GDPR против PSD II

Чтобы начать бизнес в Австрии, вам обязательно нужен счет в Австрийском банке. Защита персональных данных в Австрии регулируется Регламента о защите данных ЕС (2016/679) (GDPR).

 В своем недавнем решении Федеральный административный суд Австрии подтвердил, что кредитная организация нарушила свои обязательства в соответствии со статьей 15 Регламента о защите данных ЕС (2016/679) (GDPR), отказавшись предоставить своим клиентам доступ к информации по конкретным платежным операциям, совершенным в предыдущие пять лет.

Выводы Федерального административного суда Австрии о праве заявителя на информацию

Чтобы разрешить спор с арендодателем, заявителю потребовалось подтверждение об оплате арендной платы управляющим компаниям за предыдущие пять лет. Однако онлайн-система его банка ограничивала его доступ к транзакциям (только последние 12 месяцев). Заявитель запросил у своего банка соответствующую информацию за предыдущие четыре года. Банк предложил предоставить эту информацию за плату в размере около 30 евро в год. 

В ответ заявитель подал запрос на получение информации в соответствии с законодательством о защите данных, просил банк предоставить информацию о его персональных данных, обработанных банком, в частности о переводах, которые он сделал различным управляющим компаниям за последние пять лет. Банк не удовлетворил этот запрос. 

По ходатайству заявителя орган по защите данных постановил решение в пользу заявителя и постановил, что банк:

• нарушил право заявителя на информацию; 
• должен был предоставить информацию в течение двух недель в соответствии со статьей 15 GDPR.

Федеральный административный суд отклонил жалобу банка на решение Управления по защите данных и постановил, что:

• необходимо провести концептуальное различие между обязательствами в отношении информации для потребителей и правом на доступ к персональным данным;
• любое выполнение обязательств банка в отношении информации о клиентах в соответствии с ZaDiG 2018 не может повлечь за собой потерю его клиентом права на доступ к информации в соответствии со статьей 15 GDPR, поскольку эти права существуют бок о бок;
• заявитель может на законных основаниях осуществлять свое право на доступ к своей информации в соответствии с GDPR независимо от того, выполнил ли банк свои обязательства в соответствии с ZaDiG 2018;
• осуществление права на доступ к личной информации не нуждается в обосновании.

Если вы планируете зарегистрировать компанию под финтех в Австрии или предлагать финансовые услуги в Австрии, то выводы в этом деле будут также касаться и вашего бизнеса.

Ключевые выводы

1. Заявитель просил не дубликаты полных выписок со счета, а информацию о конкретных платежных операциях.
2. Значение термина “копия” может не соответствовать разговорному значению оригинального воспроизведения выписки по счету. В соответствии со статьей 15 (3) GDPR, если субъект данных делает запрос с помощью электронных средств, соответствующая информация должна представляться в “широко используемой электронной форме”. Банки могут ограничивать объем информации, предоставляя информацию о платежных операциях для разрешения и урегулирования спора в Австрии только в простой электронной форме (например, в виде электронной таблицы).
3. Статья 15 (4) GDPR предусматривает ограничение контента, где это уместно, так как получение информации не должно “негативно влиять на права и свободы других”. Вместе с этим, предоставление такой информации (даже если она может квалифицироваться как личные данные получателя), скорее всего, не окажет отрицательного влияния на права получателя перевода, поскольку статья 63 GDPR раскрывает Международный номер банковского счета платежного счета получателя и переведенную сумму, чтобы “проверить законность транзакции”.

По мнению банка, статья 15 GDPR не должна толковаться так, чтобы противоречить PSD II и ее набору положений об обязательствах по информированию потребителей или о праве провайдеров платежных услуг взимать плату за дубликаты и более частые предоставления информации.

В настоящее время несколько австрийских банков взимают значительные комиссионные за распечатку выписок по индивидуальным счетам. Будут ли эти сборы квалифицироваться как “разумные сборы, основанные на административных расходах” (GDPR), или “соответствующими фактическим затратам поставщика платежных услуг” (PSD II), еще неизвестно. 

Чтобы учредить компанию в Австрии, закажите консультацию специалиста в сфере финансовых услуг в Австрии.