Waaraan moet de uitdrukkelijke toestemming die de PSD2 vereist voldoen?

Een vereiste van de nieuwe Europese wet voor het betalingsverkeer (PSD2) is dat betaaldienstverleners alleen toegang mogen krijgen tot persoonsgegevens van consumenten indien zij hier uitdrukkelijk toestemming voor hebben gegeven. Waaraan deze 'uitdrukkelijke toestemming' moet voldoen licht de Autoriteit Persoonsgegevens (AP) toe in nieuwe Q&A's.

PSD2 staat voor de tweede Payment Services Directive en is een Europese richtlijn voor betaaldiensten. De richtlijn zorgt er onder andere voor dat naast banken ook andere partijen nieuwe betaal- en rekeningdiensten mogen aanbieden. Een belangrijk onderdeel van de PSD2 is ook de privacy van consumenten. Wetgeving op basis van PSD2 ligt momenteel ter behandeling bij de Eerste Kamer.

Expliciete toestemming

Een van de belangrijkste eisen uit de PSD2 is dat betaaldienstverleners. zonder expliciete toestemming geen toegang mogen hebben tot persoonsgegevens van consumenten. Deze beperking geldt voor rekeninghoudende betaaldienstverleners zoals banken en betaalinitiatiedienstverleners.

De AP wijst erop dat deze eis onder meer inhoudt dat:

• een betaaldienstverlener afzonderlijk van de andere onderdelen van een overeenkomst om toestemming moet vragen aan een consument om toegang te krijgen tot zijn of haar persoonsgegevens;
• de manier waarop deze toestemming wordt gevraagd vrij, ondubbelzinnig, geïnformeerd en specifiek moet zijn. Ook moeten consumenten hun toestemming eenvoudig weer kunnen intrekken.

Toestemming moet een actieve handeling zijn

In de praktijk betekent dit dat consumenten niet onder druk mogen worden gezet om toestemming te geven. Ook moet toestemming altijd een actieve handeling zijn; stilzwijgende toestemming of vooraf aangevinkte vakjes zijn niet toegestaan. Ook zijn partijen verplicht consumenten goed te informeren over welke gegevens worden verzameld en waarvoor deze informatie wordt gebruikt.

Meer informatie is hier beschikbaar.