O que é Open Banking? PSD2, Consentimento e Dados | Cash Book
Resposta rápida
Open banking é um conjunto de regras e normas técnicas que lhe permite instruir o seu banco a partilhar dados de conta, ou iniciar um pagamento, através de terceiros regulados. Na União Europeia, deriva da segunda Diretiva de Serviços de Pagamento, a PSD2. No Reino Unido, provém de uma ordem da Autoridade de Concorrência e Mercados que obrigou os nove maiores bancos a publicar uma API comum. Existem duas funções reguladas: informação de conta, que lê saldos e movimentos, e iniciação de pagamento, que movimenta dinheiro. Ambas requerem autorização de um regulador e o seu consentimento explícito e limitado no tempo. Ambos podem ser revogados a qualquer momento.
As pessoas ouvem falar de open banking e imaginam o banco a distribuir os seus dados. Algo como: existe um acordo, as aplicações estão numa lista, os movimentos já estão por aí. É quase o oposto. Tudo funciona com base no consentimento que dá, a um fornecedor nomeado, para um âmbito nomeado, por um tempo limitado, e que pode retirar. Os bancos também não ofereceram nada disto voluntariamente. Os reguladores obrigaram-nos a construir a porta, e ela só abre quando o utilizador autoriza.
Duas funções, e um regulador por trás de cada uma
Na União Europeia, a base legal é a segunda Diretiva de Serviços de Pagamento, Diretiva (UE) 2015/2366, conhecida como PSD2. Criou duas funções reguladas, e a diferença entre elas é a diferença entre ler e escrever. Um prestador de serviços de informação de conta lê: saldos, histórico de movimentos, detalhes da conta. Um prestador de serviços de iniciação de pagamento escreve: instrui uma transferência da sua conta sem um cartão pelo meio. As aplicações de orçamento querem o primeiro. Os botões de checkout querem o segundo. Ambos precisam de autorização de um regulador nacional, e ambos precisam do seu consentimento explícito para cada ligação. A PSD2 será substituída por um pacote sucessor: uma diretiva sobre licenciamento juntamente com um regulamento diretamente aplicável que contém as regras de open banking e fraude. A Comissão Europeia publica o estado atual da situação.
O Reino Unido chegou lá por um caminho diferente. A Autoridade de Concorrência e Mercados investigou a banca de retalho, concluiu que os clientes raramente mudavam de banco e que os novos concorrentes tinham dificuldade em competir, e a sua ordem de correção exigiu que os nove maiores prestadores de contas correntes, o CMA9, construíssem um padrão de API comum e financiassem um organismo central para escrever as regras e fiscalizá-las. Esse organismo foi a Open Banking Implementation Entity. Atualmente opera como Open Banking Limited, e a Financial Conduct Authority autoriza as empresas que utilizam o padrão.
Vale a pena reter isto, porque muitas pessoas percebem ao contrário: a ligação é com um terceiro que opera sob a sua própria autorização. O seu banco está a fornecer acesso. Não está a apoiar a aplicação.
O redirecionamento, e a empresa que não escolheu
O fluxo parece o mesmo em ambos os regimes. Escolhe um fornecedor dentro de uma aplicação, é redirecionado para o seu banco, autentica-se como sempre faz, aprova um âmbito de acesso nomeado, e é enviado de volta. A aplicação nunca recebe a sua palavra-passe bancária. Essa parte é um design genuinamente bom.
O consentimento é limitado no tempo. As normas técnicas da PSD2 exigiam originalmente uma nova autenticação a cada 90 dias para acesso contínuo a dados, e uma alteração posterior alargou esse prazo, razão pela qual as ligações bancárias dentro de aplicações de orçamento param periodicamente de fornecer dados e pedem para iniciar sessão novamente. Não é a aplicação a ser difícil.
Depois, há o detalhe que quase ninguém lê com atenção. Poucas aplicações de consumo detêm a licença; compram acesso a um agregador autorizado como a Plaid, TrueLayer ou Tink, que detém as permissões e gere as ligações a milhares de instituições, pelo que um botão de sincronização bancária significa geralmente que o seu histórico de movimentos passa por uma quarta empresa que nunca escolheu, nomeada no ecrã de consentimento e longe da página de marketing. Revogar é um trabalho de dois locais pela mesma razão. Desative o consentimento dentro da aplicação, depois abra a aplicação do seu banco, que mantém a lista de terceiros ligados e um controlo para os revogar, porque apagar algo do seu telemóvel não diz de forma fiável ao banco para fechar a porta atrás de si.
Um feed diz-lhe o que saiu, não para que serviu
O open banking responde bem a uma pergunta. O que saiu da conta. Não responde à pergunta de um orçamento, que é para que servia o dinheiro, e nenhuma qualidade de API resolve isso, porque um feed entrega-lhe uma descrição de comerciante, um montante e uma data, e decidir que um descritor de cartão ilegível foi um almoço de trabalho em vez de compras de supermercado continua a ser tarefa sua. Deixe passar quatro dias e não se lembrará. É por isso que os gestores sincronizados acabam tão frequentemente com um balde grande e inútil de "não categorizado" no final do mês.
