Prośba o połączenie aplikacji z kontem bankowym może zjeżyć włosy na głowie i znacznie przyspieszyć bicie serca. I dobrze. Dostęp do informacji o Twoich finansach powinien wymagać solidnego zastanowienia, zanim będzie udzielony - co kilka dni słyszymy przecież o wyciekach danych, wyłudzeniach, oszustwach. Warto jednak odróżnić przekazanie komuś loginu i hasła od połączenia konta przez otwartą bankowość. To dwie zupełnie różne sytuacje.
W tym drugim przypadku aplikacja NIE loguje się do banku za Ciebie. Prosi bank o dostęp do określonych danych, a Ty samodzielnie potwierdzasz zgodę w systemie banku. Zasady takiego dostępu wynikają między innymi z unijnej dyrektywy PSD2 i polskich przepisów o usługach płatniczych.
Czym są PSD2 i otwarta bankowość?
PSD2 reguluje usługi płatnicze w Unii Europejskiej. Jedną ze zmian było uporządkowanie dostępu zewnętrznych dostawców do danych z rachunków. Bank może udostępnić takie informacje uprawnionemu podmiotowi przez zabezpieczony interfejs, ale potrzebna jest Twoja wyraźna zgoda.
Otwarta bankowość to praktyczne wykorzystanie tych zasad. Dzięki niej możesz na przykład zobaczyć rachunki z kilku banków w jednym miejscu albo automatycznie pobierać transakcje do aplikacji budżetowej. Dostawca usługi dostępu do informacji o rachunku, określany skrótem AISP lub AIS, podlega wymogom prawnym i musi być wpisany do odpowiedniego rejestru. W Polsce informacje o takich podmiotach publikuje Komisja Nadzoru Finansowego.
Samo hasło PSD2 nie oznacza jednak, że każda aplikacja jest godna zaufania. Przepisy wyznaczają ramy, a Ty nadal powinieneś sprawdzić, kto prosi o dane, po co ich potrzebuje i jakie dokładnie uprawnienia dostanie.
Gdzie wpisujesz login i hasło do banku?
Typowe połączenie zaczyna się w aplikacji: wybierasz swój bank i zakres kont, które chcesz udostępnić. Następnie trafiasz do ekranu kontrolowanego przez bank. Tam logujesz się i potwierdzasz operację tak, jak wymaga tego bank, na przykład w aplikacji mobilnej. Po poprawnej autoryzacji bank przekazuje dostawcy techniczne potwierdzenie dostępu, a nie Twoje hasło.
- Wybierasz bank w aplikacji budżetowej.
- Sprawdzasz, o jakie dane i na jaki okres aplikacja prosi.
- Logujesz się po stronie banku i tam wyrażasz zgodę.
- Bank udostępnia wskazane dane przez zabezpieczone połączenie.
Zwróć uwagę na adres strony i komunikaty banku. Jeśli formularz w przypadkowej aplikacji prosi wprost o przepisanie hasła do bankowości, zatrzymaj się. Przy połączeniu opartym na przekierowaniu dane logowania podajesz bankowi, nie aplikacji do budżetu. Nie zatwierdzaj też zgody, której zakresu nie rozumiesz.
Co naprawdę oznacza dostęp tylko do odczytu?
Dostęp do informacji o rachunku pozwala pobrać dane z kont, które wskażesz, oraz związane z nimi transakcje. W praktyce mogą to być salda, kwoty, daty i opisy operacji. Taki zakres wystarcza, aby aplikacja uporządkowała wydatki, przypisała je do kategorii i pokazała budżet bez ręcznego przepisywania każdej płatności.
Dostęp tylko do odczytu nie daje możliwości dysponowania pieniędzmi. Aplikacja korzystająca wyłącznie z usługi AIS nie może z tego tytułu wykonać przelewu, dodać odbiorcy, zmienić limitu karty, zablokować rachunku ani zawrzeć umowy kredytowej. Usługa inicjowania płatności jest innym uprawnieniem. Jeżeli aplikacja ją oferuje, musi poinformować Cię o tym osobno.
