Open banking в България: какво позволява PSD2 на вашите данни и плащания

„Open banking“ е правилото, че вашите платежни сметки не са затворена собственост на банката: с ваше изрично съгласие законно лицензирани трети доставчици могат да ги четат или да нареждат плащания от тях. Правилата идват от европейската Директива (ЕС) 2015/2366 за платежните услуги (PSD2) и са записани в българския Закон за платежните услуги и платежните системи (ЗПУПС). Ето какво можете да правите с данните си, кой има право да ги докосва и кой отговаря, ако нещо се обърка.

Двете услуги, които законът отваря

ЗПУПС урежда два вида достъп, които се извършват само спрямо сметки, достъпни онлайн:

• Информация за сметка (чл. 4, т. 8 ЗПУПС) — приложенията за управление на лични финанси и счетоводните платформи събират на едно място движенията по сметките ви в различни банки: наличности и история на операциите.
• Иницииране на плащане (чл. 4, т. 7 ЗПУПС) — плащането тръгва директно от сметката ви, без карта, по нареждане, подадено през уебсайт на търговец или платежно приложение. Посредникът не задържа парите ви в нито един момент.

Правото да ползвате тези услуги не е въпрос на подарък от банката: законът ви го дава, а обслужващата банка гарантира изпълнението му (чл. 72, ал. 2 ЗПУПС за инициирането; правото на информация за сметка е изрично признато в чл. 73 ЗПУПС).

Кой може да вижда данните ви — и само каквото сте разрешили

Достъпът стои на три стълба:

• Изрично съгласие. Доставчикът на информация за сметка получава данни само с вашето изрично съгласие и само за целите, които сте посочили (чл. 73, ал. 2 ЗПУПС). Инициаторът на плащане предава данни за операцията на получателя само с изричното ви съгласие (чл. 72, ал. 3, т. 3 ЗПУПС).
• Не виждат ключовете. Персонализираните ви средства за сигурност — пароли, ПИН, мобилното приложение — никога не се предават на третия доставчик. Той получава достъп през защитените канали на банката.
• Можете да спрете достъпа. Съгласието се дава във времето и може да бъде оттеглено; без валидно съгласие достъпът няма основание да продължи.

Когато давате съгласие в приложение, проверявайте какво точно иска то: какви данни, за какъв период и за каква цел. Съгласие „за всичко завинаги“ не е нужно на нито една законна услуга.

Как да проверите дали доставчикът е законен

Третите доставчици не са „анонимни приложения“ — те са лицензирани или регистрирани лица. БНБ води публичен регистър, в който са вписани лицензираните платежни институции, дружествата за електронни пари и регистрираните доставчици на услуги по предоставяне на информация за сметка (чл. 19 ЗПУПС). Европейският банков орган (ЕБО) поддържа общоевропейски централен регистър на тези доставчици. Преди да свържете сметката си с ново приложение, струва си да проверите името на доставчика в регистъра на БНБ или на ЕБО — вписаното там лице е контролирано, а приложенията без него работят нерегламентирано, по пътища невидими за надзора.

Кой отговаря, ако нещо се обърка

Най-полезната част от рамката за потребителите:

• Доказва доставчикът, не вие. Ако оспорите платежна операция, доказателствената тежест е върху доставчика на платежни услуги (чл. 78 ЗПУПС).
• Неразрешена операция — възстановяване. При неразрешена платежна операция банката възстановява сумата незабавно и не по-късно от края на следващия работен ден (чл. 79 ЗПУПС), с изключенията по чл. 80 (до 50 евро при изгубен или откраднат инструмент; пълни загуби при умисъл или груба небрежност от ваша страна).
• Отговорен е този, чиято е грешката. Когато операцията е тръгнала през инициатор на плащане, той носи доказателствената тежест за своята част от веригата (чл. 94 ЗПУПС), а обслужващото лице и инициаторът си уреждат сметките помежду си, без това да ви оставя в неведение кой плаща.

Действайте бързо: правото на корекция се упражнява без неоснователно забавяне след като откриете нередността, като крайният срок е 13 месеца от задължаването на сметката (чл. 77 ЗПУПС).

Какво остава извън open banking

Open banking не е едно и също с правото на преносимост на данните по Общия регламент за защита на данните. GDPR позволява да получите данните, които сте предоставили, в структуриран формат и да ги прехвърлите на друг администратор; PSD2 каналите са отделен, специален режим за платежните сметки, прилаган под надзора на БНБ. Данните, достъпни през трети доставчик, все така си остават защитени от законите за личните данни, а банките продължават да отговарят за сигурността на канала — именно затова достъпът минава през задължителното задълбочено установяване на идентичността (чл. 100 ЗПУПС), което използва поне два независими елемента за проверка.

Запомнете и какво законът не обещава: услугите на третите доставчици могат да са платени според техните тарифи; задължението за безплатност по закон се отнася до определени информационни и предпазни действия на вашата банка. Open banking ви дава контрол и права, но не и имунитет — правилата за неразрешените операции и отговорността по чл. 77–80 ЗПУПС важат както за канала на банката, така и за канала на третите доставчици.

Източници

• Закон за платежните услуги и платежните системи — актуален текст, публикуван от БНБ
• БНБ — публични регистри по ЗПУПС
• БНБ — регистрите на Европейския банков орган
• Директива (ЕС) 2015/2366 за платежните услуги във вътрешния пазар (PSD2)
• Общ регламент относно защитата на данните (Регламент (ЕС) 2016/679)