Tweetalige printerversie Eentalige printerversie

Schriftelijke vraag nr. 6-1202

van Martine Taelman (Open Vld) d.d. 15 december 2016

aan de staatssecretaris voor Bestrijding van de sociale fraude, Privacy en Noordzee, toegevoegd aan de minister van Sociale Zaken en Volksgezondheid

Richtlijn 2007/64/EG van het Europees Parlement en de Raad van 13 november 2007 betreffende betalingsdiensten in de interne markt - Bankgeheim - Verkoop van klantengegevens aan derden - Expliciete toestemming - Privacy - Bescherming - Identiteitsdiefstal

persoonlijke gegevens
eerbiediging van het privé-leven
bankgeheim
elektronisch betaalmiddel
bankactiviteit
kredietinstelling
gegevensbescherming
computercriminaliteit

Chronologie

15/12/2016Verzending vraag (Einde van de antwoordtermijn: 19/1/2017)
18/1/2017Antwoord

Ook gesteld aan : schriftelijke vraag 6-1201

Vraag nr. 6-1202 d.d. 15 december 2016 : (Vraag gesteld in het Nederlands)

De hoogte van je loon, je hypotheek, of een bezoek aan de psycholoog ; vanaf januari 2018 zullen derden meekijken naar de privébankgegevens. Tenzij de rekeninghouder duidelijk nee zegt tegen de bank die zijn gegevens straks aan andere bedrijven door kan verkopen.

Onder nieuwe Europese regelgeving (de richtlijn 2007/64/EG van het Europees Parlement en de Raad van 13 november 2007 betreffende betalingsdiensten in de interne markt tot wijziging van de richtlijnen 97/7/EG, 2002/65/EG, 2005/60/EG en 2006/48/EG, en tot intrekking van richtlijn 97/5/EG, de zogenaamde PSD2 richtlijn) zijn banken straks verplicht betaalgegevens van hun klanten te verkopen aan derden als die daarom vragen. Die partijen hebben daar wel een vergunning voor nodig. Ook moet de klant hier toestemming voor geven, iedere keer dat de betaalgegevens in andere handen overgaan. Dat is wettelijk vastgelegd onder een aantal voorwaarden : aan wie de gegevens worden verkocht, welk deel van de betaalgegevens worden geleverd en voor welk doel ze worden verkocht. Ook moet een consument altijd nee kunnen zeggen.

Ik ben bijzonder huiverachtig ten opzicht van deze maatregel. Ervaringen uit het verleden leren ons dat deze toestemming dikwijls bedolven zit onder een rits andere voorwaarden waardoor de klant dit niet bewust kiest. Bovendien beseft een gebruiker van een bankrekening niet welke geheimen hij / zij prijsgeeft. Autoverzekeraars zullen bijzondere interesse hebben in de aankopen van alcohol door de gebruiker. Levensverzekeraars zullen bijzondere interesse vertonen in tabaksgebruik of bepaalde medicatie die genomen wordt. Bovendien kunnen al deze gegevens leiden tot identiteitsdiefstal.

Naar verluidt zouden banken een volgens de nieuwe DSP2 richtlijn zelfs verplicht worden om deze gegevens te verkopen.

Wat betreft transversaal karakter van de vraag : de verschillende regeringen en schakels in de veiligheidsketen zijn het eens over de fenomenen die de komende vier jaar prioritair moeten worden aangepakt. Die staan gedefinieerd in de kadernota Integrale Veiligheid en het Nationaal Veiligheidsplan voor de periode 2016–2019, en werden besproken tijdens een Interministeriële Conferentie, waarop ook de politionele en justitiële spelers aanwezig waren. Eén van de vastgelegde prioriteiten is de informaticacriminaliteit. Het betreft dus een transversale gewestaangelegenheid waarbij de rol van de Gewesten vooral ligt in het preventieve luik.

Graag had ik hieromtrent dan ook een antwoord gekregen op de volgende vragen :

1) Wat was het standpunt van onze regering ten aanzien van deze nieuwe richtlijn en dan in het bijzonder over de bescherming van het bankgeheim en over de privacy ? Kunt u voor deze laatste twee punten meedelen wie waar welk standpunt heeft verdedigd ?

