Hvordan GDPR påvirker plikten under PSD2 for kontotilbydere til å utlevere informasjon til fullmakttjenester

Abstract

Masteroppgaven undersøker forholdet mellom Payment Services Directive 2 (PSD2) og General Data Protection Regulation (GDPR), nærmere bestemt hvilke[t] behandlingsgrunnlag som kan anvendes på overføringen av kundens personopplysninger fra kontotilbyderen til fullmakttjenesten. Oppgaven presenterer først behandlingsgrunnlagene samtykke og rettslig forpliktelse generelt, før behandlingsgrunnlagene anvendes på PSD2. For det første har oppgaven funnet at samtykke kan tjene som behandlingsgrunnlag for overføringen av personopplysninger mellom kontotilbyder og fullmakttjeneste. Videre har oppgaven undersøkt om «uttrykkelig» samtykke i PSD2 skal forståes som en henvisning til GDPR art. 9, om behandling av særlige kategorier av personopplysninger. Oppgaven har funnet at dette ikke er tilfellet. Deretter har oppgaven kommet frem til at det ikke eksisterer et krav om dobbelt samtykke i PSD2. Med andre ord at kontotilbyder ikke er forpliktet til å innhente eget samtykke fra kontoinnehaver for å overføre kundens personopplysninger til fullmakttjenesten. Overføringen kan dermed bero på andre behandlingsgrunnlag enn samtykke. For det andre har oppgaven undersøkt om det forekommer en rettslig forpliktelse til å overføre kundens personopplysninger mellom kontotilbyder og fullmakttjeneste. Oppgaven har funnet at en slik forpliktelse er «klart forutsatt» i PSD2 art. 36. Videre at det foreligger en begrenset rettslig forpliktelse til å overføre personopplysninger mellom kontotilbyder og fullmakttjenesten i forbindelse med autorisering av betalingstransaksjoner, i medhold av PSD2 art. 66(4) bokstav b.