PSD2 als katalysator voor Open Banking

PSD 2 ALS KATALYSATOR VOOR OPEN BANKING ACHTERGROND

PSD2 als katalysator voor Open Banking mr. J.A. Voerman* Trefwoorden: FinTech, PSD2, banken, recht op toegang, toestemming toegang, silent party data, privacy, compliance

Eind 2015 is de herziene richtlijn betaaldiensten vastgesteld (Payment Services Directive 2 ofwel PSD2). Deze richtlijn moet uiterlijk 13 januari 2018 in de nationale rechtstelsels van de EU-lidstaten zijn geïmplementeerd. Veelbesproken is de regulering van betaalinitiatie- en rekeninginformatiediensten en de aanbieders daarvan. Banken zijn verplicht deze aanbieders toegang tot betaalrekeningen te bieden. Contracten mogen daarvoor niet worden vereist. Naast deze verplichte toegang kijken banken ook naar de mogelijkheden om partijen toegang te bieden tot allerlei andere gegevens en diensten. Vanuit complianceperspectief liggen hier meer dan voldoende uitdagingen!

1.

Inleiding

Banken beschikken over enorme hoeveelheden gegevens. Het gaat om gegevens op klantniveau zoals transactiegegevens (betalingen, beleggingen, kredietgegevens, sparen et cetera) en klantgegevens (KYC-gegevens zoals naam, adres, woonplaats) maar bijvoorbeeld ook gegevens omtrent kredietwaardigheid. Daarnaast zijn er samengestelde gegevens. Het betreft gegevens op basis van klantgegevens, zoals het aantal pintransacties per dag of het aantal verstrekte leningen. Ook beschikt een bank over meer algemene gegevens, variërend van de locatie van pinautomaten tot macro-economische statistieken. Het gebruik van klantgegevens is momenteel iets dat zich vooral afspeelt in de bilaterale verhouding tussen de bank en de klant. De klantgegevens staan niet ter beschikking van derde (commerciële) partijen, tenzij de klant daar expliciet mee instemt. Het exploiteren van klantgegevens is altijd en eigenlijk nog steeds een beladen onderwerp geweest. Voor banken is het een gevaarlijk onderwerp om zelf actief mee naar buiten te treden. Niettemin is Open Banking, mede door FinTech-ontwikkelingen, een zeer actueel thema. Open Banking ziet op de mogelijkheid dat derde partijen gebruik maken van gegevens uit het bankdomein en op basis daarvan nieuwe diensten aanbieden. De herziene richtlijn betaaldiensten (Payment Services Directive 2, afgekort PSD2)1 is daarbij een belangrijke katalysator. PSD2 regelt namelijk onder meer dat banken verplicht toegang moeten bieden tot betaalrekeningen aan aanbieders van betaalinitiatiediensten (payment initiation services) en/of rekeninginformatiediensten (account information services), mits deze onder toezicht staan. Deze bijdrage begint in paragraaf twee met een korte uiteenzetting over de regulering van betaalinitiatie- en rekeninginformatiediensten. Paragraaf drie staat stil bij de vraag wat onder een betaalrekening wordt verstaan en hoe het recht op toegang juridisch moet worden gezien. Paragraaf vier besteedt aandacht aan de wijze van toegang. Daarna wordt in paragraaf vijf verder ingegaan op de toestemming van de rekeninghouder en de problematiek van de zogenoemde silent party data. Paragraaf zes sluit af met enkele opmerkingen over Open Banking. * Arno Voerman is advocaat financieel recht bij Van Doorne N.V. te Amsterdam. 1 Richtlijn 2015/2366/Eu van het Europees Parlement en de Raad van 25 november 2015 betreffende betalingsdiensten in de interne markt, houdende wijziging van de Richtlijnen 2002/65/EG, 2009/110/EG en 2013/36/EU en Verordening (EU) nr. 1093/2010 en houdende intrekking van Richtlijn 2007/64/ EG (PbEU L 337/35).

114 Tijdschrift voor Compliance - april 2017

Voor een uiteenzetting over PSD2 wordt ook verwezen naar de bijdrage in deze aflevering van mr. Van Houts en mr. Martens-Schutten. In navolging hiervan zullen het voorstel voor de Implementatiewet herziene richtlijn betaaldiensten en het voorstel voor de Memorie van Toelichting in deze bijdrage ook worden aangeduid als Ontwerp Wetsvoorstel respectievelijk Ontwerp MvT.

PSD 2 ALS KATALYSATOR VOOR OPEN BANKING ACHTERGROND

2.

