Open banking en España: qué es, cómo funciona con PSD2 y cómo revocar el acceso

¿Qué es open banking en España?

Open banking en España es la posibilidad de que una aplicación autorizada lea los datos de tus cuentas o inicie un pago desde ellas, siempre con tu consentimiento. Se basa en la directiva europea PSD2, que obliga a los bancos a abrir interfaces seguras a terceros regulados y no a compartir tu contraseña.

Este artículo habla del mercado español y de la Unión Europea. Si vives en México, el marco es otro: allí rige la Ley Fintech de 2018 y sus disposiciones secundarias, con un calendario propio, y conviene consultar a la autoridad local antes de dar por hecho que se aplican las mismas reglas.

En la práctica lo has usado si alguna vez viste en una sola app el saldo de dos bancos distintos, autorizaste un pago desde un comercio online sin pasar por tu tarjeta, o dejaste que un servicio de gestión de gastos importara tus movimientos. La parte invisible es el permiso: durante unos minutos tu banco te pide confirmar quién pide qué y por cuánto tiempo.

Mi lectura después de repasar la directiva y las guías de las autoridades: la tecnología es sólida y el riesgo real suele estar en los hábitos, en conceder acceso y olvidarlo. Por eso la mitad de esta guía trata de cómo mirar y retirar permisos, no solo de cómo darlos.

¿Cómo funciona PSD2 por dentro?

La Directiva (UE) 2015/2366, conocida como PSD2, creó dos figuras que antes no tenían estatus legal claro. La primera es el proveedor de servicios de información sobre cuentas, que lee tus datos para mostrártelos o analizarlos. La segunda es el proveedor de servicios de iniciación de pagos, que da la orden de pago por ti sin que tengas que entrar al banco. En España la norma se incorporó mediante el Real Decreto-ley 19/2018 sobre servicios de pago.

El flujo típico es este:

1. Eliges conectar tu banco en una aplicación.
2. La app te redirige a tu banco, o a su aplicación, para autenticarte.
3. Confirmas con doble factor (clave, huella, código).
4. El banco entrega a la app un permiso limitado, no tu contraseña.
5. Ese permiso caduca o puedes retirarlo.

Figura	Qué hace	Ejemplo cotidiano
Servicio de información sobre cuentas	Lee saldos y movimientos	App que reúne tus cuentas de varios bancos
Servicio de iniciación de pagos	Ordena un pago desde tu cuenta	Pagar una compra online con transferencia directa
Tu banco	Verifica tu identidad y entrega el acceso	Pantalla de confirmación con doble factor
Autoridad supervisora	Autoriza y vigila a los proveedores	Registro público de entidades de pago

Un detalle que a muchos se les escapa: la autenticación reforzada es obligatoria, de modo que ni siquiera un proveedor autorizado debería poder mover dinero sin esa segunda confirmación tuya. Si una app te pide datos bancarios por un formulario propio y no te lleva a tu banco, desconfía.

¿Qué diferencia hay entre open banking, Bizum y un agregador?

Aquí hay confusión frecuente, y no es casualidad: los tres conviven en el mismo móvil. Una forma sencilla de separarlos es por qué hacen con tu dinero y tus datos.

Herramienta	Qué hace	Necesita permiso permanente
Bizum	Enviar dinero entre personas desde tu banco	No, es una operación puntual
Agregador de cuentas	Muestra saldos y movimientos de varios bancos	Sí, un consentimiento con caducidad
Iniciador de pagos	Lanza un pago concreto desde tu cuenta	No, suele autorizarse pago a pago
App de gastos con conexión bancaria	Categoriza tus movimientos	Sí, mientras la mantengas conectada

Esto importa porque el riesgo sigue al permiso permanente. Un pago puntual se acaba cuando lo confirmas. Una conexión de lectura permanece abierta hasta que caduca o la retiras, y de eso va el resto de la guía.

Si usas una app para controlar gastos y no estás seguro de querer conectarla a tu banco, antes de decidir compara opciones en nuestra guía de apps para controlar gastos y en el análisis de apps de presupuesto.

¿Es seguro el open banking?

