L’open banking permette di utilizzare servizi di terze parti abilitate per consultare informazioni sui propri conti di pagamento o avviare pagamenti, con il proprio consenso. In Italia funziona nel quadro della PSD2: banca e terza parte comunicano attraverso interfacce sicure, con accessi limitati al servizio richiesto.
Quali regole disciplinano l’open banking in Italia?
Nel 2026 il quadro di riferimento comprende la PSD2, la normativa italiana di recepimento e le regole tecniche europee sulla sicurezza. La PSD2 è stata recepita con il decreto legislativo 218/2017, che ha modificato la disciplina dei servizi di pagamento.
Il perimetro riguarda i conti di pagamento accessibili online, utilizzati per eseguire operazioni di pagamento. L’accesso regolato dalla PSD2 riguarda quindi informazioni e funzioni specifiche: la disponibilità di altri rapporti finanziari presso la stessa banca non comporta automaticamente la loro inclusione.
Il modello consente al cliente di usare servizi forniti da operatori diversi dall’intermediario che amministra il conto. L’accesso delle terze parti ai dati dei conti avviene con l’assenso del cliente, per fornire servizi e applicazioni.
Qual è la differenza tra aggregazione dei conti e pagamento?
L’aggregazione raccoglie informazioni sui conti, mentre il servizio di disposizione di pagamento avvia un ordine su richiesta dell’utente. Le sigle AIS e PIS indicano i servizi; AISP e PISP identificano i rispettivi prestatori.
| Servizio | Che cosa permette | Limite principale |
|---|---|---|
| Informazione sui conti, AIS | Consultare informazioni relative a uno o più conti, anche presso intermediari diversi. | L’accesso informativo non autorizza l’esecuzione di pagamenti. |
| Disposizione di ordini di pagamento, PIS | Avviare un ordine di pagamento da un conto detenuto presso un altro intermediario. | Occorre il consenso all’operazione; il PISP non detiene i fondi nell’ambito di questo servizio. |
I servizi AIS e PIS svolgono funzioni distinte nell’open banking. Un riepilogo di saldi e movimenti può servire a consultare più conti insieme; un pagamento richiede invece un servizio abilitato alla disposizione dell’ordine.
Come si collega un conto a una terza parte?
Il collegamento richiede l’identificazione del prestatore, la selezione dei conti e il consenso al servizio, attraverso il percorso di autenticazione previsto. Le schermate e la sequenza possono variare tra operatori.
- Si identifica il soggetto che presta il servizio. La denominazione legale permette di verificare l’intermediario e le attività per cui è abilitato.
- Si leggono le condizioni. Devono essere chiari il servizio richiesto, i dati utilizzati, le finalità e gli eventuali costi.
- Si selezionano banca e conti. Per l’aggregazione, il collegamento riguarda i conti designati dall’utente.
- Si presta il consenso e si completa l’autenticazione. La procedura consente alla banca di verificare l’utente e alla terza parte di accedere nei limiti previsti.
- Si controlla il risultato. Nell’aggregazione si verifica la presenza dei conti collegati; nel pagamento si controllano i dati dell’operazione e lo stato comunicato dal servizio.
Gli albi ed elenchi di vigilanza consentono di consultare denominazione e attività degli intermediari. L’abilitazione deve corrispondere al servizio effettivamente offerto.
Il collegamento tecnico utilizza interfacce di comunicazione, spesso chiamate API, che permettono ai sistemi di scambiarsi richieste e risposte. La banca può consentire l’accesso adattando l’interfaccia dei clienti oppure predisponendo un’interfaccia dedicata.
Quanto dura il consenso e come si revoca?
La durata del consenso dipende dal servizio e dalle condizioni concordate; il termine di 180 giorni riguarda il rinnovo dell’autenticazione per determinati accessi informativi. Consenso e autenticazione hanno funzioni diverse: il primo autorizza il servizio, la seconda verifica l’identità dell’utente.
