PSD2 a Open Banking

PSD2 a Open Banking: Kompletný sprievodca smernicou o platobných službách 2 a zdieľaním finančných údajov cez API

Európske finančné prostredie prešlo za posledné desaťročie zásadnou transformáciou, ktorú poháňala jediná regulačná povinnosť: druhá smernica o platobných službách (PSD2). Táto komplexná regulácia EÚ spolu so širším trhovým pohybom smerom k otvorenému bankovníctvu (Open Banking) od základov zmenila spôsob, akým finančné inštitúcie, fintech spoločnosti a poskytovatelia tretích strán narábajú s platobnými údajmi spotrebiteľov a firiem. Pre IT manažérov s rozhodovacou právomocou a lídrov v oblasti digitálnej transformácie už nie je porozumenie PSD2 a Open Banking voliteľné – je nevyhnutné na orientáciu v modernej architektúre finančných služieb, riadenie rizik compliance (súladu s predpismi) a využívanie inovačných príležitostí.

Tento sprievodca prináša podrobný pohľad na PSD2 a Open Banking: ich pôvod, regulačné požiadavky, technickú implementáciu, biznisové dôsledky a budúci vývoj. Či už ste technický riaditeľ (CTO) hodnotiaci stratégie integrácie API, pracovník compliance posudzujúci regulačné povinnosti, alebo zakladateľ fintechu budujúci nové platobné služby, tento článok vám poskytne vedomosti potrebné na prijímanie informovaných rozhodnutí.

Čo je PSD2 a ako funguje?

Pôvod a evolúcia – od PSD k PSD2

Smernica o platobných službách (PSD), prijatá v roku 2007, bola prvým pokusom Európskej únie o harmonizáciu regulácie platobných služieb v členských štátoch. Pôvodná PSD stanovila základné pravidlá pre poskytovateľov platobných služieb, štandardy ochrany spotrebiteľa a spracovanie cezhraničných platieb. Na začiatku druhej dekády 21. storočia sa však situácia v oblasti platieb dramaticky zmenila. Mobilné bankovníctvo, online obchodovanie a fintech inovácie napredovali oveľa rýchlejšie, než smernica z roku 2007 predpokladala. Očakávania spotrebiteľov na plynulé platby v reálnom čase vzrástli, hrozby podvodov sa vyvinuli a konkurenčné prostredie sa roztrieštilo.

V reakcii na to Európska komisia navrhla revidovanú smernicu PSD2, formálne prijatú ako smernica (EÚ) 2015/2366. PSD2 nadobudla účinnosť 12. januára 2016, pričom členské štáty EÚ mali dva roky na jej transpozíciu do národného práva – termín, ktorý väčšina krajín splnila do januára 2018. Najdôležitejšia požiadavka na dodržiavanie predpisov – silná autentifikácia zákazníka (SCA) – sa však stala povinnou až 14. septembra 2019, čo poskytlo poskytovateľom platobných služieb dodatočné prechodné obdobie na implementáciu potrebnej bezpečnostnej infraštruktúry.

Vývoj od PSD k PSD2 odráža zásadný posun v regulačnej filozofii: od statického stanovovania pravidiel k adaptívnemu riadeniu navrhnutému tak, aby podporovalo inovácie a zároveň chránilo spotrebiteľov a udržiavalo finančnú stabilitu. V súčasnosti už Európska komisia pripravuje smernicu PSD3, od ktorej sa očakáva ďalšie rozšírenie rozsahu otvoreného finančníctva (Open Finance) a posilnenie práv spotrebiteľov.

Hlavné ciele a rozsah pôsobnosti

Smernica PSD2 bola navrhnutá na dosiahnutie štyroch primárnych cieľov, z ktorých každý rieši konkrétne zlyhanie trhu alebo regulačnú medzeru:

1. Vytvoriť integrovanejší a efektívnejší európsky platobný trh. Harmonizáciou pravidiel platobných služieb v celom Európskom hospodárskom priestore (EHP) PSD2 odstránila roztrieštené národné regulácie, ktoré predtým bránili cezhraničným platobným tokom. Táto integrácia znižuje trenie pre nadnárodné podniky a umožňuje paneurópskym fintech platformám efektívne rásť.

2. Vyrovnať podmienky hospodárskej súťaže pre poskytovateľov platobných služieb. Pôvodná PSD vytvárala bariéry vstupu pre nebankových poskytovateľov platieb. PSD2 explicitne uznáva nové kategórie poskytovateľov platobných služieb – poskytovateľov služieb informovania o účte (AISP) a poskytovateľov služieb iniciovania platby (PISP) – a udeľuje im regulovaný prístup k bankovým účtom zákazníkov (za predpokladu súhlasu zákazníka). Táto demokratizácia platobných služieb umožnila tisícom fintech startupov spustiť inovatívne služby, ktoré boli predtým nerealizovateľné.

