Tweede Kamer stemt in met uitwisselen betaalgegevens

De Tweede Kamer heeft ingestemd met het wetsvoorstel waarmee andere bedrijven uw betaalgegevens bij banken mogen opvragen als u daar toestemming voor geeft. Op basis van die gegevens kunnen bedrijven nieuwe financiële diensten ontwikkelen. Critici vrezen dat gegevens te gemakkelijk toegankelijk worden.

Dit wetsvoorstel (toelichting) geeft bedrijven de mogelijkheid om nieuwe en innovatieve financiële diensten te ontwikkelen op basis van uw betaalgegevens. Het gaat daarbij specifiek om twee soorten diensten.

De eerste is om uw betaalgegevens bij uw bank op te vragen en er een financieel overzicht van te maken. Met een gedetailleerd financieel overzicht, kan een bedrijf bijvoorbeeld een risicoprofiel maken voor een lening of u een bezuinigingsadvies geven. De tweede soort is dat een bedrijf ook een betaling kan afhandelen zoals dat normaal door uw bank gedaan wordt. Achter de schermen geeft het bedrijf de betaalopdracht dan namens u door aan uw bank.

Met die twee diensten samen, zou een bedrijf, zonder dat het uw geld fysiek in handen heeft, toch behoorlijk compleet uw bankzaken kunnen afwikkelen. Dit kan een kans zijn voor nieuwe bedrijfjes, maar ook tech-reuzen als Google en Apple staan te trappelen om hiermee te beginnen.

Voor het aanbieden van dergelijke nieuwe diensten is een vergunning nodig van De Nederlandsche Bank. Het nieuwe financiële bedrijf moet daarbij aan eisen voldoen onder andere op het gebied van beveiliging, opslag en toegang tot de gegevens. Ook zijn er eisen waaraan het toestemming vragen moet voldoen. Deze eisen zijn uitgewerkt in een aparte regeling die bij dit wetsvoorstel hoort. Het concept hiervan is op 17 september 2018 naar Eerste en Tweede Kamer gestuurd.

Uitdrukkelijke toestemming

Bedrijven mogen straks alleen uw financiële gegevens bij uw bank opvragen als zij daarvoor uw uitdrukkelijke toestemming hebben. Alleen de gegevens die noodzakelijk zijn voor het leveren van de dienst die u af wilt nemen mogen worden opgevraagd.

Veel organisaties, waaronder de Consumentenbond, maken zich zorgen dat consumenten snel ‘ja’ zeggen tegen een mooie online dienst, terwijl niet altijd duidelijk is dat er dan tegelijk toestemming wordt gegeven om de betaalgegevens bij de bank op te vragen. Ook de Tweede Kamer is bezorgd en eist in een aangenomen motie dat het voor burgers goed duidelijk moet zijn als zij toestemming geven tot (de gegevens van) hun bankrekening.

In de regeling bij dit wetsvoorstel wordt daarom geëist dat er altijd twee aparte stappen nodig zijn voordat toestemming daadwerkelijk gegeven is. Die twee stappen zijn vergelijkbaar met de manier waarop mensen nu in twee stappen een betaalopdracht bevestigen bij hun bank. De Autoriteit Persoonsgegevens stelt daarbij dat de toestemming altijd afzonderlijk gegeven moet worden van andere onderdelen in een overeenkomst. 

Persoonsgegevens van derden

Op een transactieoverzicht van de betaalrekening staan bij elke betaling ook de gegevens van de tegenpartij vermeld aan wie de betaling is gedaan of van wie de betaling is ontvangen. Volgens de richtlijn krijgen de nieuwe financiële dienstverleners ook de naam en het rekeningnummer van de tegenpartij te zien, als ze de betaalgegevens van iemand (met toestemming) opvragen.

Dit lijkt in strijd te zijn met de nieuwe algemene privacywet, Algemene Verordening Gegevensbescherming (AVG), waar in dergelijke situaties toestemming gevraagd zou moeten worden om de naam en het rekeningnummer van mensen te mogen verwerken. De Autoriteit Persoonsgegevens is nog niet heel duidelijk over deze situatie. Wel is duidelijk dat de naam en het rekeningnummer in ieder geval niet verder verwerkt mogen worden zolang er niet is voldaan aan de eisen van de privacywet.

Onduidelijke relatie met privacyregels

De Autoriteit Persoonsgegevens constateert dat er met dit wetsvoorstel niet overal aansluiting is gevonden bij deze AVG. Zo wordt bijvoorbeeld niet dezelfde definitie van ‘toestemming’ gehanteerd, wat tot verwarring en problemen kan leiden.

Een ander punt waar dit nieuwe voorstel botst met de algemene privacywet, is bij de eisen voor het opvragen van gegevens. Volgens de privacywet AVG moet er een verwerkersovereenkomst zijn als bedrijven persoonsgegevens opvragen waar de banken verantwoordelijk voor zijn. Maar in dit nieuwe wetsvoorstel wordt juist gesteld dat er geen overeenkomst nodig is, om te voorkomen dat er teveel drempels voor nieuwkomers worden opgeworpen.

Verantwoordelijk minister Hoekstra (CDA) ziet hier geen groot probleem in en stelt dat er altijd aan beide wetten zal moeten worden voldaan. In dat laatste voorbeeld lijkt het daarom toch noodzakelijk dat er een verwerkersovereenkomst wordt gesloten om aan beide wetten te voldoen.

Versnipperd toezicht

Het toezicht op deze nieuwe wet is verdeeld over De Nederlandsche Bank, de Autoriteit Financiële Markten, de Autoriteit Consument en Markt en de Autoriteit Persoonsgegevens. Ook de European Banking Authority (EBA) speelt nog een belangrijke rol als Europese toezichthouder op de achterliggende Europese richtlijn over dit onderwerp. De EBA stelt bijvoorbeeld beveiligingseisen vast waaraan financiële bedrijven moeten voldoen.

De onderdelen van de wet zijn zoveel mogelijk toegewezen aan een specifieke toezichthouder, maar er blijft overlap. Zo zal De Nederlandsche Bank toezicht houden op de ‘uitdrukkelijke toestemming’ zoals die volgens artikel 94 van de richtlijn geldt, maar zal de Autoriteit Persoonsgegevens toezicht houden op de ‘uitdrukkelijke toestemming’ zoals die volgens artikel 9 van de AVG geldt. De toezichthouders zullen bij hun toezichthoudende taken op deze wet moeten samenwerken. Hiervoor mogen ze onderling vertrouwelijke gegevens uitwisselen.

Europese richtlijn

Het wetsvoorstel is de Nederlandse invulling van de Europese richtlijn PSD2 uit 2015. Deze nationale invulling had uiterlijk 13 januari 2018 al moeten zijn doorgevoerd, maar dat is niet gehaald. De richtlijn werd op 25 november 2015 aangenomen door het Europees Parlement.

Er is op aandringen van GroenLinks door de Tweede Kamer een bepaling aan het wetsvoorstel toegevoegd dat het wetsvoorstel binnen vijf jaar wordt geëvalueerd. Het wetsvoorstel ligt nu ter behandeling in de Eerste Kamer.