvolger: een richtlijn voor vergunningen naast een direct toepasbare verordening met de regels voor open banking en fraude. De Europese Commissie publiceert de huidige status.
Het Verenigd Koninkrijk bewandelde een andere weg. De Competition and Markets Authority onderzocht de retailbankensector, zag dat klanten zelden overstapten en dat uitdagers moeilijk konden concurreren. Hun besluit verplichtte de negen grootste aanbieders van betaalrekeningen, de CMA9, om een gemeenschappelijke API-standaard te bouwen en een centraal orgaan te financieren om de regels te schrijven en te handhaven. Dat orgaan was de Open Banking Implementation Entity. Het opereert nu als Open Banking Limited, en de Financial Conduct Authority verleent vergunningen aan de bedrijven die de standaard gebruiken.
Goed om te onthouden, want veel mensen begrijpen het verkeerd: de verbinding is met een derde partij die onder eigen vergunning werkt. Je bank biedt alleen de toegang. Ze keuren de app niet goed.
De omleiding, en het bedrijf dat je niet koos
Het proces voelt hetzelfde onder beide regimes. Je kiest een aanbieder in een app, je wordt omgeleid naar je bank, je logt in zoals je altijd doet, je keurt een specifieke toegang goed, en je wordt teruggestuurd. De app ontvangt nooit je bankwachtwoord. Dat deel is een goed ontwerp.
Toestemming is tijdelijk. De technische PSD2-standaarden vereisten oorspronkelijk elke 90 dagen een nieuwe authenticatie voor toegang, en een latere wijziging heeft dat venster verlengd. Daarom stoppen bankkoppelingen in budget-apps periodiek met het ophalen van gegevens en vragen ze je opnieuw in te loggen. Dat ligt niet aan de app.
Dan is er het detail dat bijna niemand nauwkeurig leest. Zeer weinig consumentenapps hebben zelf een vergunning; ze kopen toegang bij een erkende aggregator zoals Plaid, TrueLayer of Tink, die de machtigingen bezit en de verbindingen met duizenden instellingen beheert. Een bankkoppeling betekent dus meestal dat je transactiegeschiedenis door een vierde bedrijf gaat dat je nooit hebt gekozen, dat alleen op het toestemmingsscherm staat en nergens op de marketingpagina. Intrekken is om diezelfde reden een klus voor twee plekken. Zet de toestemming uit in de app, en open daarna de app van je bank, die een lijst bijhoudt van verbonden derde partijen en een controle om ze in te trekken, omdat het verwijderen van een app van je telefoon niet betrouwbaar doorgeeft aan de bank dat de deur dicht moet.
Een feed vertelt wat er afging, niet waarvoor het was
Open banking beantwoordt één vraag goed: wat is er van de rekening afgegaan. Het beantwoordt niet de vraag waar een budget echt om draait: waar was het geld voor? Geen enkele API-kwaliteit lost dat op, want een feed geeft je een omschrijving van de winkel, een bedrag en een datum. Beslissen of een onleesbare kaartomschrijving een werklunch was of boodschappen, blijft jouw taak. Wacht vier dagen en je weet het niet meer. Daarom eindigen gekoppelde trackers zo vaak met een grote, nutteloze categorie 'overig' aan het eind van de maand.
Timing is de tweede beperking. Kaarttransacties komen binnen als 'in afwachting' en worden later verwerkt, soms voor een ander bedrag. Dat betekent dat een gekoppeld saldo niet hetzelfde is als geld dat je kunt uitgeven, en cashflow is een ander probleem dan het cijfer op het scherm. Contante opnames komen binnen als één regel die vijf aankopen verbergt. Ook de dekking heeft gaten: goed voor betaalrekeningen in de EU en het VK, minder voor spaarrekeningen, creditcards en kleinere instellingen.
Een feed is dus een redelijk hulpmiddel voor afstemming, maar een slecht hulpmiddel voor bewustwording. Het vertelt je wat er is gebeurd. Het moment dat gedrag verandert, is het moment dat je bij de kassa staat, wat de gids voor onkosten bijhouden op iPhone uitgebreid uitlegt.
De andere kant van de medaille
Cash Book maakt nooit verbinding met een bank. Dat is een bewuste keuze en het kost iets: er komt nooit iets automatisch binnen. Wat je ervoor terugkrijgt, is dat er geen toestemmingsscherm is, geen aggregator in het midden, geen 90-dagen-herauthenticatie en geen kopie van je transactiegeschiedenis op iemands server. De data staat op de iPhone en, als je het inschakelt, in je eigen iCloud-account, wat iCloud-synchronisatie en privacy dekt.