3. Zvýšiť bezpečnosť platieb a znížiť počet podvodov. Požiadavka PSD2 na silnú autentifikáciu zákazníka nariaďuje, že všetky online platobné transakcie musia byť overené pomocou dvoch nezávislých faktorov autentifikácie. Táto požiadavka dramaticky znížila platobné podvody v celom EHP, hoci obchodníkom a spotrebiteľom priniesla aj prevádzkové výzvy.

4. Chrániť údaje spotrebiteľov a firiem. PSD2 stanovuje prísne požiadavky na správu údajov a vyžaduje výslovný súhlas spotrebiteľa predtým, ako k informáciám o účte získa prístup akýkoľvek poskytovateľ tretej strany. Od poskytovateľov platobných služieb sa vyžaduje aj implementácia robustných opatrení kybernetickej bezpečnosti, nahlasovanie bezpečnostných incidentov a udržiavanie štandardov prevádzkovej odolnosti.

Geografická a odvetvová použiteľnosť

PSD2 sa vzťahuje na všetkých poskytovateľov platobných služieb pôsobiacich v Európskom hospodárskom priestore (EHP), ktorý zahŕňa všetky členské štáty EÚ plus Island, Lichtenštajnsko a Nórsko. Smernica sa vzťahuje aj na poskytovateľov platobných služieb v Spojenom kráľovstve na základe špecifických pobrexitových dohôd, hoci Spojené kráľovstvo začalo rozvíjať svoj vlastný regulačný rámec pre Open Banking.

Medzi poskytovateľov platobných služieb, na ktorých sa vzťahuje PSD2, patria tradičné banky, platobné inštitúcie (licencovaní nebankoví spracovatelia platieb), inštitúcie elektronických peňazí a určité fintech spoločnosti. Poskytovatelia tretích strán – AISP a PISP – musia byť registrovaní u svojho národného finančného regulátora a musia spĺňať technické a bezpečnostné štandardy PSD2, a to aj v prípade, že nedisponujú finančnými prostriedkami zákazníkov.

Pre firmy pôsobiace v strednej a východnej Európe (SVE) – vrátane Slovenska, Českej republiky a ďalších členských štátov EÚ – je dodržiavanie PSD2 povinné. To prinieslo výzvy aj príležitosti: finančné inštitúcie museli výrazne investovať do infraštruktúry API a bezpečnostných protokolov, zatiaľ čo fintech spoločnosti našli nové kanály na inovácie a konkurencieschopnosť.

Aké sú kľúčové komponenty súladu s PSD2?

Silná autentifikácia zákazníka (SCA)

Silná autentifikácia zákazníka (SCA) je pravdepodobne najviditeľnejšou požiadavkou PSD2 s najväčším prevádzkovým dosahom. SCA vyžaduje, aby boli všetky online platobné transakcie overené pomocou dvoch alebo viacerých nezávislých prvkov z troch kategórií:

• niečo, čo viete (znalosť, napríklad heslo alebo PIN kód),

• niečo, čo vlastníte (vlastníctvo, napríklad mobilný telefón alebo hardvérový token),

• niečo, čím ste (biometria, napríklad odtlačok prsta alebo rozpoznávanie tváre).

Regulačné technické štandardy pre SCA, ktoré zverejnil Európsky orgán pre bankovníctvo (EBA) v marci 2018, sa stali povinnými 14. septembra 2019. Od tohto dňa čelil každý poskytovateľ platobných služieb, ktorý neimplementoval SCA, regulačným sankciám a zodpovednosti za podvodné transakcie.

Smernica PSD2 a usmernenia EBA však obsahujú niekoľko dôležitých výnimiek z požiadavky na SCA za predpokladu, že poskytovatelia platobných služieb dokážu preukázať, že transakcia patrí do nízkorizikovej kategórie:

• Transakcie nízkej hodnoty: Platby do 30 € (tento limit si však môžu jednotlivé členské štáty upraviť).

• Opakujúce sa platby: Transakcie, pri ktorých platiteľ už overil prvú platbu v sérii.

• Biela listina obchodníkov (whitelisting): Platby obchodníkom, ktorých zákazník výslovne schválil.

• Platba sebe samému: Prevody medzi účtami vedenými tým istým zákazníkom.

• Dôveryhodní príjemcovia: Prevody vopred schváleným príjemcom.

Tieto výnimky boli nevyhnutné na to, aby SCA neochromila e-commerce a modely predplatného. Vytvorili však aj bezpečnostné zraniteľnosti: podvodníci začali zneužívať medzery vo výnimkách, a poskytovatelia platobných služieb preto musia nasadzovať sofistikované systémy autentifikácie založené na hodnotení rizík, aby dokázali odlíšiť nízkorizikové transakcie od potenciálnych podvodov.