2) Klopt de informatie als zouden banken verplicht kunnen worden om deze gegevens te verkopen ? Kunt u zeer gedetailleerd toelichten ? Waarom worden banken verplicht om te verkopen als ze dit niet willen of hun beleid erin bestaat om klantengegevens te beschermen ? Wie is hier voorstander van ?

3) Bent u het met me eens dat het ter beschikking stellen van bankgegevens door de bank aan derden met het oog op het bekomen van inkomsten uit deze data enkel mag plaatsvinden na een expliciete toestemming van de consument en dus niet via een aanpassing van de standaardvoorwaarden die worden meegegeven bij het openen van een rekening ? Kunt u toelichten ? Bent u het er tevens mee eens dat dit steeds herroepbaar moet zijn ? Is dit ook aldus voorzien ?

4) Hoe verhoudt dit initiatief zich tot het bankgeheim ?

5) Kan de verkoop of het ter beschikking stellen van deze gegevens niet leiden tot meer identiteitsdiefstal ?

6) Bepaalt de richtlijn expliciet wie aansprakelijk is voor de eventuele diefstal van gegevens bij derden van de bankgegevens ? Zo ja, wie is aansprakelijk ? Zo neen, waarom niet ?

7) Werd het advies van de Privacycommissie hieromtrent expliciet gevraagd ? Zo ja, hoe luidt het advies ? Zo neen, waarom niet ?

Antwoord ontvangen op 18 januari 2017 :

1) & 2) Wat betreft uw eerste twee vragen verwijs ik u door naar mijn collega bevoegd voor Economie vermits de richtlijn 2015/2366 van 25 november 2015 betreffende betalingsdiensten in de interne markt (genaamd richtlijn PSD2) tot zijn bevoegdheid behoort.

3) Artikel 94 van de richtlijn PSD2 bepaalt het volgende :

« 1. (…) De verstrekking van informatie aan natuurlijke personen over de verwerking van persoonsgegevens en de verwerking van dergelijke gegevens en enige andere verwerking van persoonsgegevens voor de bij de onderhavige richtlijn beoogde doeleinden geschiedt overeenkomstig richtlijn 95/46/EG, de nationale regelgeving tot omzetting van richtlijn 95/46/EG en verordening (EG) nr. 45/2001.

2. Betalingsdienstaanbieders mogen alleen met de uitdrukkelijke toestemming van de betalingsdienstgebruiker toegang krijgen tot persoonsgegevens die noodzakelijk zijn voor het aanbieden van hun betalingsdiensten, deze verwerken en bewaren. »

De richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens voorziet in artikel 2, h), dat toestemming van de betrokkene, elke vrije, specifieke en op informatie berustende wilsuiting is waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt.

Overigens, de nieuwe algemene verordening Gegevensbescherming 2016/679 van 27 april 2016 die de Gegevensbeschermingsrichtlijn 95/46/EG zal vervangen in 2018 verduidelijkt in artikel 7 de voorwaarden voor toestemming, met name :

– de verwerkingsverantwoordelijke moet kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens ;

– indien de betrokkene toestemming geeft in het kader van een schriftelijke verklaring die ook op andere aangelegenheden betrekking heeft, wordt het verzoek om toestemming in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal zodanig gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere aangelegenheden ;

– de betrokkene heeft het recht zijn toestemming te allen tijde in te trekken. Het intrekken van de toestemming laat de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan, onverlet. Alvorens de betrokkene zijn toestemming geeft, wordt hij daarvan in kennis gesteld. Het intrekken van de toestemming is even eenvoudig als het geven ervan ;

– bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, wordt onder meer ten sterkste rekening gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst.

De nieuwe algemene verordening Gegevensbescherming 2016/679 bepaalt ook in artikel 6, § 4, dat een verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld mogelijk is indien het berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling.

Het doorsturen van klantengegevens door een bank aan derden kan dus slechts plaatsvinden onder deze voorwaarden.

4), 5), 6) & 7) Wat betreft deze vragen verwijs ik u door naar mijn collega bevoegd voor Economie vermits de richtlijn 2015/2366 van 25 november 2015 betreffende betalingsdiensten in de interne markt (genaamd richtlijn PSD2) tot zijn bevoegdheid behoort.