Lições aprendidas da Europa: Casos de PSD2

Apesar de ter se tornado um tópico de dimensões mundiais, o Open Banking nasceu em berço europeu. Foi em outubro de 2015 que o Parlamento da União Europeia aprovou a chamada PSD2 (Payment Services Directives), também conhecida como Primeiras Diretivas de Pagamento.

Modelos de implementação

Falar a respeito das lições aprendidas na Europa com a implementação da PSD2, é estudar e analisar as primeiras experiências com a efetivação do Open Banking. Paulo Barbosa, CEO e fundador da Xpandvertex, acredita que para ser feita uma análise a respeito das experiências adquiridas na Europa com a implementação do sistema financeiro aberto, é preciso distinguir os dois modelos de implementação que estão sendo utilizados:

1. Modelo de mercado: As iniciativas de Open Banking surgem a partir do mercado e se caracteriza pela ausência de quadro legal ou regulatório;

2. Modelo regulatório: Implementado um agente nacional ou supranacional que estabelece os padrões e diretrizes a serem utilizados pelo sistema Open Banking;

De acordo com Paulo, inevitavelmente, os dois sistemas acabam convergindo, por exemplo, os EUA trilhou seu caminho pelo Open Banking através de um modelo de mercado. No entanto, atualmente já existe um envolvimento formal das entidades regulatórias em determinadas áreas do processo de implementação do Open Banking. Na visão do empresário, os modelos acabam sendo complementares.

A PSD2 uniformizou o sistema de pagamento europeu. Para o consumidor significa que qualquer transferência feita dentro da União Europeia é regida pelas mesmas regras de uma transferência interna dentro de um país. “O sistema europeu foi desenvolvido de uma maneira bastante específica, ao qual o mercado se adaptou, mas também encontrou soluções para problemas que foram surgindo”, conta Paulo.

Problemas e lições aprendidas

O objetivo básico do Open Banking é dar ao consumidor o controle sobre suas informações financeiras, permitindo que este tenha o poder de decisão sobre quem possui, ou não, acesso aos seus dados. Assim sendo, os operadores de mercado passam a fornecer serviços inovadores e personalizados a partir destas informações coletadas, ajudando o consumidor final, por exemplo, a realizar uma gestão mais eficiente das suas poupanças e aplicações financeiras.

O acesso em si, após o consumidor autorizar o compartilhamento de suas informações, é fornecido através de APIs, sendo que cada uma delas é disponibilizada por uma instituição financeira. De acordo com Paulo, é nesse ponto que reside o primeiro problema identificado na Europa.

O empresário conta que observou a falta de estabelecimento, por parte dos agentes reguladores, de um padrão genérico de API. Na prática, cada instituição financeira desenvolveu o seu modelo de implementação e a falta de padronização gerou muita discussão.

“Houve uma tentativa de padronização europeia, impulsionada pelo Berlin Group, uma entidade que juntou outras instituições para tentar criar um modelo que fosse adotado em nível europeu. No entanto, apesar de ser hoje o modelo de implementação mais utilizado, ainda não é empregado pelo mercado como um todo”, explica Paulo.

No entanto, em detrimento da falta de uniformização de sistemas, outros modelos de implementação surgiram, como por exemplo na França e na Polônia, onde as instituições se organizaram em comunidades nacionais ou regionais com o intuito de criar modelos específicos e próprios de APIs. Não bastando, eventualmente, os bancos também acabaram criando modelos específicos de APIs para, por exemplo, fornecer acesso aos TPPs.

O acesso desenfreado e não padronizado das TPPs às informações dos usuários passou a ser um problema na comunidade europeia. Para que essas empresas tenham direito a acessar os dados financeiros armazenados, deve haver:

• Autorização emitida por um agente regulador nacional (NCA);

• Certificado de segurança para identificação junto ao banco.

Porém, a entidade responsável pela emissão dos certificados deve confirmar junto a NCA se determinada TPP está ou não autorizada. “Se por alguma razão o regulador nacional deixar de autorizar a TPP, não há nenhum mecanismo que permita a NCA iniciar o bloqueio do certificado emitido pela entidade certificatória, o que na prática significa que essa empresa pode continuar acessando aos dados mesmo não estando autorizada”, relata Paulo.

Em sua visão, o regulador deveria ter um mecanismo de fácil manuseio, pois na hipótese de uma empresa participante não possuir ou deixar de ser autorizado, seja possível revogar o certificado de segurança. Assim sendo, a TPP deixa de estar autorizada e tornar-se tecnicamente incapacitada de ter acesso aos dados e APIs.

Este artigo foi escrito por Paulo Barbosa e publicado originalmente em Prensa.li.