Nieuwe betaaldiensten: betaalinitiatie- en rekeninginformatiediensten

De betaalinitiatiedienst is een dienst voor het initiëren van betaalopdrachten, op verzoek van de betaaldienstgebruiker, met betrekking tot een betaalrekening die bij een andere betaaldienstverlener wordt aangehouden. De betaaldienstverlener initieert de betaling ten behoeve van de consument, bijvoorbeeld bij online aankopen bij een webwinkel. Sofort is één van de ondernemingen die betaalinitiatiediensten verleent. De rekeninginformatiedienst is een online dienst voor het verstrekken van geconsolideerde informatie over één of meer betaalrekeningen die de betaaldienstgebruiker bij één of meerdere betaaldienstverleners aanhoudt. In Nederland is het online huishoudboekje van AFAS Personal daar een voorbeeld van.2 Ondernemingen die betaalinitiatie- en rekeninginformatiediensten aanbieden (de Third Party Providers ofwel TPPs), worden onder het toepassingsgebied van de PSD gebracht. TPPs moeten een vergunning hebben of geregistreerd zijn. Om dat te bereiken, worden de betaalinitiatieen rekeninginformatiediensten als nieuwe betaaldiensten aan de bijlage bij de PSD toegevoegd. De PSD zal daarmee onderscheid gaan maken tussen rekeninghoudende betaaldienstverleners (Account Servicing Payment Service Providers ofwel ASPSPs) en andere betaaldienstverleners. Bij ASPSPs gaat het vooral om banken, maar het kunnen ook betaalinstellingen zijn. De regulering van TPPs en de verplichte toegang die ASPSPs tot betaalrekeningen moeten bieden is vanuit innovatief maar ook commercieel oogpunt het meest interessante onderdeel van PSD2. De verplichte toegang (Access to the Account) maakt allerlei nieuwe diensten voor consumenten maar ook zakelijke klanten mogelijk. Via een combinatie van betaalinitiatie en rekeninginformatie kan een nieuwe speler bijvoorbeeld een wallet-oplossing bieden, waarin klanten een integraal overzicht kunnen krijgen van de saldi op hun – bij meerdere banken – aangehouden betaalrekeningen met de mogelijkheid ook betaalopdrachten te geven. Overigens is dit niet exclusief voorbehouden aan FinTech-ondernemingen. Ook bestaande banken kunnen deze nieuwe diensten verlenen. Zo heeft ABN AMRO bijvoorbeeld Gradefix geïntroduceerd.3 Gradefix is een nieuwe service die op basis van betalingsverkeergegevens een analyse en risico-inschatting maakt van een klant. Consumenten en MKB-ondernemingen kunnen deze analyse gebruiken om een compleet en persoonlijk inzicht te krijgen in hun financiële situatie. Zij kunnen zelf bepalen of zij dit rapport willen delen met derden, bijvoorbeeld hypotheekverstrekkers. De transactiegegevens moeten nu nog zelf door de klanten voor een analyse worden aangeboden. In de toekomst zal Gradefix dit echter zelf kunnen doen via de mogelijkheid van rekeninginformatiediensten. De manier waarop TPPs toegang kunnen krijgen, wordt grotendeels bepaald door technische standaarden (Regulatory Technical Standards ofwel RTS). Deze worden door de European Banking Authority (EBA) en de Europese Commissie voor diverse onderwerpen vastgesteld. De RTS die hier van belang zijn, zien op Strong Customer Authentication en Common and Secure Communication. De EBA heeft het finale concept (final draft) RTS op 23 februari 2017 gepubliceerd.4 De desbetreffende RTS treden in werking achttien maanden nadat ze zijn gepubliceerd. Omdat de Commissie drie maanden de tijd heeft de RTS vast te stellen en daarna het Europees Parlement ook nog aan bod komt, is denkbaar dat publicatie pas in het najaar van 2017 zal plaatsvinden. De inwerkingtreding is in dat geval pas begin 2019. In paragraaf vier wordt nader ingegaan op het finale concept RTS. De verplichting van ASPSPs om toegang tot betaalrekeningen te bieden, gaat overigens al meteen in met de implementatie van PSD2 (dus uiterlijk 13 januari 2018). De hiervoor genoemde RTS zijn dan echter nog niet in werking getreden. Art. 115 PSD2 voorziet hier in. Lid 5 bepaalt ten eerste dat de lidstaten niet verbieden dat rechtspersonen die vóór 12 januari 2016 op hun grondgebied activiteiten van betaalinitiatiedienstaanbieders en rekeninginforma tiedienstaanbieders hebben verricht, dezelfde activiteiten op hun grondgebied blijven uitoefenen tijdens de hierboven genoemde overgangsperiode van achttien maanden. Lid 6 bepaalt 2 dan dat de lidstaten ervoor zorgen dat individuele Zie www.afaspersonal.nl. 3 ASPSPs in de periode dat zij nog niet aan de RTS hoeven Zie www.gradefix.com. 4 te voldoen, dit niet-voldoen niet misbruiken om het EBA, ‘Final Report on Draft Regulatory gebruik van betaalinitiatie- en Technical Standards on Strong Customer rekeninginformatiediensten voor door hen gehouden Authentication and common and secure rekeningen te blokkeren of te hinderen. Deze regels communication under Article 98 of Directive zullen nog interessante discussies gaan opleveren! Zo is 2015/2366 (PSD2)’, 23 februari 2017.

Tijdschrift voor Compliance - april 2017 115

PSD 2 ALS KATALYSATOR VOOR OPEN BANKING ACHTERGROND

het maar de vraag of de ASPSPs op tijd de vereiste interfaces gereed hebben (meer over deze interfaces in paragraaf vier). Ook de identificatie van TPPs zal nog een uitdaging worden.

3.

