Open banking é o direito de mandares o teu banco partilhar os dados da tua conta com uma aplicação que tu escolheste. Não é um produto que os bancos inventaram nem um favor que te fazem: é uma obrigação legal criada pela diretiva europeia PSD2 — em português DSP2 — transposta para a lei portuguesa pelo Decreto-Lei n.º 91/2018 e supervisionada pelo Banco de Portugal. Os dados da tua conta são teus. A lei limita-se a dizer isso em voz alta.
Em resumo — 6 factos sobre o open banking em Portugal
- Nasce da Diretiva (UE) 2015/2366 (PSD2 / DSP2), de 25 de novembro de 2015.
- Em Portugal está transposta pelo Decreto-Lei n.º 91/2018, de 12 de novembro, em vigor desde 13 de novembro de 2018.
- Quem supervisiona é o Banco de Portugal; o registo europeu de prestadores é mantido pela EBA.
- Ligar uma conta exige autenticação forte do cliente (SCA) — dois fatores, sempre no teu banco.
- O consentimento é válido 90 dias e podes revogá-lo a qualquer momento.
- O screen scraping — dares a password a um site terceiro — deixou de ser aceitável e foi substituído por interfaces dedicadas.
O essencial
- Open banking não é tecnologia bancária — é um direito do cliente, escrito na lei europeia
- O teu banco é obrigado a partilhar os dados se tu autorizares — e só nesse caso
- Uma aplicação de leitura vê saldos e movimentos. Não vê a password e não move dinheiro.
- O consentimento dura 90 dias por exigência legal e é revogável a qualquer momento
- O que ganhas na prática: contas de vários bancos num ecrã, despesas categorizadas sozinhas, zero registos à mão
O que é o open banking, afinal?
Open banking é o mecanismo legal e técnico que obriga os bancos a partilhar, com o teu consentimento expresso, os dados das tuas contas com prestadores licenciados — e a aceitar deles ordens de pagamento que tu autorizes. Tudo o resto são consequências disto.
Antes de 2018, se querias ver as contas de três bancos num só sítio, tinhas duas opções: somar à mão numa folha de cálculo, ou entregar as tuas credenciais a um serviço que entrava no homebanking por ti. A primeira era chata. A segunda era má ideia. A PSD2 acabou com esse dilema ao criar uma terceira via: o banco expõe os dados numa interface própria, tu autorizas na janela oficial do banco, e a aplicação nunca chega perto da tua password.
Open banking e homebanking não são a mesma coisa
O homebanking é o sítio onde tu geres a tua conta, na aplicação do teu banco. O open banking é o que permite a outra aplicação — escolhida por ti — ler essa conta ou iniciar um pagamento a partir dela. Homebanking existe em Portugal desde os anos 90. Open banking, no formato atual, existe desde a entrada em vigor da PSD2 e da respetiva legislação nacional, em 2018, com os requisitos técnicos plenamente aplicáveis desde 14 de setembro de 2019.
A PSD2 em Portugal: o que diz a lei
A PSD2 (Payment Services Directive 2; em português DSP2, Diretiva dos Serviços de Pagamento revista) é a Diretiva (UE) 2015/2366 do Parlamento Europeu e do Conselho, de 25 de novembro de 2015. Uma diretiva não se aplica sozinha: cada Estado-membro tem de a transpor para o seu direito interno.
Em Portugal essa transposição foi feita pelo Decreto-Lei n.º 91/2018, de 12 de novembro, que aprovou o Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica e entrou em vigor a 13 de novembro de 2018. A supervisão do sistema — autorização, registo e fiscalização das instituições de pagamento — cabe ao Banco de Portugal.
Cronologia — as quatro datas que interessam
- 25 de novembro de 2015 — a União Europeia aprova a Diretiva (UE) 2015/2366 (PSD2).
- 12 de novembro de 2018 — Portugal publica o Decreto-Lei n.º 91/2018, que transpõe a diretiva e aprova o novo regime jurídico dos serviços de pagamento.
- 13 de novembro de 2018 — o diploma entra em vigor. A partir daqui, o acesso às contas por prestadores licenciados passa a ter base legal em Portugal.
- 14 de setembro de 2019 — começam a aplicar-se as normas técnicas de regulamentação (Regulamento Delegado (UE) 2018/389), incluindo a obrigação de autenticação forte do cliente.
