NL Publicatieblad van de Europese Unie C 284/1

Advies van de Europese Toezichthouder voor gegevensbescherming betreffende het voorstel voor een Verordening van het Europees Parlement en de Raad tot vaststelling van technische vereisten voor overmakingen en automatische afschrijvingen in euro en tot wijziging van Verordening (EG) nr. 924/2009

2011/C 284/01

DE EUROPESE TOEZICHTHOUDER VOOR GEGEVENSBESCHERMING,

Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 16,

Gezien het Handvest van de grondrechten van de Europese Unie, en met name de artikelen 7 en 8,

Gezien Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (1),

Gezien het verzoek van de Commissie om een advies in overeenstemming met artikel 28, lid 2 van Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens (2),

BRENGT HET VOLGENDE ADVIES UIT:

1. INLEIDING

1. De Commissie heeft op 16 december 2010 een voorstel aangenomen voor een verordening van het Europees Parlement en de Raad tot vaststelling van technische vereisten voor overmakingen en automatische afschrijvingen in euro en tot wijziging van Verordening (EG) nr. 924/2009 („het voorstel”).

1.1. Raadpleging van de EDPS

2. Het voorstel is op 3 januari 2011 door de Commissie naar de Europese Toezichthouder voor gegevensbescherming (EDPS) gestuurd. De EDPS vat deze toezending op als een verzoek om advies in overeenstemming met artikel 28, lid 2 van Verordening (EG) nr. 45/2001 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens („Verordening (EG) nr. 45/2001”). De EDPS is voorafgaand aan de aanneming van het voorstel (3) al in de gelegenheid gesteld informele opmerkingen te maken. De EDPS is ingenomen met de openheid van het proces, die al in een vroeg stadium heeft bijgedragen tot verbetering van de tekst vanuit het oogpunt van gegevensbescherming. Met een aantal opmerkingen is in het voorstel al rekening gehouden. De EDPS zou het op prijs stellen als in de preambule van dit voorstel uitdrukkelijk wordt verwezen naar de raadpleging van de EDPS.

1.2. De gemeenschappelijke eurobetalingsruimte en het wettelijk kader

3. Sinds de oprichting van de Europese Economische Gemeenschap bestaat er een beweging in de richting van een meer geïntegreerde Europese financiële markt. Op het gebied van betalingen zijn de meest zichtbare maatregelen de invoering van de euro als gemeenschappelijke munt in 1999 en het in omloop brengen van eurobiljetten en -muntstukken in 2002 geweest.

4. Tot nu toe worden niet-contante betalingen van kleine eurobedragen (tot 50 000 EUR) in de EU echter nog op veel verschillende manieren verwerkt. Als gevolg hiervan zijn de kosten voor de uitvoering van grensoverschrijdende betalingen binnen de EU gemiddeld hoger dan die voor binnenlandse betalingen. In een Europese verordening betreffende grensoverschrijdende betalingen in euro (Verordening (EG) nr. 2560/2001) is onder meer bepaald dat het tarief voor grensoverschrijdende betalingen in euro binnen de EU niet langer hoger mocht zijn dan voor vergelijkbare binnenlandse betalingen in euro. In reactie op deze verordening heeft het Europese bankwezen in 2002 de Europese Betalingsraad („EPC”) opgericht als coördinerend en besluitvormend orgaan voor betalingszaken en het project van de gemeenschappelijke eurobetalingsruimte (Single European Payments Area — SEPA) geïnitieerd. In 2009 is Verordening (EG) nr. 2560/2001 vervangen door Verordening (EG) nr. 924/2009, waarmee het beginsel van gelijke tarieven werd uitgebreid tot automatische afschrijvingen, die op grensoverschrijdende basis beschikbaar zijn sinds november 2009.

5. Verder is Richtlijn 2007/64/EG (de „richtlijn betalingsdiensten”) gericht op harmonisatie van de nationale wetten voor betalingen binnen de Europese Unie. De richtlijn is bedoeld om genormeerde voorwaarden en rechten voor betalingsdiensten vast te stellen en grensoverschrijdende betalingen even eenvoudig, doelmatig en veilig te maken als „nationale” betalingen in een lidstaat. De richtlijn betalingsdiensten beoogt ook versterking van de concurrentie door de openstelling van betalingsmarkten voor nieuwe partijen.

