| Ingediend | 13 maart 2014 |
|---|---|
| Beantwoord | 9 april 2014 (na 27 dagen) |
| Indieners | Aukje de Vries (VVD), Foort van Oosten (VVD) |
| Beantwoord door | Fred Teeven (staatssecretaris justitie en veiligheid) (VVD), Jeroen Dijsselbloem (minister financiën) (PvdA) |
| Onderwerpen | economie handel overige economische sectoren |
| Bron vraag | https://zoek.officielebekendmakingen.nl/kv-tk-2014Z04664.html |
| Bron antwoord | https://zoek.officielebekendmakingen.nl/ah-tk-20132014-1659.html |
Ja.
De Autoriteit Financiële Markten (AFM) en De Nederlandsche bank zijn kritisch over de plannen van ING. Consumenten zijn sterk afhankelijk van banken. Ik sta voor een bancaire sector die dienstbaar is aan de Nederlandse economie en waar de klant centraal staat. Het is echter zeer de vraag in hoeverre de plannen van ING in het belang van de klant is en in hoeverre de bank de rechtmatige verwerking (waaronder de veiligheid) van de klantgegevens kan waarborgen. Of dit het geval is, zullen de banken die volledig op de hoogte zijn van de omvang en aard van de activiteiten zelf moeten aantonen. Een onzorgvuldige aanpak en slechte communicatie kan het vertrouwen van de consument in de bancaire sector ernstig schaden.
Zoals ook is aangegeven in het antwoord op de Kamervragen die zijn gesteld door de leden Schouw en Verhoeven (beiden D66) geldt voor het verwerken van persoonsgegevens voor andere doeleinden dan de uitvoering van de overeenkomst als sectorale uitwerking van de Wet bescherming persoonsgegevens (Wbp) de Gedragscode verwerking persoonsgegevens financiële instellingen. Deze Gedragscode is opgesteld door de Nederlandse Vereniging van Banken en het Verbond van Verzekeraars. Het College bescherming persoonsgegevens (Cbp) heeft voor deze Gedragscode in april 2010 een goedkeurende verklaring afgegeven. Deze verklaring heeft een geldigheidsduur van vijf jaar.
De Gedragscode bevat geen bepalingen over het gebruik van de persoonsgegevens voor andere doeleinden in de vorm van verstrekkingen aan derde partijen. Dit betekent niet dat het gebruik van de persoonsgegevens voor andere doeleinden daarmee categorisch is uitgesloten. De Wbp opent in elk geval de mogelijkheid om een rechtvaardiging daarvoor te zoeken in toestemming van de klant (artikel 8a). Die toestemming zal wel aan specifieke eisen moeten voldoen. In artikel 1 aanhef en onder i Wbp is namelijk bepaald dat onder toestemming van een betrokkene wordt verstaan: «elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem betreffende persoonsgegevens worden verwerkt». Hierbij is onder andere van belang dat niet van een rechtsgeldige toestemming kan worden gesproken als de betrokkene onder druk van omstandigheden waarin hij verkeert of de relatie waarin hij staat tot de verantwoordelijke tot toestemming is overgegaan. Als tweede voorwaarde geldt dat de wilsuiting van de betrokkene betrekking moet hebben op een bepaalde gegevensverwerking of een beperkte categorie van gegevensverwerkingen. Duidelijk moet zijn welke verwerking, van welke gegevens, voor welk doel zal plaatsvinden, en als het daarbij gaat om een verstrekking aan derden, ook aan welke derden. Dit betekent dat een zeer brede en onbepaalde machtiging niet als toestemming kan worden aangemerkt. Als derde voorwaarde geldt «informed consent»: de betrokkene kan slechts verantwoord toestemming geven wanneer hij zo goed mogelijk is ingelicht.2
In artikel 9 lid 1 van de Wbp is bepaald dat persoonsgegevens niet verder worden verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen. Volgens het tweede lid van genoemd artikel wordt bij de beoordeling of een verwerking onverenigbaar is met het doel waarvoor de gegevens zijn verkregen onder andere rekening gehouden met de verwantschap tussen oorspronkelijk en beoogd doel, aard van de gegevens, consequenties voor de betrokkene en de wijze waarop de gegevens zijn verkregen.
