PSD2: nieuwe wet databeveiliging bankgegevens

Home / Blog / Nieuws / PSD2: nieuwe wet databeveiliging bankgegevens

Op 13 januari 2018 treedt de nieuwe Europese betaalrichtlijn PSD2 in werking.

Wat is PSD2?

PSD2 staat voor Payment Services Directive 2. Deze nieuwe wetgeving zorgt ervoor dat (fintech)bedrijven toegang krijgen tot bankgegevens van bankklanten, mits deze daar toestemming voor geven. Dit klinkt onschuldiger dan het is. Je zou denken; ‘zo lang ik geen toestemming geef dan is er toch niks aan de hand?’. Dit kan in de toekomst eenvoudig veranderen, bijvoorbeeld wanneer hypotheekverstrekkers voorwaarden gaan stellen aan het verstrekken van een hypotheek, of wanneer men alleen korting krijgt als men toestemming geeft. Dat laatste lijkt een positieve prikkel, maar wanneer je geen toestemming geeft, ben je dus duurder uit. Dat mag niet de bedoeling zijn.

De PSD2 zegt dat banken andere bedrijven toegang moeten geven tot deze gegevens, mits je als klant toestemming geeft. Eerder wilden banken deze gegevens verkopen. Dit mocht niet, maar banken werden verplicht de gegevens te delen, mits je toestemming geeft. De fintechbedrijven (financiële technologie bedrijven) kunnen dan saldi inzien, betaalafschriften downloaden, etc.

De Volksbank maakte een filmpje over de werking van PSD2:

Invoering PSD2 in Nederland

Deze nieuwe Europese wetgeving wordt in Nederland naar verwachting pas in de zomer van 2018 door de Eerste Kamer in behandeling genomen. Dit wordt als argument door verschillende banken gebruikt waarom er nog niet zoveel naar de klant gecommuniceerd wordt: ze willen graag eerst zien hoe het vorm gaat krijgen in Nederland.

Het is voor nu nog niet goed duidelijk hoe de toestemming verleend moet worden en hoe de privacy is gewaarborgd. Het is belangrijk dat dit eerst goed wordt dichtgetimmerd, juist ook omdat er vier verschillende organisaties verantwoordelijk zullen zijn voor het houden van toezicht op de privacy en bescherming van persoonsgegevens.

AVG versus PSD2

De nieuwe AVG wetgeving die in mei 2018 van kracht wordt, onderstreept die strengere privacy wetgeving ook nog eens. Persoonsgegevens zijn tegenwoordig het nieuwe goud: er kan veel geld mee verdiend worden en bedrijven willen die persoonsgegevens graag inzien en nog liever in bezit hebben. De nieuwe AVG wet laat bedrijven kritischer kijken naar het opslaan en gebruiken van persoonsgegevens die niet strikt noodzakelijk zijn om te functioneren. Maar de privacyregels in PSD2 zijn minder streng dan die in de nieuwe AVG wetgeving en veroorzaken wrijving.

Doel van PSD2

Het doel van PSD2 is om meer vernieuwing en meer concurrentie in het betalingsverkeer te realiseren door de betaalrekeningen open te stellen. Dat zou ook meer innovatieve diensten moeten opleveren. Bart Jacobs, hoogleraar computerbeveiliging, zet in consumentenprogramma Radar vraagtekens bij de nieuwe wetgeving en dan met name de privacy bescherming. Daar is (nog) onvoldoende over duidelijk. Meer gevoelige betaalgegevens kunnen gaan zwerven. Daarnaast is toestemming verlenen lastig: wat als Pietje wel toestemming geeft en Jantje niet, maar Pietje heeft transacties naar Jantje gedaan. Die gegevens van Jantje mogen dan niet naar buiten komen. Maar als de gegevens van Pietje worden ingezien, ziet men ook de transacties van Pietje naar Jantje en komen zijn gegevens alsnog naar buiten. Dat gaat om silent party data. Ook daar moet de wet duidelijk in zijn.

Daarnaast vreest Jacobs voor manipulatie van prijs bij consumenten producten en diensten middels differential pricing: het afhankelijk maken van de prijs van een product/dienst van de persoonlijke omstandigheden van de koper. De verkoper weet dan namelijk precies wat de koper te besteden heeft.

Wijziging voorwaarden betaalrekening

Banken in Nederland maken nog geen haast met het communiceren van de nieuwe wet naar hun klanten. De Rabobank heeft onlangs een brief gestuurd. Bij veel andere banken blijft het angstvallig stil. Terwijl deze wijziging over minder dan drie maanden al van kracht is. Banken zijn verplicht om hun klanten te informeren als de voorwaarden van de betaalrekening wijzigen en moeten dit uiterlijk twee maanden voorafgaand aan de wijziging hebben geregeld. Nog een paar weken dus.