Nad rámec základnej dvojfaktorovej požiadavky zavádza PSD2 koncept dynamického prepojenia (dynamic linking) pre kartové transakcie. Dynamické prepojenie vyžaduje, aby proces autentifikácie explicitne potvrdil sumu platby a údaje o príjemcovi. Tým sa predchádza útokom typu man-in-the-middle, kedy by podvodník zachytil platbu a zmenil údaje o transakcii po vykonaní autentifikácie.

Štandardy Open Banking a API

Zatiaľ čo SCA rieši bezpečnosť platieb, ustanovenia PSD2 o otvorenom bankovníctve riešia prístup k údajom a interoperabilitu. Článok 4 smernice PSD2 vyžaduje, aby poskytovatelia platobných služieb sprístupnili informácie o účtoch zákazníkov a služby iniciovania platieb autorizovaným poskytovateľom tretích strán prostredníctvom bezpečných, štandardizovaných API. Tieto API musia spĺňať „spoločné a bezpečné otvorené štandardy komunikácie“.

Regulačné technické štandardy EBA špecifikujú, že tieto API musia byť:

• Štandardizované: Konzistentné naprieč všetkými poskytovateľmi platobných služieb, čo umožňuje vývojárom tretích strán napísať kód raz a integrovať ho s viacerými bankami.

• Bezpečné: Chránené šifrovaním, vzájomnou autentifikáciou a kontrolou prístupu.

• Spoľahlivé: Dostupné na 99,5 % času (s zdokumentovanými zmluvami o úrovni poskytovaných služieb – SLA).

• Výkonné: Schopné spracovávať požiadavky v rámci definovaných časových okien odozvy.

V praxi to viedlo k vzniku štandardov Open Banking API, ako sú Open Banking Standard (UK), špecifikácia Berlin Group NextGenPSD2 (Európa) a rôzne národné implementácie. Tieto štandardy definujú technickú štruktúru požiadaviek a odpovedí API, autentifikačné protokoly a dátové formáty.

Kľúčovým aspektom Open Banking API je, že fungujú na modeli založenom na súhlase. Poskytovateľ tretej strany nemôže získať prístup k údajom o účte zákazníka bez jeho výslovného a informovaného súhlasu. Zákazník musí byť presne informovaný o tom, ku ktorým údajom bude mať TPP (poskytovateľ tretej strany) prístup, na ako dlho a na aký účel. Tento súhlas sa zaznamenáva na bankovom účte zákazníka a je možné ho kedykoľvek odvolať.

Služby informovania o účte (AIS) a služby iniciovania platby (PIS)

PSD2 rozlišuje dve hlavné kategórie služieb tretích strán, ktoré fungujú prostredníctvom Open Banking API:

• Služby informovania o účte (AIS): AISP je licencovaný poskytovateľ tretej strany, ktorý môže pristupovať k informáciám o účte zákazníka – histórii transakcií, zostatku na účte, histórii platieb – za účelom poskytovania služieb finančného riadenia, analýz alebo poradenstva. Príkladom sú aplikácie na správu osobných financií (ako rozpočtové funkcie v Revolut alebo N26), aplikácie na sledovanie výdavkov a platformy finančnej analytiky. AISP nemôže iniciovať platby, môže len čítať údaje z účtu.

• Služby iniciovania platby (PIS): PISP je licencovaný poskytovateľ tretej strany, ktorý môže iniciovať platby v mene zákazníka priamo z jeho bankového účtu. Príkladom sú fintech platobné platformy (ako Wise alebo platobné odkazy Stripe), služby na úhradu faktúr a alternatívne riešenia pokladní v e-shopoch. PISP môže iniciovať platby, ale zvyčajne nemôže čítať historické údaje o účte (hoci niektoré implementácie umožňujú obmedzený prístup k údajom z dôvodu prevencie podvodov).

Poskytovatelia AIS aj PISP musia byť formálne registrovaní u svojho národného finančného regulátora. V EÚ je to zvyčajne národná centrálna banka (napr. Národná banka Slovenska) alebo orgán pre dohľad nad finančným trhom. Registrácia si vyžaduje preukázanie technickej spôsobilosti, bezpečnostných opatrení, štruktúr riadenia a finančnej stability. Po registrácii získavajú poskytovatelia AIS a PISP zákonné právo na prístup k bankovým účtom zákazníkov (so súhlasom zákazníka) a podliehajú priebežnému regulačnému dohľadu.

Ako Open Banking API umožňujú zdieľanie finančných údajov?

Architektúra API a technická implementácia

Open Banking API sú postavené na štandardných webových technológiách: protokoloch RESTful HTTP, dátových formátoch JSON a autentifikácii OAuth 2.0. Tento technický základ bol zvolený zámerne, aby sa znížili bariéry vstupu pre fintech vývojárov a zabezpečila sa kompatibilita medzi rôznymi bankovými systémami.