6. De SEPA streeft naar de totstandbrenging van een gemeenschappelijke markt voor kleine betalingen in euro door opheffing van de technische, wettelijke en marktgebonden belemmeringen die stammen uit de periode vóór de invoering van de gemeenschappelijke munt. Zodra de SEPA is voltooid, zal er geen verschil meer bestaan tussen nationale en grensoverschrijdende betalingen in euro: beide zullen binnenlandse betalingen zijn. De SEPA omvat niet alleen de eurozone, maar de gehele Europese Unie (EU) alsook IJsland, Liechtenstein, Monaco, Noorwegen en Zwitserland. Dit betekent dat gemeenschappen buiten de eurozone de SEPA-normen en -praktijken voor hun betalingen in euro kunnen overnemen.

7. Het voorstel heeft betrekking op overmakingen en automatische afschrijvingen. Een overmaking is een betaling die wordt geïnitieerd door een betaler die een instructie aan zijn of haar bank stuurt. De bank verplaatst de geldmiddelen dienovereenkomstig naar de bank van de begunstigde. Dit kan gebeuren via verschillende intermediairs. In het geval van automatische afschrijvingen verleent de betaler vooraf toestemming aan de begunstigde om geldmiddelen te incasseren van zijn of haar bankrekening. De betaler verleent daarom een „mandaat” aan zijn of haar bank om geldmiddelen over te maken naar de bankrekening van de begunstigde. Automatische afschrijvingen worden vaak gebruikt voor periodieke betalingen, zoals elektriciteitsrekeningen, maar kunnen ook voor eenmalige betalingen worden gebruikt. In dat geval geeft de betaler toestemming voor een afzonderlijke betaling.

1.3. De SEPA en het EU-stelsel voor gegevensbescherming

8. Bij de invoering en ontwikkeling van de SEPA is de verwerking van verscheidene gegevens gemoeid: namen, bankrekeningnummers en de inhoud van overeenkomsten moeten rechtstreeks worden uitgewisseld tussen betalers en begunstigden, en indirect via hun respectieve betalingsdienstaanbieders, om een foutloze werking van de overmakingen te garanderen. Daarom bevat het voorstel ook een artikel over „interoperabiliteit”, waarin de totstandbrenging van normen voor nationale en grensoverschrijdende transacties wordt ondersteund en uitdrukkelijk wordt verklaard dat de verwerking van overmakingen en automatische afschrijvingen door geen technische belemmering mag worden gehinderd. De verschillende marktdeelnemers die bij de door het voorstel bestreken activiteiten zijn betrokken, zijn onderworpen aan de nationale wetten waarmee Richtlijn 95/46/EG ten uitvoer wordt gelegd.

9. De EDPS benadrukt dat bij de uitwisseling en verwerking van persoonsgegevens die betrekking hebben op betalers en begunstigden en met de verschillende betalingsdienstverleners de beginselen van noodzaak, evenredigheid en doelbinding moeten worden geëerbiedigd. Het doorsturen van gegevens via de verschillende intermediairs moet bovendien voldoen aan de beginselen van vertrouwelijke en veilige verwerking overeenkomstig de artikelen 16 en 17 van Richtlijn 95/46/EG.

10. In het voorstel wordt ook een nieuwe rol geïntroduceerd voor nationale autoriteiten die toezicht houden op naleving van de verordening en alle nodige maatregelen treffen om dergelijke naleving te waarborgen. Hoewel deze rol van fundamenteel belang is om een doeltreffende tenuitvoerlegging van de SEPA te garanderen, kan hij ook bredere bevoegdheden inhouden voor de verdere verwerking van persoonsgegevens van individuele burgers door de autoriteiten. Ook op dit gebied moet de toegang van de nationale bevoegde autoriteiten tot persoonsgegevens voldoen aan de beginselen van noodzaak, evenredigheid en doelbinding.

11. Hoewel in het voorstel geen al te gedetailleerde bepalingen over de eerbiediging van de beginselen van gegevensbescherming hoeven worden opgenomen, omdat zij wordt gegarandeerd door de toepasselijkheid op de verwerkingsactiviteiten van de nationale wetten waarmee uitvoering wordt gegeven aan Richtlijn 95/46/EG, doet de EDPS enkele voorstellen voor verbetering van de tekst om deze te verduidelijken.

