Zoek op Google naar ‘PSD2’ en je krijgt op de eerste pagina géén links naar kritische berichtgeving over de nieuwe ‘Payment Services Directive’. Dat is ook niet zo vreemd. Want Google zou zo maar eens een van de spelers kunnen zijn die straks baat heeft bij de nieuwe internationale regels voor financiële transacties. Big tech zit in de haarvaten van ons leven en banken verliezen in hoog tempo hun relevantie – ja, ook als ‘trusted partner’ voor onze financiën. PSD2 wordt een groot probleem voor banken én een enorme valkuil voor consumenten.
Waar een paar jaar geleden fintech nog werd gezien als ‘disruptief gevaar’ voor de traditionele grootbanken, proberen diezelfde banken nu de fintechs te omarmen. Dit vanuit de overtuiging dat de consument geld en data nog steeds bij voorkeur toevertrouwt aan de bank. En dat fintechs afhankelijk zijn van banken omdat die voorlopig – dankzij dat vertrouwen – als enige beschikken over grote volumes aan klanten en data.
Maar dat beeld is aan het kantelen. Onderzoek van adviesbureau Bain & Company onder 152.000 consumenten, waarvan 2.500 in Nederland, laat zien dat consumenten de bank steeds minder beschouwen als een vanzelfsprekende partner voor hun geldzaken. En dat voor steeds meer mensen ook big tech een logische financiële dienstverlener zou kunnen zijn. Zelfs ING-ceo Ralph Hamers onderkent inmiddels dat de echte rivalen van de bank uit de hoek van big tech komen: bedrijven zoals Google, Amazon, PayPal en Alibaba.
Techbedrijf als bank
De uitspraak van ING-ceo Hamers staat in een artikel in het FD, waarin wordt gesteld dat meer dan de helft van de consumenten wereldwijd zijn geld eerder aan een techbedrijf zou toevertrouwen dan aan een bank. In Nederland geeft twee derde van de consumenten in de leeftijd tussen 18 en 34 jaar aan bereid te zijn om te bankieren bij een gevestigd techbedrijf. In de VS is dat al 80%. Meer dan 95% van de Chinezen gebruikt niet-bancaire aanbieders voor het doen van betalingen aan platforms van derden, zoals WeChat, aldus het FD.
Het is de vraag hoe lang traditionele banken nog bestaansrecht kunnen ontlenen aan hun positie als ‘trusted partner’ van consumenten. Als dat vertrouwen echt zo belangrijk zou zijn, zou de bankencrisis van 2008 op z’n minst tot een exodus van klanten moeten hebben geleid. ING speelde ooit met het idee om persoonlijke financiële data te verkopen aan derden. Of een bank nu fikse salarisverhogingen voor de top aankondigt of megaboetes krijgt opgelegd wegens rammelende governance: de klant haalt zijn schouders op. Dat geldt ook voor de bestuurscrisis bij ABN AMRO en voor de Libor-affaire bij de Rabobank.
Met PSD2 van geld naar data
PSD2 kan gezien worden als het fundament onder een ‘paradigma shift’ voor de financiële sector: de nieuwe regels gaan meer over data dan over geld. PSD2 is om verschillende redenen ook een zwak fundament: goud en cash geld worden op dit moment beter beschermd dan data. Die onbalans is maar mondjesmaat tot de consument doorgedrongen. Wat je met geld kunt kopen, is interessanter dan de discussie hoe je je geld veilig moet opbergen zodat je het niet kwijtraakt. In het geval van data speelt een vergelijkbaar probleem: privacy wordt beschouwd als saai, maar de apps die op data draaien verrijken ons dagelijks leven. Het gevolg is dat PSD2 ongelijke tred houdt met het gedrag van consumenten, bedrijven en overheden als het gaat om ‘data als persoonlijk bezit’.