Typický tok Open Banking API prebieha nasledovne:

1. Zákazník iniciuje požiadavku: Zákazník v prostredí fintech aplikácie klikne na tlačidlo „Pripojiť bankový účet“. Aplikácia ho presmeruje na prihlasovaciu stránku jeho banky (alebo na rozhranie agregátora).

2. Zákazník sa autentifikuje a udelí súhlas: Zákazník sa prihlási do svojej banky pomocou svojich bežných prihlasovacích údajov. Banka mu následne zobrazí obrazovku so súhlasom, kde presne vidí, ku ktorým údajom bude mať aplikácia tretej strany prístup, na ako dlho a na aký účel. Zákazník požiadavku výslovne schváli alebo zamietne.

3. Banka vygeneruje autorizačný kód: V prípade schválenia banka vygeneruje časovo obmedzený autorizačný kód a presmeruje zákazníka späť do fintech aplikácie.

4. Aplikácia tretej strany vymení kód za prístupový token: Fintech aplikácia použije autorizačný kód na vyžiadanie prístupového tokenu (access token) z API servera banky. Táto výmena prebieha na úrovni server-to-server, nie cez prehliadač zákazníka, čo zaručuje, že aplikácia nikdy neuvidí prihlasovacie údaje zákazníka do banky.

5. Aplikácia tretej strany dopytuje údaje o účte: Fintech aplikácia použije prístupový token na odosielanie požiadaviek do Open Banking API banky, čím získava informácie o účte, históriu transakcií alebo iniciuje platby v rozsahu udeleného oprávnenia.

6. Banka vráti údaje a zaznamená prístup: Banka vráti požadované údaje v štandardizovanom formáte JSON a zaznamená každý prístup k API do logov na účely auditu a compliance.

Tento tok OAuth 2.0 zabezpečuje, že fintech aplikácia nikdy nezíska priamy prístup k bankovým prihlasovacím údajom zákazníka. Banka namiesto toho vystupuje ako dôveryhodný sprostredkovateľ, ktorý vydáva časovo obmedzené prístupové tokeny, ktoré je možné kedykoľvek odvolať.

Z technického hľadiska banky implementovali Open Banking API zvyčajne jedným z dvoch prístupov:

Prístup 1: Priama integrácia API

Banka vybuduje vlastné Open Banking API priamo nad svojím hlavným bankovým systémom (core banking) a sprístupní údaje o účtoch a funkcie iniciovania platieb cez štandardizované endpointy. Tento prístup ponúka maximálnu kontrolu a prispôsobiteľnosť, no vyžaduje si výrazné investície do vývoja.

Prístup 2: Platforma na agregáciu API

Banka spolupracuje s externou platformou na agregáciu API (ako Plaid, TrueLayer či Kevin), ktorá stojí medzi staršími systémami (legacy systems) banky a vývojármi tretích strán. Agregačná platforma zabezpečuje autentifikáciu, normalizáciu údajov a štandardizáciu API, čo znižuje vývojovú záťaž banky, no prináša závislosť od agregátora.

Mnohé veľké európske banky zvolili hybridný prístup: interné budovanie kľúčových Open Banking API a súčasnú participáciu na platformách priemyselných štandardov na zabezpečenie širšej kompatibility v ekosystéme.

Súhlas spotrebiteľa a správa údajov

Základným princípom PSD2 Open Banking je výslovný a informovaný súhlas spotrebiteľa. Predtým, ako môže akýkoľvek poskytovateľ tretej strany pristupovať k údajom o účte alebo iniciovať platby, musia byť zákazníkovi jasne zobrazené informácie o:

• identite poskytovateľa tretej strany,

• konkrétnych požadovaných údajoch alebo funkciách (napr. „čítať históriu transakcií za posledných 90 dní“ alebo „iniciovať platby do výšky 5 000 €“),

• trvaní súhlasu (napr. „na 90 dní“ alebo „do odvolania“),

• účele prístupu k údajom (napr. „na poskytovanie rozpočtového poradenstva“ alebo „na spracovanie úhrad faktúr“).

Tento model súhlasu sa výrazne líši od tradičného modelu „prihlasovacieho mena a hesla“, kedy zákazník odovzdal svoje bankové prihlasovacie údaje aplikácii tretej strany, čím jej udelil neobmedzený prístup na neurčito. Model súhlasu PSD2 je oveľa podrobnejší (granulárnejší) a transparentnejší.

Správa údajov podľa PSD2 zahŕňa aj prísne limity uchovávania údajov. Poskytovatelia služieb informovania o účte majú zvyčajne povolené uchovávať transakčné údaje len 90 dní po vypršaní súhlasu zákazníka. To bráni fintech spoločnostiam budovať trvalé databázy finančnej histórie zákazníkov bez ich priebežného súhlasu.

