De PSD2-richtlijn is de herziene versie van de PSD1-richtlijn, de Europese Payment Service Directive-richtlijn die onder meer SEPA heeft ingevoerd. Met de PSD2-richtlijn die begin 2019 in ons land van kracht is gegaan, zijn er heel wat wijzigingen ingevoerd. Het heeft onder andere het eigen risico bij het verlies van een pinpas en de toeslagen voor creditcardbetalingen in webshops afgeschaft. Daarnaast biedt de PSD2-richtlijn nieuwe mogelijkheden voor Nederlandse ondernemers, maar daar zijn ook voorwaarden aan verbonden. We leggen het uit.
Derden krijgen toegang tot betaalrekeningen
Een van de belangrijkste wijzigingen is dat banken verplicht zijn om derden toegang te geven tot hun betaalrekening wanneer er aan bepaalde voorwaarden is voldaan. Zo moet de klant daar natuurlijk zelf zijn toestemming voor hebben gegeven. Zo’n toestemming geldt voor een periode van maximaal negentig dagen. Ook dient de onderneming die toegang krijgt over een geldige vergunning te beschikken.
Dankzij de PSD2-richtlijn is het bijvoorbeeld mogelijk dat een hypotheekadviseur op basis van een overzicht van alle inkomsten en uitgaven een gericht hypotheekadvies uitbrengt. Denk daarnaast aan handige applicaties die een totaaloverzicht bieden van alle rekeningen van de consument. Anderzijds zijn er natuurlijk ook (privacy)risico’s aan zo’n toegang verbonden. Dit is de reden waarom de regels zo strikt zijn.
Uitdrukkelijke toestemming is vereist
Om de consument optimaal te beschermen, is het dan ook vereist dat hij de derde uitdrukkelijke toestemming verleent. De Autoriteit Persoonsgegevens (AP) heeft in het verleden al verschillende keren aangegeven aan welke eisen zo’n uitdrukkelijke toestemming moet voldoen. Zo moet de toestemming bijvoorbeeld vrij, ondubbelzinnig, specifiek en geïnformeerd zijn.
Het is bijvoorbeeld niet toegestaan dat een consument stilzwijgend zijn toestemming geeft of dat een vakje alvast vooraf wordt aangevinkt. Een gevolg van de verplichting tot vrije toestemming is dan weer dat de consument zijn toestemming ook altijd moet kunnen intrekken. Wat het specifieke karakter van de toestemming betreft, moet de consument steeds voor een specifieke verwerking en een specifiek doel zijn toestemming verlenen. Je mag de gegevens dan nooit voor een ander doel gebruiken. Zowel de AP als De Nederlandsche Bank (DNB) houden hier toezicht op.
Ook de Consumentenbond voert trouwens jaarlijks een accountantscontrole uit bij de partijen die PSD2-diensten aanbieden en heeft een eigen meldpunt opgericht. Bij de Consumentenbond zijn ze namelijk lovend over de voordelen van de PSD2-richtlijn, zoals de toegenomen concurrentie en de mogelijke nieuwe innovaties, maar zijn ze tegelijkertijd niet blind voor de risico’s die eraan verbonden zijn.
Veel zaken om rekening mee te houden
Ten slotte moeten betaaldienstverleners, net zoals alle andere organisaties die persoonsgegevens verwerken, de AVG-regels respecteren. Ze moeten bijvoorbeeld over een geldige grondslag beschikken om de persoonsgegevens te mogen verwerken, ze moeten er duidelijk over informeren en ze moeten het nodige doen om de persoonsgegevens te beschermen.
Wil jij aan de slag gaan met de PSD2-richtlijn? Dan heb je niet alleen een vergunning nodig, maar ook de juiste documenten. Wij van MKB Juristen helpen je hiermee verder. Laten we er tijdens een vrijblijvend intakegesprek even over spreken. Leg nu een afspraak vast.
