«¿Fin del scraping en el sector financiero? Hablamos de la PSD2», tribuna de Ángel Caamiña, abogado de ECIJA, para The Law Clinic.
La aprobación del Real Decreto-ley 19/2018, por el que se transpone la PSD2 a nuestro ordenamiento jurídico, ha supuesto la introducción de un nuevo marco legal en el mercado de los servicios de pago que podría poner en jaque la prestación de los servicios de agregación financiera basados en la técnica “screen scraping”.
El pasado 24 de noviembre de 2018 se publicó el Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, por el que se transpone parcialmente al ordenamiento jurídico español el contenido de la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior, también conocida como la PSD2.
Mediante dicha transposición se introducen a nuestro sistema jurídico una serie de modificaciones normativas que, a la vista de las distintas controversias que han surgido en torno a la referida PSD2, van a suponer un gran cambio en el mercado español de los servicios de pago. Entre las medidas más destacables, y que mayor polémica han creado, se encuentra la regulación del denominado servicio de información sobre cuentas (también conocido como servicio de agregación financiera) y, por ende, de los propios proveedores de dichos servicios, denominados bajo el Real Decreto-ley 19/2018 como “entidades prestadoras del servicio de información sobre cuentas”.
Dicha inclusión ha surgido, principalmente, ante la necesidad de regular ciertos servicios que han venido prestándose en los últimos años por terceras entidades que, a través de la denominada técnica “screen scraping”, ofrecían a sus clientes la posibilidad de agregar y acceder en línea a toda la información financiera relacionada con las cuentas y productos contratados con sus entidades bancarias y/o financieras. El uso de este tipo de técnicas provocó una gran controversia en el sector financiero dado que terceras entidades estaban accediendo y extrayendo, a través de las interfaces de los propios clientes y mediante el uso de sus credenciales de seguridad, los datos financieros de aquellos sin ningún tipo de control o identificación previa que permitiese a la entidad responsable conocer qué, quién o cuándo se estaban desarrollando dichas actividades. Por dicho motivo, y con el objetivo de dotar de una mayor protección a los datos de los consumidores, se aprobó la PSD2, la cual es ahora transpuesta al ordenamiento español mediante el Real Decreto-ley 19/2018.
El servicio de información sobre cuentas de pago se encuentra regulado en diferentes preceptos a lo largo del mentado Real Decreto, siendo de destacar lo dispuesto en el artículo 7, en donde se establece el derecho de los consumidores a recurrir a este tipo de servicios, sin la necesidad de que exista una relación contractual entre la entidad prestadora de los mismos y el proveedor gestor de las cuentas de pago. Así pues, nos encontramos ante un derecho del consumidor frente al que la entidad gestora de la cuenta de pago no podrá adoptar medidas que tenga como finalidad impedir, obstaculizar o limitar dicho servicio de forma discrecional y sin justificación; lo contrario supondría una vulneración del derecho del propio consumidor y del principio de no discriminación del artículo 9 del citado Real Decreto-ley.
Ahora bien, dicho derecho no otorga a las entidades prestadoras del servicio de información sobre cuentas la posibilidad de acceder de forma libre e ilimitada a cualquier información de las cuentas de pago del usuario, sino que la normativa establece ciertas obligaciones y requisitos que dichas entidades deberán cumplir en todo momento.
Por un lado, conforme al artículo 15 del Real Decreto-ley, las entidades prestadoras del servicio de información deberán estar registradas y ser autorizadas por el Banco de España, salvo que las mismas hubiesen comenzado a prestar sus servicios con anterioridad al 12 de enero de 2016, en cuyo caso tendrán como límite para registrarse hasta el 14 de septiembre de 2019 (ex. disposición transitoria tercera del referido Real Decreto-ley).
En segundo lugar, deberán cumplir con las normas de acceso y uso de la información sobre cuentas de pago establecidas en el artículo 39 del citado Real Decreto-ley, que disponen que el proveedor de los servicios de información deberá:
- Prestar sus servicios exclusivamente sobre la base del consentimiento explícito del consumidor;
- Garantizar que las credenciales de seguridad personalizadas del usuario no sean accesibles a terceros y que su transmisión se realizará a través de canales seguros y eficientes;
- Identificarse en cada comunicación ante el gestor de cuenta y, a partir del 14 de septiembre de 2019, comunicarse de manera segura con dicho gestor de conformidad con lo previsto en el Reglamento Delegado 2018/389 (RTS); es decir, a través de las interfaces de acceso específicas que deberán establecer las entidades gestoras.
- Acceder únicamente a la información de las cuentas de pago designadas por el usuario y las operaciones de pago correspondientes, no pudiendo solicitar información sobre datos sensibles vinculados a las cuentas de pago, ni utilizar, almacenar o acceder a datos para fines distintos a la prestación del servicio expresamente solicitada por el usuario. Por lo que, tal y como expone la EBA en su opinión de 13 junio de 2018 sobre la implementación del RTS,[1] las entidades prestadoras del servicio de información sobre cuentas no estarán facultadas para solicitar datos identificativos del usuario (tales como la dirección, la fecha de nacimiento, el número de la seguridad social, etc.), dado que no es información necesaria para la prestación del mismo.
Por consiguiente, con la llegada del Real Decreto-ley 19/2018, se incorpora un nuevo marco jurídico por el que se delimita el contexto bajo el que las entidades pueden prestar el servicio de información de cuentas de pago, impidiendo el acceso libre e ilimitado que se venía desarrollando a través de la mentada técnica de “screen scraping”. De tal forma que, mediante la nueva normativa de servicios de pago, se prohíbe el acceso a los datos de los usuarios a través del uso de dicha la técnica; conclusión que fue igualmente alcanzada por la Comisión Europea en su “Fact Sheet” de 27 de noviembre de 2017.[2]
Ahora bien, es importante indicar que la nueva regulación únicamente ampara los servicios de información sobre cuentas de pagos y las operaciones asociadas a las mismas, es decir, cualquier acceso o extracción de información relativa a productos financieros distintos de aquellas no estará amparado bajo el Real Decreto-ley o la propia PSD2. Esto supone que, a día de hoy, no existe normativa que impida expresamente la utilización de la técnica “screen scraping” para acceder a información relativa a otros productos financieros (como fondos de inversión, créditos o préstamos hipotecarios, carteras de valores, etc.), aunque su utilización podría conllevar la vulneración de otras normativas, como la regulación de protección de datos y de la competencia desleal. Asimismo, el acceso podría verse bloqueado por las propias entidades gestoras de dichos productos, al no existir una normativa que amparase este tipo de servicios, por lo que nos encontramos de nuevo frente a un escenario incierto sobre cuya evolución habrá que estar pendientes.
__
[1]Autoridad Bancaria Europea, “Opinion of the European Banking Authority on the implementation of the RTS on SCA and CSC”, 12 junio 2018.
[2] Comisión Europea, Fact Sheet de 27 de noviembre de 2017, “Payment Services Directive (PSD2): Regulatory Technical Standards (RTS) enabling consumers to benefit from safer and more innovative electronic payments”.