PSD2: la directiva europea de servicios de pago, ¿es compatible con el RGPD?

La evolución natural del sector bancario y la llegada del “openbanking”, consistente en la apertura por parte de las entidades financieras de la información de sus clientes a terceros proveedores de servicios de pago o TPPs (Third Party Providers), para que estos últimos puedan prestarles sus servicios, ha supuesto, lógicamente, la creación de este marco regulatorio.

Entre otras novedades introducidas por la Directiva, se encuentra precisamente la obligación de las entidades bancarias de facilitar a los TPPs el acceso a través de APIs a sus servicios de pago y a las cuentas de sus clientes (previo consentimiento del titular), imprescindible para que puedan ofrecer sus servicios.

Cabe destacar entre sus principales objetivos:

• Mejorar la seguridad de los pagos electrónicos online para proteger a los consumidores.

• Reforzar la protección frente a fraudes en operaciones bancarias realizadas a través de internet.

• Liberalizar el sector.

En definitiva, contribuye entre otras cosas, al desarrollo de un mercado único de pagos en la Unión Europea, mediando en la relación entre consumidores, productos y servicios financieros disponibles.

Convivencia del RGPD y la aplicación de la PSD2.

Si bien, como ya sabemos la PSD2 debe interpretarse conforme lo dispuesto en el RGPD, la interacción de ambas normas ha generado incertidumbre ya que tanto una como otra contienen disposiciones relativas a la protección y seguridad de datos personales, llegando incluso muchas empresas al pensamiento equivocado de que la aplicación de la PSD2 conlleva un incumplimiento del RGPD y su respectiva sanción.

Por ello, la elección entre una u otra es una idea errónea, ya que lo que se debe garantizar es que los requisitos de ambas normativas estén coordinados y complementados.

El Comité Europeo de Protección de Datos adoptó una Guía sobre la interacción de la PSD2 y el RGPD, con el objetivo precisamente de resolver tales dudas, centrada en los tratamientos realizados por los servicios de iniciación de pagos (PIS) y los servicios de información de cuenta (AIS).

El Comité establece que la base legal para los tratamientos llevados a cabo en el ámbito de la PSD2 es la ejecución de un contrato, quedando cubiertos los tratamientos estrictamente esenciales. En el mismo sentido, si a través de un único contrato se pretenden prestar varios servicios que exigen diferentes tratamientos, cada uno debe especificarse de manera clara y separada.

Con lo cuál, las PIS y AIS sólo pueden usar, acceder y almacenar los datos personales estrictamente necesarios para la prestación de los servicios expresamente solicitados (lo que en el marco del RGPD conocemos como el principio de minimización de datos y limitación de la finalidad), pudiendo excepcionalmente, tratar datos personales para fines distintos de aquellos para los que fueron inicialmente recabados:

• Cuando lo permita el Derecho de la Unión o de un Estado miembro

• Cuando medie el consentimiento de los interesados, y siempre que el responsable sea capaz de probar que estos pueden retirarlo en cualquier momento.

Consentimiento en la PSD2 y en el RGPD

Es importante la distinción que se realiza entre la expresión “consentimiento expreso” contemplado tanto en la PSD2 como en el RGPD.

En ningún caso debe confundirse el consentimiento de la PSD2 con el del RGPD, ya que el primero, no puede ser entendido como una base adicional en el sentido del RGPD, sino como un requisito de naturaleza contractual, es decir, en el contrato que constituya la base para el tratamiento ha de recabarse el consentimiento del usuario, de modo que desde el principio este conozca su alcance y los fines perseguidos. Pero este consentimiento no será la base para realizar el tratamiento de sus datos personales.

Terceros “inactivos” o “Silent Party”

Por otro lado, debemos tener en cuenta los datos de las personas que están involucradas en el proceso de los servicios de pago pero que no son los usuarios de los mismos, como sucede en el caso de los receptores de transferencias o cuando utilizamos servicios de agregación de cuentas y un tercero realiza transferencias con nosotros como usuarios. Estos son conocidos como terceros inactivos o “Silent Party”.

Los datos de estos terceros son tratados por los AISPs y PISPs (sus datos también forman parte de los datos tratados por el proveedor del servicio), siendo la base legitimadora del tratamiento el interés legítimo del responsable del tratamiento o del intermediario financiero que corresponda, así como, en su caso, el cumplimiento de sus obligaciones legales.

No podrán utilizarse sus datos para fines distintos de aquellos para los que fueron inicialmente recogidos, salvo cuando lo permita el Derecho de la Unión o Estado Miembro, o cuando medie consentimiento del interesado.

Actividades de perfilado y datos sensibles

En muchas ocasiones, puede llegar a circular información financiera con datos especialmente sensibles, como pueden ser, a modo de ejemplo, las donaciones realizadas por titulares de cuentas bancarias a fundaciones u organizaciones religiosas.

Las actividades de perfilado (que pueden llevar a cabo los AISPs) pueden revelar este tipo de datos especialmente sensibles como son las ideologías o convicciones políticas o religiosas, así como datos sanitarios o de orientación sexual de los usuarios.

Estas actividades quedan fuera del ámbito de aplicación de la PSD2, siendo aplicable lo dispuesto en el RGPD, por lo que será necesario el consentimiento del interesado o el cumplimiento de obligaciones en favor del interés público, en tanto que la Directiva restringe el tratamiento a lo exclusivamente relacionado con el servicio que se proporciona.

Por ello, es imprescindible destacar que el tratamiento de datos sensibles está sujeto exclusivamente a razones de interés público esencial sobre la base del Derecho de la Unión o de los Estados miembros o si el interesado dio su consentimiento. En caso de no existir tales excepciones o circunstancias, el responsable o proveedores de servicios de pago deberán implementar las medidas técnicas, organizativas y de seguridad oportunas para impedir el tratamiento de datos sensibles.

Por último, en relación al artículo 5 del RGPD, la Guía concluye recordándonos que:

• La protección de los datos debe realizarse en todo caso desde el diseño.

• Se deben adoptar las medidas técnicas y organizativas que permitan garantizar la minimización de los datos.

• Deben implementarse límites a los periodos de retención de los datos personales.

• Se debe garantizar la seguridad de los datos de los interesados adoptando unas medidas adecuadas y elevadas de protección, estableciendo mecanismos de autenticación y restricción de accesos.

• En relación con el principio de transparencia, el responsable puede servirse de mecanismos adicionales, como tablones de privacidad, para informar a través de diferentes capas.

En definitiva, deben prevalecer los principios contenidos en el RGPD a la hora de cumplir con lo dispuesto en la PSD2, examinando y valorando por separado las coincidencias de ambos textos en su contexto, siendo el objetivo principal la transparencia en la relación con los usuarios y la protección de sus datos personales.

Guillermo Caro

Abogado, especialista en Nuevas Tecnologías

gcaro@binauramonlex.com