Okrem toho je PSD2 zosúladená so všeobecným nariadením EÚ o ochrane údajov (GDPR), ktoré zákazníkom poskytuje ďalšie práva: právo na prístup k svojim údajom, právo na opravu nepresných údajov a právo na zabudnutie (vymazanie údajov). Tieto práva pridávajú ďalšiu vrstvu komplexnosti do správy údajov a vyžadujú od fintech spoločností a bánk implementáciu robustných postupov riadenia a mazania údajov.

Bezpečnostné opatrenia a prevencia podvodov

Open Banking API sú pre kyberzločincov lukratívnym cieľom. Kompromitované API by mohlo odhaliť milióny zákazníckych transakcií, zostatkov a osobných finančných údajov. V dôsledku toho PSD2 nariaďuje prísne bezpečnostné opatrenia:

• Šifrovanie: Všetka komunikácia cez API musí byť šifrovaná pomocou protokolov TLS 1.2 (alebo vyšších). Citlivé údaje musia byť šifrované pri prenose (medzi API klientom a serverom) aj v pokoji (uložené v systémoch banky).

• Vzájomná autentifikácia: Poskytovateľ tretej strany aj banka sa musia pred výmenou údajov navzájom autentifikovať. To sa zvyčajne dosahuje pomocou digitálnych certifikátov a vzájomného TLS (mTLS), čo zabraňuje útokom typu man-in-the-middle.

• Kontrola prístupu: Prístupové tokeny vydané bankou musia byť obmedzené v rozsahu (špecifikujúce presne, ktoré údaje alebo funkcie sú prístupné) a v trvaní (vypršia po stanovenom čase, zvyčajne po 90 dňoch). Banky musia implementovať aj obmedzovanie frekvencie požiadaviek (rate limiting) a detekciu anomálií na identifikáciu a blokovanie podozrivých vzorcov používania API.

• Monitorovanie transakcií: Pri službách iniciovania platieb musia banky monitorovať všetky požiadavky na iniciovanie platieb kvôli znakom podvodu alebo neoprávneného prístupu. To zahŕňa kontrolu súm transakcií voči historickým vzorcom, overovanie konzistentnosti príjemcu s predchádzajúcim správaním zákazníka a označovanie neobvyklých cezhraničných prevodov alebo prevodov vysokých hodnôt.

• Hlásenie incidentov: Ak banka alebo poskytovateľ tretej strany zaznamená bezpečnostný incident ovplyvňujúci Open Banking API, musí ho nahlásiť svojmu národnému finančnému regulátorovi v definovanom časovom rámci (zvyčajne do 24 hodín pri závažných incidentoch). EBA zverejňuje usmernenia k klasifikácii incidentov a postupom nahlasovania.

• Penetračné testovanie a bezpečnostné audity: Banky a veľkí poskytovatelia tretích strán sú povinní vykonávať pravidelné penetračné testovanie a bezpečnostné audity svojej infraštruktúry Open Banking, spravidla aspoň raz ročne. Tieto testy musia vykonávať nezávislé bezpečnostné firmy a musia byť zdokumentované pre potreby regulačnej kontroly.

Aké sú biznisové dôsledky PSD2 a Open Banking?

Vplyv na finančné inštitúcie

Pre tradičné banky je PSD2 dvojsečnou zbraňou. Na jednej strane si vyžiadala obrovské kapitálové investície do infraštruktúry API, bezpečnostných systémov a plnenia regulačných požiadaviek. Európske banky spoločne vynaložili miliardy eur na vybudovanie platforiem otvoreného bankovníctva, nábor špecializovaných talentov a prebudovanie starších systémov s cieľom sprístupniť údaje o účtoch cez API.

Na druhej strane však Open Banking vytvoril nové príležitosti na generovanie príjmov. Banky môžu speňažiť svoje vzťahy so zákazníkmi a údaje prostredníctvom:

• Poplatkov za licencovanie API: Spoplatnenie prístupu poskytovateľov tretích strán k nadštandardným API.

• Prémiových dátových služieb: Ponuka pokročilej analytiky, prehľadov a prediktívnych služieb pre fintech partnerov.

• White-label riešení: Poskytovanie infraštruktúry Open Banking menším regionálnym bankám alebo fintech platformám.

• Partnerstiev v ekosystéme: Budovanie strategických aliancií s fintech spoločnosťami s cieľom rozšíriť ponuku služieb a osloviť nové segmenty zákazníkov.