Betaalrekening en het recht op toegang

3.1

Algemeen

Art. 66 PSD2 regelt het recht op betaalinitiatie. Het eerste lid stelt voorop dat de lidstaten ervoor zorgen dat een betaler het recht heeft voor betalingsdiensten (als bedoeld in bijlage I punt 7) gebruik te maken van een PISP (Payment Initiation Service Provider, een TTP die betaalinitiatiediensten aanbiedt). Wanneer de betaalrekening niet online te raadplegen is, is het recht van een PISP gebruik te maken niet van toepassing. Het basisartikel voor de rekeninginformatiediensten is art. 67 PSD2. In lid 1 wordt bepaald dat lidstaten ervoor zorgen dat een betalingsdienstgebruiker het recht heeft gebruik te maken van de diensten van een AISP (Account Information Service Provider, een TTP die rekeninginformatiediensten aanbiedt). Dit recht is evenmin van toepassing wanneer de betaalrekening niet online te raadplegen is.

3.2

Betaalrekening?

De rekeninghoudende betaaldienstverleners, ASPSPs, moeten op grond van PSD2 dus toegang bieden tot betaalrekeningen. Daarmee is de vraag of een bankrekening ook een betaalrekening is, onder PSD2 nog belangrijker geworden. Een betaalrekening is gedefinieerd als een op naam van een of meer betalingsdienstgebruikers aangehouden rekening die voor de uitvoering van betalingstransacties wordt gebruikt.5 Deze definitie volgend zou dus iedere (bank)rekening waarop geldmiddelen kunnen worden gestort of overgemaakt of waarvan geldmiddelen kunnen worden opgenomen, als betaalrekening moeten worden aangeduid. Uit de totstandkomingsgeschiedenis van de PSD en verschillende interpretaties nadien van het begrip betaalrekening blijkt dat een dergelijke interpretatie te ruim is. In de Q&A van de PSD heeft de Commissie bijvoorbeeld op 18 juni 2008 duidelijk gemaakt dat spaarrekeningen alleen als betaalrekeningen kwalificeren indien de rekeninghouder geldmiddelen zonder additionele interventie of overeenkomst met zijn betaaldienstverlener kan opnemen. Zogenaamde fixed term deposits en hypotheekrekeningen zouden daarom niet als betaalrekening kwalificeren.6 Ook de Nederlandse wetgever heeft aangegeven niet van de ruime uitleg uit te gaan.7 In de Memorie van Toelichting bij de PSD Implementatiewet is opgenomen dat in de definitie is aangegeven dat een betaalrekening is te omschrijven als een rekening van een betaaldienstgebruiker die voor de uitvoering van betalingstransacties wordt gebruikt. Strikt genomen zouden hieronder ook rekeningen kunnen vallen die niet worden aangehouden met als hoofddoel betalingen te kunnen verrichten, maar waarvan wel betalingen worden verricht. Te denken valt aan spaarrekeningen waar sporadisch een betaling mee wordt verricht. Hoewel de richtlijn geen duidelijkheid verschaft op dit punt, zou het onderbrengen van al deze rekeningen indruisen tegen het doel van de richtlijn betaaldiensten, namelijk regels stellen ten aanzien van betaaldienstverleners die als hoofdactiviteit hebben het verlenen van betaaldiensten. Het verrichten van enkele betalingen op een rekening die met name wordt gebruikt voor andere doeleinden dan betalingen, kan dan ook niet worden gezien als het verlenen van betaaldiensten. Dergelijke rekeningen kunnen derhalve niet direct worden aangemerkt als betaalrekening, aldus de Nederlandse wetgever. De Financial Conduct Authority (FCA), de Britse financieel toezichthouder, geeft als guidance8 dat bij de vaststelling of een rekening een betaalrekening is, moet worden gekeken naar het onderliggende doel van de rekening, daarbij onder meer lettende op het doel waarvoor de rekening is ingericht en wordt aangehouden alsmede de functionaliteit van de

5 6

7 8

116 Tijdschrift voor Compliance - april 2017

Art. 4 sub 12 PSD2. Your questions on PSD Payment Services Directive 2007/64/EC Questions and answers, Questions 25 and 262. Zie http://ec.europa.eu/ internal_market/payments/docs/framework/ transposition/faq_en.pdf. Kamerstukken II 2008/09, 31 892, 3, p. 16 (MvT). Zie https://www.handbook.fca.org.uk/handbook/ PERG/15.pdf.

PSD 2 ALS KATALYSATOR VOOR OPEN BANKING ACHTERGROND

rekening (hoe meer mogelijkheden tot het verrichten van betalingen op de rekening, hoe waarschijnlijker het een betaalrekening is). Uit het bovenstaande kan worden afgeleid dat vooral de functies van een bepaalde rekening bepalen of deze al dan niet een betaalrekening is. Is de rekening onderworpen aan allerlei restricties om geld te storten en vooral geld op te nemen dan zal de rekening in beginsel niet als betaalrekening kwalificeren.