Net als bij banken hebben consumenten ook bij techbedrijven een beperkt beeld van hun rechten en plichten, maar zien dan niet als probleem. Het verschil met banken is dat techbedrijven veel dieper in de haarvaten van het leven van consumenten zijn doorgedrongen. Consumenten omarmen nieuwe technologie en handige apps vaak in korte tijd. Daarbij heeft vertrouwen plaatsgemaakt voor functionaliteit (relevantie en gemak) en beschikbaarheid (storingsvrij bruikbaar): hét recept voor een succesvolle app. Als consumenten al nadenken over data en privacy, is hun gedrag vaak niet in lijn met het gedrag dat ze vertonen.
Vertrouwen wordt ingewisseld voor gemak
Wat de consequenties zijn van het gebruik van online diensten (platforms, apps, software) is slecht zichtbaar en wordt zelden gevoeld. Het is voor consumenten nauwelijks na te gaan welke data je eigenlijk deelt, met welke partijen je die deelt, wat hun belangen zijn en wat deze partijen met die data kunnen doen. Bij het nemen van beslissingen over het delen van data gaan consumenten primair uit van het ‘hier en nu’. Ze houden zelden rekening met een toekomst waarin omstandigheden veranderen. Het nemen van beslissingen over datadelen (zoals ‘ja, ik accepteer de voorwaarden’) wordt bovendien versneld door direct merkbare voordelen die in het vooruitzicht worden gesteld – bijvoorbeeld toegang tot (vernieuwde) software.
Ook datalekken (die in volume jaarlijks toenemen) leiden nauwelijks tot andere keuzes van consumenten. In 2016 werd Uber gehackt en kwamen wereldwijd de gegevens van 57 miljoen gebruikers in handen van de hackers. Het ging om namen, e-mailadressen en telefoonnummers. In Nederland werden zo’n 174.000 klanten en chauffeurs getroffen. Uber, dat binnenkort naar de beurs wil, kreeg in verschillende landen boetes opgelegd. In Nederland was het zelfs het allereerste bedrijf dat door de AP beboet werd voor het te laat melden van een datalek. Toch meldt Uber kwartaal op kwartaal een stijgend volume aan ritten en bezorgdiensten.
Datalekken hebben nauwelijks impact
Het een versterkt het ander. Dat klanten minder zwaar tillen aan privacy en databescherming heeft ook gevolgen voor de wijze waarop bedrijven en hun beleggers met deze uitdagingen omgaan. Een longitudinale studie naar de aandelenkoers van bedrijven die te maken hebben gehad met omvangrijke (en openbaar gemaakte) datalekken laat zien dat de beurswaarde hoogstens op de langere termijn licht negatief beïnvloedt. Let wel, het gaat hierbij om aan de NYSE-genoteerde bedrijven die consumenten zien als geschikte partners voor hun dagelijkse leven en al hun data, zoals: Apple, Adobe, Dun & Bradstreet, eBay, Experian, JP Morgan Chase, LinkedIn, Monster, T-Mobile, Sony, Staples, Target, Vodafone en Yahoo.
Data makes the world go round
Data is het nieuwe goud en PSD2 is voor de financiële sector het kader om dat goud te gaan delven: “Het doel van PSD2 is meer concurrentie, meer innovatie, een betere consumentenbescherming en meer veiligheid in het Europese betalingsverkeer. PSD2 maakt nieuwe diensten mogelijk,” aldus de voorlichting van toezichthouder DNB.
Op papier lijken de regels voor PSD2 helder: de klant geeft zelf toestemming voor het beschikbaar stellen van de eigen financiële data, steeds opnieuw voor iedere partij. Die partijen moeten beschikken over een vergunning van de DNB of een andere toezichthouder uit de Europese Unie. Consumenten moeten duidelijk kunnen zien en beheren welke partijen toegang heeft tot welke gegevens. Het geven van toestemming moet vrij zijn, dus een weigering mag geen nadeel opleveren. En de manier waarop die toestemming gegeven wordt, moet duidelijk zichtbaar zijn en neerkomen op een duidelijke actieve handeling. En tot slot: consumenten moeten de toestemming weer makkelijk kunnen intrekken.
