Aggiornato al 9 ottobre 2026. L'open banking è il sistema, previsto dalla PSD2, con cui la tua banca condivide i dati del conto con un'app autorizzata che hai scelto tu, solo con il tuo consenso. L'app li riceve in sola lettura, senza vedere la password; il consenso va riconfermato al massimo ogni 180 giorni e si revoca quando vuoi.
Non è un prodotto inventato dalle banche né un favore che ti fanno: è un obbligo di legge, nato dalla direttiva europea PSD2 e arrivato in Italia con il decreto legislativo 218/2017, sotto la vigilanza di Banca d'Italia. I dati del tuo conto sono tuoi. La legge si limita a dirlo ad alta voce.
Come funziona, in una riga: autorizzi il collegamento nella finestra ufficiale della tua banca, con le stesse credenziali e lo stesso codice di conferma che usi per l'home banking, e da quel momento l'app riceve saldi e movimenti in sola lettura, finché non revochi il consenso o non scade la conferma, da ripetere al massimo ogni 180 giorni. Il risultato pratico è uno solo: vedere lo stipendio, la rata del mutuo e gli addebiti diretti SEPA — gli SDD, le domiciliazioni di bollette e assicurazioni — di tre banche diverse nella stessa schermata, senza dare le credenziali a nessuno.
In breve — 6 fatti sull'open banking in Italia
- Nasce dalla Direttiva (UE) 2015/2366 (PSD2), del 25 novembre 2015.
- In Italia l'ha recepita il decreto legislativo 15 dicembre 2017, n. 218, in vigore dal 13 gennaio 2018.
- Ad autorizzare e vigilare gli istituti di pagamento è Banca d'Italia; il registro europeo lo tiene l'Autorità bancaria europea.
- Collegare un conto richiede l'autenticazione forte del cliente (SCA): due fattori, sempre dalla tua banca.
- Il consenso vale al massimo 180 giorni (Regolamento delegato (UE) 2022/2360) e puoi revocarlo in qualsiasi momento.
- Dare le credenziali a un sito terzo — il vecchio screen scraping — ha smesso di essere accettabile: al suo posto ci sono interfacce dedicate.
I punti chiave
- L'open banking non è tecnologia bancaria: è un diritto del cliente, scritto nella legge europea e in quella italiana
- La tua banca è obbligata a condividere i dati se lo autorizzi tu — e solo in quel caso
- Un'app in sola lettura vede saldi e movimenti. Non vede la password e non sposta denaro.
- Il consenso dura al massimo 180 giorni per obbligo di legge ed è revocabile quando vuoi
- Quello che ottieni davvero: conti di più banche in una schermata, spese ordinate da sole, zero appunti a mano
Cos'è l'open banking e come funziona, in concreto
L'open banking è il meccanismo legale e tecnico che obbliga le banche a condividere, con il tuo consenso esplicito, i dati dei tuoi conti con prestatori autorizzati, e ad accettare da loro ordini di pagamento che approvi tu. Tutto il resto sono conseguenze di questo.
Prima del 2018, per vedere i conti di tre banche in un posto solo avevi due strade: sommare a mano in un foglio di calcolo, oppure consegnare le credenziali a un servizio che entrava nell'home banking fingendo di essere te. La prima era una noia. La seconda era una pessima idea. La PSD2 ha chiuso il dilemma aprendo una terza via: la banca espone i dati su un'interfaccia dedicata, tu autorizzi nella finestra ufficiale della banca, e l'app non si avvicina mai alla tua password.
Open banking e home banking non sono la stessa cosa
L'home banking è il posto dove gestisci il conto tu, nell'app della tua banca. L'open banking è ciò che permette a un'altra app — scelta da te — di leggere quel conto o di avviare un pagamento da lì. L'home banking esiste da decenni; l'open banking, nella forma attuale, esiste da quando la PSD2 e il suo recepimento italiano sono entrati in vigore, con i requisiti tecnici pienamente applicabili dal 14 settembre 2019.
PSD2: cos'è la direttiva e cosa dice la legge in Italia
La PSD2 (Payment Services Directive 2, la seconda direttiva sui servizi di pagamento) è la Direttiva (UE) 2015/2366 del Parlamento europeo e del Consiglio, del 25 novembre 2015. Fa tre cose: rende i pagamenti più sicuri con l'autenticazione forte, apre i dati del conto a prestatori esterni alle banche, se tu lo autorizzi, e armonizza la tutela del consumatore nell'Unione. Una direttiva però non si applica da sola: ogni Stato membro deve recepirla nel proprio diritto interno.
In Italia il recepimento è avvenuto con il decreto legislativo 15 dicembre 2017, n. 218, in vigore dal 13 gennaio 2018, che ha riscritto il decreto legislativo 27 gennaio 2010, n. 11 sui servizi di pagamento. L'autorizzazione, l'iscrizione all'albo e la vigilanza degli istituti di pagamento spettano a Banca d'Italia.