3.3

Recht op toegang is individueel recht van rekeninghouder

Een interessant punt is nog dat het recht op toegang tot de betaalrekening via een TPP een recht is van de rekeninghouder en niet een recht van de TPP. In het Ontwerp Wetsvoorstel en de Ontwerp MvT wordt ook tot uitgangspunt genomen dat het recht op toegang van privaatrechtelijke aard is en derhalve in boek 7 van het Burgerlijk Wetboek moet worden geregeld.9 Vanuit handhavingsperspectief betekent dit dat er als zodanig geen publiekrechtelijke plicht van de ASPSP tegenover de TPP lijkt te zijn toegang te bieden. Een publiekrechtelijke verplichting van de ASPSP tegenover de rekeninghouder die door De Nederlandsche Bank kan worden gehandhaafd, lijkt er ook niet te zijn. Weigert een ASPSP derhalve toegang, dan zal de 'gedupeerde rekeninghouder' in beginsel bij de burgerlijke rechter zijn recht op toegang moeten afdwingen. Art. 4:25d Wet financieel toezicht (Wft) bepaalt overigens wel dat betaaldienstverleners de privaatrechtelijke bepalingen voor betaaldiensten moeten naleven. Wanneer een ASPSP toegang weigert, levert dit voor de Autoriteit Financiële Markten wel een haakje op handhavend op te treden. Voor een TPP lijkt alleen de gang naar de Autoriteit Consument en Markt op grond van het mededingingsrecht een optie. Dat het recht op toegang een privaatrechtelijk recht van de rekeninghouder is, kent nog een ander interessant gezichtspunt. Het betreft de impact van de nemo plus iuris ad alium transferre potest quam ipse habet regel. Het betekent dat iemand niet meer rechten kan overdragen dan hij heeft. Wanneer het recht op betaalinitiatie- en rekeninginformatiediensten tevens het recht inhoudt daarbij een TPP in te schakelen, dan is het gevolg van de nemo plus regel dat de TPP niet meer of andere rechten dan de rekeninghouder kan hebben. Het kan ook betekenen dat de TPP gebonden is aan dezelfde contractuele voorwaarden als de betalingsdienstgebruiker, bijvoorbeeld inzake veiligheid en gebruiksbeperkingen. Een dergelijk resultaat zou strikt genomen niet in strijd zijn met het beginsel op grond van art. 66 en 67 PSD2 dat de verstrekking van toegang niet afhankelijk mag zijn van het bestaan van een contractuele relatie tussen de TPP en de ASPSP. De ASPSP verlangt immers geen contract van de TPP. Het zou het echter voor TPPs wel veel ingewikkelder maken omdat ze dan alle individuele (raam)overeenkomsten tussen rekeninghouders en ASPSPs moeten observeren. Een dergelijke uitkomst zou ook minder logisch zijn bezien vanuit de algemene PSD2 doelstelling om Access to the Account algemeen beschikbaar te maken. Aan de andere kant, vanuit een civielrechtelijk perspectief maar ook vanuit het oogpunt van risicobeheersing, zou het vreemd zijn dat een ASPSP meer of andere rechten aan een TPP zou moeten toekennen dan de rechten van de rekeninghouder. Daartegenover staat echter weer dat de RTS van de EBA de toegang verder reguleren en daarvoor waarborgen bieden (zie verder paragraaf vier).

4.

Hoe toegang? RTS SCA en SCS

Een veelbesproken onderwerp is de manier waarop TPPs toegang tot de betaalrekeningen kunnen krijgen. Er zijn grofweg twee manieren. Ten eerste kan de TPP gebruikmaken van de reguliere online bankomgevingen waar ook de rekeninghouders gebruik van maken. Dat is een vorm van directe 9 toegang. In de pre-PSD2 periode wordt dit al door TPPs Zie de voorgestelde nieuwe art. 7:522b en gebruikt: de TPP verkrijgt toegang via het reguliere 7:522c BW en de Ontwerp MvT, p. 8. 10 online kanaal zonder dat dit voor de bank altijd J.A.Voerman, ‘Voorstel herziene richtlijnbeduidelijk is, zorgt voor de invoer van de persoonlijke taaldiensten en toegang tot de betaalrekebeveiligingsgegevens (zoals autorisatiecodes) en verzaning: Betaalinitiatie- en rekeninginformatiemelt de data die door de rekeninghoudende betaaldiensten gereguleerd’, FR 2013, nr. 11, par. dienstverlener in dat kanaal wordt gepresenteerd. In de 2.3, p. 376. In dit artikel wordt screen praktijk wordt dit ook screen scraping genoemd.10 Ten scraping uitgelegd onder de term van ‘overlay services’.