Dal 25 luglio 2023, per l’accesso tramite AISP a saldi e operazioni degli ultimi 90 giorni, senza divulgazione di dati sensibili relativi ai pagamenti, l’autenticazione forte si applica al primo accesso e quando sono trascorsi più di 180 giorni dall’ultima autenticazione. Un’autenticazione anticipata resta possibile per motivi obiettivamente giustificati e comprovati legati ad accessi non autorizzati o fraudolenti.
Questo intervallo non stabilisce una durata universale del consenso né autorizza automaticamente pagamenti. Le condizioni del servizio descrivono l’accesso richiesto e le modalità per interromperlo.
La revoca si comunica attraverso i canali previsti. Quando riceve dall’utente la revoca del consenso al servizio, la banca deve rifiutare senza indugio l’accesso della terza parte e informarla.
Per un pagamento già disposto valgono anche le regole sull’irrevocabilità dell’ordine. Interrompere il collegamento non annulla automaticamente un’operazione già autorizzata.
L’open banking è sicuro e chi protegge i dati?
La sicurezza si basa sull’abilitazione degli operatori, sulla comunicazione protetta e sull’autenticazione del cliente, pur restando possibili frodi e incidenti. Le terze parti devono identificarsi nei confronti dell’intermediario che gestisce il conto.
L’autenticazione forte, o SCA, utilizza almeno due elementi indipendenti appartenenti alle categorie conoscenza, possesso e inerenza: per esempio una password, un dispositivo registrato e un’impronta digitale. Per i pagamenti elettronici a distanza soggetti a SCA è previsto anche il collegamento dinamico a importo e beneficiario.
L’AISP accede soltanto ai conti designati e alle relative operazioni, nei limiti del servizio esplicitamente richiesto. L’informativa sul trattamento dei dati chiarisce finalità e soggetti coinvolti; eventuali ulteriori condivisioni richiedono una valutazione distinta rispetto al semplice collegamento del conto.
La SCA può essere superata anche dal titolare ingannato da un truffatore. Una richiesta di confermare un pagamento per risolvere un presunto problema tecnico richiede quindi attenzione ai dati dell’operazione mostrati durante l’autorizzazione.
Che cosa succede se compare un pagamento non riconosciuto?
Un pagamento non riconosciuto va segnalato tempestivamente all’intermediario, avviando il disconoscimento e la richiesta di rimborso. La presenza di una terza parte nel percorso non elimina le tutele previste per i servizi di pagamento.
- Si contatta la banca attraverso i suoi recapiti ufficiali, indicando l’operazione contestata e l’eventuale servizio collegato.
- Si richiedono le misure necessarie a impedire ulteriori accessi o operazioni non autorizzate.
- Si conserva la documentazione della contestazione e, se necessario, si presenta un reclamo.
La sola presenza dell’autenticazione forte non dimostra automaticamente dolo o colpa grave del cliente e non basta, da sola, a giustificare il rifiuto del rimborso. La valutazione riguarda anche le circostanze dell’operazione e il comportamento delle parti.
Domande frequenti
L’open banking è obbligatorio per il correntista?
No. Il cliente decide se utilizzare una terza parte e prestare il consenso al servizio. L’obbligo della banca di consentire l’accesso regolato dalla PSD2 non comporta un’attivazione automatica per tutti i correntisti.
Serve aprire un nuovo conto?
No, il servizio può operare sul conto di pagamento già detenuto presso un altro intermediario, purché sia accessibile online e rientri nel perimetro previsto.
L’open banking è sempre gratuito?
No. Gli eventuali costi dipendono dal servizio e dalle condizioni contrattuali. Le spese applicabili devono essere comunicate attraverso le informazioni previste dalla disciplina dei servizi di pagamento.
Informazioni tratte da fonti ufficiali alla data dell'articolo. Per la tua situazione verifica sul sito dell'ente o con un professionista abilitato (CAF, patronato, commercialista).