Le quattro date che contano
- 25 novembre 2015 — l'Unione europea approva la Direttiva (UE) 2015/2366 (PSD2).
- 15 dicembre 2017 — l'Italia approva il decreto legislativo n. 218, che recepisce la direttiva e riscrive la disciplina dei servizi di pagamento.
- 13 gennaio 2018 — il decreto entra in vigore. Da qui l'accesso ai conti da parte di prestatori autorizzati ha una base legale in Italia.
- 14 settembre 2019 — iniziano ad applicarsi le norme tecniche di regolamentazione (Regolamento delegato (UE) 2018/389), compreso l'obbligo di autenticazione forte del cliente.
Cosa ti ha cambiato la legge, anche se non usi nessuna app
La franchigia massima a tuo carico per operazioni di pagamento non autorizzate — una carta clonata, per dire — è scesa da 150 euro a 50 euro, salvo frode o colpa grave da parte tua. E ogni pagamento elettronico ha iniziato a richiedere la verifica con due fattori. Non è arrivato dalla tua banca: è arrivato dalla PSD2.
L'open banking italiano, nei numeri della legge
Fonti: EUR-Lex — Direttiva (UE) 2015/2366, Normattiva — D.Lgs. 218/2017, Regolamento delegato (UE) 2022/2360 della Commissione
Chi è chi: la tua banca, l'AISP e il PISP
Nel vocabolario della PSD2 ci sono tre ruoli. Capirli risolve il novanta per cento dei dubbi su cosa un'app può e non può fare con il tuo conto.
ASPSP — la tua banca
L'ASPSP è il prestatore che gestisce il tuo conto: l'istituto dove hai il conto corrente. Intesa Sanpaolo, UniCredit, Banco BPM, BPER, Fineco o qualsiasi altro. La PSD2 lo obbliga a mettere a disposizione un'interfaccia dedicata attraverso cui i prestatori autorizzati possano accedere ai dati, a condizione che tu lo autorizzi. La banca non può rifiutarsi né farsi pagare dal prestatore.
AISP — chi legge i dati
L'AISP (prestatore di servizi di informazione sui conti) legge saldi e movimenti, e nulla più. È la categoria delle app per gestire le spese e degli aggregatori di conti. Accesso in sola lettura, limitato a ciò che hai autorizzato, con consenso da rinnovare al massimo ogni 180 giorni. Martia usa questa strada: legge i conti tramite Enable Banking, un prestatore di servizi di informazione sui conti, e ha solo accesso in lettura ai movimenti. Gli aggregatori delle banche, come XME Banks di Intesa Sanpaolo, usano lo stesso servizio per leggere i conti che hai in altre banche.
PISP — chi avvia i pagamenti
Il PISP (prestatore di servizi di disposizione di ordini di pagamento) può disporre un bonifico dal tuo conto, ma ogni operazione richiede la tua autorizzazione e la tua autenticazione forte in banca. È la tecnologia dietro ad alcuni pagamenti online che addebitano direttamente il conto, senza passare dai circuiti delle carte.
Mito e realtà
Mito: «se collego il conto a un'app, quella può toccarmi i soldi».
Realtà: solo un prestatore con licenza di disposizione di ordini di pagamento può avviare un bonifico, e anche in quel caso servono la tua autorizzazione e la tua autenticazione forte a ogni operazione. Le app per gestire le spese sono AISP: accesso in sola lettura. Tecnicamente non possono spostare un centesimo, nemmeno volendo.
L'open banking è sicuro? Tre livelli di protezione
La sicurezza dell'open banking non poggia sulla reputazione dell'app, ma su tre livelli indipendenti: la licenza obbligatoria, l'autenticazione forte del cliente e il limite tecnico dell'accesso.
L'autenticazione forte del cliente (SCA)
La PSD2 impone che sia la banca a confermare la tua identità con almeno due elementi di categorie indipendenti:
- qualcosa che sai — una password, un PIN, un codice;
- qualcosa che hai — il telefono, l'app della banca, un generatore di codici;
- qualcosa che sei — impronta digitale, riconoscimento del volto.
È la stessa verifica che fai già per entrare nell'home banking o per confermare un acquisto online. I requisiti tecnici stanno nel Regolamento delegato (UE) 2018/389 e si applicano dal 14 settembre 2019.
La fine dello screen scraping
Prima della PSD2, aggregare i conti voleva dire consegnare le credenziali dell'home banking a un'azienda che poi entrava nel conto fingendo di essere te. Si chiamava screen scraping e non c'era alcuna regola a inquadrarlo. La PSD2 lo ha sostituito con interfacce dedicate e con un principio semplice: la tua password è una faccenda tra te e la tua banca. Se oggi un'app ti chiede le credenziali dell'home banking per aggregare i conti, chiudila.
Il test della password (metodo Martia)
Una sola domanda separa un collegamento regolato da uno che non lo è: dove scrivi la password? Se la scrivi nella finestra della tua banca, con il logo e l'indirizzo della tua banca, ed è la banca a chiederti il secondo fattore, sei nell'open banking. Se la scrivi in un modulo dell'app, no. Non serve capire altro della PSD2 per sapere quando chiudere la scheda.