Tijdschrift voor Compliance - april 2017 117

PSD 2 ALS KATALYSATOR VOOR OPEN BANKING ACHTERGROND

tweede kan de rekeninghoudende betaaldienstverlener een apart online kanaal, via bijvoorbeeld een API,11 aan TPPs ter beschikking stellen. Overweging 93 PSD2 maakt duidelijk dat het uitgangspunt van de richtlijn is dat ASPSPs TPPs niet kunnen verplichten een welbepaald bedrijfsmodel te hanteren om dat soort diensten te kunnen aanbieden, ongeacht of dat op directe of indirecte toegang is gebaseerd. Hiervan uitgaande zou het voor TPPs dus mogelijk moeten zijn gebruik te blijven maken van de directe kanalen. Zie ook overweging 32 PSD2 ten aanzien van betaalinitiatie. Daarin is opgenomen dat PISPs voor het verstrekken van betaalinitiatiediensten direct of indirect toegang moeten hebben tot de rekeningen van de betalers. Een ASPSP die een mechanisme voor indirecte toegang aanbiedt, dient de PISPs ook directe toegang toe te staan. PSD2 maakt echter niet duidelijk wat onder directe en indirecte toegang moet worden verstaan. Dat screen scraping gelijk zou staan aan directe toegang en PSD2 screen scraping dus zou toestaan, wordt door de EBA van de hand gewezen. In de toelichting op het finale concept RTS stelt de EBA uitdrukkelijk dat screen scraping na de overgangsperiode (de periode tot het moment dat de RTS in werking treden) niet langer is toegestaan.12 Daarbij heeft de EBA naar eigen zeggen overleg gehad met de Commissie over de meest plausibele uitleg van PSD2. Als argumenten tegen screen scraping worden genoemd dat PSD2 bepalingen bevat over (i) de identificatie van de TPPs, (ii) de eisen ten aanzien van veilige communicatie tussen ASPSPs en TPPs, (iii) het kunnen terugvallen op authenticatieprocedures en (iv) beperkingen voor TPPs om toegang tot betaaldata te krijgen. Het finale concept RTS neemt als uitgangspunt dat de ASPSPs verplicht zijn tenminste één interface aan te bieden. Deze interface kan een API zijn, maar dat hoeft volgens de EBA niet per se.13 Art. 27 van het finale concept RTS noemt twee mogelijkheden voor de interface. De eerste is dat de ASPSP de TPP in staat stelt gebruik te maken van de kanalen die worden gebruikt voor authenticatie en communicatie tussen de ASPSP en de rekeninghouders. De tweede mogelijkheid is die van een dedicated interface, dat wil zeggen een interface die exclusief voor TPPs wordt opengesteld. De eerste mogelijkheid gaat dus uit van de bestaande kanalen, maar is wel anders dan screen scraping. Het veronderstelt wel dat de TPP zich steeds als zodanig bij de ASPSP identificeert. Bij screen scraping is dat niet zo. Voor de interface gelden een aantal basisvoorwaarden. De interface moet er voor zorgen dat (i) AISPs, PISPs en PSPs die card-based betaalinstrumenten uitgeven, zich kunnen identificeren ten overstaan van de ASPSP, (ii) AISPs op een veilige manier kunnen communiceren bij het aanvragen en ontvangen van informatie van één of meer betaalrekeningen en de daarmee gepaarde betaaltransacties en (iii) PISPs op een veilige manier kunnen communiceren bij het initiëren van een betaalopdracht van de betaalrekening van de rekeninghouder en bij het ontvangen van informatie over de initiatie en de uitvoering van betaaltransacties. Nu schrijft het finale concept RTS niet voor hoe de interface er technisch uit moet zien. Dit zou dus kunnen betekenen dat iedere bank zijn eigen interface bouwt en daarmee geen uniformiteit tot stand komt. Voor TPPs maar ook banken of betaalinstellingen die zelf betaalinitiatie- of rekeninginformatiediensten willen aanbieden, zou dit met zich brengen dat er voor iedere interface een aparte koppeling moet worden gemaakt (met de benodigde investeringen tot gevolg). Of het zover zal komen, valt echter te bezien. Er zijn diverse marktinitiatieven om tot open standaarden te komen.14 Wat betreft de authenticatieprocedures bepaalt art. 27 van het finale concept RTS verder dat de interface PISPs en AISPs in staat moet stellen gebruik te maken van de authenticatieprocedures die de ASPSP aan de rekeninghouders ter beschikking stelt. In het bijzonder brengt dit mee dat de interface (i) de PISP en AISP in staat moet stellen de ASPSP de instructie te geven de authenticatie te starten, (ii) ervoor zorgt dat communicatiesessies tussen ASPSPs, PISPs, AISPs en rekeninghouders tot stand komen en blijven via 11 de authenticatie en (iii) er tevens voor zorgt dat de API staat voor Application Programming integriteit en vertrouwelijkheid van de persoonlijke Interface. Een API is een set aan definities en beveiligingskenmerken en authenticatiecodes, protocollen waarmee softwareprogramma’s doorgegeven door of via de PISP of AISP, worden onderling kunnen communiceren. 12 gewaarborgd. Finale concept RTS, p. 11. 13

Het uitgangspunt daarbij voor bijvoorbeeld betaalinitiatie is dat de instemming van de rekeninghouder

118 Tijdschrift voor Compliance - april 2017

14

Finale concept RTS, p. 32. Zie voor voorbeelden: berlin-group.org en theodi.org/open-banking-standard.