O tempo é o segundo limite. As transações com cartão chegam como pendentes e liquidam-se mais tarde, por vezes com um valor diferente, o que significa que um saldo ligado não é a mesma coisa que dinheiro que pode gastar, e o timing do fluxo de caixa é um problema separado do valor no ecrã. Os levantamentos de dinheiro chegam como uma única linha que esconde cinco compras. A cobertura também tem falhas: boa para contas correntes na UE e Reino Unido, mais escassa para poupanças, cartões de crédito e instituições menores.
Portanto, um feed é uma ferramenta de reconciliação decente e uma ferramenta de consciência pobre. Diz-lhe o que aconteceu depois. O momento que muda o comportamento é o momento em que está na caixa, que é o argumento que o guia de controlo de despesas defende detalhadamente.
O outro lado da moeda
O Cash Book nunca se liga a um banco. É uma escolha deliberada e tem um custo real: nada chega automaticamente, nunca. O que recebe em troca é que não há ecrã de consentimento, nem agregador pelo meio, nem reautenticação de 90 dias e nenhuma cópia do seu histórico de movimentos num servidor de terceiros, porque os dados vivem no iPhone e, se ativar, na sua própria conta iCloud, o que é abordado em sincronização iCloud e privacidade.
A velocidade de entrada é o que substitui o feed. O registo por voz transforma uma frase falada num ou vários movimentos; o guia de digitalização de recibos aborda fotografar uma fatura em vez de a escrever; e o registo automático Apple Pay usa a automatização dos Atalhos da Apple para que um toque de cartão se registe sozinho, como estabelece o guia Apple Pay. A Apple não fornece API para toques de cartão. O gatilho dos Atalhos é a única via que qualquer aplicação tem.
Uma aplicação sincronizada dá-lhe completude e pede-lhe para categorizar mais tarde. Uma aplicação manual dá-lhe atenção e pede-lhe para registar no momento. Nenhum é gratuito, e quem vende um como se fosse está a omitir algo.
Se o trabalho é verificar os detalhes da conta de outra pessoa antes de lhe enviar dinheiro, esse é um problema completamente diferente, e o validador de IBAN executa a verificação estrutural enquanto a entrada IBAN explica o que não lhe pode dizer. Para a autorização de um fornecedor específico, consulte o registo público do regulador nacional.
Obter o Cash Book na App StoreGrátis durante 7 dias. 19.99 por uma licença vitalícia.
Perguntas frequentes
O open banking é seguro?
O design evita o risco principal: autentica-se no seu próprio banco e a aplicação nunca vê a sua palavra-passe bancária. O acesso é limitado, registado e revogável a partir da aplicação do seu banco. Os riscos residuais são riscos de dados comuns, como a empresa que detém a cópia dos seus movimentos e por quanto tempo, por isso leia o ecrã de consentimento antes de aprovar e verifique a autorização regulamentar do fornecedor.
Qual a diferença entre AIS e PIS?
Um serviço de informação de conta lê: saldos, movimentos, detalhes da conta. Um serviço de iniciação de pagamento escreve: instrui uma transferência da sua conta sem usar um cartão. As aplicações de orçamento e contabilidade usam o primeiro. Os botões de checkout que pagam a um comerciante diretamente da sua conta bancária usam o segundo. São permissões separadas ao abrigo da PSD2 e uma empresa pode deter uma sem a outra.
Porque é que a minha ligação bancária pede para iniciar sessão constantemente?
O consentimento para acesso a informação de conta é limitado no tempo por regulamento, não pela aplicação. As normas técnicas da PSD2 exigiam originalmente uma nova autenticação forte do cliente a cada 90 dias para acesso contínuo, e uma alteração posterior alargou esse prazo. Quando expira, a ligação para de fornecer dados até que se autentique novamente no seu banco.
O Cash Book usa open banking?
Não. O Cash Book nunca se liga a um banco, por isso não há consentimento a dar nem nada a reautenticar. Os movimentos são inseridos por voz, fotografia de recibo, registo automático via Apple Pay através da aplicação Atalhos da Apple, ou pelo teclado, e permanecem no iPhone ou na sua conta pessoal iCloud. É um compromisso, não uma vantagem gratuita: nada chega automaticamente do banco.
Quem detém a licença quando uma aplicação oferece sincronização bancária?
Normalmente não é a aplicação. A maioria das aplicações de consumo compra acesso a um agregador autorizado como a Plaid, TrueLayer ou Tink, que detém as permissões e mantém ligações a milhares de bancos. Isso significa que os seus dados passam por uma empresa que não escolheu. O fornecedor é nomeado no ecrã de consentimento e na política de privacidade da aplicação.
O open banking é o mesmo que open finance?
Não. O open banking abrange contas de pagamento. O open finance é a ideia mais ampla de estender o mesmo modelo de acesso a poupanças, pensões, investimentos, hipotecas e seguros. Várias jurisdições estão a consultar sobre o tema, e a União Europeia legislou um quadro de acesso a dados financeiros separadamente das regras de serviços de pagamento. O âmbito que pode partilhar hoje ainda é maioritariamente contas de pagamento.
Posso impedir uma aplicação de ver a minha conta?
Sim, em dois locais. Revogue o consentimento dentro da aplicação e verifique também a aplicação do seu banco, que mantém uma lista de terceiros ligados e um controlo de revogação. Fazer ambos vale a pena, porque uma aplicação que deixa de funcionar nem sempre diz ao banco para fechar a ligação.
Fontes
Obter o Cash Book na App StoreGrátis durante 7 dias. 19.99 por uma licença vitalícia.