Open banking a confronto con lo screen scraping
| Aspetto | Open banking (PSD2) | Screen scraping (metodo vecchio) |
|---|---|---|
| Credenziali della banca | Le dai alla banca, mai all'app | Le dai a un'azienda terza |
| Ampiezza dell'accesso | Lettura, limitata a ciò che hai autorizzato | Tutto quello che puoi fare tu stesso |
| Quadro normativo | PSD2 e D.Lgs. 218/2017 | Nessuno |
| Come chiudi l'accesso | Revochi il consenso, effetto immediato | Cambi la password e incroci le dita |
Una nota di onestà: nessuna tecnologia elimina il rischio di scegliere male l'app. Quello che la PSD2 garantisce è che debba passare da un prestatore autorizzato e che l'accesso sia in sola lettura. Il resto, cioè chi conserva i tuoi dati, dove e cosa ci fa, resta una decisione tua. Ne parliamo nelle due sezioni qui sotto.
Quali sono i rischi dell'open banking?
I rischi dell'open banking esistono, ma quasi mai stanno dove li cerca chi ha paura: il canale tra banca e app è regolato e protetto dall'autenticazione forte. Il pericolo sta intorno, ed è di quattro tipi.
- Il phishing. Un messaggio che imita la tua banca ti porta su una pagina falsa e ti fa scrivere le credenziali. Non è un rischio dell'open banking, ma lo sfrutta: le credenziali si scrivono solo nella pagina o nell'app ufficiale della tua banca, arrivandoci da soli.
- Le app che chiedono la password. Se un'app ti chiede nome utente e password della banca dentro un suo modulo, non sta usando l'open banking ma il vecchio screen scraping, o qualcosa di peggio. Chiudila.
- L'uso dei dati. Un'app in sola lettura non tocca i soldi, ma conosce i tuoi movimenti, e i movimenti raccontano molto di te. Vale anche per le banche che aggregano i conti delle altre: la Guida ai Servizi di Intesa Sanpaolo spiega che, con i consensi privacy facoltativi di XME Banks, la banca può usare quei dati per la categorizzazione delle spese e per proposte commerciali. Leggi cosa autorizzi prima di confermare.
- Gli accessi dimenticati. Un consenso dato anni fa e mai più guardato. Dal 25 luglio 2023 il rischio è limitato per legge: la conferma va ripetuta al massimo ogni 180 giorni, e il consenso si revoca quando vuoi.
Quello che con un accesso in sola lettura non può succedere è che qualcuno sposti denaro dal tuo conto: un pagamento richiede un servizio diverso, quello di disposizione di ordini di pagamento, e comunque la tua autenticazione forte per ogni operazione. Se ti preoccupa l'idea stessa di collegare un conto, la guida su come tenere traccia delle spese senza collegare il conto mette a confronto le alternative.
Chi risponde dei tuoi dati quando colleghi il conto?
Quando colleghi il conto a un'app, dei tuoi dati rispondono in tre: la tua banca, che deve offrire un canale di accesso sicuro; il prestatore autorizzato che legge i dati; e l'autorità che vigila su quel prestatore. Nessuno dei tre lo fa per buona volontà: sono obblighi di legge.
Il prestatore di Martia: Enable Banking
Martia legge i conti tramite Enable Banking, un fornitore finlandese di open banking. Sul proprio sito Enable Banking si dichiara prestatore di servizi di informazione sui conti registrato e vigilato dall'autorità finanziaria finlandese, la FIN-FSA. È lo stesso tipo di autorizzazione che, per un soggetto italiano, rilascia la Banca d'Italia, e un prestatore autorizzato in un altro Paese dell'Unione può operare in Italia con il passaporto europeo. Qualunque app tu stia valutando, il suo prestatore lo puoi cercare nel registro pubblico dell'EBA.
Quali dati condividi, e quali no
Condividi: l'elenco dei movimenti con date, importi e descrizioni, i saldi, i dati di base del conto come IBAN e valuta.
Non condividi: password, PIN, i dati completi della carta, l'accesso ai bonifici, la possibilità di cambiare le impostazioni del conto. Con un accesso in sola lettura l'app non ha modo di fare un'operazione sul tuo conto.
DORA: un livello in più dal 2025
Dal 17 gennaio 2025 si applica il DORA (Digital Operational Resilience Act), il Regolamento (UE) 2022/2554. Chiede a banche e prestatori di servizi finanziari regole più severe su sicurezza informatica, gestione e segnalazione degli incidenti e test di resilienza dei sistemi.
Fondatore di Martia
Dal fondatore
Quando ho scelto il fornitore di open banking per Martia, ho confrontato più di dieci opzioni. Enable Banking non ha vinto perché costava meno, ma perché è un prestatore autorizzato, vigilato dalla FIN-FSA, e perché nessun utente deve dare le proprie credenziali a qualcuno che non sia la sua banca.