PSD 2 ALS KATALYSATOR VOOR OPEN BANKING ACHTERGROND

met de betaalopdracht nog steeds zal worden gegeven in overeenstemming met de tussen de ASPSP en rekeninghouder overeengekomen authenticatiemethoden. Betaalinitiatie zal daardoor mogelijk gaan lijken op de iDEAL procedure. De TPP zal een betaalopdracht klaar kunnen zetten in de betaalomgeving van de ASPSP, maar het is uiteindelijk de rekeninghouder die de betaalopdracht op de ‘normale manier’, bijvoorbeeld met betaalpas en kaartlezer, autoriseert. Wel kan de doorgifte van de persoonlijke beveiligingskenmerken en authenticatiecodes via de systemen van de TPP lopen. Voor zover een TPP op een andere manier betaalopdrachten wil kunnen aanbieden, bijvoorbeeld door een eigen autorisatiemethode aan de rekeninghouders aan te bieden, zal de TPP daarover met de ASPSP afspraken moeten maken. In de consultatieversie van de concept RTS merkte de EBA hierover op dat dit buiten de reikwijdte van PSD2 valt.15 Ook AISPs zullen moeten vertrouwen op de authenticatieprocedures van de ASPSP. Daarbij is van belang dat voor het toegang krijgen tot de rekeninginformatie de regel in beginsel is dat Strong Customer Authentication (SCA) ofwel sterke cliëntauthenticatie is vereist. Sterke cliëntauthenticatie is – volgens PSD2 – een authenticatie met gebruikmaking van twee of meer factoren die worden aangemerkt als 'kennis', 'bezit' en 'inherente eigenschap'. Bij de factor kennis gaat het om iets wat alleen de gebruiker weet, zoals een pincode. De factor bezit ziet op iets wat de gebruiker heeft, bijvoorbeeld een betaalpas of een mobiele telefoon. De factor inherente eigenschap betreft iets wat eigen aan de gebruiker is, zoals een biometrisch kenmerk als een vingerafdruk. In Nederland is sterke cliëntauthenticatie bij internetbankieren al gebruikelijk. Wanneer online informatie wordt opgevraagd over het saldo van een bankrekening of de betaaltransacties over de voorgaande negentig dagen is SCA evenwel niet vereist. Wel gelden dan als voorwaarden dat de eerste informatieaanvraag is geautoriseerd met SCA en dat de laatste keer dat SCA werd toegepast niet langer dan negentig dagen geleden is. Deze periode van negentig zal ook gaan gelden voor AISPs. In die periode kunnen zij zonder SCA, behoudens andersluidende afspraken, zelf actief vier keer per dag rekeninginformatie opvragen (ook al vraagt de rekeninghouder deze informatie niet zelf).16 Overigens geeft de EBA aan dat de ASPSPs de periode van negentig dagen niet mogen verkorten.17 Een ASPSP mag dus bijvoorbeeld niet elke week SCA verlangen. Voor AISPs zou dat in ieder geval behoorlijk nadelig kunnen uitpakken.

5.

Toestemming en de problematiek van de silent party data

5.1

Toestemming voor XS2A

TPPs hebben niet zomaar toegang tot betaalrekeningen. Daarvoor is de uitdrukkelijke toestemming van de rekeninghouder nodig. Voor de rekeninginformatiediensten is dit met zoveel woorden opgenomen in art. 67 lid 2 onder a PSD2. Deze bepaling schrijft voor dat de AISP de diensten alleen verricht met uitdrukkelijke toestemming van de rekeninghouder. Voor PISPs ontbreekt overigens een vergelijkbare bepaling in PSD2. Het is niet duidelijk waarom. Een mogelijke verklaring is de andere positie van de aanbieder van betaalinitiatiediensten. Een dergelijke aanbieder zal meestal een contractuele relatie hebben met webwinkels en betaalinitiatie in hun portfolio van betaaldiensten opnemen. Een overeenkomst met de rekeninghouder zal er (meestal) niet zijn. Dat laat onverlet dat de rekeninghouder moet instemmen met de betaalopdracht, maar vanuit PSD2 en het finale concept RTS bezien, is dat iets wat zich in het domein van de ASPSP afspeelt. Art. 66 lid 2 PSD2 bepaalt in dit verband dat wanneer de rekeninghouder instemt met een overeenkomstig art. 64 PSD2 uit te voeren betaling, de ASPSP – samengevat – verplicht is de betaalinitiatie te faciliteren, maar deze instemming is gericht aan de ASPSP, zij het dat deze via de PISP kan worden gegeven. 15

In zoverre lijkt toestemming aan de PISP niet zonder meer noodzakelijk. De werkelijkheid zal echter gecompliceerder zijn. Een AISP kan bijvoorbeeld ook de rol van PISP vervullen. Ook is mogelijk dat de PISP zelf de persoonlijke beveiligingskenmerken van de rekeninghouder op zijn website verzamelt en doorgeeft aan de AISP. Ook in dat geval zal toch enige toestemming van de rekeninghouder vereist zijn.

Zie EBA, ‘Consultation paper On the draft Regulatory Technical Standards specifying the requirements on strong customer authentication and common and secure communication under PSD2’, 12 augustus 2016, p. 9. 16 Zie art. 31 lid 5 onder 5 van het finale concept RTS. 17 Zie finale concept RTS, comments 67 en 70.

