Open Banking e PSD2: os teus dados bancários são teus

Durante muito tempo houve uma regra silenciosa na banca: o teu banco era o único guardião do teu histórico financeiro. Sabia onde compravas, quanto ganhavas, quando as coisas apertavam — e essa informação ficava trancada dentro das paredes da instituição. Se quisesses partilhá-la com outra empresa, o caminho era imprimir extractos em papel. A pergunta que quase ninguém fazia era simples: de quem são, afinal, estes dados?

A Europa respondeu com uma directiva. A Diretiva (UE) 2015/2366 — a segunda Diretiva dos Serviços de Pagamento, ou PSD2 — foi publicada, nas palavras do Banco de Portugal, para «actualizar o enquadramento regulatório dos serviços de pagamento e promover uma maior integração europeia neste domínio» (tradução livre) [2]. Por trás da linguagem técnica está uma mudança de princípio: os teus dados bancários são teus, e és tu que decides com quem os partilhas. Esta é a história de como isso aconteceu — e do que ainda está a mudar.

Os teus dados bancários são teus: a ideia por trás da PSD2

A Comissão Europeia é directa quanto ao objectivo da PSD2: tornar «mais fácil e mais seguro usar serviços de pagamento na internet» e «proteger melhor os consumidores contra fraude, abuso e problemas de pagamento» (tradução livre) [1]. Para lá dos bancos tradicionais, a directiva reconheceu novas categorias de prestadores de serviços de pagamento e abriu duas portas que não existiam antes.

Como resume o Banco de Portugal, a legislação deu aos utilizadores a possibilidade de usar «dois novos serviços de pagamento — os Serviços de Iniciação de Pagamento (PIS) e os Serviços de Informação sobre Contas (AIS)» (tradução livre) [2]. O primeiro permite ordenar um pagamento directamente a partir da tua conta, sem cartão pelo meio. O segundo permite que uma entidade autorizada leia — só leia — a informação das tuas contas para ta apresentar de forma organizada. É este segundo serviço, o AIS, que sustenta boa parte do que hoje chamamos Open Banking.

Mais dados a circular exigia mais segurança a proteger. Por isso a PSD2 tornou obrigatória a autenticação forte do cliente (Strong Customer Authentication, SCA) — a confirmação em dois ou mais factores que hoje reconheces do código no telemóvel ou da biometria. O requisito passou a aplicar-se a 14 de setembro de 2019 [1], sustentado por normas técnicas comuns (o Regulamento Delegado (UE) 2018/389) que, segundo a Autoridade Bancária Europeia, visam «reforçar a proteção do consumidor, promover a inovação e melhorar a segurança dos serviços de pagamento em toda a União Europeia» (tradução livre) [1].

Em Portugal, a PSD2 foi transposta pelo Decreto-Lei n.º 91/2018, de 12 de novembro, que — nas palavras do próprio Banco de Portugal — «altera significativamente a forma como os prestadores de serviços de pagamento disponibilizam os seus serviços e como os clientes efetuam as suas operações de pagamento» (tradução livre) [2]. O supervisor é o Banco de Portugal; o quadro é comum a toda a UE. Não é terra de ninguém — é um dos ambientes mais regulados do sector tecnológico.

Quantos já usam o Open Banking — e quantos ainda hesitam

A adopção deixou de ser promessa. Segundo a Juniper Research, o número de utilizadores de Open Banking no mundo deverá saltar de 183 milhões em 2025 para mais de 645 milhões em 2029 — um crescimento superior a 250 % em quatro anos [5]. Do lado das empresas, um inquérito da Mastercard com a The Harris Poll encontrou 85 % de empresas já a usar Open Banking e 93 % à espera que a dinâmica do sector aumente nos próximos cinco anos [6].

O motor deste crescimento é, cada vez mais, a combinação com inteligência artificial. «O crédito abraçou a inteligência artificial, mas aceder aos dados certos através das APIs de Open Banking é essencial para melhorar a eficiência» (tradução livre), nota Nick Maynard, VP of Fintech Market Research da Juniper Research [5].