La tua password resta dove è sempre stata: nella tua banca
Martia si collega al conto con l'open banking, tramite Enable Banking. Ti autentichi nella finestra ufficiale della tua banca e Martia riceve solo accesso in lettura ai movimenti. Niente moduli, niente documenti da mandare a nessuno.
Il consenso: come si dà, perché si rinnova e come si revoca
Il consenso è il pezzo centrale dell'open banking: senza, la banca non condivide niente. Ed è volutamente temporaneo, perché le norme tecniche europee obbligano a riconfermare l'accesso con autenticazione forte, al massimo ogni 180 giorni (Regolamento delegato (UE) 2022/2360, in vigore dal 25 luglio 2023); alcune banche lo chiedono prima.
Molti leggono quel rinnovo come un difetto dell'app. È il contrario: è il sistema che impedisce a un'autorizzazione data tre anni fa, e dimenticata da allora, di continuare a passare a qualcuno i tuoi movimenti. Una riconferma almeno ogni 180 giorni è il prezzo per non avere accessi eterni.
Come revocare l'accesso — due strade
- 1.Nell'app, nella sezione in cui gestisci i conti collegati. Scollegare deve essere possibile e immediato.
- 2.Nella tua banca, nell'home banking o nell'app, di solito in una sezione dedicata alla sicurezza o ai consensi verso terzi. È la strada da usare se hai già disinstallato l'app.
Revocare chiude l'accesso ai movimenti nuovi. I dati già raccolti restano nell'app finché non ne chiedi la cancellazione: è un diritto che hai in base al Regolamento generale sulla protezione dei dati, e che un'app seria rispetta senza discutere.
Il consenso in pratica: Intesa Sanpaolo, UniCredit e Martia
Il consenso si dà sempre allo stesso modo: l'app ti manda sulla pagina della tua banca, ti identifichi, e la banca ti chiede di autorizzare la lettura di saldi e movimenti, con il secondo fattore di sempre. Dove lo ritrovi dopo, invece, dipende dalla banca. Ecco cosa dicono le guide ufficiali delle due banche più grandi.
- Intesa Sanpaolo. Dall'app Intesa Sanpaolo Mobile e dall'area riservata del sito, nella sezione «Sicurezza», puoi verificare lo storico dei consensi rilasciati alle terze parti, con il dettaglio dove disponibile, e revocare i consensi ancora attivi (Guida ai Servizi Consumatore, edizione del 23 settembre 2026).
- UniCredit. Nella Banca via Internet, in Impostazioni › Banca, trovi le informazioni sui consensi in essere con cui altri soggetti leggono i tuoi rapporti UniCredit, accanto ai conti di altre banche che hai aggregato tu (Guida al servizio Banca Multicanale, aprile 2026). La guida non descrive un comando di revoca: se non lo trovi lì, scollega il conto dall'app che lo legge o chiedi alla banca.
- Martia. In Impostazioni › Conti bancari, il comando Disconnetti chiude l'accesso alla banca; Rimuovi banca e cronologia cancella anche i movimenti già importati. Quando la conferma scade, accanto alla banca compare Riconnetti e lo storico resta.
Una precisazione su Poste Italiane: i conti BancoPosta oggi non si possono collegare a Martia, e lo stesso vale per HYPE. Le altre banche, e il passo per passo con le tre schermate, sono nella guida su come collegare il conto corrente a un'app di gestione spese.
La regola dei 180 giorni, in due righe
Il consenso alla lettura vale al massimo 180 giorni (alcune banche chiedono di rinnovarlo prima) e si rinnova con la stessa autenticazione con cui l'hai dato. Non lo decide l'app: lo impone il Regolamento delegato (UE) 2018/389, che attua la PSD2 in tutta l'Unione europea, come modificato dal Regolamento delegato (UE) 2022/2360 in vigore dal 25 luglio 2023.
Quali banche italiane sono obbligate?
Tutte. Qualsiasi istituto che gestisce conti di pagamento accessibili online in Italia è obbligato dalla PSD2 e dal decreto legislativo 218/2017 a dare accesso ai prestatori autorizzati. Non è facoltativo, non dipende dalla strategia commerciale della banca e non può essere addebitato al prestatore. Vale per Intesa Sanpaolo, UniCredit, Banco BPM, BPER, Fineco e per le altre banche che operano sul mercato italiano.
Siamo onesti su quello che non sappiamo: l'obbligo di legge è uguale per tutti, la qualità delle interfacce no, e nemmeno l'elenco delle banche che ogni app supporta. Ci sono differenze reali nella stabilità e nella profondità dello storico restituito, e qui non troverai una tabella banca per banca, perché non abbiamo dati comparativi verificati. Il modo affidabile per sapere se la tua banca è supportata è cercarla nell'elenco dell'app che vuoi usare. Martia, per esempio, si collega a oltre 2.500 banche, tra cui Intesa Sanpaolo, UniCredit, Fineco, Banco BPM e BPER, ma oggi non a Poste Italiane né a HYPE. Se invece vuoi tenere tutto nell'app di una banca, la guida all'aggregatore di conti correnti confronta quelli di Intesa Sanpaolo, UniCredit e HYPE.