Tijdschrift voor Compliance - april 2017 119

PSD 2 ALS KATALYSATOR VOOR OPEN BANKING ACHTERGROND

De EBA heeft in het finale concept RTS rondom dit thema een nieuwe overweging opgenomen. In overweging 18 wordt voorop gesteld dat de TPPs alleen de noodzakelijke en essentiële gegevens mogen verkrijgen voor een specifieke dienst en alleen met toestemming van de rekeninghouder. Deze toestemming kan afzonderlijk worden gegeven voor elk afzonderlijk verzoek voor informatie of voor een afzonderlijke betaling. Ook kan een algemene toestemming worden gegeven voor bepaalde bankrekeningen en de daarbij behorende betaaltransacties. Overweging 18 benadrukt dat TPPs alleen informatie namens een rekeninghouder mogen opvragen wanneer daarvoor toestemming is verleend. Uit PSD2 noch het finale concept RTS volgt overigens dat de ASPSPs bewijs moeten krijgen van de aan de AISP verleende toestemming. Ook blijkt niet dat de rekeninghouder aan de ASPSP zelf toestemming moet verlenen data aan de AISP te verstrekken (behoudens de SCA zoals hiervoor beschreven, maar daarvoor is niet duidelijk of in dat authenticatieproces de toestemming wordt gekoppeld aan een specifieke AISP of dat na de initiële SCA de betaalrekening 'open staat' voor alle AISPs). Gelet op het feit dat AISPs onder toezicht komen te staan en zich ook zullen moeten houden aan de RTS, zou kunnen worden gezegd dat rechtstreekse toestemming ten aanzien van een specifieke AISP niet per se noodzakelijk is. De ASPSP zal er dan op moeten (kunnen) vertrouwen dat de AISP uitdrukkelijke toestemming heeft verkregen. Echter, dat toch óók toestemming aan de ASPSP moet worden gegeven, kan mogelijk uit art. 94 lid 2 PSD2 worden afgeleid. Op dit artikel wordt hierna verder ingegaan.

5.2

Uitdrukkelijke toestemming

Het kopje boven art. 94 PSD2 luidt Gegevensbescherming. Het artikel kent twee leden. Het eerste lid bepaalt dat de lidstaten toestaan dat betalingssystemen en betalingsdienstaanbieders persoonsgegevens verwerken wanneer zulks noodzakelijk is voor de voorkoming van, het onderzoek naar en de opsporing van betalingsfraude. Ook bepaalt dit lid dat de verstrekking van informatie aan natuurlijke personen over de verwerking van persoonsgegevens en de verwerking van dergelijke gegevens en enige andere verwerking van persoonsgegevens voor de bij de onderhavige richtlijn beoogde doeleinden geschiedt in overeenstemming met de privacy wet- en regelgeving. Het tweede lid bepaalt dat betalingsdienstaanbieders alleen met de uitdrukkelijke toestemming van de betalingsdienstgebruiker toegang mogen krijgen tot persoonsgegevens die noodzakelijk zijn voor het aanbieden van hun betalingsdiensten, deze verwerken en bewaren. In de Ontwerp MvT wordt duidelijk gemaakt dat met het voorgestelde art. 7:515a BW, waarmee art. 94 lid 2 PSD2 wordt geïmplementeerd, wordt afgeweken van art. 8 Wet bescherming persoonsgegevens (Wbp), waarin bijvoorbeeld de uitvoering van de overeenkomst een zelfstandige verwerkingsgrondslag is voor verwerking van persoonsgegevens.18 Volgens de Ontwerp MvT kiest PSD2 op dit punt voor aanvullende bescherming van de betrokken rekeninghouder. Nu is het opmerkelijk dat nergens uit PSD2 blijkt dat is beoogd strenger te zijn dan de privacy regelgeving. Sterker, overweging 89 PSD2 neemt als uitgangspunt dat de privacyregelgeving van toepassing is op de verwerking van persoonsgegevens in het kader van PSD2. Overweging 89 PSD2 zegt ook dat daaruit volgt dat het noodzakelijk is voor de verwerking van persoonsgegevens dat het precieze doel wordt aangegeven, de desbetreffende rechtsgrondslag wordt vermeld, de relevante beveiligingsvoorschriften worden nageleefd en de beginselen noodzaak, evenredigheid, doelbegrenzing en een niet buitensporige bewaarperiode in acht worden genomen. Ook moeten in alle gegevensverwerkingssystemen die in het kader van PSD2 worden ontwikkeld en gebruikt, de beginselen gegevensbescherming by design en gegevensbescherming by default in acht worden genomen. Overweging 89 PSD2 meldt echter niet dat er maar één verwerkingsgrondslag, namelijk toestemming, geldig is. Verder is niet duidelijk hoe de passage ‘noodzakelijk … voor het aanbieden van hun betalingsdiensten’ moet worden opgevat. Betekent dit dat de toestemming alleen maar is vereist voor de eigen diensten van de betaaldienstverlener, maar niet voor zover deze verplicht toegang aan een TPP biedt? Een en ander is voor de Betaalvereniging Nederland begrijpelijkerwijs aanleiding geweest in haar consultatiereactie op te merken dat in PSD2 geen nadere onderbouwing te vinden is voor de inter18 pretatie dat sprake is van aanvullende bescherming Zie Ontwerp MvT, p. 21. 19 van de betrokken betaaldienstgebruiker in afwijking Reactie Betaalvereniging Nederland op van art. 8 Wbp.19 Volgens de Betaalvereniging implementatiewet herziene richtlijn

