Ai fornitori di dati come banche e cooperative di credito potrebbe presto essere richiesto di disporre di interfacce di programmazione delle applicazioni (API) strutturate per la condivisione dei dati dei clienti, mentre le aziende Fintech e le piattaforme che ricevono tali dati dovranno soddisfare i propri standard in materia di consenso e utilizzo dei dati. Insieme, questi requisiti stanno rimodellando il modo in cui i dati finanziari si spostano negli Stati Uniti. Allontanano il settore dallo screen scraping e lo spingono verso connessioni dati autorizzate e verificabili.

Di seguito, illustreremo cosa comporta la Sezione 1033. Esamineremo anche come il regolamento sull'open banking suddivide gli obblighi tra fornitori di dati e terze parti e cosa devono fare le attività su entrambi i lati di questa relazione per essere in compliance.

In sintesi

• La Sezione 1033 conferisce ai clienti il diritto di carattere giuridico di accedere ai propri dati finanziari e di condividerli con terze parti tramite connessioni strutturate basate su API anziché tramite screen scraping.

• Banche, cooperative di credito, aziende Fintech e aggregatori di dati hanno ciascuno obblighi di compliance distinti in merito all'accesso ai dati e al consenso ai sensi della norma finale.

• Le attività devono verificare i propri metodi attuali di condivisione dei dati, il linguaggio del consenso e le relazioni con i fornitori con largo anticipo rispetto alle scadenze di compliance applicabili.

Che cos'è la Sezione 1033 del CFPB?

La Sezione 1033 è una disposizione del Dodd-Frank Act che conferisce ai clienti il diritto di carattere giuridico di accedere ai dati del proprio conto finanziario e di condividerli con terze parti di loro scelta. Un tribunale federale ha emesso un'ingiunzione preliminare che ha bloccato l'applicazione della Sezione 1033 nel 2025 e la norma è in fase di revisione.

Quali diritti sui dati finanziari dei consumatori stabilisce la Sezione 1033?

La Sezione 1033 conferisce ai clienti il diritto di accedere a diverse categorie di dati finanziari propri e di indirizzare tali dati a una terza parte senza passare per le interfacce delle proprie banche. Ecco alcune di queste categorie:

• Cronologia delle transazioni e saldi dei conti: depositi, prelievi e pagamenti risalenti ad almeno 24 mesi fa

• Termini e condizioni (T&C): tassi di interesse, piani delle commissioni, limiti di credito e altro ancora

• Informazioni sull'identità del conto: informazioni di base associate ai conti, come nomi, indirizzi email e numeri di telefono

• Dettagli sul pagamento delle ricevute e sull'avvio dei pagamenti: informazioni legate ai pagamenti imminenti

I clienti in genere autorizzano questa condivisione di dati attraverso la terza parte stessa e possono revocare tale autorizzazione in qualsiasi momento. I fornitori di dati devono semplificare la revoca.

Quali sono i requisiti principali per gli istituti finanziari e le terze parti ai sensi della Sezione 1033?

La norma sull'open banking che applica la Sezione 1033 stabilisce obblighi diversi per i fornitori di dati e le terze parti. Tuttavia, tutti lavorano verso lo stesso obiettivo di consentire ai dati di spostarsi attraverso canali controllati e verificabili anziché tramite soluzioni alternative ad hoc.

Per i fornitori di dati, la norma richiede quanto segue:

• Interfacce dedicate: i fornitori di dati devono creare e gestire due interfacce separate: una per i clienti (ad es. un portale bancario) e una per gli sviluppatori di terze parti autorizzati (ad es. un'API).

• Nessuna commissione: i fornitori di dati non possono addebitare ai clienti o alle terze parti l'accesso ai dati coperti.

• Informazioni di contatto: i fornitori di dati devono fornire determinate informazioni ai clienti e alle terze parti, comprese le informazioni di contatto per domande sull'accesso ai dati coperti.

Per le terze parti autorizzate, gli obblighi funzionano nell'altra direzione:

• Consenso esplicito: le terze parti devono ottenere un consenso esplicito e specifico dai clienti.

• Limiti all'utilizzo dei dati: le terze parti possono utilizzare i dati solo per lo scopo autorizzato dal cliente.

• Limiti di durata: l'autorizzazione scade dopo un anno, dopodiché deve essere rinnovata.

In che modo la Sezione 1033 cambia l'ambiente dell'open banking?

Gli Stati Uniti si affidano allo screen scraping da oltre un decennio: un cliente consegna le proprie credenziali di accesso bancario a un'app di terze parti e tale app accede ed estrae i dati direttamente dalla pagina del conto. Funziona, ma è fragile. Le riprogettazioni dei siti bancari lo interrompono, i team di sicurezza lo segnalano come attività di accesso sospetta e i dati restituiti sono validi solo quanto ciò che risulta visibile in una pagina web in quel determinato giorno.

La Sezione 1033 spinge invece l'intero modello verso un accesso basato su API. I fornitori di dati devono esporre endpoint strutturati che restituiscono i campi dati specificati dalla norma, in modo che le terze parti smettano di dipendere dalla condivisione delle credenziali e inizino a dipendere da connessioni autorizzate e limitate. Un'autorizzazione API revocata è un'interruzione netta in un modo che una sessione di accesso tramite scraping di solito non è, poiché la terza parte non ha mai avuto la password effettiva per cominciare.