Snelheid van invoer vervangt de feed. Spraakloggen verandert een gesproken zin in één of meerdere transacties; de gids voor bonnetjes scannen behandelt het fotograferen van een rekening in plaats van typen; en Apple Pay auto-logging gebruikt Apple's Shortcuts-automatisering zodat een kaartbetaling zichzelf logt, zoals de Apple Pay-gids beschrijft. Apple biedt geen API voor kaartbetalingen. De Shortcuts-trigger is de enige route die een app heeft.
Een gekoppelde app geeft je volledigheid en vraagt je later te categoriseren. Een app die handmatige invoer voorop stelt, geeft je aandacht en vraagt je op het moment zelf te loggen. Geen van beide is gratis, en wie beweert van wel, laat iets weg.
Als het gaat om het controleren van iemands rekeninggegevens voordat je geld overmaakt, is dat een heel ander probleem. De IBAN-validator voert de structurele controle uit, terwijl de IBAN uitleg geeft over wat het niet kan vertellen. Voor de vergunning van een specifieke aanbieder kun je kijken in het openbare register van de nationale toezichthouder.
Download Cash Book in de App Store7 dagen gratis. Eenmalig $19.99 voor levenslange toegang.
Veelgestelde vragen
Is open banking veilig?
Het ontwerp vermijdt het grootste risico: je logt in bij je eigen bank en de app ziet nooit je bankwachtwoord. Toegang is beperkt, gelogd en in te trekken via de app van je bank. De restrisico's zijn gewone datarisico's, zoals welk bedrijf een kopie van je transacties bewaart en hoe lang. Lees dus het toestemmingsscherm voordat je akkoord gaat en controleer de vergunning van de aanbieder.
Wat is het verschil tussen AIS en PIS?
Een rekeninginformatiedienst (AIS) leest: saldi, transacties, rekeninggegevens. Een betalingsinitiatiedienst (PIS) schrijft: het instrueert een overboeking vanaf je rekening zonder kaart. Budget- en boekhoudapps gebruiken de eerste. Betaalknoppen die direct vanaf je bankrekening betalen, gebruiken de tweede. Dit zijn aparte machtigingen onder PSD2 en een bedrijf kan de ene hebben zonder de andere.
Waarom vraagt mijn bankkoppeling steeds om opnieuw in te loggen?
Toestemming voor rekeninginformatie is wettelijk beperkt in tijd, niet door de app. De technische PSD2-standaarden vereisten oorspronkelijk elke 90 dagen een nieuwe sterke klantauthenticatie voor toegang, en een latere wijziging heeft dat venster verlengd. Wanneer dit verloopt, stopt de verbinding met het leveren van gegevens totdat je opnieuw inlogt bij je bank.
Gebruikt Cash Book open banking?
Nee. Cash Book maakt nooit verbinding met een bank, dus er is geen toestemming te geven en niets om opnieuw te verifiëren. Transacties worden ingevoerd via spraak, het scannen van bonnetjes, Apple Pay auto-logging via de Shortcuts-app van Apple, of het toetsenbord. Ze blijven op de iPhone of in je eigen iCloud-account. Dat is een bewuste keuze: er komt niets automatisch binnen vanaf de bank.
Wie heeft de vergunning als een app bankkoppeling aanbiedt?
Meestal niet de app zelf. De meeste consumentenapps kopen toegang in bij een erkende aggregator zoals Plaid, TrueLayer of Tink, die de machtigingen bezit en verbindingen onderhoudt met duizenden banken. Dat betekent dat je data door een bedrijf gaat dat je niet zelf hebt gekozen. De aanbieder staat in het toestemmingsscherm en in het privacybeleid van de app.
Is open banking hetzelfde als open finance?
Nee. Open banking beslaat betaalrekeningen. Open finance is het bredere idee om hetzelfde toegangsmodel uit te breiden naar spaargeld, pensioenen, beleggingen, hypotheken en verzekeringen. Verschillende rechtsgebieden onderzoeken dit, en de Europese Unie heeft een kader voor financiële datatoegang apart van de betalingsregels opgesteld. De reikwijdte die je vandaag echt kunt delen, is nog grotendeels beperkt tot betaalrekeningen.
Kan ik voorkomen dat een app mijn rekening ziet?
Ja, op twee plekken. Trek de toestemming in de app in en controleer ook de app van je bank zelf. Deze houdt een lijst bij van verbonden derde partijen en biedt een knop om de toegang in te trekken. Het is de moeite waard om beide te doen, omdat een app die niet meer werkt niet altijd de bank vertelt om de verbinding te verbreken.
Bronnen
Download Cash Book in de App Store7 dagen gratis. Eenmalig $19.99 voor levenslange toegang.