Ontwerpfout in PSD2
Deze set van regels wekt de indruk dat de consument over zijn of haar eigen data gaat. Maar onderzoek van Platform voor onderzoeksjournalistiek Investico voor De Groene Amsterdammer en Follow the Money toont aan dat ook als klanten daarvoor géén toestemming geven, rekeninginformatie toch in handen kan komen van bedrijven die handelen in financiële data. Met andere woorden, PSD2 is lek.
De bedrijven die straks met PSD2 gaan werken, erkennen die tekortkoming in PSD2. Denk aan een instelling die aan zijn eigen bank toestemming geeft om de eigen data te delen, met als doel om het gebruik van een online financieel huishoudboekje mogelijk te maken. De data in dat huishoudboekje – transacties van de instelling – bevatten ook gegevens van relaties of klanten van die instelling. Ook al hebben die afzonderlijke klanten geen toestemming gegeven om hun data te delen, hun transacties met de instelling zijn dan bekend bij de leverancier van het huishoudboekje. Kortom, consumenten hebben bij hun ja of nee geen invloed op wat derden doen met gegevenssets waarin hun data voorkomen. Het is de vraag of de ontwerpers van PSD2 rekening hebben gehouden met partijen die data uit verschillende sets gaan combineren. Want daarmee kan alsnog een zo goed als volledig beeld van individuele consumenten worden opgebouwd.
Zorgen om PSD2
Verschillende partijen maken zich ernstig zorgen om de invoering van PSD2. Marleen Stikker van Waag Society in een tweet: “(…) Een transactie heeft altijd twee kanten. De ‘Consent-clausule’ is een wassen neus als de andere kant besluit data te delen. Zo een no-brainer dat het onbegrijpelijk is dat dit juridisch geaccordeerd is en door banken uitgevoerd.”
De juristen van adviesbureau ICTRecht vragen zich vooral af waarom het toezicht op PSD2 niet bij De Nederlandse Bank belegd is, maar bij de Autoriteit Persoonsgegevens (AP) en hoe de AP effectief gaat handhaven. Hoewel overwegend neutraal over PSD2, spreekt ook de Consumentenbond zijn zorgen uit over wat er gebeurt als bedrijven zaken doen met dienstverleners uit landen die niet onder de PSD2-regelgeving vallen. Daarnaast lijkt de ontwerpfout in PSD2 ook te conflicteren met de Algemene Verordening Gegevensbescherming. Of het allemaal veel uitmaakt, is de vraag. In een eerder artikel over privacy en persoonlijke data vroeg ik me af: “Hoe overtuig je de klant dat zijn/haar data bij jouw bedrijf in goede handen zijn?” Welnu, daar hoef je als bedrijf eigenlijk nauwelijks moeite voor te doen of je druk over te maken. Wacht maar af: met een goede app is iedereen te verleiden.
Wat heeft Rutte II bereikt als het gaat om de digitale overheid? Rutte III zit nog maar net in het zadel, maar begint met een achterstand. Vlak voor het aantreden van het nieuwe kabinet heeft minister Plasterk netjes opgeschreven hoe de digitale overheid er voor staat. De conclusie: nog steeds heeft de overheid zijn zaakjes niet goed voor elkaar als het gaat om digitalisering. Ambities voor de toekomst worden herhaaldelijk naar beneden bijgesteld, doelen niet worden gehaald, en het achterstallig onderhoud wordt steeds zichtbaarder.
Om die verbeterde bereikbaarheid van gemeenten te realiseren werd in 2007 onder andere het programma Antwoord opgetuigd. Het idee was dat in 2015 alle gemeenten hun klantcontactorganisatie op orde zouden moeten hebben: balie, telefonie en web moeten dan op uniforme wijze georganiseerd en geïntegreerd zijn en op consistente wijze informatie bieden aan de burger. Dat leidde overal in het land tot het opzetten van gemeentelijke callcenters. Amsterdam was een van de koplopers: 
De net iets meer dan een miljard gebruikers van Facebook leveren het bedrijf van Zuckerberg een 
Wanneer je vandaag de dag een nieuwe auto koopt, is het verstandig het koopcontract goed door te nemen. Niet alleen omdat daar is staat wat er onder de garantie valt, maar ook om te weten wat er bij de auto wordt geleverd. Je zult misschien geen reservewiel aantreffen, maar wel een heel pakket aan software – voor motormanagement, het monitoren van technische systemen en onderdelen en voor communicatie met de autofabrikant. Auto’s zijn computers op wielen. Ze worden geleverd met een IP-adres en een verzameling apps.