Come si vede l'open banking nel tuo estratto conto
L'open banking non inventa righe nuove: consegna esattamente le operazioni che sono già nel tuo estratto conto. Ogni movimento arriva con data, data valuta, descrizione, importo e saldo, e la descrizione inizia quasi sempre con una parola che dice di che tipo di operazione si tratta. Chi conosce quelle etichette capisce al volo cosa vede un'app e cosa può dedurne.
- BONIFICO — un trasferimento SEPA, in entrata o in uscita:
BONIFICO A VOSTRO FAVORE,BONIFICO DISPOSTO,BONIFICO ISTANTANEO. La causale è il campo libero con il motivo leggibile:BONIFICO DA MARIO ROSSI CAUSALE AFFITTO MARZO. - ADDEBITO SDD — la domiciliazione ricorrente, cioè l'addebito diretto SEPA: bollette, assicurazioni, telefonia, rate. Sugli estratti più vecchi e in certe banche compare ancora la vecchia sigla RID. Il formato è spesso
ADDEBITO SDD <creditore> MANDATO <id>. - PAGAMENTO POS — un pagamento con carta al terminale, di solito seguito da esercente, città e data; PRELIEVO BANCOMAT è il contante allo sportello automatico.
- PAGOPA, F24, MAV e BOLLETTINO POSTALE — pagamenti verso la pubblica amministrazione, tasse e avvisi di pagamento.
- STIPENDIO / ACCREDITO STIPENDIO / PENSIONE INPS — l'entrata del mese; IMPOSTA DI BOLLO, CANONE e COMMISSIONI sono i costi del conto.
- IBAN — in Italia sono le lettere
ITseguite da 25 caratteri, nella formaIT00 X000 0000 0000 0000 0000 000.
Non è curiosità da nerd. Il mandato di un addebito SDD è proprio il motivo per cui un'app riconosce una spesa ricorrente senza che tu annoti nulla: un addebito mensile dallo stesso creditore è un abbonamento, anche se ti eri dimenticato di averlo. Lì sta il guadagno con gli abbonamenti che ti sono usciti dal radar.
Un avviso, perché non dubiti di te quando una classificazione sbaglia: nell'estratto conto non compare sempre il negozio, ma chi incassa. Un acquisto rateizzato con Scalapay o Klarna può arrivare con il nome del finanziatore e senza quello del negozio. Su questo nessuna app ci azzecca sempre; quello che non dovrebbe fare è raccontarti il contrario.
Satispay, addebito SDD e PagoPA: su quali binari corrono i soldi in Italia
In Italia il denaro quotidiano corre su pochi binari, e tutto quello che un'app collegata vede di te è passato da uno di quelli: la carta PagoBANCOMAT al POS, il bonifico SEPA sempre più spesso istantaneo, l'addebito diretto SDD per le spese ricorrenti, i portafogli digitali sul telefono e PagoPA per la pubblica amministrazione.
Satispay è il più riconoscibile dei portafogli indipendenti: oltre 5,3 milioni di utenti e più di 400.000 esercenti convenzionati (dati 2024–25), accanto a BANCOMAT Pay, che vive dentro le app delle banche. PagoPA è il binario obbligatorio verso la pubblica amministrazione: oltre 332 milioni di operazioni per più di 60 miliardi di euro nel 2023. Nel 2024, secondo l'Osservatorio Innovative Payments del Politecnico di Milano, i pagamenti digitali hanno superato per la prima volta il contante per valore transato (circa il 43% contro circa il 41%).
Perché ti riguarda: più i soldi passano da binari elettronici, più l'immagine che un'app collegata restituisce del tuo mese è completa. Il contante resta l'unico pezzo che nessuna sincronizzazione può ricostruire — e infatti è la parte che ti conviene guardare a mano quando organizzi il bilancio familiare.
Un dettaglio italiano: tredicesima e quattordicesima
La retribuzione annua lorda comprende già la tredicesima e, in molti contratti, anche la quattordicesima: dicembre e giugno mostrano quindi un'entrata molto più alta di un mese normale. Non è un errore dell'app e non è un'anomalia dei tuoi dati: è come viene pagata buona parte dell'Italia. Vale la pena ricordarlo prima di trarre conclusioni da un mese isolato, e anche quando usi la regola 50/30/20 per dividere le spese.
Cosa ti dà l'open banking nella pratica
Tolta la normativa, l'open banking risolve tre cose concrete della vita quotidiana. Nessuna è spettacolare da sola; insieme cambiano il rapporto con i soldi.
1. Tutti i conti in una schermata
Il conto dello stipendio in una banca, i risparmi in un'altra, la carta in una terza. Senza aggregazione, sapere quanto hai in tutto costa tre accessi e una somma a mente. Con l'open banking è una vista sola che si aggiorna da sé, e da lì capisci anche se sul conto stai tenendo più soldi del necessario: quanto conviene lasciarci lo spiega la guida su quanti soldi tenere sul conto corrente, e i numeri nazionali sono in quanti soldi hanno gli italiani in banca. È anche la base per avere un fondo di emergenza di cui conosci davvero il saldo e per tenere il bilancio di coppia senza conto cointestato.