To rozróżnienie ma znaczenie. Sformułowanie dostęp do banku brzmi bardzo szeroko, lecz o możliwościach aplikacji decyduje zakres zgody. Przed potwierdzeniem szukaj określeń dostęp do informacji o rachunku, AIS albo tylko do odczytu. Czytaj też ekran banku, bo to na nim widzisz, które konta obejmie połączenie.
Czy aplikacja poznaje hasło do banku?
W opisanym wyżej modelu nie. Uwierzytelnienie odbywa się w systemie banku, a aplikacja budżetowa nie otrzymuje loginu ani hasła. Dostaje możliwość pobierania uzgodnionego zestawu danych przez interfejs bankowy. Dostawcy usługi muszą również bezpiecznie identyfikować się wobec banku i komunikować się z nim zgodnie z wymaganiami PSD2.
Nie oznacza to, że dane o transakcjach są błahe. Historia rachunku mówi sporo o codziennym życiu: gdzie robisz zakupy, jakie opłacasz usługi i ile zarabiasz. Dlatego przed połączeniem sprawdź politykę prywatności, sposób ochrony danych i zasady ich usunięcia. Brak dostępu do przelewów rozwiązuje tylko część problemu. Informacje o Twoich finansach również wymagają rozsądnej ochrony.
Jak cofnąć zgodę?
To Ty decydujesz o dostępie. Zgodę można zwykle odwołać w ustawieniach połączonych kont w aplikacji albo w bankowości elektronicznej, w sekcji dotyczącej zgód, otwartej bankowości lub usług zewnętrznych. Nazwy zakładek różnią się w zależności od banku. Po cofnięciu zgody aplikacja traci możliwość pobierania nowych danych z tego połączenia.
Odwołanie dostępu nie zawsze oznacza automatyczne skasowanie informacji pobranych wcześniej. To osobna kwestia, opisana w polityce prywatności i zasadach usuwania konta. Jeśli chcesz zakończyć korzystanie z usługi, sprawdź oba kroki: odłącz bank oraz usuń konto lub poproś o usunięcie zgromadzonych danych.
Przykładem aplikacji, która używa połączenia tylko do odczytu, jest FinaSee. Banki są w niej łączone za pośrednictwem dostawcy usług AIS, a autoryzacja odbywa się w systemie banku. Transakcje mogą być później automatycznie pobierane i porządkowane w budżecie. Na stronie aplikacji możesz sprawdzić, jak chronione są dane finansowe w FinaSee.
Krótka lista kontrolna przed połączeniem konta
- Sprawdź nazwę firmy i dostawcy, który faktycznie realizuje dostęp do rachunku.
- Poszukaj dostawcy w rejestrze KNF albo właściwego organu nadzoru w innym kraju Unii Europejskiej.
- Przeczytaj zakres zgody. Do budżetowania powinien wystarczyć dostęp do informacji, bez inicjowania płatności.
- Upewnij się, że logowanie i potwierdzenie odbywają się na ekranie kontrolowanym przez bank.
- Sprawdź, do czego aplikacja wykorzystuje dane, komu je przekazuje i jak je zabezpiecza.
- Znajdź instrukcję odwołania zgody oraz usunięcia wcześniej zapisanych danych.
- Nie łącz konta przez link z podejrzanej wiadomości. Wejdź do aplikacji lub banku samodzielnie.
Najważniejsze: sprawdzaj zakres, nie samo hasło PSD2
Aplikacja budżetowa może bezpiecznie pobierać dane z banku bez poznawania Twojego hasła i bez prawa do wykonywania przelewów. Warunek jest prosty: połączenie powinno korzystać z regulowanego dostępu, autoryzowanego po stronie banku, a zgoda ma jasno określać zakres danych. Przeczytanie ekranu zgody zajmuje chwilę. Warto ją poświęcić, bo to Ty zachowujesz kontrolę nad połączeniem.