Die onzichtbaarheid zorgt ook voor onverschilligheid, maar die wordt ook gevoed door de toenemende complexiteit. Voor een normaal mens is het al ingewikkeld om 
geïntroduceerde verzekering ‘veilig rijden’ krijgt de verzekerde een ‘stick’ die op de 
onderdelen: de rijsnelheid, de manier van optrekken en remmen en de wijze waarop bochten worden genomen. De rijstijl wordt herleidt tot een korting (of malus) op de premie; ook het tijdstip waarop je rijdt is mede bepalend voor de premiehoogte. Om gerichte feedback te kunnen geven op het onderdeel snelheid, moet de snelheidslimiet bekend zijn van de weg waarop de verzekerde rijdt. Daarom zit er ook een GPS-module in de dongel die de locatiegegevens levert. Daarnaast zal er ook een accelerometer in de dongel aanwezig moeten zijn – nodig om versnelling te kunnen waarnemen. Of met alle hardware en software veilig rijden kan worden gemonitord is de vraag; een noodstop maken voor een plotseling overstekend kind lijkt me noodzakelijk, maar veilig is het niet.
De connected car roept uiteraard privacy-vragen op, maar in het geval van de connected car ontstaat een nieuw probleem. Privacy is een individueel en persoonsgebonden fenomeen, zo benadrukt ook 
“Organisaties zijn gebaseerd op de principes van de tweede industriële revolutie: centralisatie en standaardisatie. In de digitale revolutie ontstaan niet alleen nieuwe diensten en producten, maar gaan organisaties en zelfs sectoren op de schop, kijk naar energiebedrijven. Transformatie vindt overal plaats, dus ook bij de gemeente.” Ook de gemeente heeft sterk met deze disruptie te maken, aldus Baron: “We worden nog niet weggeconcurreerd, maar Google investeert in z’n labs met het idee dat ze beter overheid kunnen spelen dan de overheid zelf. En goed voorbeeld hiervan is het bedrijf Sidewalk Labs. Verkeersmanagement was een overheidstaak, maar TomTom en Google vullen op dat vlak een deel van de gemeentelijke taken in.”
De stad Amsterdam piept en kraakt – schaarste is een van de meest belangrijke problemen, iets wat je terugziet in een zwaarbelaste openbare ruimte. Het afval wordt bijvoorbeeld opgehaald volgens vaststaande rijschema’s; volle containers en zwerfafval kan je 
Net als in oudere bedrijven heeft ook gemeente Amsterdam te maken met legacy – de last van verouderde systemen die niet zo maar vervangen kunnen worden – te groot, te duur, te complex. Die legacy kan innovatie, vernieuwing en wendbaarheid in de weg zitten en steeds meer organisatie die dit probleem ervaren kiezen er voor om innovaties buiten de organisatie op te zetten. “We voeren klassieke innovatieprojecten uit, denk aan de ontwikkeling van gepersonaliseerde gezondheidszorg. We hebben ook een categorie innovaties die direct gelinkt zijn aan problemen, bijvoorbeeld overlast in een uitgaansgebied. De derde is de radicale innovatie, waarbij we de kans krijgen en nemen om de gemeente opnieuw te ontwerpen. We doen dat onder meer op het vlak van dienstverlening en nog een aantal andere thema’s.” Daarbij grijpt Amsterdam terug op design thinking: terug redenerend vanuit business outcomes of verwachtingen van burgers naar een ontwerp. De gemeente subsidieert nu wasmachines voor minima, maar misschien moet je wel inzetten op de behoefte aan schone kleding en kan je dat oplossen met een gedeelde machine, aldus Baron.