Do lado dos consumidores, o hábito também já cá está: 76 % ligam contas financeiras directamente a ferramentas digitais para tratar das suas tarefas de dinheiro [6]. Mas confiança não é um dado adquirido. No mesmo estudo, 66 % dizem confiar nos bancos para partilhar os seus dados financeiros e 56 % confiam nas empresas de cartões de crédito [6] — números sólidos, mas longe da unanimidade.

E há quem continue de pé atrás. Segundo o GlobalData 2025 Financial Services Consumer Survey, mais de um terço dos consumidores mantém-se hesitante em usar Open Banking, sobretudo por preocupações de privacidade e segurança [8]. O relatório da Mastercard não podia ser mais claro sobre o que está em jogo: «para que o ecossistema de open banking atinja todo o seu potencial, os consumidores precisam de sentir confiança de que os seus dados estão seguros […] sem confiança, os clientes e as empresas vão-se embora e procuram outros parceiros financeiros» (tradução livre) [6].

O que aí vem: PSD3, PSR e FIDA

A PSD2 não é o fim da linha. A 28 de junho de 2023, a Comissão Europeia apresentou propostas para «trazer os pagamentos e o sector financeiro mais alargado para a era digital» (tradução livre) [3]: uma nova diretiva (PSD3) e um novo regulamento (PSR) para rever a PSD2, mais um enquadramento inteiramente novo para o acesso a dados financeiros — a FIDA.

À época, a Comissária Europeia para os Serviços Financeiros, Mairead McGuinness, enquadrou a lógica: «Na economia de dados em crescimento da UE, cada interação nas finanças cria novos dados. É por isso vital que os consumidores europeus continuem a ser quem controla os seus pagamentos e que decidam com quem partilham esses dados […]» (tradução livre) [3].

O processo deu um salto a 27 de novembro de 2025, quando o Conselho e o Parlamento Europeu chegaram a acordo político provisório sobre a PSR e a PSD3 [4]. O objectivo, segundo o Conselho, é «combater melhor a fraude nos pagamentos, aumentar a transparência sobre comissões e reforçar a proteção do consumidor» (tradução livre) [4] — incluindo um quadro anti-fraude contra esquemas de spoofing (quando os burlões se fazem passar pelo teu prestador de pagamentos) e a verificação da correspondência entre nome e IBAN antes de uma transferência. Nas palavras de Morten Bødskov, ministro dinamarquês em nome da Presidência do Conselho: «O acordo de hoje marca um passo importante no combate à fraude nos pagamentos na UE […] estamos a abrir caminho para um panorama de pagamentos mais seguro, eficiente e amigo do consumidor para todos os europeus» (tradução livre) [4].

Falta ainda a peça mais ambiciosa. A FIDA (Framework for Financial Data Access) quer estender a lógica do Open Banking para lá das contas de pagamento — investimentos, seguros, pensões, crédito — com «controlo total do cliente sobre quem acede aos seus dados e para que fins» (tradução livre) [7]. Ao contrário da PSD3 e da PSR, que já têm acordo político, a FIDA continua em negociação em 2026 [7]. A direcção, porém, é inequívoca: menos fricção, mais concorrência e o utilizador no comando.

O que isto muda nas ferramentas do dia-a-dia

Toda esta engenharia regulatória aterra num sítio muito concreto: as ferramentas que usas para olhar para o teu dinheiro. Antes da PSD2, uma aplicação de finanças pessoais dependia de importações manuais — PDFs, ficheiros CSV, dados a envelhecer entre exportações. Com o Open Banking, passou a poder trabalhar com transações reais, actualizadas e completas, com a tua autorização e sob supervisão europeia.

