Ну канеееешна⁠⁠

В грубом приближении:

- Госуслуги показывают форму заполнения данных карты (не имея к ним доступа);

- пользователь её заполняет и сохраняет;

- данные по карте летят агрегатору платежей (банку);

- агрегатор возвращает в Госуслуги ID вашего счёта.

Теперь, в случае необходимости платежа, Госуслуги смогу запросить оплату у банка, отдав им этот ID, но не имея ни к счёту, ни к карте никакого доступа, потому что доступ есть только у банка.