2. SPECIFIEKE OPMERKINGEN

2.1. Overweging 26

12. De EDPS is verheugd over de vermelding van Richtlijn 95/46/EG in overweging 26 van het voorstel. Maar om het feit te weerspiegelen dat de juiste verwijzingen de verschillende nationale uitvoeringsvoorschriften van een dergelijke richtlijn zijn, en om te benadrukken dat elke gegevensverwerkingsactiviteit moet worden verricht in overeenstemming met de uitvoeringsregels, zou de tekst van de overweging als volgt kunnen worden gewijzigd: „De overeenkomstig deze verordening uitgevoerde verwerking van persoonsgegevens moet in overeenstemming zijn met de ter zake dienende wetten waarmee Richtlijn 95/46/EG in de nationale wetgeving is omgezet”.

2.2. Artikelen 6, 8, 9 en 10: bevoegdheden van de nationale autoriteiten

13. In artikel 6 van het voorstel wordt een verbod op heffing van multilaterale afwikkelingsvergoedingen (4) per automatische-afschrijvingstransactie of een andere vergoeding met hetzelfde oogmerk of gevolg ingevoerd. Wel mag voor automatische-afschrijvingstransacties die door een betalingsdienstaanbieder niet correct kunnen worden uitgevoerd omdat de betalingsopdracht verworpen, geweigerd, teruggestuurd of herroepen is (de zogenoemde „R-transacties”), een multilaterale afwikkelingsvergoeding worden toegepast mits aan een aantal voorwaarden is voldaan.

14. In artikel 8 van het voorstel worden verplichtingen ingevoerd voor de betaler die gebruikmaakt van overmakingen en een begunstigde die gebruikmaakt van automatische afschrijvingen. Een betaler kan niet weigeren overmakingen te doen naar rekeningen bij betalingsdienstaanbieders die zijn gevestigd in een andere lidstaat en die bereikbaar zijn (5) in overeenstemming met artikel 3. Een begunstigde die op zijn of haar rekening geldmiddelen ontvangt van andere rekeningen bij betalingsdienstaanbieders in dezelfde lidstaat, mag niet weigeren automatische afschrijvingen te ontvangen van rekeningen bij betalingsdienstaanbieders die zijn gevestigd in een andere lidstaat.

15. Artikel 9 van het voorstel schrijft voor dat de lidstaten de bevoegde autoriteiten aanwijzen die verantwoordelijk zijn voor het doen naleven van de verordening. Deze autoriteiten dienen over alle bevoegdheden te beschikken die voor het vervullen van hun taken nodig zijn, en moeten doeltreffend toezicht houden op de naleving van de verordening en alle nodige maatregelen nemen om die naleving te waarborgen. Verder wordt in artikel 9, lid 3, bepaald dat indien er op het grondgebied van een lidstaat meer dan een autoriteit bevoegd is voor aangelegenheden die onder het toepassingsgebied van deze verordening vallen, de lidstaat ervoor zorgt dat deze autoriteiten nauw met elkaar samenwerken zodat zij hun respectieve taken op doeltreffende wijze kunnen vervullen. In artikel 10 wordt de lidstaten de verplichting opgelegd voorschriften vast te stellen inzake de sancties die gelden voor inbreuken op de verordening en ervoor te zorgen dat deze sancties worden toegepast. De sancties moeten doeltreffend, evenredig en afschrikkend zijn.

16. Op grond van deze artikelen hebben nationale autoriteiten de bevoegdheid om toezicht te houden op mogelijke inbreuken op alle in het voorstel vervatte verplichtingen en om sancties op te leggen, met inbegrip van sancties in verband met de verplichtingen van de artikelen 6 en 8. Deze bevoegdheid kan vanuit het oogpunt van gegevensbescherming grote gevolgen hebben voor de persoonlijke levenssfeer: de autoriteiten zouden algemene toegang kunnen hebben tot informatie over elke overschrijving (hetzij door overmaking, hetzij door automatische afschrijving) van geldmiddelen tussen personen om te controleren of er onrechtmatige multilaterale afwikkelingsvergoedingen worden geheven dan wel verzet wordt gepleegd tegen weigeringen, in strijd met de verplichtingen uit hoofde van de artikelen 6 en 8. Een dergelijke bevoegdheid strekt zich uit tot de verwerking van persoonsgegevens (namen van de betrokken natuurlijke personen, hun bankrekeningnummers en de bedragen die moeten worden ontvangen of overgemaakt).