O que a lei mudou para ti, mesmo que nunca uses uma app
O valor máximo que suportas por operações de pagamento não autorizadas — um cartão clonado, por exemplo — desceu de 150 € para 50 €, salvo fraude ou negligência grosseira tua. E qualquer pagamento eletrónico passou a exigir autenticação com dois fatores. Isso não veio do teu banco: veio da PSD2.
O open banking em Portugal, em números da lei
Fontes: EUR-Lex — Diretiva (UE) 2015/2366, Diário da República — DL n.º 91/2018
Quem é quem: o banco, o AISP e o PISP
No vocabulário da PSD2 há três papéis. Percebê-los resolve noventa por cento das dúvidas sobre o que uma aplicação pode ou não fazer com a tua conta.
ASPSP — o teu banco
O ASPSP (prestador de serviços de pagamento que gere a conta) é a instituição onde tens a conta à ordem: CGD, Millennium bcp, Novo Banco, Santander, BPI, qualquer outra. A PSD2 obriga-o a disponibilizar uma interface dedicada por onde prestadores licenciados possam aceder aos dados — desde que tu autorizes. O banco não pode recusar esse acesso nem cobrá-lo ao prestador.
AISP — quem lê os dados
O AISP (prestador do serviço de informação sobre contas) lê saldos e movimentos, e nada mais. É a categoria das aplicações de orçamento e agregadores de contas. Acesso de leitura, limitado ao que autorizaste, com consentimento renovável de 90 em 90 dias. A Martia entra aqui: liga-se aos bancos através da Enable Banking, prestador licenciado pela FIN-FSA, a autoridade financeira finlandesa, e a operar em todo o espaço europeu por passaporte da União.
PISP — quem inicia pagamentos
O PISP (prestador do serviço de iniciação de pagamento) pode ordenar uma transferência a partir da tua conta — mas cada operação exige a tua autorização e autenticação forte no teu banco. É a tecnologia por trás de alguns checkouts de comércio eletrónico que debitam a conta diretamente, sem passar pelas redes de cartões.
Mito vs. realidade
Mito: "se ligo a conta a uma app, ela pode mexer-me no dinheiro".
Realidade: só um prestador com licença de iniciação de pagamentos (PISP) consegue ordenar uma transferência — e mesmo esse precisa da tua autorização e da autenticação forte a cada operação. As aplicações de orçamento são AISP: acesso de leitura. Tecnicamente não conseguem mover um cêntimo, mesmo que quisessem.
O open banking é seguro? Três camadas de proteção
A segurança do open banking não assenta na reputação da aplicação — assenta em três camadas independentes: a licença obrigatória, a autenticação forte do cliente e a limitação técnica do acesso.
Autenticação forte do cliente (SCA)
A PSD2 exige que o banco confirme a tua identidade com pelo menos dois elementos de categorias independentes:
- algo que sabes — password, PIN, código;
- algo que tens — o telemóvel, a app do banco, um gerador de códigos;
- algo que és — impressão digital, reconhecimento facial.
É a mesma verificação que já fazes para entrar no homebanking ou confirmar uma compra online. Os requisitos técnicos constam do Regulamento Delegado (UE) 2018/389 e aplicam-se desde 14 de setembro de 2019.
O fim do screen scraping
Antes da PSD2, agregar contas significava entregar as credenciais do homebanking a uma empresa que depois entrava na conta a fingir que era tu. Chamava-se screen scraping e não havia regra nenhuma a enquadrá-lo. A PSD2 substituiu esse método por interfaces dedicadas e por um princípio simples: a tua password é assunto entre ti e o teu banco. Se hoje uma aplicação te pede as credenciais do homebanking para agregar contas, fecha-a.
Open banking vs. screen scraping
| Aspeto | Open banking (PSD2) | Screen scraping (método antigo) |
|---|---|---|
| Password do banco | Dás ao banco, nunca à app | Dás a uma empresa terceira |
| Âmbito do acesso | Leitura, limitada ao que autorizaste | Tudo o que tu próprio consegues fazer |
| Enquadramento legal | PSD2, supervisão do Banco de Portugal | Nenhum |
| Como cortas o acesso | Revogas o consentimento, efeito imediato | Mudas a password e esperas pelo melhor |
Uma nota de honestidade: nenhuma tecnologia elimina o risco de escolheres mal a aplicação. O que a PSD2 garante é que a aplicação tem de estar licenciada e que o acesso é de leitura. O resto — quem guarda os teus dados, onde, e o que faz com eles — continua a ser uma decisão tua, e vale a pena lê-la antes de carregar em "autorizar". Se estás a comparar opções, vê a comparação das apps de orçamento disponíveis em Portugal.