Najzásadnejším dopadom PSD2 na banky však bolo narušenie konkurenčného prostredia (disrupcia). Fintech spoločnosti, vyzbrojené Open Banking API, dokázali spustiť inovatívne platobné služby a nástroje na správu financií bez toho, aby museli budovať vlastnú bankovú infraštruktúru. To urýchlilo posun smerom k vstavaným financiám (embedded finance), kedy sú finančné služby integrované priamo do nefinančných aplikácií (napr. možnosti platby na e-commerce platformách, rozpočtové nástroje v účtovnom softvéri).

Pre banky pôsobiace v strednej a východnej Európe vytvorila PSD2 príležitosť súťažiť na rovnakej úrovni so západoeurópskymi finančnými inštitúciami. Slovenská fintech spoločnosť dnes dokáže vyvinúť služby, ktoré sa bez problémov integrujú s akoukoľvek bankou v EÚ, bez ohľadu na jej veľkosť alebo geografickú polohu.

Príležitosti pre fintech a poskytovateľov tretích strán

Pre fintech spoločnosti a poskytovateľov tretích strán bola PSD2 transformačným míľnikom. Regulačná povinnosť bánk sprístupniť Open Banking API vytvorila masívny nový trh pre inovatívne finančné služby:

• Služby iniciovania platieb: Spoločnosti ako Wise, Stripe či Revolut vybudovali miliardové biznisy aj vďaka ponuke alternatívnych platobných metód, ktoré využívajú služby iniciovania platieb podľa PSD2. Namiesto toho, aby zákazníci museli zadávať údaje o svojej karte na stránke obchodníka, môžu sa autentifikovať priamo vo svojej banke a schváliť platbu v priebehu niekoľkých sekúnd.

• Správa osobných financií: Aplikácie ako Emma či rôzne finančné agregátory prepojili údaje o účtoch z tisícok bánk cez Open Banking API, čo zákazníkom umožňuje vidieť všetky svoje účty na jednom mieste a dostávať personalizované finančné poradenstvo.

• Skóring úveruschopnosti a požičiavanie: Fintech veritelia využívajú Open Banking API na prístup k transakčným údajom v reálnom čase, čo umožňuje rýchlejšie a presnejšie rozhodovanie o úveroch než v prípade tradičných úverových registrov. To demokratizovalo úverovanie a uľahčilo prístup ku kapitálu malým podnikom a jednotlivcom s obmedzenou finančnou históriou.

• Fakturácia a úhrada platieb: B2B fintech platformy využívajú služby iniciovania platieb na zjednodušenie procesov úhrady faktúr, čím firmám umožňujú platiť dodávateľom priamo z ich bankových účtov bez manuálneho zadávania údajov alebo papierových procesov.

Regulačná požiadavka na podporu Open Banking zároveň znížila bariéry vstupu pre startupy. Zakladateľ fintechu už nemusí získať plnú bankovú licenciu, aby mohol spustiť platobnú službu; stačí sa zaregistrovať ako poskytovateľ služieb iniciovania platby a integrovať sa s existujúcimi API bánk.

Riadenie rizík a regulačné povinnosti

Napriek príležitostiam priniesli PSD2 a Open Banking nové riziká a regulačné povinnosti, ktoré organizácie musia dôsledne riadiť:

• Regulačná záťaž: Organizácie ponúkajúce služby AIS alebo PISP musia získať registráciu od regulátora, implementovať technické štandardy, udržiavať bezpečnostné certifikácie a reportovať úradom. Pre startupy a malé spoločnosti môžu byť tieto náklady na compliance značné.

• Prevádzkové riziko: Open Banking API sú kritickou infraštruktúrou. Ak API zlyhá alebo vykazuje nízky výkon, môže to narušiť celú fintech službu. Banky a poskytovatelia tretích strán musia implementovať robustný monitoring, procesy obnovy po havárii (disaster recovery) a kontinuity podnikania.

• Riziko kybernetickej bezpečnosti: Open Banking API sú atraktívnym cieľom útokov. Jediné porušenie bezpečnosti by mohlo odhaliť milióny záznamov o zákazníkoch a viesť k regulačným pokutám, žalobám a poškodeniu reputácie. Organizácie musia masívne investovať do bezpečnostných nástrojov, monitorovania hrozieb a schopností reagovať na incidenty.

• Ochrana osobných údajov a súlad s GDPR: Poskytovatelia tretích strán musia dodržiavať požiadavky GDPR na spracovanie, uchovávanie a mazanie údajov. To je výzvou najmä pre spoločnosti, ktoré agregujú údaje z viacerých bánk a uchovávajú ich na analytické účely.

• Evolúcia regulácie: Samotná PSD2 sa vyvíja a na obzore je PSD3. Organizácie musia sledovať regulačné zmeny a byť pripravené primerane prispôsobiť svoju technickú a prevádzkovú infraštruktúru.

Ako sa PSD2 líši od Open Banking?