2. Spese che si classificano da sole
I movimenti arrivano con il nome dell'esercente e vengono messi in categoria senza che tu intervenga: Conad ed Esselunga nella spesa alimentare, Eni nel carburante, Enel e TIM nelle utenze, Netflix e DAZN negli abbonamenti, Trenitalia nei trasporti. È la differenza tra sapere che questo mese «ho speso un sacco» e sapere quanto è finito nei ristoranti. Un riferimento per capire l'ordine di grandezza: nel 2025 la spesa media mensile per consumi delle famiglie italiane è stata di 2.782 euro (ISTAT, dati pubblicati l'8 ottobre 2026), e il dettaglio voce per voce è in quanto spende una famiglia al mese. Lì dentro c'è la risposta a dove finiscono i tuoi soldi, senza passare le serate a sommare scontrini.
3. Zero appunti a mano — ed è questo che decide tutto
La maggior parte dei bilanci familiari non muore per mancanza di metodo. Muore alla terza settimana, quando annotare ogni spesa a mano smette di stare dentro la giornata. Eliminando la registrazione manuale, l'open banking toglie la barriera che fa mollare. E non è che in Italia non si voglia risparmiare: nel 2025 le famiglie consumatrici hanno messo da parte l'8,0% del reddito disponibile (ISTAT, conti per settore istituzionale, edizione di ottobre 2026), e il confronto per area è in quanto risparmiano gli italiani. Il problema quasi mai è la volontà; è non vedere i numeri in tempo, che è esattamente ciò che sta dietro a perché non riesci a risparmiare.
Come collegare il conto corrente con l'open banking
La procedura è breve e ha sempre la stessa forma, qualunque sia l'app, perché la forma la fissa la legge e non l'app.
Scegli la tua banca nell'app
Cerca il tuo istituto nell'elenco dell'app: Intesa Sanpaolo, UniCredit, Banco BPM, Fineco o un altro. Ogni app ha il suo elenco, quindi controlla prima che la tua banca ci sia.
Ti autentichi nella finestra ufficiale della banca
Le credenziali vanno alla banca, mai all'app. L'autenticazione forte chiede il secondo fattore di sempre: un codice sul telefono o la conferma nell'app della banca.
Autorizzi la condivisione dei dati
La banca ti chiede se accetti di condividere saldi e movimenti. Da lì la sincronizzazione è automatica, fino a quattro volte in 24 ore senza che tu intervenga (articolo 36 del Regolamento delegato (UE) 2018/389), finché non revochi o non scade la conferma.
E basta. Niente moduli, niente documenti da inviare, niente verifiche da aspettare, perché a confermare la tua identità è la tua banca, in tempo reale. Il passo per passo dettagliato, con cosa legge l'app riga per riga e cosa fare se il collegamento si ferma, è in come collegare il conto corrente a un'app di gestione spese.
Cosa cambia con la PSD3 e la FIDA
Il quadro non è finito. Il 28 giugno 2023 la Commissione europea ha presentato il pacchetto che dovrà sostituire la PSD2: una nuova direttiva sui servizi di pagamento (PSD3), un regolamento sui servizi di pagamento e una proposta sull'accesso ai dati finanziari (FIDA), che estenderebbe la logica dell'open banking oltre il conto corrente — verso risparmio, investimenti e assicurazioni.
Su PSD3 e regolamento sui servizi di pagamento il Consiglio e il Parlamento europeo hanno raggiunto un accordo politico provvisorio il 27 novembre 2025, con più strumenti contro le frodi e più trasparenza sulle commissioni; la FIDA è ancora in discussione. Nessuna di queste regole si applica già, e ne parliamo qui solo per una ragione pratica: il diritto che usi oggi per collegare il conto non sta arretrando, sta allargandosi. Nel frattempo continua a valere quello che leggi in questa pagina: PSD2, autenticazione forte, riconferma al massimo ogni 180 giorni.
Parla con Martia dei tuoi soldi
Chiedi in italiano, «quanto ho speso al ristorante a luglio?» oppure «quali abbonamenti sto pagando?», e ricevi la risposta dai tuoi movimenti reali, letti in sola lettura con l'open banking. Senza Excel, senza annotare niente a mano.
Domande frequenti
Che cos'è l'open banking e come funziona?
L'open banking è il sistema con cui la tua banca condivide i dati del conto corrente con un'app autorizzata che hai scelto tu, e lo fa perché la legge la obbliga, sempre e solo con il tuo consenso. Funziona così: autorizzi il collegamento nella finestra ufficiale della tua banca, con le credenziali e il secondo fattore che già usi per l'home banking, e l'app non vede mai la password. Da quel momento riceve saldi e movimenti in sola lettura. È il meccanismo nato dalla direttiva europea PSD2, la Direttiva (UE) 2015/2366, recepita in Italia con il decreto legislativo 15 dicembre 2017, n. 218. Conti di banche diverse in una schermata e spese ordinate da sole sono una conseguenza di questo.