Cosa significa il passaggio all'accesso basato su API per gli aggregatori di dati

Gli aggregatori di dati finanziari (ovvero le aziende che si interpongono tra le banche e le app Fintech utilizzate dai clienti) avvertono direttamente questo cambiamento. Le loro attività sono state costruite su infrastrutture di scraping nei siti bancari e la norma le spinge invece verso API standardizzate, il che significa meno manutenzione degli scraper.

Cosa significa per le piattaforme Fintech

Le piattaforme Fintech che dipendono dagli aggregatori per la verifica del conto, la valutazione del rischio dei prestiti o le funzionalità di budget avvertiranno questo cambiamento anche senza toccare direttamente il livello API, perché l'affidabilità e la qualità di ciò che ricevono cambiano di conseguenza. I dati che spesso arrivavano in modo incoerente ora arriveranno attraverso un'interfaccia definita con campi definiti. Una piattaforma che prende in tempo reale decisioni basate su quei dati (ad es. l'approvazione di un prestito o la segnalazione di un conto da esaminare) ha bisogno di tale coerenza tanto quanto del requisito legale che ne è alla base.

Cosa devono fare le attività per prepararsi alla Sezione 1033?

Le attività su entrambi i lati della relazione di condivisione dei dati, sia che stiano costruendo l'interfaccia sia che stiano consumando dati attraverso di essa, hanno un lavoro concreto da fare prima delle scadenze applicabili, che al momento sono indeterminate.

Questi sono alcuni dei passaggi che devono intraprendere:

• Mappare i metodi attuali di condivisione dei dati: identificare ogni luogo in cui l'attività attualmente invia o riceve i dati finanziari del cliente tramite screen scraping, condivisione delle credenziali o accesso API informale. Segnalare quali di queste relazioni rientrano nell'ambito di applicazione della norma.

• Rivedere il linguaggio del consenso: le richieste di autorizzazione devono dichiarare il proprio scopo in modo sufficientemente chiaro da consentire al cliente di comprendere esattamente cosa sta accettando. Ciò significa che un linguaggio generico come "abbiamo bisogno di accedere al tuo conto" non sarà valido.

• Verificare le pratiche di conservazione dei dati: i requisiti di minimizzazione dei dati indicano che le attività necessitano di una risposta reale in merito a per quanto tempo conservano i dati dei clienti e perché.

• Valutare le relazioni con terze parti e fornitori: le attività devono capire in che modo i propri partner gestiscono i dati che ricevono.

• Confermare le date di compliance applicabili: le attività devono verificare le tempistiche specifiche rispetto alle attuali linee guida del CFPB. Le scadenze sono scaglionate in base alle dimensioni dell'istituto e sono cambiate a causa di sfide di carattere giuridico.

Quali strumenti possono aiutare a supportare la compliance alla Sezione 1033?

Le attività non devono creare un'infrastruttura API o una gestione del consenso da zero. Alcune categorie di strumenti coprono la maggior parte dei requisiti della norma:

• Strumenti per l'accesso autorizzato ai dati: si connettono direttamente agli istituti finanziari tramite API anziché tramite screen scraping. Ciò restituisce dati strutturati su conti e transazioni attraverso una connessione autorizzata dal cliente.

• Sistemi di gestione del consenso e dell'autorizzazione: tengono traccia di ciò che un cliente ha accettato, di quando l'ha fatto e per quale scopo. Questo aspetto è importante visti i requisiti della norma in materia di divulgazione in linguaggio chiaro e facilità di revoca.

• Strumenti di verifica dell'identità: aiutano i fornitori di dati a confermare che una richiesta provenga da una terza parte autorizzata e non da un truffatore. Si tratta di un rischio reale quando l'accesso al conto passa da una relazione in una filiale fisica a una chiamata API.

La combinazione giusta dipende dal lato della relazione sui dati in cui si trova un'attività e da quale parte della sua infrastruttura esistente passa già attraverso API rispetto a metodi di integrazione più vecchi. Un'attività che utilizza già un fornitore di servizi di pagamento per la verifica del conto o per i trasferimenti bancari ha probabilmente meno da ricostruire rispetto a una che si affida ancora a caricamenti manuali di documenti o sessioni di accesso tramite scraping.

In che modo Stripe Financial Connections può essere d'aiuto

Stripe Financial Connections è un insieme di API che ti consente di connettersi ai conti bancari dei clienti e di recuperare i loro dati finanziari in modo assolutamente sicuro, in modo da creare prodotti e servizi finanziari innovativi.

Financial Connections ti può aiutare a:

• Semplificare l'attivazione: offri una procedura di verifica del conto bancario istantanea e fluida che non richiede la verifica manuale dell'identità e dell'account.

• Accedere a dati finanziari completi: recupera tutte le informazioni sui conti bancari dei tuoi clienti, inclusi transazione saldo, transazioni e dati del conto.

• Automatizzare i pagamenti ricorrenti: offri ai tuoi clienti la possibilità di collegare in modo sicuro i loro conti bancari per i pagamenti ricorrenti, ottimizzando in tal modo l'esito positivo delle transazioni.

• Migliorare la gestione del rischio: analizzare i dati finanziari dei clienti permette di prendere decisioni più informate su credito, prestiti e altri prodotti finanziari.

• Rispettare le normative: Financial Connections ti aiuta a soddisfare i requisiti di adeguata verifica della clientela e antiriciclaggio (AML).

• Innovare con fiducia: crea nuovi prodotti e servizi finanziari basandoti sull'infrastruttura sicura e affidabile di Financial Connections.

Scopri di più su Financial Connections, o inizia oggi stesso.