CDR e screen scraping a confronto
Come il Consumer Data Right australiano ha sostituito la condivisione delle password come via con cui le app di terzi ottengono i suoi dati bancari, e perché ogni collegamento su BankSync usa il CDR, non lo scraping.
Screen scraping
Inserire le credenziali di CommBank
L’app le salva e accede alla sua banca al posto suo.
Codice cliente
8312 4471
Password
••••••••••••
- Nessun limite: tutto ciò che vede lei
- Nessuna scadenza
- Nessuna traccia presso la banca
Consumer Data Right
Condividere i suoi dati con BankSync
Fiskil (ADRBNK000246) è il destinatario di dati accreditato; BankSync è il suo CDR Representative (rappresentante CDR).
Dati da condividere
- Nome, tipo e saldo del conto(condiviso)
- Dettagli delle transazioni(condiviso)
- Addebiti diretti e pagamenti programmati(non condiviso)
Condividere per
Il CDR è il successore regolamentato dello screen scraping. Con il CDR non condivide mai la password della banca; i consensi sono limitati negli ambiti, a tempo e revocabili; e ogni accesso viene registrato presso la banca. Lo screen scraping non offre nessuna di queste garanzie e viene progressivamente abbandonato in tutta l’Australia.
Confronto diretto.
- Credenziali
- Screen scrapingComunica al terzo la password della banca
- CDRSi autentica presso la sua banca; il terzo non vede mai la sua password
- Ambito
- Screen scrapingTutto ciò che è visibile dopo l’accesso
- CDRSolo gli ambiti di dati che autorizza esplicitamente
- Durata
- Screen scrapingFinché non cambia la password
- CDRA tempo: 7 giorni, 90 giorni o fino a 12 mesi
- Revoca
- Screen scrapingCambiare la password
- CDRUn clic nell’app della banca o nella dashboard del destinatario
- Registro degli accessi presso la banca
- Screen scrapingNessuno; la banca non distingue l’automazione da lei
- CDROgni accesso è registrato con l’ID del consenso
- Autorità di vigilanza
- Screen scrapingNessuna
- CDRACCC e Tesoro, con la vigilanza dell’OAIC sulla privacy
- Condizioni d’uso della banca
- Screen scrapingDi solito vietano di condividere le credenziali
- CDREsplicitamente approvato e richiesto dalla legge
- Responsabilità in caso di fuga di dati
- Screen scrapingPotrebbe essere lei a rispondere degli accessi non autorizzati
- CDRLa responsabilità ricade sul destinatario di dati accreditato
Perché lo screen scraping è al tramonto.
La revisione legislativa del Consumer Data Right del 2022 (Statutory Review) ha raccomandato di vietare lo screen scraping quando il CDR offrirà un’alternativa valida. L’ASIC ha indicato gli strumenti che condividono credenziali come un rischio per i consumatori, e la maggior parte delle grandi banche oggi avverte di non condividere le password con terzi. Il CDR colma il vuoto normativo rendendo l’accesso ai dati con consenso un’infrastruttura di primo livello.
Come funziona davvero un consenso CDR
- Fa clic su «Connect bank» in BankSync.
- Viene reindirizzato alla pagina di autorizzazione CDR sicura della sua banca.
- Accede lì (BankSync non vede mai le credenziali).
- Sceglie gli ambiti (transazioni, saldi) e una durata (7 giorni / 90 giorni / 12 mesi).
- La sua banca emette un token a Fiskil, il destinatario di dati accreditato (ADRBNK000246), che trasmette a BankSync i dati autorizzati.
- Può revocare in qualsiasi momento dall’app della banca o da BankSync.
Il registro completo dei fornitori accreditati è su cdr.gov.au.
Domande e risposte.
Che cos’è lo screen scraping nel settore bancario australiano?
Lo screen scraping avviene quando un’app di terzi chiede nome utente e password del suo internet banking, accede al suo posto e legge le pagine che vede. Non è regolamentato, non lascia traccia presso la sua banca e viola le condizioni d’uso della maggior parte delle banche. Il CDR è stato introdotto nel 2020 per sostituirlo.
Lo screen scraping è illegale in Australia?
Non è del tutto illegale, ma viene progressivamente abbandonato. La revisione legislativa del CDR del Tesoro (Statutory Review, 2022) e l’ASIC hanno indicato che lo screen scraping dovrebbe essere vietato quando la copertura del CDR sarà abbastanza ampia; è stato raccomandato un divieto formale. La maggior parte delle banche lo scoraggia già nelle proprie condizioni d’uso.
Il CDR sostituisce completamente lo screen scraping?
Per i dati coperti dal CDR (banche, energia, telecomunicazioni), sì: i destinatari accreditati possono ottenere dati uguali o migliori tramite API regolamentate. Gli ambiti CDR comprendono dettagli del conto, saldi, transazioni, pagamenti periodici e informazioni sull’intestatario.
Perché il CDR è più sicuro dello screen scraping?
Per quattro motivi: (1) il CDR non vede mai la sua password: si autentica presso la sua banca, non presso il terzo. (2) I consensi CDR sono limitati a tipi di dati e durate specifici. (3) I consensi sono revocabili in qualsiasi momento dalla banca o dal destinatario. (4) Il CDR è vigilato dall’ACCC e dal Tesoro, con obblighi di notifica delle violazioni e di audit.
BankSync usa lo screen scraping da qualche parte in Australia?
No. Ogni collegamento australiano su BankSync passa attraverso il quadro regolamentato del Consumer Data Right tramite Fiskil (destinatario di dati accreditato, ADRBNK000246).
Che fine fanno i vecchi strumenti di screen scraping?
La maggior parte è passata al CDR, ha stretto una partnership con un ADR o ha chiuso. Pocketbook (l’app di finanza personale gratuita più amata d’Australia, che usava lo screen scraping) ha chiuso a marzo 2024, anche a causa dei costi della migrazione al CDR. Gli strumenti che continuano a basarsi sulle credenziali vanno usati con cautela.