17. Hoewel een dergelijke verwerking van persoonsgegevens altijd in overeenstemming moet zijn met de nationale uitvoeringsregels van Richtlijn 95/46/EG, wenst de EDPS te benadrukken dat de toezichtverplichting al in het voorstel moet worden beoordeeld in het licht van de evenredigheids- en noodzakelijkheidsbeginselen die zijn vastgelegd in Richtlijn 95/46/EG (artikel 6, lid 1, onder c). In dit verband zou naar de mening van de EDPS, vooral gezien de artikelen 6 en 8, de evenredigheid meer gediend zijn met een systeem waarin de verwerking van persoonsgegevens door de bevoegde autoriteiten alleen per geval kan worden goedgekeurd. Dit zou betekenen dat het ingrijpen van de autoriteit — en dus de verwerking van persoonsgegevens van een bepaalde betaler en/of begunstigde — hoofdzakelijk zou worden geactiveerd wanneer daarvoor een specifieke reden bestaat, zoals in het geval dat een betaler of begunstigde zich beklaagt over een inbreuk op artikel 6 of 8, of in het kader van een gericht onderzoek op eigen initiatief, mogelijk op grond van door een derde verstrekte inlichtingen.

18. De doeltreffendheid van de controle op de naleving zou worden gewaarborgd door de introductie van een mechanisme waardoor een klager een klacht kan indienen of een derde partij inlichtingen kan overleggen en snel de reactie van de autoriteit kan ontvangen, mogelijk in de vorm van een opdracht aan de wederpartij om zich te houden aan de bepalingen van de artikelen 6 en 8. In het voorstel worden in artikel 11 al regels ingevoerd voor toereikende en doeltreffende buitengerechtelijke klachten- en beroepsprocedures voor de beslechting van geschillen tussen betalingsdienstgebruikers en hun betalingsdienstaanbieders (waarmee het geval van artikel 6 is gedekt). Teneinde de naleving van de verplichtingen uit hoofde van artikel 8 te bevorderen zonder een brede gegeneraliseerde toegang tot persoonsgegevens voor nationale autoriteiten in te voeren, stelt de EDPS voor het bepaalde in artikel 11 ook te laten gelden voor geschillen tussen betalers en begunstigden.

19. De EDPS constateert voorts dat de toezichthoudende activiteiten de overdracht van persoonsgegevens tussen bevoegde nationale autoriteiten van verschillende lidstaten kunnen omvatten in het kader van de in artikel 9, lid 3, genoemde nauwe samenwerking. Gezien de ruime bevoegdheden die aan de nationale autoriteiten worden toegekend om toe te zien op de naleving van de verordening (zelfs indien de in het voorgaande geopperde beperkingen met betrekking tot de artikelen 6 en 8 zouden worden ingevoerd), stelt de EDPS voor om in de tekst uitdrukkelijk te vermelden dat elke overdracht van persoonsgegevens tussen hen moet voldoen aan de ter zake dienende beginselen van gegevensbescherming. Meer in het bijzonder zouden dergelijke overdrachten niet en masse mogen worden uitgevoerd maar alleen in verband met specifieke gevallen waarin al een begin van een vermoeden van inbreuk op de verordening bestaat. Daarom zou de volgende zin aan artikel 9, lid 3 kunnen worden toegevoegd: „Overdracht van persoonsgegevens tussen bevoegde autoriteiten in het kader van de nauwe samenwerking vindt slechts plaats op gevalsbasis, wanneer er een redelijk vermoeden van inbreuk op de verordening bestaat en met eerbiediging van de beginselen van noodzaak, evenredigheid en doelbinding.”

2.3. Bijlage

20. In de bijlage van het voorstel worden de technische vereisten vastgesteld waaraan moet worden voldaan voor overmakingen en automatische afschrijvingen op grond van artikel 5 van het voorstel. Doel van de invoering van deze vereisten is de totstandbrenging van geharmoniseerde vormen van identificatie en communicatie om de interoperabiliteit van de overmakings- en automatische-afschrijvingstransacties tussen de lidstaten te garanderen.