A tua password fica onde sempre esteve: no teu banco
A Martia liga-se à tua conta por open banking, através da Enable Banking. Autenticas-te na janela oficial do teu banco e a Martia recebe apenas acesso de leitura às transações. Demora dois minutos.
O consentimento: porquê 90 dias e como o revogas
O consentimento é a peça central do open banking: sem ele, o banco não partilha nada. E é deliberadamente temporário — as normas técnicas europeias obrigam a que o acesso seja reconfirmado com autenticação forte, na prática de 90 em 90 dias.
Muita gente lê a renovação como uma falha da aplicação. É o contrário: é o sistema a impedir que uma autorização dada há três anos, e há muito esquecida, continue a alimentar alguém com os teus movimentos bancários. Um pedido de reconfirmação de três em três meses é o preço de não haver acessos eternos.
Como revogar o acesso — dois caminhos
- 1.Na aplicação — na área onde geres as contas ligadas. Desligar a conta tem de ser possível e imediato.
- 2.No teu banco — no homebanking ou na app, normalmente numa secção de autorizações ou consentimentos a terceiros. É o caminho a usar se já desinstalaste a aplicação.
Revogar corta o acesso a novos movimentos. Os dados já recolhidos continuam na aplicação até pedires a eliminação — um direito que tens ao abrigo do RGPD, e que uma aplicação séria cumpre sem discussão.
A regra dos 90 dias, em duas linhas
O consentimento de leitura vale 90 dias e renova-se com a mesma autenticação que usaste para o dar. Não é decisão da aplicação — é exigência do Regulamento Delegado (UE) 2018/389, que concretiza a PSD2 em toda a União Europeia.
Que bancos portugueses estão abrangidos?
Todos. Qualquer instituição que gere contas de pagamento acessíveis online em Portugal está obrigada pela PSD2 a disponibilizar acesso a prestadores licenciados — não é opcional, não depende da estratégia comercial do banco e não pode ser cobrado ao prestador. Na prática isso abrange a Caixa Geral de Depósitos, o Millennium bcp, o Novo Banco, o Santander, o BPI e os restantes bancos a operar no mercado português.
Sejamos francos sobre o que não sabemos: a obrigação legal é igual para todos, a qualidade das interfaces não é. Há diferenças reais na estabilidade, no histórico disponibilizado e na frequência com que uma ligação precisa de ser reconfirmada. Não publicamos aqui uma tabela banco a banco porque não temos dados comparativos verificados — e um quadro inventado seria pior do que quadro nenhum. A forma fiável de saber se o teu banco está bem suportado é procurá-lo na lista da aplicação que queres usar.
A Martia liga-se a mais de 2500 bancos na Europa, incluindo os principais bancos portugueses, e permite juntar contas de instituições diferentes numa única vista — o passo prático está explicado em como ligar a conta bancária a uma app.
O caso DABOX: a primeira app portuguesa de open banking
A DABOX foi a primeira aplicação portuguesa de open banking. Lançada pela Caixa Geral de Depósitos em 2018, no âmbito do seu programa de transformação digital e em parceria com a fintech sueca Tink, abriu em 2019 a clientes de qualquer banco — não apenas da CGD — para agregarem contas, verem movimentos categorizados automaticamente e acompanharem receitas e despesas ao longo do tempo.
Deixou de funcionar a 1 de janeiro de 2024. A marca não morreu com a aplicação: a CGD integrou as funcionalidades da DABOX na Caixadirecta, a sua app principal, onde passou a ser possível adicionar contas à ordem de outros bancos e consultar os movimentos categorizados.
O que o fim da DABOX ensina
Uma app de agregação dentro da app de um banco vê o teu dinheiro a partir do ponto de vista desse banco. Faz sentido para o banco. A questão é se faz sentido para ti, quando tens contas em três instituições e nenhuma delas é neutra. O open banking existe precisamente para que a escolha da ferramenta não tenha de coincidir com a escolha do banco.
O que o open banking te dá na prática
Tirando a regulação toda, o open banking resolve três coisas concretas do dia a dia. Nenhuma delas é espetacular isoladamente; juntas, mudam a relação com o dinheiro.
