CDR frente a screen scraping
Cómo el Consumer Data Right de Australia sustituyó a la práctica de compartir contraseñas como vía para que las aplicaciones de terceros obtengan sus datos bancarios, y por qué todas las conexiones de BankSync usan el CDR y no el scraping.
Screen scraping
Introduzca sus credenciales de CommBank
La app las guarda e inicia sesión en su banco como si fuera usted.
Número de cliente
8312 4471
Contraseña
••••••••••••
- Sin límites: todo lo que usted ve
- Sin fecha de fin
- Sin registro en el banco
Consumer Data Right
Comparta sus datos con BankSync
Fiskil (ADRBNK000246) es el receptor de datos acreditado; BankSync es su CDR Representative.
Datos que se comparten
- Nombre, tipo y saldo de la cuenta(compartido)
- Detalles de las transacciones(compartido)
- Domiciliaciones y pagos programados(no compartido)
Compartir durante
El CDR es el sucesor regulado del screen scraping. Con el CDR, nunca comparte la contraseña de su banco; los consentimientos son limitados, temporales y revocables, y cada acceso queda auditado en el banco. El screen scraping no ofrece ninguna de esas garantías y se está eliminando progresivamente en Australia.
Comparativa punto por punto.
- Credenciales
- Screen scrapingUsted da al tercero la contraseña de su banco
- CDRUsted se autentica con su banco; el tercero nunca ve su contraseña
- Alcance
- Screen scrapingTodo lo visible tras iniciar sesión
- CDRSolo los permisos (scopes) de datos que usted autorice expresamente
- Duración
- Screen scrapingHasta que cambie su contraseña
- CDRLimitado en el tiempo: 7 días, 90 días o hasta 12 meses
- Revocación
- Screen scrapingCambiar la contraseña
- CDRUn clic en la aplicación de su banco o en el panel del receptor
- Registro de auditoría en el banco
- Screen scrapingNinguno; el banco no distingue la automatización de usted
- CDRCada acceso se registra con el ID del consentimiento
- Regulador
- Screen scrapingNinguno
- CDRACCC y Tesoro australiano, con supervisión de la OAIC en materia de privacidad
- Condiciones del banco
- Screen scrapingSuelen prohibir compartir credenciales
- CDRExpresamente avalado y exigido por ley
- Responsabilidad si se filtran datos
- Screen scrapingUsted puede ser responsable de los accesos no autorizados
- CDRLa responsabilidad recae en el receptor de datos acreditado
Por qué el screen scraping tiene los días contados.
La revisión legal del Consumer Data Right de 2022 recomendó prohibir el screen scraping en cuanto el CDR ofrezca una alternativa viable. La ASIC ha señalado las herramientas que piden credenciales como un riesgo para los consumidores, y la mayoría de los grandes bancos ya incluyen advertencias contra compartir contraseñas con terceros. El CDR cierra el vacío regulatorio al convertir el acceso consentido a los datos en una infraestructura de primer nivel.
Cómo funciona realmente un consentimiento CDR
- Usted hace clic en «Connect bank» en BankSync.
- Se le redirige a la página segura de autorización CDR de su banco.
- Allí inicia sesión (BankSync nunca ve las credenciales).
- Elige los permisos (scopes) (transacciones, saldos) y una duración (7 días / 90 días / 12 meses).
- Su banco emite un token a Fiskil, el receptor de datos acreditado (ADRBNK000246), que transmite los datos consentidos a BankSync.
- Puede revocarlo en cualquier momento desde la aplicación de su banco o desde BankSync.
El registro completo de proveedores acreditados está en cdr.gov.au.
Preguntas, respondidas.
¿Qué es el screen scraping en la banca australiana?
Hay screen scraping cuando una aplicación de terceros le pide el usuario y la contraseña de su banca en línea, inicia sesión en su nombre y lee las páginas que ve. No está regulado, no deja registro de auditoría en su banco e incumple las condiciones de servicio de la mayoría de los bancos. El CDR se introdujo en 2020 para sustituirlo.
¿Es ilegal el screen scraping en Australia?
No es ilegal como tal, pero se está eliminando progresivamente. La revisión legal del CDR del Tesoro australiano (2022) y la ASIC han indicado que el screen scraping debería prohibirse cuando la cobertura del CDR sea suficientemente amplia; se ha recomendado una prohibición formal. La mayoría de los bancos ya lo desaconsejan en sus condiciones de servicio.
¿Sustituye el CDR por completo al screen scraping?
Para los datos que cubre el CDR (banca, energía, telecomunicaciones), sí: los receptores acreditados pueden obtener datos iguales o mejores mediante API reguladas. Los permisos (scopes) del CDR incluyen los datos de la cuenta, los saldos, las transacciones, los pagos periódicos y la información del titular.
¿Por qué el CDR es más seguro que el screen scraping?
Por cuatro motivos: (1) el CDR nunca ve su contraseña: usted se autentica con su banco, no con el tercero. (2) Los consentimientos CDR se limitan a tipos de datos y periodos concretos. (3) Los consentimientos se pueden revocar en cualquier momento desde su banco o desde el receptor. (4) El CDR está supervisado por la ACCC y el Tesoro australiano, con obligaciones de notificación de brechas y de auditoría.
¿Usa BankSync screen scraping en algún caso en Australia?
No. Todas las conexiones australianas de BankSync pasan por el marco regulado del Consumer Data Right a través de Fiskil (receptor de datos acreditado, ADRBNK000246).
¿Qué pasa con las antiguas herramientas de screen scraping?
La mayoría ha migrado al CDR, se ha asociado con un ADR o ha cerrado. Pocketbook (la aplicación gratuita de finanzas personales más popular de Australia, que usaba screen scraping) cerró en marzo de 2024, en parte por el coste de migrar al CDR. Conviene tratar con precaución las herramientas que siguen basándose en credenciales.