Open banking es más seguro que el método antiguo de entregar tu usuario y contraseña a un tercero, porque la conexión pasa por tu banco, usa autenticación reforzada y entrega un permiso limitado. Dicho esto, seguro no significa libre de riesgo, y los riesgos reales son menos cinematográficos de lo que parece.

Los que veo con más frecuencia:

• Permisos olvidados. Probaste una app hace dos años y sigue con acceso de lectura.
• Apps no autorizadas. Se hacen pasar por un servicio conocido y te piden datos fuera de tu banco.
• Phishing de banca. Te llega un mensaje con un enlace para “renovar tu consentimiento” que lleva a una página falsa.
• Brechas en terceros. Una empresa que guarda tus datos sufre un ataque. Si te toca, mira cómo se gestionan las demandas colectivas por filtraciones de datos.

Una regla práctica que sirve de filtro: tu banco nunca te pedirá la contraseña por email ni por mensaje, y el consentimiento siempre se concede dentro de su propia web o aplicación, no en un formulario ajeno.

Comprueba también que el proveedor figura en el registro. Las entidades de pago y de dinero electrónico autorizadas aparecen en el registro público del Banco de España y, para el conjunto de la UE, en el registro de la Autoridad Bancaria Europea. Si no aparece, no concedas acceso.

¿Cómo revocar permisos de open banking paso a paso?

Retirar un acceso tiene tres capas, y el error habitual es quedarse en la primera.

1. En tu banca online. Busca “permisos”, “consentimientos”, “accesos de terceros” o “gestión de proveedores”. El nombre cambia según el banco, así que usa el buscador interno. Revocar aquí corta el permiso en el origen.
2. En la propia aplicación. Desconecta el banco desde sus ajustes para que no intente renovar el acceso.
3. Con el proveedor, por escrito. Pide la supresión de los datos ya recogidos. El Reglamento General de Protección de Datos te permite retirar el consentimiento en cualquier momento y solicitar la supresión en los casos que prevé; la AEPD publica modelos de solicitud.

Paso	Dónde	Qué consigues
1	Banca online	Cortas el permiso en el banco
2	App	Evitas que intente reconectarse
3	Correo al proveedor	Pides borrar datos ya almacenados
4	Recordatorio a 6 meses	Revisas de nuevo y limpias

Una auditoría rápida, de unos diez minutos: abre la lista de accesos, tacha lo que uses al menos una vez al mes, revoca el resto y comprueba que ha desaparecido. Si al mismo tiempo estás reforzando tu seguridad, la comparativa de soluciones de ciberseguridad recoge gestores de contraseñas y herramientas de vigilancia que merece la pena valorar.

¿Cada cuánto hay que renovar el consentimiento?

Para el acceso a información de cuentas, la normativa técnica de PSD2 exigía renovar el consentimiento con autenticación reforzada cada 90 días. Una modificación de esas normas, aplicable desde 2023, amplió ese plazo a 180 días para el acceso a información de cuentas. Algunas entidades aplican criterios más estrictos o formatos propios, así que lo que cuenta es el aviso que te muestre tu banco.

Eso explica algo que desconcierta: una app que funcionaba de repente deja de mostrar tus cuentas. Casi siempre es porque ha caducado el consentimiento y toca reconfirmar. No es una avería ni una brecha, es el diseño del sistema.

La parte molesta es que mucha gente confirma por inercia. Mi consejo es aprovechar cada renovación como un filtro: si ya no recuerdas por qué esa app tiene acceso, no renueves.

Un caso de fallo: ¿por qué dejó de funcionar mi domiciliación después de revocar?

Este es un caso compuesto, no la historia de una persona real, pero sucede con frecuencia. Alguien lee una noticia sobre estafas bancarias y, en una sola tarde, retira todos los accesos de su banca online. Dos días después falla el pago de un servicio y una app de inversión rechaza una aportación. Uno de esos accesos “viejos” era justo el que usaba un servicio de pagos para financiar esas operaciones.

La enseñanza es práctica. Antes de revocar, revisa tus extractos y apunta qué entidades te cobran con regularidad. Revoca lo que no reconoces o no usas, y para lo que sí uses decide si prefieres mantener la conexión o pasar a un pago manual.