1. Todas as contas num só ecrã
Conta do ordenado num banco, poupança noutro, cartão de crédito num terceiro. Sem agregação, saber quanto tens exige três autenticações e uma soma de cabeça — e por isso a maioria das pessoas simplesmente não faz a conta. Com open banking é uma vista só, atualizada sozinha.
2. Categorização automática das despesas
As transações chegam com a descrição do comerciante e são arrumadas por categoria sem intervenção tua — do Continente ao MB WAY, da Galp à EDP. É a diferença entre saber que gastaste 1 400 € e saber que 380 € foram em restaurantes. É também o que torna possível descobrir para onde vai mesmo o teu dinheiro sem passares as noites a somar talões.
3. Zero registo manual — e é isto que decide tudo
A maioria dos orçamentos familiares não morre por falta de método. Morre na terceira semana, quando apontar cada despesa à mão deixa de caber no dia. Ao eliminar o registo manual, o open banking remove a barreira que faz desistir — e é por isso que um orçamento familiar sincronizado com o banco sobrevive meses onde uma folha de cálculo sobrevive semanas. Vale também para as subscrições que já ninguém usa: só as vês quando alguém as junta todas no mesmo sítio.
Como ligar a conta bancária por open banking
O processo demora dois a três minutos e tem sempre a mesma forma, seja qual for a aplicação — porque a forma é definida pela lei, não pela app.
Escolhes o teu banco na aplicação
A lista inclui os bancos portugueses abrangidos pela PSD2 — CGD, Millennium bcp, Novo Banco, Santander, BPI e outros.
Autenticas-te na janela oficial do banco
Os dados de acesso vão para o banco, nunca para a aplicação. A autenticação forte exige o segundo fator habitual — código no telemóvel ou confirmação na app do banco.
Autorizas a partilha dos dados
O banco pergunta se aceitas partilhar saldos e movimentos. A partir daí a sincronização é automática, durante 90 dias, até reconfirmares ou revogares.
E pronto. Sem formulários, sem enviar documentos, sem esperar por validação — porque quem confirma a tua identidade é o teu banco, em tempo real. O passo a passo detalhado está em como ligar a conta bancária a uma app.
Martia — a IA com quem falas sobre o teu dinheiro
Perguntas em português — "quanto gastei em restaurantes em julho?" ou "que subscrições estou a pagar?" — e recebes a resposta a partir das tuas transações reais, sincronizadas por open banking. Sem Excel, sem registos à mão.
Perguntas frequentes
O que é o open banking?
Open banking é o direito, garantido por lei europeia, de mandares o teu banco partilhar os dados da tua conta com uma aplicação que tu escolheste — ou de autorizares essa aplicação a iniciar um pagamento em teu nome. Nasce da diretiva PSD2 (Diretiva (UE) 2015/2366), transposta para a lei portuguesa e supervisionada pelo Banco de Portugal. Na prática permite juntar contas de bancos diferentes num único ecrã, ver as despesas categorizadas automaticamente e fazer tudo isso sem dares a password do banco a ninguém: a autenticação acontece sempre na janela oficial do teu banco, com os códigos que já usas.
O open banking é seguro?
Sim, e a segurança não depende da boa vontade da aplicação — está escrita na lei. São três camadas: qualquer empresa que aceda aos teus dados bancários precisa de licença de um supervisor europeu; a ligação exige autenticação forte do cliente (SCA), ou seja, pelo menos dois fatores independentes validados pelo teu banco; e o acesso de uma aplicação de leitura está tecnicamente limitado a consultar saldos e movimentos. Uma aplicação assim não consegue transferir dinheiro, alterar limites nem mudar dados da conta. A Martia, por exemplo, liga-se aos bancos através da Enable Banking, prestador licenciado na União Europeia, e só tem acesso de leitura. E podes cortar esse acesso quando quiseres.
O open banking é legal em Portugal?
É legal e está regulado desde 2018. A diretiva PSD2 foi transposta para a lei portuguesa pelo Decreto-Lei n.º 91/2018, de 12 de novembro, que aprovou o Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica e entrou em vigor a 13 de novembro de 2018. A supervisão cabe ao Banco de Portugal, que autoriza e regista as instituições de pagamento a operar em território nacional; a nível europeu, a Autoridade Bancária Europeia (EBA) mantém o registo central de prestadores licenciados. Os bancos são obrigados por lei a dar acesso aos dados da tua conta a prestadores licenciados que tu tenhas autorizado.