21. In dit verband komt de verwerking van persoonsgegevens door de intermediairs (de betalingsdienstaanbieders) bij verschillende gelegenheden voor (6): a) artikel 2, onder b): voor overmakingen moeten de volgende gegevens worden overgedragen van de betaler aan diens betalingsdienstaanbieder en via de betalingsketen worden doorgegeven aan de begunstigde: de naam van de betaler en/of het IBAN van diens rekening, het bedrag van de overmaking, de naam en het IBAN van de begunstigde en mogelijk de transactiemededeling; b) artikel 3, onder b): voor automatische afschrijvingen moet van de begunstigde aan diens betalingsdienstaanbieder en vervolgens van deze aan de betalingsdienstaanbieder van de betaler bij elke transactie de informatie over het mandaat (7) worden overgedragen; c) artikel 3, onder g): voor automatische afschrijvingen moeten de volgende gegevens worden overgedragen van de begunstigde aan diens betalingsdienstaanbieder en via de betalingsketen worden doorgegeven aan de betaler: de naam van de begunstigde en het IBAN van diens rekening, de naam van de betaler en het IBAN van diens rekening.

22. Hoewel elke verwerking van persoonsgegevens moet voldoen aan de ter zake dienende nationale uitvoeringswetten van Richtlijn 95/46/EG, wordt in het ontwerpvoorstel alleen vermeld dat overdrachten in verband met situatie a) vooral moeten worden uitgevoerd „overeenkomstig de in de nationale wetgeving tot uitvoering van Richtlijn 95/46/EG vastgestelde verplichtingen”. Om elk misverstand uit te sluiten, stelt de EDPS voor een dergelijke verwijzing naar de richtlijn ook op te nemen in verband met artikel 3, onder b) en onder g). Indien echter de tekst van overweging 26 wordt gewijzigd zoals hierboven is voorgesteld, kan de formulering van artikel 2, onder b), buiten de verwijzing naar Richtlijn 95/46/EG.

3. CONCLUSIE

23. De EDPS verwelkomt de specifieke verwijzing naar Richtlijn 95/46/EG in het voorstel. Hij stelt echter enkele kleine aanpassingen in de tekst voor teneinde de geldigheid van de beginselen van gegevensbescherming voor de in het voorstel genoemde verwerkingsactiviteiten te verduidelijken. In het bijzonder is hij van mening dat: — overweging 26 het feit moet weerspiegelen dat de nationale wetten waarmee uitvoering wordt gegeven aan Richtlijn 95/46/EG de juiste verwijzing zijn en dat elke gegevensverwerkingsactiviteit moet worden uitgevoerd overeenkomstig die uitvoeringswetten; — de toezichthoudende bevoegdheid van de bevoegde nationale autoriteiten in verband met de in de artikelen 6 en 8 opgenomen verplichtingen moet worden beperkt tot gevallen waarin er een redelijk vermoeden van inbreuk op de verordening bestaat, terwijl ter bevordering van de naleving van de in artikel 8 opgenomen verplichtingen het sanctiemechanisme bij niet-naleving dat is voorzien in artikel 11, moet worden uitgebreid tot geschillen tussen betaler en begunstigde; — verwijzingen naar Richtlijn 95/46/EG in de bijlage moeten worden geharmoniseerd om elk misverstand uit te sluiten.

Gedaan te Brussel, 23 juni 2011. Giovanni BUTTARELLI Europese adjunct-toezichthouder voor gegevensbescherming

(1) PB L 281 van 23.11.1995, blz. 31 („Richtlijn 95/46/EG”).

(2) PB L 8 van 12.1.2001, blz. 1.

(3) In september 2010.

(4) Een multilaterale afwikkelingsvergoeding is het bedrag dat door de betalingsdienstaanbieder van de begunstigde in verband met automatische afschrijving aan de betalingsdienstaanbieder van de betaler wordt betaald.

(5) Deze verplichting is bedoeld om te waarborgen dat een betalingsdienstaanbieder die bereikbaar is voor een overmakings- of automatische-afschrijvingstransactie op nationaal niveau ook bereikbaar is voor transacties die worden geïnitieerd via betalingsdienstaanbieders die zijn gevestigd in een andere lidstaat (artikel 3 van het voorstel).

(6) De overdracht van naam en IBAN gebeurt rechtstreeks van begunstigde naar betaler in geval van overmaking en van betaler naar begunstigde in geval van automatische afschrijving. In beide gevallen volgt de rechtmatigheid van de verwerking impliciet uit het feit dat de betrokkene zelf vrijwillig zijn of haar eigen gegevens verzendt.

(7) Dergelijke informatie kan bestaan uit de naam van de betaler, zijn of haar adres, zijn of haar telefoonnummer en alle andere informatie met betrekking tot de overeenkomst die de reden van de overdracht van geldmiddelen vormt.