Regulačný vs. trhový prístup

Častým omylom je, že PSD2 a Open Banking sú synonymá. V skutočnosti ide o odlišné, no prekrývajúce sa koncepty:

PSD2 je povinná regulácia EÚ. Všetci poskytovatelia platobných služieb pôsobiaci v EHP musia spĺňať požiadavky PSD2, či sa im to páči alebo nie. Nedodržanie predpisov má za následok regulačné sankcie, pokuty a potenciálnu stratu licencií na činnosť.

Open Banking je trhové hnutie. Hoci PSD2 nariaďuje bankám sprístupniť Open Banking API, širšie hnutie otvoreného bankovníctva presahuje rámec požiadaviek PSD2. Open Banking zahŕňa dobrovoľné iniciatívy bánk a fintech spoločností zamerané na zdieľanie finančných údajov a podporu inovácií tretích strán, a to aj v jurisdikciách, kde neexistuje žiadna regulačná povinnosť.

Napríklad iniciatíva Open Banking v Spojenom kráľovstve, ktorá vznikla ešte pred PSD2, vyžadovala od deviatich najväčších britských bánk sprístupnenie Open Banking API skôr, ako sa PSD2 stala povinnou. Podobne Austrália a Singapur spustili iniciatívy otvoreného bankovníctva založené na regulačných mandátoch, avšak s inými technickými štandardmi a rozsahom než PSD2.

V podstate je PSD2 európskou regulačnou implementáciou širšieho konceptu Open Banking. Predstavuje „ako“ a „čo“ v rámci Open Banking v EHP, pričom presne špecifikuje, ktoré API musia byť sprístupnené, ktoré bezpečnostné štandardy musia byť splnené a ktorí poskytovatelia tretích strán sú oprávnení pristupovať k údajom zákazníkov.

Geografický rozsah a regionálne rozdiely

PSD2 sa vzťahuje len na poskytovateľov platobných služieb pôsobiacich v EHP. Mimo EHP funguje Open Banking pod inými regulačnými rámcami alebo trhovými iniciatívami:

• Spojené kráľovstvo: Po brexite si Spojené kráľovstvo vyvinulo vlastný rámec Open Banking, ktorý je vo veľkej miere zosúladený s PSD2, no vykazuje rozdiely v technických štandardoch a časových harmonogramoch implementácie.

• Austrália: Rámec Consumer Data Right (CDR) nariaďuje Open Banking pre štyri najväčšie banky s plánovaným rozšírením na ďalšie finančné inštitúcie.

• Singapur: Monetary Authority of Singapore (MAS) podporuje dobrovoľné iniciatívy Open Banking so špecifickými štandardmi API a bezpečnostnými požiadavkami.

• Spojené štáty: USA nemajú komplexný mandát pre Open Banking, hoci Úrad pre finančnú ochranu spotrebiteľov (CFPB) navrhol pravidlá otvoreného bankovníctva, ktoré by od bánk vyžadovali zdieľanie údajov o zákazníkoch s fintech konkurentmi.

Pre organizácie pôsobiace vo viacerých geografických oblastiach vytvára táto roztrieštenosť komplexné prostredie. Fintech spoločnosť môže potrebovať implementovať API kompatibilné s PSD2 pre zákazníkov v EHP, API pre britský Open Banking pre zákazníkov v Spojenom kráľovstve a API kompatibilné s CDR pre austrálskych zákazníkov – pričom každé z nich má odlišné technické špecifikácie, bezpečnostné požiadavky a regulačný dohľad.

Aké sú mýty a fakty o PSD2 a Open Banking?

Mýtus č. 1: PSD2 a Open Banking je to isté

Fakt: Ako bolo vysvetlené vyššie, PSD2 je regulačný mandát EÚ pre Open Banking. Open Banking je širší trhový koncept. Sú prepojené, ale odlišné. Pochopenie tohto rozdielu je dôležité pre strategické plánovanie a compliance.

Mýtus č. 2: Open Banking je len pre spotrebiteľov

Fakt: Hoci sú Open Banking API často prezentované spotrebiteľom (napr. cez osobné finančné aplikácie), rovnako dôležité sú aj pre firmy. Služby iniciovania platieb sú široko využívané B2B fintech platformami na zjednodušenie úhrad faktúr a riadenie cash flow. Služby informovania o účte využívajú platformy business intelligence na poskytovanie finančných prehľadov v reálnom čase. Regulátori a odvetvové organizácie čoraz viac diskutujú o Open Bankingu pre malé a stredné podniky (SME) a firemných klientov, nielen pre bežných spotrebiteľov.