O que é a diretiva PSD2 (DSP2)?
A PSD2 — em português DSP2, Diretiva dos Serviços de Pagamento revista — é a Diretiva (UE) 2015/2366, de 25 de novembro de 2015, relativa aos serviços de pagamento no mercado interno. Substituiu a diretiva de 2007 e tem três objetivos: aumentar a segurança dos pagamentos através da autenticação forte do cliente, abrir o mercado a prestadores fora da banca tradicional e uniformizar a proteção do consumidor na União Europeia. Baixou também de 150 € para 50 € o valor máximo que suportas em operações de pagamento não autorizadas, salvo fraude ou negligência grosseira tua. As normas técnicas que a concretizam aplicam-se desde 14 de setembro de 2019.
O que é que uma app de finanças vê da minha conta bancária?
Uma aplicação com licença de acesso à informação de conta vê exatamente aquilo que autorizaste: os saldos e o histórico de movimentos das contas que ligaste — data, valor, descrição e contraparte de cada transação. Não vê a tua password, não vê o cartão matriz nem os códigos de autenticação, não vê contas que não ligaste e não pode movimentar dinheiro. O acesso é de leitura e está limitado pelo token que o banco emite. A Martia funciona exatamente assim: lê as transações para te responder em português sobre o teu dinheiro, e nada mais.
Como revogo o acesso de uma app à minha conta bancária?
Podes revogar o consentimento a qualquer momento, por dois caminhos independentes. O primeiro é dentro da própria aplicação, na área onde geres as contas ligadas — desligar tem de ser possível. O segundo é no homebanking ou na app do teu banco, na secção de autorizações ou consentimentos concedidos a terceiros; é o caminho a usar se já desinstalaste a aplicação. Assim que revogas, o acesso termina de imediato e o prestador deixa de conseguir ir buscar novos movimentos. Convém depois pedir também a eliminação dos dados já recolhidos, ao abrigo do RGPD — é um direito teu, e uma aplicação séria responde a esse pedido.
Porque é que o consentimento dura apenas 90 dias?
Porque a lei europeia assim o exige. As normas técnicas que acompanham a PSD2 — o Regulamento Delegado (UE) 2018/389 — obrigam a que o acesso de um prestador aos dados da tua conta seja reconfirmado periodicamente, com autenticação forte no teu banco; na prática, de 90 em 90 dias. Não é uma limitação inventada pela aplicação nem sinal de que algo correu mal: é um travão desenhado para que ninguém fique com acesso permanente e esquecido às tuas contas. De três em três meses voltas a passar pela janela do teu banco e confirmas que aquela ligação continua a fazer sentido para ti.
O que aconteceu à DABOX, a app de open banking da CGD?
A DABOX foi a primeira aplicação portuguesa de open banking: lançada pela Caixa Geral de Depósitos em 2018, fruto de uma parceria com a fintech sueca Tink, e aberta em 2019 a clientes de qualquer banco para agregarem contas e verem as despesas categorizadas. Deixou de funcionar a 1 de janeiro de 2024. A CGD não abandonou a ideia: integrou as funcionalidades da DABOX na sua aplicação principal, a Caixadirecta, onde é possível adicionar contas à ordem de outros bancos e consultar movimentos categorizados. O open banking em Portugal não desapareceu com a DABOX — mudou de sítio.
Fontes e legislação
- Parlamento Europeu e Conselho (2015). Diretiva (UE) 2015/2366 relativa aos serviços de pagamento no mercado interno (PSD2). eur-lex.europa.eu
- Diário da República (2018). Decreto-Lei n.º 91/2018, de 12 de novembro — Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica. dre.pt
- Banco de Portugal. Diretiva dos Serviços de Pagamentos revista (DSP2) — o que muda. bportugal.pt
- Banco de Portugal. Perguntas frequentes sobre a DSP2. bportugal.pt
- Comissão Europeia (2018). Regulamento Delegado (UE) 2018/389 — normas técnicas de autenticação forte do cliente. eur-lex.europa.eu
- Autoridade Bancária Europeia (EBA). Registo central de prestadores de serviços de pagamento. euclid.eba.europa.eu
- Caixa Geral de Depósitos (2019). DABOX aberta a clientes de todos os bancos. cgd.pt