Guias
Open banking em Portugal: como funciona e o que é seguro
7 min de leituraAtualizado em
Ligar a conta bancária a uma aplicação parece um salto de fé. Não é. É um mecanismo definido por lei europeia, com limites muito concretos sobre o que a aplicação pode e não pode fazer.
Neste guia7
O que é a PSD2
A PSD2 é a segunda diretiva europeia dos serviços de pagamento, em vigor desde 2018 e transposta para a lei portuguesa. Ela obriga os bancos a dar ao cliente uma forma segura de autorizar terceiros a ler a sua informação de conta.
A ideia é simples e é a favor do cliente: os dados da sua conta são seus, não do banco, e o cliente pode decidir partilhá-los com quem quiser.
O que acontece quando liga uma conta
O processo tem sempre a mesma forma, independentemente da aplicação.
- Escolhe o seu banco dentro da aplicação.
- É levado para o site ou a app do próprio banco, no domínio do banco.
- Autentica-se lá, com as suas credenciais e com a autenticação forte que o banco exigir.
- O banco pergunta-lhe que contas quer partilhar e por quanto tempo.
- O banco devolve à aplicação um consentimento com prazo. A aplicação nunca recebe a sua palavra-passe.
O que a aplicação consegue ver e o que não consegue fazer
Existem dois tipos de acesso na PSD2 e é útil saber a diferença. O acesso à informação de conta permite ler saldos e movimentos. A iniciação de pagamentos permite mandar executar uma transferência.
Uma aplicação de finanças pessoais como a Navefi usa apenas o primeiro. Isto significa que consegue ler, e não consegue mover dinheiro, mudar dados da conta, pedir crédito ou alterar o que quer que seja no banco. Mesmo que a aplicação fosse comprometida, o acesso concedido não permite tirar dinheiro da conta.
Quem pode oferecer estas ligações
Nem toda a gente pode ligar-se aos bancos. É preciso ser uma entidade licenciada e supervisionada por um regulador europeu, ou trabalhar através de uma.
Vale a pena verificar. Uma aplicação séria diz-lhe quem é o fornecedor de agregação que usa e sob que licença opera. A Navefi trabalha com um fornecedor licenciado e essa informação está publicada.
Quanto tempo dura a autorização
A regra europeia impõe consentimentos com prazo. Na prática, os bancos portugueses emitem autorizações de 90 ou de 180 dias, e no fim é preciso repetir a autenticação.
É uma chatice pequena com uma vantagem grande: nenhum acesso fica esquecido a funcionar durante anos.
Como retirar a autorização
Tem sempre duas portas. Pode cortar a ligação dentro da aplicação, e pode revogar diretamente no seu banco, na área de autorizações a terceiros do homebanking.
A partir do momento em que revoga, a aplicação deixa de receber informação nova dessa conta.
O que verificar antes de ligar
Cinco perguntas que qualquer aplicação deve conseguir responder por escrito.
- Qual é o fornecedor de agregação e qual a licença dele?
- O acesso pedido é só de leitura, ou inclui iniciação de pagamentos?
- Onde ficam alojados os dados? Dentro da União Europeia?
- Os dados financeiros são vendidos ou partilhados com terceiros?
- Consigo exportar tudo e apagar a conta sem falar com ninguém?
Perguntas frequentes
Uma app de finanças com open banking pode transferir o meu dinheiro?
Não, quando o acesso concedido é de informação de conta, que é o caso das aplicações de finanças pessoais. Esse consentimento permite ler saldos e movimentos e não permite iniciar pagamentos ou transferências.
A app fica com a minha palavra-passe do banco?
Não. A autenticação acontece no site ou na app do próprio banco. A aplicação recebe apenas um token de consentimento emitido pelo banco, com prazo e com âmbito limitado.
Como cancelo o acesso de uma app à minha conta bancária?
Pode cancelar dentro da própria aplicação, e pode também revogar no homebanking do seu banco, na área de gestão de autorizações a terceiros. A revogação tem efeito imediato.