Antwoord schriftelijke vragen : Antwoord op vragen van het lid Nijboer over het bericht dat ING betaalgegevens gebruikt voor persoonlijke reclame

Antwoord van Minister Hoekstra (Financiën) (ontvangen 9 juli 2019).

Vraag 1

Bent u bekend met het bericht dat ING betaalgegevens wil gaan gebruiken voor persoonlijke
reclame?1 Wat is ING precies van plan?

Antwoord 1

Ja, ik ben bekend met het bericht. Ik heb van ING vernomen dat zij op maandag 3 juni
haar privacy statement heeft aangepast. Hierbij is opgenomen dat ING informatie over bij- en afschrijvingen
gaat gebruiken om eigen producten aan te bieden. ING geeft aan dat klanten die dit
niet willen, gebruik kunnen maken van hun recht op bezwaar en zich hiervoor kunnen
afmelden.

Vraag 2

In hoeverre is de werkwijze van ING in overeenstemming met privacywetgeving en gedragscodes?
Kunt u daarbij, in aanvulling op uw brief van 11 juni 20192, een specifiek inhoudelijke analyse bieden ten aanzien van de Algemene Verordening
Gegevensbescherming (AVG) en de Europese richtlijn voor betaaldiensten (PSD2)?

Antwoord 2

Op het gebruik van gegevens in de relatie tussen bank en klant is de AVG van toepassing.
De Autoriteit Persoonsgegevens (AP) is de bevoegde toezichthouder ten aanzien van
de AVG. Het is dan ook niet aan mij, maar in eerste instantie aan de AP (en uiteindelijk
eventueel de rechter) om te bepalen of de werkwijze van ING in overeenstemming is
met de privacywetgeving. De AP heeft ING gevraagd om een toelichting op de rechtmatigheid
van de gegevensverwerking (zie antwoord op vraag 5). De AP heeft op 3 juli 2019 een
brief aan de Nederlandse Vereniging van Banken over het gebruiken van transactiegegevens
voor direct-marketing gepubliceerd.3 In deze brief licht de AP de kaders voor deze vorm van gegevensdeling toe. Voor een
inhoudelijke analyse verwijs ik naar deze brief. Als banken zich uiteindelijk niet
houden aan de kaders van wet- en regelgeving kan de AP handhavend optreden.

Zoals ik in mijn eerdere Kamerbrief over dit onderwerp heb aangegeven heeft deze casus
geen betrekking op de herziene betaaldienstenrichtlijn (PSD2). PSD2 stelt regels voor
het verlenen van toegang tot betaalgegevens aan derde partijen en voor bepaalde activiteiten,
indien de klant hier uitdrukkelijk toestemming voor geeft. In deze zaak gaat het niet
om verstrekking van gegevens aan derde partijen.

Vraag 3, 4, 6 en 8

Wat vindt u van de afweging die ING heeft gemaakt met betrekking tot haar eigenbelang
en het klantenbelang?

Deelt u de mening dat betaalgegevens in handen van banken zijn vanuit de nutsfunctie
van het betalingsverkeer, en dat daarmee deze gegevens niet voor marketingdoeleinden
gebruikt zouden moeten worden?

Vindt u dat banken de betaalgegevens van klanten moeten kunnen gebruiken voor advertentiedoeleinden,
ook als de klantgegevens niet bij derden terechtkomen? Deelt u de mening dat dit onwenselijk
is, ook als dit op basis van bestaande wetgeving toegestaan is?

Acht u deze stap van ING behulpzaam bij het herstel van het vertrouwen in de bankensector?

Antwoord 3, 4, 6 en 8

Alle gegevensverwerking moet rechtmatig geschieden. Klanten kunnen voordeel hebben
van gepersonaliseerde reclame, doordat zij bijvoorbeeld aanbiedingen krijgen die afgestemd
zijn op hun eigen behoefte. Het verwerken van gegevens voor deze doeleinden moet echter
wel op eerlijke, transparante en proportionele wijze gebeuren, op een manier die toegestaan
is door de geldende regels voor gegevensverwerking. De AP houdt hier als bevoegde
toezichthouder toezicht op. In de eerdergenoemde brief van de AP aan de banken zijn
de kaders toegelicht waar banken zich aan moeten houden bij een dergelijke gegevensverwerking.

Vraag 5

Waarom heeft de Autoriteit Persoonsgegevens hierover vragen gesteld en wat houden
die vragen in?

Antwoord 5

De AP heeft aangegeven dat de desbetreffende wijziging van het privacystatement door
ING bij haar vragen heeft opgeroepen. Naar aanleiding hiervan heeft de AP op basis
van de in de AVG opgenomen verantwoordingsplicht aan ING gevraagd om op korte termijn
een onderbouwing van de rechtmatigheid van de voorgenomen gegevensverwerking aan te
leveren. De exacte vragen die de AP heeft gesteld zijn mij niet bekend, aangezien
dit toezichtvertrouwelijke informatie is.

Vraag 7

Wat vindt u ervan dat ING dit gebruik van gegevens als standaardinstelling hanteert
(opt-out), in plaats van klanten zelf actief te laten aangeven dat hun gegevens voor
marketingdoeleinden mogen worden gebruikt (opt-in)? Deelt u de mening dat privacy
standaard zou moeten zijn met betrekking tot betalingsgegevens? Bent u bereid om privacy
als standaardinstelling vast te leggen voor betaalgegevens?

Antwoord 7

De AP is de bevoegde toezichthouder ten aanzien van gegevensverwerking van persoonsgegevens.
In de eerdergenoemde brief van de AP aan de banken zijn de kaders toegelicht waar
banken zich aan moeten houden bij een dergelijke gegevensverwerking.