Mýtus č. 3: Výnimky zo SCA robia autentifikáciu voliteľnou

Fakt: Výnimky zo SCA (pre transakcie nízkej hodnoty, opakujúce sa platby atď.) sú podmienené a založené na hodnotení rizika. Poskytovateľ platobných služieb sa nemôže jednoducho rozhodnúť vynechať SCA pri všetkých platbách nízkej hodnoty; musí implementovať systémy posudzovania rizík, aby zabezpečil, že transakcia skutočne spĺňa podmienky na výnimku. Ak poskytovateľ udelí výnimku neoprávnene a dôjde k podvodu, nesie za podvodnú transakciu plnú zodpovednosť. Výnimky sú definované striktne a vyžadujú si precíznu implementáciu.

Mýtus č. 4: Zdieľanie údajov v Open Banking je nebezpečné

Fakt: Hoci Open Banking zahŕňa zdieľanie finančných údajov zákazníkov s tretími stranami, model PSD2 založený na súhlase, požiadavkách na šifrovanie a kontrole prístupu v skutočnosti poskytuje silnejšiu ochranu než tradičný model „zdieľania hesiel“ (screen scraping), ktorý mu predchádzal. Keď zákazník udelí súhlas poskytovateľovi tretej strany, poskytuje mu prístup ku konkrétnemu balíku údajov na obmedzený čas s možnosťou súhlas kedykoľvek odvolať. Je to oveľa podrobnejšie a transparentnejšie, než odovzdať prihlasovacie údaje do bankovníctva aplikácii a dúfať, že ich nezneužije.

Aká je budúcnosť Open Banking a smernice PSD3?

Harmonogram PSD3 a očakávané zmeny

Európska komisia už začala legislatívny proces pre PSD3, pričom implementácia sa odhaduje v období rokov 2025–2026. Hoci sa o PSD3 stále rokuje, očakávajú sa viaceré kľúčové zmeny:

• Rozšírenie rozsahu mimo platieb: Očakáva sa, že PSD3 rozšíri princípy otvoreného bankovníctva na ďalšie finančné produkty vrátane sporiacich účtov, investičných účtov, poistných produktov a hypoték. Tento širší rozsah sa označuje ako otvorené finančníctvo (Open Finance).

• Posilnenie práv spotrebiteľov: PSD3 pravdepodobne posilní práva spotrebiteľov na prístup k vlastným údajom a prenos ich finančných vzťahov ku konkurenčným poskytovateľom. To by mohlo zahŕňať právo sťahovať údaje o účte v štandardizovaných formátoch a právo zmeniť poskytovateľa s minimálnym trením.

• Vyššia bezpečnosť a prevádzková odolnosť: PSD3 zrejme prinesie prísnejšie požiadavky na kybernetickú bezpečnosť vrátane povinných šifrovacích štandardov, častejších bezpečnostných auditov a rýchlejších lehôt na reakciu na incidenty.

• Platby v reálnom čase ako štandard: PSD3 môže nariadiť, aby všetky banky podporovali iniciovanie platieb v reálnom čase, čím sa čas vysporiadania skráti z dní na sekundy.

• Zjednodušená autorizácia a autentifikácia: PSD3 môže zaviesť flexibilnejšie metódy autentifikácie, čím potenciálne zníži závislosť od výnimiek zo SCA a umožní autentifikáciu založenú na hodnotení rizík, ktorá je bezpečná a zároveň používateľsky prívetivá.

Nastupujúce trendy v Open Finance

Okrem PSD3 formujú budúcnosť Open Banking a Open Finance aj ďalšie širšie trendy:

• Vstavané financie (Embedded Finance): Finančné služby sa čoraz častejšie stávajú priamou súčasťou nefinančných aplikácií. Zákazník môže požiadať o úver priamo počas nákupu na e-commerce platforme alebo investovať svoje úspory cez rozpočtovú aplikáciu. Open Banking API umožňujú tento model tým, že aplikáciám tretích strán poskytujú prístup k finančným údajom a možnosť iniciovať transakcie v mene zákazníkov.

• Okamžité platby: Schémy okamžitých platieb (ako napríklad SEPA Instant Credit Transfer v EÚ) sa stávajú štandardom a umožňujú vysporiadanie platieb v režime 24/7/365. Tento posun od dávkového spracovania k zúčtovaniu v reálnom čase zásadne mení riadenie cash flow a platobné toky.

• Otvorené dáta a finančná transparentnosť: Regulátori a spotrebiteľské organizácie tlačia na väčšiu transparentnosť cien a podmienok finančných služieb. Open Banking API by sa mohli rozšíriť o sprístupňovanie údajov o cenách, čo by zákazníkom umožnilo jednoducho porovnávať finančné produkty a meniť poskytovateľov.

• Cezhraničný Open Banking: Hoci PSD2 funguje primárne v rámci EHP, rastie záujem o prepojenie systémov Open Banking naprieč rôznymi globálnymi regiónmi, čo by umožnilo globálne integrované finančné služby.