L'open banking è sicuro?
Sì, e la sicurezza non dipende dalla buona volontà dell'app: è scritta nella legge. Sono tre livelli. Chiunque voglia leggere i dati del tuo conto deve essere un prestatore autorizzato da un'autorità europea; in Italia gli istituti di pagamento sono autorizzati e vigilati da Banca d'Italia. Il collegamento richiede l'autenticazione forte del cliente, cioè almeno due fattori indipendenti verificati dalla tua banca. E un'app di sola lettura è limitata a consultare saldi e movimenti: non può disporre un bonifico, cambiare i massimali o modificare i dati del conto. In più puoi revocare il consenso quando vuoi, dall'app o direttamente dalla tua banca.
Quali sono i rischi dell'open banking?
Il rischio principale non sta nel canale tra banca e app, che è regolato e protetto dall'autenticazione forte, ma intorno. Il primo è il phishing: una pagina falsa che imita la banca e ti fa scrivere le credenziali. Il secondo sono le app che chiedono la password della banca dentro un loro modulo, cioè il vecchio screen scraping: vanno evitate. Il terzo è l'uso dei dati: un'app in sola lettura non tocca i soldi, ma conosce i tuoi movimenti, quindi conta chi li tratta, con quale autorizzazione e per cosa. Il quarto erano gli accessi dimenticati, oggi limitati dalla riconferma obbligatoria al massimo ogni 180 giorni. Il consenso, in ogni caso, si revoca quando vuoi.
Collegare un conto a Revolut o a un'app come Martia è sicuro?
Sì, quando il collegamento passa dall'open banking, perché il meccanismo è lo stesso per tutti. Scegli la banca, ti identifichi sulla sua pagina ufficiale, confermi con l'autenticazione forte e autorizzi la lettura di saldi e movimenti: chi legge non vede la password e, con quel permesso, non può disporre pagamenti. Cambia solo l'elenco delle banche che ogni app supporta. Quali conti esterni si possono collegare a Revolut lo trovi nella sua app. Martia legge i conti tramite Enable Banking, un prestatore autorizzato, e si collega a oltre 2.500 banche, tra cui Intesa Sanpaolo, UniCredit, Fineco e la stessa Revolut, ma non a Poste Italiane con BancoPosta né a HYPE. In tutti i casi il consenso si revoca dall'app o dalla banca.
L'open banking è legale in Italia?
È legale ed è regolato dal 2018. La direttiva PSD2 è stata recepita nell'ordinamento italiano con il decreto legislativo 15 dicembre 2017, n. 218, pubblicato in Gazzetta Ufficiale e in vigore dal 13 gennaio 2018, che ha riscritto il decreto legislativo 27 gennaio 2010, n. 11 sui servizi di pagamento. L'autorizzazione e la vigilanza degli istituti di pagamento che operano in Italia spettano a Banca d'Italia; a livello europeo l'Autorità bancaria europea tiene il registro centrale dei prestatori autorizzati. Le banche sono obbligate per legge a dare accesso ai dati del tuo conto ai prestatori autorizzati che hai scelto tu, e non possono farsi pagare per questo.
Che cos'è la direttiva PSD2?
La PSD2 è la Direttiva (UE) 2015/2366 del Parlamento europeo e del Consiglio, del 25 novembre 2015, relativa ai servizi di pagamento nel mercato interno. Ha sostituito la prima direttiva sui servizi di pagamento del 2007 e ha tre obiettivi: rendere i pagamenti più sicuri con l'autenticazione forte del cliente, aprire il mercato a operatori esterni alle banche tradizionali e armonizzare la tutela del consumatore nell'Unione europea. Ha anche abbassato da 150 euro a 50 euro la franchigia massima a tuo carico in caso di operazioni di pagamento non autorizzate, salvo frode o colpa grave da parte tua. Le norme tecniche che la attuano si applicano dal 14 settembre 2019.
Che cosa vede un'app di finanze personali del mio conto corrente?
Un'app autorizzata a leggere le informazioni sui conti vede esattamente quello che hai autorizzato: saldi e storico dei movimenti dei conti che hai collegato, con data, importo, causale e controparte di ogni operazione. Non vede la password, non vede i codici dispositivi né quelli generati dall'app della banca, non vede i conti che non hai collegato e non può spostare denaro. L'accesso è in sola lettura ed è limitato dal token che emette la banca. Martia funziona esattamente così: legge i movimenti per risponderti in italiano sulle tue spese, e nulla di più. Se domani vuoi chiudere quell'accesso, si chiude e i movimenti nuovi smettono di arrivare.
Come revoco l'accesso di un'app al mio conto corrente?
