CDR versus screen scraping
Hoe de Australische Consumer Data Right wachtwoorden delen heeft vervangen als de manier waarop apps van derden je bankgegevens krijgen, en waarom elke verbinding op BankSync CDR gebruikt en geen scraping.
Screen scraping
Voer je inloggegevens voor CommBank in
De app bewaart deze gegevens en logt namens jou in bij je bank.
Klantnummer
8312 4471
Wachtwoord
••••••••••••
- Geen afbakening: alles wat jij ziet
- Geen einddatum
- Niets vastgelegd bij de bank
Consumer Data Right
Deel je gegevens met BankSync
Fiskil (ADRBNK000246) is de geaccrediteerde gegevensontvanger; BankSync is de CDR Representative daarvan.
Te delen gegevens
- Naam, type en saldo van de rekening(gedeeld)
- Transactiegegevens(gedeeld)
- Automatische incasso’s en geplande betalingen(niet gedeeld)
Delen voor
CDR is de gereguleerde opvolger van screen scraping. Met CDR deel je nooit je bankwachtwoord; toestemmingen zijn beperkt, tijdgebonden en intrekbaar, en elke toegang wordt bij de bank vastgelegd. Screen scraping biedt geen van die garanties en wordt in heel Australië uitgefaseerd.
Vergelijking naast elkaar.
- Inloggegevens
- Screen scrapingJe geeft de derde partij je bankwachtwoord
- CDRJe authenticeert je bij je bank; de derde partij ziet je wachtwoord nooit
- Reikwijdte
- Screen scrapingAlles wat na het inloggen zichtbaar is
- CDRAlleen de gegevensscopes die je uitdrukkelijk toestaat
- Duur
- Screen scrapingTot je je wachtwoord wijzigt
- CDRTijdgebonden: 7 dagen, 90 dagen of tot 12 maanden
- Intrekken
- Screen scrapingJe wachtwoord wijzigen
- CDREén klik in je bankapp of in het dashboard van de ontvanger
- Audittrail bij de bank
- Screen scrapingGeen; de bank kan automatisering niet van jou onderscheiden
- CDRElke toegang wordt vastgelegd bij de toestemmings-ID
- Toezichthouder
- Screen scrapingGeen
- CDRACCC en Treasury, met toezicht op privacy door het OAIC
- Voorwaarden van de bank
- Screen scrapingVerbieden meestal het delen van inloggegevens
- CDRUitdrukkelijk erkend en wettelijk verplicht
- Aansprakelijkheid bij een datalek
- Screen scrapingMogelijk ben jij aansprakelijk voor ongeautoriseerde toegang
- CDRDe aansprakelijkheid ligt bij de geaccrediteerde gegevensontvanger
Waarom screen scraping verdwijnt.
De Statutory Review van de Consumer Data Right uit 2022 adviseerde screen scraping te verbieden zodra de CDR een werkbaar alternatief biedt. ASIC heeft tools die inloggegevens delen aangemerkt als risico voor consumenten, en de meeste grote banken waarschuwen inmiddels tegen het delen van wachtwoorden met derden. De CDR dicht dit gat in de regelgeving door gegevenstoegang met toestemming tot volwaardige infrastructuur te maken.
Hoe een CDR-toestemming echt werkt
- Je klikt in BankSync op “Connect bank”.
- Je wordt doorgestuurd naar de beveiligde CDR-autorisatiepagina van je bank.
- Je logt daar in (BankSync ziet de inloggegevens nooit).
- Je kiest scopes (transacties, saldi) en een duur (7 d / 90 d / 12 mnd).
- Je bank geeft een token uit aan Fiskil, de geaccrediteerde gegevensontvanger (ADRBNK000246), die de gegevens waarvoor je toestemming gaf aan BankSync doorgeeft.
- Je kunt op elk moment intrekken via je bankapp of BankSync.
Het volledige register van geaccrediteerde aanbieders staat op cdr.gov.au.
Vragen, beantwoord.
Wat is screen scraping in het Australische bankwezen?
Bij screen scraping vraagt een app van een derde partij om je gebruikersnaam en wachtwoord voor internetbankieren, logt in alsof hij jou is en leest de pagina’s die hij ziet. Het is niet gereguleerd, laat geen audittrail achter bij je bank en is in strijd met de voorwaarden van de meeste banken. De CDR werd in 2020 ingevoerd om het te vervangen.
Is screen scraping illegaal in Australië?
Niet ronduit illegaal, maar het wordt uitgefaseerd. De Statutory Review of CDR (2022) van Treasury en ASIC hebben aangegeven dat screen scraping verboden moet worden zodra de CDR breed genoeg is uitgerold; een formeel verbod is aanbevolen. De meeste banken ontmoedigen het nu al via hun voorwaarden.
Vervangt de CDR screen scraping volledig?
Voor gegevens die onder de CDR vallen (bankieren, energie, telecom) wel – geaccrediteerde ontvangers kunnen via gereguleerde API’s dezelfde of betere gegevens krijgen. CDR-scopes omvatten rekeninggegevens, saldi, transacties, vaste betalingen en gegevens van de rekeninghouder.
Waarom is CDR veiliger dan screen scraping?
Vier redenen: (1) CDR ziet je wachtwoord nooit – je authenticeert je bij je bank, niet bij de derde partij. (2) CDR-toestemmingen zijn beperkt tot specifieke gegevenstypen en termijnen. (3) Toestemmingen kun je op elk moment intrekken via je bank of de ontvanger. (4) Op de CDR wordt toezicht gehouden door de ACCC en Treasury, met meldplicht bij datalekken en auditverplichtingen.
Gebruikt BankSync ergens in Australië screen scraping?
Nee. Elke Australische verbinding op BankSync loopt via het gereguleerde Consumer Data Right-kader, via Fiskil (geaccrediteerde gegevensontvanger – ADRBNK000246).
Wat gebeurt er met oude screen-scrapingtools?
De meeste zijn overgestapt op CDR, werken samen met een ADR of zijn gestopt. Pocketbook (de populairste gratis app voor persoonlijke financiën in Australië, die screen scraping gebruikte) stopte in maart 2024, deels vanwege de kosten van de overstap naar CDR. Wees voorzichtig met tools die nog met inloggegevens werken.