É exactamente aqui que o AtivaMoney se liga ao teu banco. A ligação usa o Open Banking europeu (PSD2) através do GoCardless, um prestador regulado e licenciado para o efeito. Na prática, funciona como o «Entrar com Google» que já conheces — um fluxo do tipo OAuth em que autorizas o acesso sem nunca entregar as tuas credenciais. Quando ligas o teu banco, acontecem três passos:

1. Escolhes o teu banco na lista de instituições disponíveis. A ligação é intermediada pelo GoCardless, um dos maiores fornecedores de Open Banking na Europa, regulado para prestar este serviço.
2. És reencaminhado para o ambiente seguro do teu banco — não para uma página do AtivaMoney, mas para o interface oficial da instituição. Autenticas-te lá, com SCA, e o banco pergunta-te exactamente o que estás a autorizar (por exemplo, ler as transações dos últimos 90 dias).
3. O banco emite um token de acesso só de leitura, partilhado com o GoCardless, que entrega as transações ao AtivaMoney. Em momento nenhum o AtivaMoney vê ou guarda as tuas credenciais bancárias.

Porque é mais seguro do que parece

A hesitação é legítima — vimos que mais de um terço das pessoas ainda a sente [8]. Mas vale a pena olhar de perto para os factos do modelo:

• As tuas credenciais nunca saem do banco. O AtivaMoney nunca vê o teu utilizador nem a tua palavra-passe. O que recebe é um token de leitura, com âmbito limitado.
• O acesso é apenas de leitura. O token deixa ver transações, mas não iniciar pagamentos nem mexer em nada. É como deixar alguém ver o teu extracto, sem lhe dares as chaves de casa.
• Podes revogar quando quiseres. Retiras a autorização nas definições da tua conta bancária (ou no próprio AtivaMoney) e o acesso é cortado de imediato, sem trocar palavras-passe.
• É regulado pela União Europeia. Os prestadores de Open Banking são licenciados e supervisionados pelas autoridades financeiras — em Portugal, sob o olhar do Banco de Portugal [2].

Checklist: antes de ligares o teu banco

Guarda estas perguntas para qualquer aplicação financeira que consideres — não só o AtivaMoney:

1. A ligação ao banco usa um prestador de Open Banking regulado (PSD2), ou pede-te as credenciais directamente? Se pedir as credenciais, desconfia.
2. O acesso é só de leitura, ou também consegue mover dinheiro? Para agregar finanças, ler basta.
3. Autenticas-te no ambiente do teu banco, com SCA — e não numa página da própria aplicação?
4. Consegues ver e revogar a autorização a qualquer momento?
5. A aplicação diz-te onde ficam os teus dados e quem são os subprocessadores? Transparência é meio caminho para confiança.

O Open Banking devolveu-te uma coisa simples que andava perdida: a titularidade dos teus próprios dados financeiros. A regulação europeia deu-te as chaves — as ferramentas certas ajudam-te a usá-las.

Começa grátis — sem cartão

Referências

1. Comissão Europeia (DG FISMA) — Payment services (PSD2); ver também a Autoridade Bancária Europeia (EBA) sobre as normas técnicas de autenticação forte do cliente.
2. Banco de Portugal — Payment services under the PSD2 (inclui a transposição pelo Decreto-Lei n.º 91/2018, de 12 de novembro).
3. Comissão Europeia — Modernising payment services and opening financial services data, 28 de junho de 2023 (com a citação de Mairead McGuinness).
4. Conselho da União Europeia — Payment services: Council and Parliament agree to step up the fight against fraud and increase transparency, 27 de novembro de 2025.
5. Juniper Research — Open Banking User Numbers to Surge by Over 250% by 2029, 2025.
6. Mastercard Europe — Building trust in the age of open banking (inquérito Mastercard + The Harris Poll), 2025.
7. Comissão Europeia (DG FISMA) — Framework for Financial Data Access (FIDA).
8. Retail Banker International / GlobalData — Open banking: moving from compliance to cashflows (GlobalData 2025 Financial Services Consumer Survey), 2025.