Puoi revocare il consenso quando vuoi, per due strade indipendenti. La prima è dentro l'app, nella sezione dei conti collegati: in Martia è Impostazioni, poi Conti bancari, e il comando Disconnetti. La seconda è la banca: Intesa Sanpaolo, per esempio, nella sezione Sicurezza dell'app e dell'area riservata del sito permette di vedere lo storico dei consensi dati alle terze parti e di revocare quelli ancora attivi. È la strada da usare se hai già disinstallato l'app. Appena revochi, il prestatore non può più raccogliere movimenti nuovi. I dati già raccolti si cancellano a parte: in Martia con Rimuovi banca e cronologia, e in generale chiedendolo all'app, come prevede il Regolamento generale sulla protezione dei dati.
Perché il consenso dura al massimo 180 giorni?
Perché lo impone la norma europea. Le norme tecniche che accompagnano la PSD2, raccolte nel Regolamento delegato (UE) 2018/389 e aggiornate dal Regolamento delegato (UE) 2022/2360, obbligano a riconfermare periodicamente con autenticazione forte l'accesso di un prestatore ai dati del tuo conto: dal 25 luglio 2023 al massimo ogni 180 giorni, e alcune banche lo chiedono prima. Non è un limite inventato dall'app né il segnale che qualcosa è andato storto: è un freno pensato perché nessuno resti con un accesso permanente e dimenticato ai tuoi conti. Almeno ogni 180 giorni ripassi dalla finestra della tua banca e confermi che quel collegamento ti serve ancora. Se non lo confermi, la sincronizzazione si ferma da sola.
Quali banche italiane sono obbligate a dare l'accesso?
Tutte quelle che gestiscono conti di pagamento accessibili online in Italia. L'obbligo nasce dalla PSD2 e dal decreto legislativo 218/2017, non dalla strategia commerciale del singolo istituto, quindi riguarda Intesa Sanpaolo, UniCredit, Banco BPM, BPER, Fineco e le altre banche che operano sul mercato italiano. La banca non può rifiutare l'accesso a un prestatore che hai autorizzato tu, né farsi pagare per questo. Quello che cambia da un istituto all'altro è la qualità dell'interfaccia, e da un'app all'altra l'elenco delle banche supportate: Martia, per esempio, oggi non si collega a Poste Italiane con BancoPosta né a HYPE. Per questo l'unico modo affidabile è cercare la tua banca nell'elenco dell'app che vuoi usare.
Fonti e normativa
- Parlamento europeo e Consiglio (2015). Direttiva (UE) 2015/2366 relativa ai servizi di pagamento nel mercato interno (PSD2). eur-lex.europa.eu
- Repubblica Italiana (2017). Decreto legislativo 15 dicembre 2017, n. 218 — recepimento della direttiva (UE) 2015/2366. normattiva.it
- Commissione europea (2018). Regolamento delegato (UE) 2018/389 — norme tecniche sull'autenticazione forte del cliente. eur-lex.europa.eu
- Commissione europea (2022). Regolamento delegato (UE) 2022/2360 della Commissione: dal 25 luglio 2023 l'autenticazione forte per l'accesso di un'app ai dati del conto va ripetuta al massimo ogni 180 giorni. eur-lex.europa.eu
- Banca d'Italia. Albo degli istituti di pagamento. bancaditalia.it
- Autorità bancaria europea (EBA). Registro centrale dei prestatori di servizi di pagamento. euclid.eba.europa.eu
- ISTAT (8 ottobre 2026). Spese per consumi delle famiglie, anno 2025: spesa media mensile di 2.782 €. istat.it
- ISTAT, IstatData. Conti per settore istituzionale, edizione di ottobre 2026: propensione al risparmio delle famiglie consumatrici all'8,0% nel 2025. esploradati.istat.it
- Intesa Sanpaolo (2026). Guida ai Servizi Consumatore, edizione 23 settembre 2026, §7.1 (consensi alle terze parti nella sezione «Sicurezza») e §7.2.1 (consensi privacy di XME Banks). intesasanpaolo.com
- UniCredit (2026). Banca Multicanale, Guida al servizio, aprile 2026: Impostazioni › Banca, informazioni sui conti aggregati e sui consensi in essere. unicredit.it
- Parlamento europeo e Consiglio (2022). Regolamento (UE) 2022/2554 (DORA), applicabile dal 17 gennaio 2025. eur-lex.europa.eu
- Enable Banking (2026). Registered Account Information Service Provider regulated by Finnish Financial Supervisory Authority (FIN-FSA). enablebanking.com
- Osservatorio Innovative Payments, Politecnico di Milano (2025). I pagamenti digitali in Italia. osservatori.net
- Commissione europea (2023). Pacchetto sui servizi di pagamento e sull'accesso ai dati finanziari (PSD3, PSR, FIDA). finance.ec.europa.eu
- Consiglio dell'Unione europea (27 novembre 2025). Payment services: Council and Parliament agree to step up the fight against fraud and increase transparency, accordo politico provvisorio su PSD3 e regolamento sui servizi di pagamento. consilium.europa.eu