El fallo contrario es peor por silencioso: desconectar solo desde la app y no desde el banco. La app aparenta estar desconectada mientras el permiso sigue vivo hasta que caduca. Por eso conviene hacerlo en las tres capas.

¿Qué pasa si una app mueve dinero sin mi autorización?

Aquí el marco europeo te protege más de lo que mucha gente cree. En general, cuando una operación no está autorizada, el banco debe devolverte el importe, normalmente a más tardar al final del día hábil siguiente, salvo que tenga sospechas fundadas de fraude y las comunique a la autoridad. Si el pago se hizo con un instrumento perdido o sustraído, tu responsabilidad suele limitarse a un tope bajo hasta que avises. Las cifras y los plazos exactos están en la directiva y en su ley de transposición, y tu contrato puede ser más favorable.

Situación	Qué hacer primero	Cuándo
Cargo que no reconoces	Llamar al banco y bloquear	De inmediato
Operación en tu extracto sin permiso	Reclamar por escrito al banco	Cuanto antes
Respuesta insatisfactoria	Reclamar al Banco de España	Tras agotar la vía del banco
Uso indebido de datos personales	Reclamar a la AEPD	Cuando afecte a tus datos

El orden importa. Avisa primero, por teléfono y por escrito, y guarda capturas, correos y el número de reclamación. Esa documentación pesa más que cualquier argumento posterior.

Si estás armando tu perfil financiero a la vez, la guía para mejorar tu historial crediticio explica qué factores pesan de verdad, y así puedes decidir si una app más con acceso a tus cuentas aporta algo.

¿Qué cambia con PSD3 y el nuevo Reglamento de Servicios de Pago?

El Parlamento Europeo y el Consejo alcanzaron un acuerdo político provisional sobre el paquete PSD3 y el Reglamento de Servicios de Pago el 27 de noviembre de 2025, y los textos de compromiso se publicaron en abril de 2026. A fecha de octubre de 2026, según las fuentes que pude consultar, faltaba la adopción formal y la publicación en el Diario Oficial, así que todo lo que sigue es provisional. Puedes seguir el estado oficial en el seguimiento legislativo del Parlamento Europeo.

Lo que se espera, de forma resumida:

• Mejores interfaces. Estándares de rendimiento y disponibilidad para las interfaces que los bancos ofrecen a terceros.
• Paneles de permisos. Una pantalla donde ver y retirar los accesos concedidos, algo que hoy depende del banco.
• Más lucha contra el fraude. Verificación del beneficiario y reglas más claras sobre suplantación.
• Calendario. La aplicación general se espera unos 21 meses después de la entrada en vigor, es decir, hacia 2028.

Dos matices. Primero, el hecho de que existan paneles de permisos no te exime de revisarlos: el panel te ayuda, no lo hace por ti. Segundo, los plazos de las normas europeas se han ido retrasando; no planifiques nada importante contando con una fecha concreta.

¿Merece la pena usar open banking y cuántas conexiones son demasiadas?

Mi criterio, que es una opinión y no una norma: una conexión por función. Una app para ver tus cuentas, otra para pagos si la necesitas, y nada más. Si dos aplicaciones hacen lo mismo, elimina una.

Uso	¿Conviene conectar?	Alternativa con más control
Ver varias cuentas en una pantalla	Sí, si la miras cada semana	Exportar el extracto una vez al mes
Pagar con transferencia directa	Sí, es puntual	Pagar con tarjeta
Solicitar un préstamo online	A menudo se pide	Subir justificantes, si lo permiten
Probar una app una vez	No	Revocar el acceso ya

Conectar tus cuentas ofrece comodidad real, y renunciar a ella tiene un coste. Lo que importa es que sea una decisión consciente, no una inercia. Si compartes lo mínimo, prefieres conexiones que pasen por tu banco y revisas la lista dos veces al año, aprovechas lo bueno del sistema sin dejarle puertas abiertas.

Este artículo es información general a octubre de 2026 y no constituye asesoramiento legal ni financiero. Las normas, los plazos, los límites de responsabilidad y los menús de cada banco cambian con frecuencia, así que confirma los detalles con tu entidad, el Banco de España y los textos oficiales antes de decidir.