In de onderhavige context moet bij die beoordeling verder worden betrokken het vertrouwen van de cliënt in de bank dat wordt geboden door de financiële regelgeving, de overeenkomst, de algemene bankvoorwaarden, de Wbp en de Gedragscode.
Het is niet aan mij noch aan de Staatssecretaris van Veiligheid en Justitie om een uitspraak te doen over de verenigbaarheid met de Gedragscode of de Wbp. Het College bescherming persoonsgegevens is belast met het toezicht op de naleving en de handhaving van de Wbp. Het Cbp kan, als het daartoe aanleiding ziet, een onderzoek instellen. Het Cbp doet in beginsel geen uitspraken over lopende en mogelijke onderzoeken.
Alle marktpartijen zijn gehouden aan de regels zoals deze zijn vastgelegd in de Wet bescherming persoonsgegevens en de Wet op het Financieel Toezicht. Een belangrijk uitgangspunt van deze wetgeving is dat transparant wordt gehandeld. De klant moet te allen tijde worden geïnformeerd over hetgeen waarvoor hij tekent, ook wanneer er zich wijzigingen in de onderliggende dienstverlening voordoen. Daarnaast moet de klant te allen tijde zijn toestemming kunnen intrekken (artikelen 8a en 23a Wbp).
De exacte omvang en uitvoering van de plannen van ING zijn niet bekend. ING heeft aangegeven nog geen uitvoering te gaan geven aan de proef en eerst met stakeholders zoals klanten, toezichthouders, privacy-organisaties en consumentenorganisaties in gesprek te gaan. ING stelt uitsluitend gebruik te maken van persoonlijke klantgegevens binnen de grenzen van wet- en regelgeving, in het bijzonder de Wet bescherming persoonsgegevens, en de daarop gebaseerde Gedragscode verwerking persoonsgegevens financiële instellingen en de ING business principles. Zie voorts het antwoord op vraag 2.
Het plan van ING staat los van het beleid van het kabinet. In de kabinetsnota van 24 mei 2013 is vermeld dat bedrijven volop bezig zijn met Big Data. Nieuwe technieken creëren immers commerciële en maatschappelijke kansen. Tegelijkertijd is vermeld dat de gevolgen voor de privacy van gebruikers van aangeboden diensten en producten niet altijd op voorhand duidelijk zijn, terwijl deze wel ingrijpend kunnen zijn. Kernboodschap van de brief is dan ook dat het zorgvuldig omgaan met persoonsgegevens essentieel is om het maatschappelijke vertrouwen in digitale dienstverlening te behouden. De kabinetsnota van 13 december 2013 richt zich specifiek op de overheid en daarbinnen de overheidsdiensten op het terrein van de veiligheid. Een van de aandachtspunten daarin is hoe er bij big data toepassingen voor kan worden gezorgd dat het proces van profilering ten behoeve van de veiligheid voldoende transparant is.
De AFM houdt naast het College bescherming persoonsgegevens goed de vinger aan de pols. De AFM heeft alle banken opgeroepen om met de maatschappij in gesprek te gaan over het gebruik van gegevens van klanten.3 ING heeft in ieder geval aangegeven in gesprek te gaan met klanten, toezichthouders, privacyorganisaties en consumentenorganisaties. Ook de Nederlandse Vereniging van Banken vindt een maatschappelijke discussie over de inzet van Big Data zinvol en gaat hierover graag het gesprek aan met alle betrokkenen, waarbij de privacy van de klant voorop staat. Uit deze gesprekken, die binnen het Maatschappelijk Overleg Betalingsverkeer kunnen worden gevoerd, zal moeten blijken of nadere afspraken nodig zijn om de privacy van de klanten van banken te beschermen.
De plannen van Equens namen indertijd ook veel maatschappelijke onrust met zich mee. Equens heeft om deze reden aangegeven alleen verdere stappen te nemen in het geval dat alsnog een breed maatschappelijk draagvlak tot stand komt. Equens heeft aangegeven een dergelijk breed maatschappelijk draagvlak vooralsnog niet te constateren en daarom momenteel ook geen enkel plan of voornemen te hebben om verdere stappen te zetten op dit terrein.