De Europese Unie beoogt met de PSD2-richtlijn om het betalingsverkeer efficiënter, moderner en goedkoper te maken. Zo mogen webwinkels na invoering geen toeslag meer berekenen voor het accepteren van credit cards.
PSD2 introduceert informatiediensten
Daarnaast zit er een innovatieslag in waarbij de traditionele banken niet meer de exclusieve beheerder kunnen zijn van het rekeningoverzicht. PSD2 introduceert drie nieuwe soorten dienstverleners. De AIS (Account Information Service) of wel rekening-informatiedienst is er daar één van.
Zo’n aanbieder kan – nadat de gebruiker toestemming heeft gegeven – alle gegevens van een bankrekening bekijken. De Volksbank meldt dat zo’n aanbieder dan ook 24 maanden terug in de tijd kan kijken. De toestemming om te kijken geldt voor 90 dagen en moet dan opnieuw worden verkregen.
De Volksbank wil ‘hoofdschakelaar’ inbouwen
Volgens de Volksbank introduceert PSD2 ook onvoorspelbare nieuwe risico’s rondom privacy. De bank stelt dat commerciële bedrijven nu al op grote schaal handelen in data en daarmee profielen opstellen van consumenten. “Het is niet altijd duidelijk wat een derde partij van plan is met de verkregen data. De Nederlandse toezichthouder kan niet zien wat een buitenlandse partij met Nederlandse data doet”.
Daar wordt bij opgemerkt dat het toezichtkader nog niet ontwikkeld is. Het toezicht op gegevensbescherming valt onder de Europese verordening van de AVG/GDPR. Die is nog niet ingevoerd, waardoor de toezichthouders er ook nog niet mee werken.
Die hoofdschakelaar van deze banken is een eigen toestemmingsvereiste, waarmee de bank toestemming vraagt om gegevens te verstrekken aan derden. Die schakelaar staat standaard op ‘uit’. Pas nadat die algemene schakelaar op groen is gezet, wil de bank überhaupt de gebruiker aanbieden om specifieke toestemming te geven aan een derde aanbieder. Met die hoofdschakelaar kan ook elke eerder gegeven toestemming worden ingetrokken.
Aanbieders willen keurmerk
Eerder dit jaar zei ook Rabobank vertrouwen centraal te willen stellen. De Volksbank werkt samen met enkele andere banken, Privacy First, KPMG en fintechs aan de ontwikkeling van een keurmerk voor PSD2-diensten en zegt hier mee een wens van toezichthouder De Nederlandsche Bank te honoreren. Deze partijen willen dat keurmerk introduceren voordat de AVG gaat gelden op datum van 25 mei 2018. Overigens heeft Nederland de PSD2-richtlijn ook nog niet ingevoerd, maar dat gebeurt naar verwachting deze zomer.
De Volksbank zegt verder dat het onderzoekt hoe het gegevens kan 'maskeren' om de informatie te beperken en roept de toezichthouders ook op om regels te stellen voor alle transactiegegevens waaruit bijzondere persoonsgegevens kunnen worden afgeleid. Periodieke betalingen aan een kerk of vereniging, of betalingen op een specifiek adres kunnen in een big data-analyse worden vertaald naar de zogeheten bijzondere persoonskenmerken, waaronder geloofsovertuiging, politieke voorkeur, maar ook gezondheid.
