AVG en PSD2 nog omgeven door onduidelijkheid

Op 25 mei treedt de Algemene Verordening Gegevensbescherming (AVG) in werking; een maatregel die ook voor financiële instellingen nogal wat consequenties heeft. Marta Borrat Frigola (ABN AMRO) laat er haar licht over schijnen.

Marta Borrat Frigola studeerde rechten aan de Universiteit van Girona (Noord-Spanje) en belandde na diverse omzwervingen bij ABN AMRO als senior legal counsel. Daarnaast is ze voorzitter van de Expert Pool Privacy van de Nederlandse Vereniging van Banken en bestuurslid van de Vereniging Privacy Recht.

Een van de uitdagingen uit de AVG is volgens haar de transparantie-eis. “ In de wet staat dat een organisatie die persoonsgegevens verwerkt transparant moet zijn en zijn klanten op tal van punten moet informeren. Die informatie moet bovendien beknopt en begrijpelijk zijn. En dit is positief. Maar, het vinden van het balans tussen de hoeveelheid informatie en de begrijpelijkheid daarvan zal lastig zijn. Dat is een hele uitdaging.”

Aantoonbaar accountable

Helemaal nieuw is het allemaal niet, aldus de Catalaanse. “Organisaties en dus ook de banken moeten voldoen aan de Wet Bescherming Persoonsgegevens, die uit 2001 stamt. Het is vooral goed kijken wat er is veranderd en aangescherpt. Een grote opgave zit hem in de eis om de informatie kort, duidelijk en toch volledig over te brengen. Het is overigens nog maar de vraag of klanten al die informatie gaan lezen. Daarnaast moeten organisaties laten zien dat zij compliant zijn. Zo zullen banken bijvoorbeeld een privacy-functionaris moeten instellen en een intern register moeten houden over de verwerkingsactiviteiten van het bedrijf. Maar goed, de wetgever vereist nu eenmaal dat banken aantonen dat ze in alle opzichten accountable zijn. Werk aan de winkel dus.”

Wie wordt toezichthouder op de naleving van de PSD2?

De nieuwe maatregelen – AVG maar zeker ook PSD2 – zijn vooralsnog met de nodige onduidelijkheid omgeven, aldus Borrat Frigola. “Zo wordt er in PSD2 gesproken over ‘toestemming’. Het is nog helemaal niet duidelijk hoe omvangrijk die toestemming is. Hebben we het over toegang tot de gegevens? Of wordt toestemming om die gegevens nader te mogen verwerken bedoeld? Dat weten we niet. Evenmin weten we op het moment van dit interview welke toezichthouder bevoegd is om te bepalen of een financiële instelling zich aan de regels houdt wanneer persoonsgegevens worden verwerkt zoals bedoeld in de PSD2. Is dat de Autoriteit Persoonsgegevens, of is dat de DNB? Daar is nog onduidelijkheid over.”

Kijken waar het wringt

Borrat Frigola is een van de docenten van de opleiding Data Protection voor Financials. Wat heeft die opleiding te bieden? “Tijdens de opleiding leggen wij de regels uit de AVG in de financiële context  uit. Daarbij geven we aan wat helder is en wat nog onduidelijk is en de deelnemers dus nog zouden moeten blijven volgen. We staan stil bij de belangrijkste bepalingen en geven aan waar het wringt. Meer dan dat kunnen we op dit moment niet doen.” Ondanks – of misschien wel juist vanwege alle onduidelijkheid is de opleiding een aanrader, zegt Borrat Frigola. “Het is belangrijk dat bedrijven zich meer bewust zijn dat de verwerking van persoonsgegevens in lijn met de privacyregels moet plaatsvinden.

Met de komst van de AVG zal “privacy” als onderwerp veel aandacht krijgen.  Het is belangrijk dat je, als je werkzaam bent in de financiële sector, weet hoe de regels over privacy in elkaar steken en waar de grenzen liggen. Als je weet wat de AVG inhoudt, wat de raakvlakken zijn met PSD2 en wat allemaal nog onduidelijk is, kun je in ieder geval al behoorlijk uit de voeten.”