Privacybeleid onder de loep: Hoe privé is Apple Pay?

Voordat we verder gaan is het eerst belangrijk om te weten hoe het wettelijk zit met je financiële data. De Algemene Verordening Gegevensbescherming (hierna: ‘AVG’ of ‘privacywet’) maakt onderscheid tussen persoonsgegevens en bijzondere persoonsgegevens. Bijzondere persoonsgegevens zijn verboden om te gebruiken, tenzij één van de uitzonderingen uit de privacywet geldt. Financiële data zijn geen bijzondere persoonsgegevens, maar vallen wel onder ‘gevoelige persoonsgegevens’. Dit is een soort tussencategorie, waar extra voorzichtigheid mee is geboden, maar waarvan het gebruik wel mag.

Zo zou een aanbieder uit transactiegegevens kunnen afleiden wat bijvoorbeeld de religie, gezondheidstoestand, politieke overtuiging of het geslacht van de betaler is. Denk aan de aankoop van halalvlees, medicijnen of de contributie van een lidmaatschap. Dit zijn allemaal bijzondere persoonsgegevens, die niet verwerkt mogen worden, tenzij er een wettelijke uitzondering geldt.

Bij gebruik van Apple Pay, is Apple verplicht om gebruikers te informeren over de doeleinden en de grondslag van de gegevensverwerking. Daarnaast dient Apple bij het gebruik van bijzondere persoonsgegevens toe te lichten onder welke wettelijke uitzondering dit valt. In de privacyverklaring op de website vinden we hier niets over terug. Pas wanneer je als gebruiker vanuit de Wallet zelf een betaalpas toevoegt, vind je in het ‘Device Privacy Statement’ meer informatie.

Apple vermeldt bijvoorbeeld voordat je een betaalpas toevoegt het doel van de gegevensverwerking, maar de grondslag hiervan blijft achterwege. Voor meer informatie verwijst Apple naar de website, waar je meer algemene informatie over de verwerking van persoonsgegevens kunt vinden – en waar wij juist vandaan kwamen.

Informatie over de grondslag voor de gegevensverwerking vinden wij, zo op het eerste gezicht, niet op de website. Natuurlijk is het voor een bedrijf aan te raden om zijn privacyverklaring gelaagd te maken, zodat gebruikers niet afhaken door een overdaad aan informatie. Maar tegelijkertijd moet de informatie daardoor niet onvindbaar zijn. De privacywet verplicht namelijk dat de informatie ‘gemakkelijk toegankelijk’ hoort te zijn.

Beveiliging

Apple informeert in de privacyverklaring op de website wel vrij uitgebreid over de beveiligingsmaatregelen die het neemt om te voorkomen dat ze direct inzage hebben in de transactie- en kaartgegevens. Apple geeft aan dat ze geen toegang hebben tot originele nummers van creditcards, bankpassen of andere betaalkaarten. Alleen een deel van de kaartnummers, een beschrijving en een deel van het apparaatnummer worden bewaard. Daarnaast worden transactiegegevens waaruit de gebruiker herkent kan worden, niet bewaard.

© PXimport

Informatie over wat er is gekocht, wanneer en door wie is alleen toegankelijk voor de winkelier, de bank en de gebruiker. Hoe gaat dat in zijn werk? De betaalpas wordt gecodeerd met een sleutel die door betaalproviders kan worden ontgrendeld. Nadat de kaart door de bank is goedgekeurd, wordt een nummer aangemaakt dat uniek is voor het apparaat van de gebruiker. Dit nummer (en andere gegevens) wordt teruggestuurd naar Apple. Het nummer wordt bewaard op het apparaat van de gebruiker in een beveiligde, gecertificeerde standaardchip. Transactiegegevens en Wallet-gegevens worden gecodeerd door middel van ‘end-to-end-codering’.

Apple maakt bij gegevens die het ontvangt in het kader van Apple Pay gebruik van pseudonimisering. Bij deze techniek is het voor Apple bij een betaling niet (direct) duidelijk om wie het gaat. Toch kunnen deze gegevens in theorie met de juiste sleutel weer worden herleid. Daardoor is de AVG op deze gegevensverwerking van toepassing. Apple treft maatregelen om ervoor te zorgen dat toegang tot de sleutel wordt beperkt, het gehele kaartnummer wordt bijvoorbeeld alleen maar in het apparaat opgeslagen. Apple heeft daar zelf geen toegang toe.

Bedrijven zijn vanuit de AVG verplicht om technische- en organisatorische beveiligingsmaatregelen te treffen bij de verwerking van persoonsgegevens. Maar Apple is niet verplicht om gebruikers te informeren welke dat zijn. Door hier open over te zijn, zorgt Apple voor meer vertrouwen bij de gebruiker en draagvlak voor de dienst.

Studentenkaarten

Uit het Device Privacy Statement blijkt dat een gebruiker ook studentenkaarten kan toevoegen aan de Wallet. Op sommige universiteiten is het mogelijk te betalen met de studentenkaart, bijvoorbeeld voor printjes. Apple vermeldt dat het de foto van de studentenkaart opslaat en aan het iCloud-account toevoegt.

Maar vanuit de AVG mag Apple alleen persoonsgegevens verwerken wanneer die noodzakelijk zijn voor het doel waarvoor ze gegeven werden. Apple mag daarnaast niet meer persoonsgegevens verwerken dan strikt noodzakelijk is. Waarom het toevoegen van de foto aan het iCloud-account precies noodzakelijk is, wordt in de privacyverklaring niet toegelicht. De overige gegevens (nummer studentenkaart, naam en factuuradres voor Apple-account en apparaat informatie) zijn waarschijnlijk al voldoende om de betalingsmogelijkheid te activeren.

Conclusie

Samengevat:

Met Apple Pay is betalen (weer) een stuk eenvoudiger. Daartegenover staat wel dat een techgigant als Apple nog meer persoonlijke data tot zijn beschikking krijgt, wat privacyrisico’s met zich brengt.

Op het gebied van marktwerking zijn er ook risico’s. De toetreding van grote techbedrijven op de Nederlandse betaalmarkt kan invloed hebben op de eerlijke concurrentie. De sterke positie van deze techbedrijven zorgt er mogelijk voor dat kleine bedrijven moeilijk kunnen toetreden tot de betaalmarkt. De Autoriteit Consument & Markt (ACM) is een onderzoek gestart naar de plannen die techbedrijven als Apple hebben op de Nederlandse betaalmarkt en het effect daarvan op concurrentie. Halverwege 2020 worden de resultaten van het onderzoek verwacht.

Tekst:Jacintha van Dorp en Jesse Vermeij (SOLV Advocaten)