120 Tijdschrift voor Compliance - april 2017

PSD 2 ALS KATALYSATOR VOOR OPEN BANKING ACHTERGROND

Nederland kan – samengevat – alleen zijn gedoeld op de situatie dat nieuwe toetreders als de PISP en AISP de gegevens op verzoek van de betrokken betaaldienstgebruiker verkrijgen van de ASPSP. Met de eis van uitdrukkelijke toestemming wordt zekerheid verkregen dat de betaaldienstgebruiker daadwerkelijk ermee instemt dat een andere partij dan de ASPSP zijn betaalgegevens verkrijgt. Wanneer art. 94 lid 2 PSD2 aldus wordt gelezen, namelijk dat TPPs alleen met de uitdrukkelijke toestemming van de betalingsdienstgebruiker toegang mogen krijgen tot persoonsgegevens die noodzakelijk zijn voor het aanbieden van hun betalingsdiensten (derhalve betaalinitiatie en rekeninginformatie), deze verwerken en bewaren, lijkt dat inderdaad meer in lijn te zijn met overweging 89 PSD2 en art. 66 en 67 PSD2. De komende tijd zal tijdens de parlementaire behandeling van het wetsvoorstel moeten blijken of op dit punt nog aanpassingen worden aangebracht. Zo niet, dan zal art. 7:515a BW de nodige puzzels gaan opleveren. Een voorbeeld daarvan betreft de problematiek van silent party data.

5.3

Silent party data

Silent party data zijn de gegevens van de betaler die ook in de bankomgeving van de begunstigde zichtbaar zijn, bijvoorbeeld persoonsgegevens zoals naam en rekeningnummer. Stel nu dat de begunstigde gebruik maakt van zijn recht een AISP in te schakelen. De AISP krijgt in beginsel dezelfde informatie als de rekeninghouder zelf, derhalve ook de namen van de betalers en hun rekeningnummers. Voor de bank van de begunstigde levert dit echter een verwerkingshandeling op, waarvoor moet worden beoordeeld of er een verwerkingsgrondslag is. Op basis van de algemene privacy regelgeving zou die grondslag kunnen bestaan uit het naleven van een wettelijke verplichting (namelijk de verplichting om toegang tot de betaalrekening mogelijk te maken). Wanneer expliciete toestemming echter de enige verwerkingsgrondslag kan zijn, wordt het problematisch. De betaler zal immers niet aan de bank van de begunstigde uitdrukkelijke toestemming hebben gegeven óók zijn persoonsgegevens aan de AISP ter beschikking te stellen. Bij een strikte toepassing van de toestemmingseis zal een ASPSP dus gehouden zijn de persoonsgegevens van de (in)betalers te verwijderen.

6.

Van PSD2 naar Open Banking

Hierboven is ingegaan op de verplichte Access to the Account op basis van PSD2. Een verplichting die voor banken alleen geldt voor betaalrekeningen die online te raadplegen zijn. Naast dit verplichte domein kan een bank ervoor kiezen ook andere rekeningen of andere gegevens voor TPPs open te stellen. Zo zal het bijvoorbeeld voor de aanbieder van rekeninginformatiediensten van belang kunnen zijn om in de overzichten ook spaarrekeningen of bijvoorbeeld kredietfaciliteiten op te nemen. Voor banken liggen hier dus (commerciële) mogelijkheden. Open Banking brengt een scala aan vragen voor juristen en compliance officers met zich. Daarbij zijn vier kernvragen te onderscheiden: (i) welke gegevens betreft het, (ii) mag de bank deze gegevens delen, (iii) aan wie mag de bank deze gegevens verstrekken, en (iv) hoe en onder welke voorwaarden gaat de bank deze gegevens verstrekken? Het wettelijke kader daarbij is divers. Het gaat niet alleen om de privacyregelgeving. Vanzelfsprekend speelt ook de Wft een belangrijke rol, met bijvoorbeeld als hoofdnorm dat een beheerste en integere bedrijfsuitoefening moet zijn gewaarborgd. Dat betekent onder meer dat banken moet beschikken over procedures en maatregelen om de integriteit, voortdurende beschikbaarheid en beveiliging van geautomatiseerde gegevensverwerking te waarborgen.20 Bij het openstellen van het bankdomein en het ontwerpen van interfaces zal hiermee rekening moeten worden gehouden. Daarnaast spelen natuurlijk andere rechtsgebieden een rol, zoals het privaatrecht (consumentenrecht), maar ook het mededingingsrecht mag niet worden vergeten. Stel dat een bank bepaalde TPPs in het 'vrije domein' uitsluit, dan is dit mogelijk op basis van het mededingingsrecht niet toegestaan. Tot slot: meestal wordt Open Banking geassocieerd met enthousiaste ontwikkelaars van bijvoorbeeld APIs. De toenemende belangstelling voor alles wat FinTech is of daarmee te maken heeft, helpt daarbij. Bij Open Banking gaat het echter niet alleen om Tech. Met deze bijdrage mag duidelijk zijn dat ook de compliance-aspecten vroegtijdig onder ogen moeten worden gezien! betaaldiensten, 15 december 2016, p. 9, te vinden via www.internetconsultatie.nl. 20 Zie art. 20 Besluit Prudentiële regels Wft.

Tijdschrift voor Compliance - april 2017 121