De Autoriteit Persoonsgegevens (AP) komt met een Q&A voor betaaldienstverleners, over waar ‘uitdrukkelijke toestemming’ aan moet voldoen als het gaat om privacybescherming van consumenten. Daarmee wil de AP verduidelijking geven over de privacyaspecten in het kader van de Europese betaalregulering PSD2.
PSD2 staat voor de tweede Payment Services Directive. Het is een Europese richtlijn over betaaldiensten. Deze richtlijn regelt onder meer dat niet alleen banken maar ook andere partijen nieuwe betaal- en rekeningdiensten mogen aanbieden. Bijvoorbeeld een dienst die helpt overzicht te houden over afzonderlijke bankrekeningen. De wetgeving over de richtlijn ligt nu ter behandeling bij de Eerste Kamer.
Uitdrukkelijke toestemming
De bescherming van de privacy van consumenten is een belangrijk onderdeel van de nieuwe Europese wet voor het betalingsverkeer (PSD2), aldus de AP. Een vereiste onder PSD2 is dat betaaldienstverleners alleen toegang mogen krijgen tot persoonsgegevens van consumenten als zij hiervoor uitdrukkelijke toestemming hebben van die consumenten. De consument beslist dus of een betaaldienstverlener inzage mag hebben in zijn of haar bankrekening en betaalgedrag.
Een van de belangrijkste privacyregels uit de PSD2-richtlijn is dat betaaldienstverleners zonder uitdrukkelijke toestemming geen toegang mogen hebben tot persoonsgegevens. Dit geldt onder meer voor rekeninghoudende betaaldienstverleners (zoals banken) en betaalinitiatiedienstverleners.
Makkelijk intrekken
De eis van uitdrukkelijke toestemming houdt onder meer in dat een betaaldienstverlener afzonderlijk van de andere onderdelen van een overeenkomst om toestemming vraagt aan iemand voor toegang tot zijn of haar persoonsgegevens. Hoe uitdrukkelijke toestemming wordt gevraagd moet vrij zijn, ondubbelzinnig, geïnformeerd en specifiek. Consumenten moeten hun toestemming ook gemakkelijk kunnen intrekken.
Zo mag iemand niet onder druk worden gezet om toestemming te geven. En toestemming moet een actieve handeling zijn; stilzwijgende toestemming of voor-aangevinkte vakjes zijn niet toegestaan. Een betaaldienstverlener moet een consument ook goed informeren over welke gegevens worden verzameld en waarvoor ze worden gebruikt.
Het vereiste van uitdrukkelijke toestemming voor de toegang tot persoonsgegevens geldt voor alle soorten betaaldiensten. Behalve als de dienstverlening alleen bestaat uit het aanbieden van een rekeninginformatiedienst. Zodra de rekeninginformatiedienst wordt gecombineerd met een andere betaaldienst geldt het vereiste van uitdrukkelijke toestemming wél.
