IT-Politisk Forening har følgende bemærkninger til lovforlagets § 81 (kontantpligten) og § 124 (behandling af personoplysninger i forbindelse med betalingstjenesten).

Behandling af personoplysninger i forbindelse med betalingstjenesten (§ 124)

Lovforslagets § 124 viderefører principperne i § 85 i den nuværende betalingstjenestelov, således at paragraffen nyaffattes i forhold til det EU-direktiv som lovforslaget implementerer (PSD2-direktivet 2015/2366/EU). Det er meget positivt for beskyttelsen af borgernes privatliv, at principperne fra § 85, stk. 3 kan opretholdes i den nye betalingslov.

Efter IT-Politisk Forenings principielle opfattelse bør borgere, som vælger at betale med elektroniske betalingstjenester (eller elektroniske penge), have samme effektive beskyttelse af deres privatliv som borgere, der betaler med kontanter. Det gælder uanset om de vælger den elektroniske betalingstjeneste frivilligt eller af tvang, fordi kontantpligten er ophævet i det pågældende tidsrum. Denne beskyttelse af privatlivet kunne sikres via tekniske løsninger, såkaldte ”digital cash” løsninger, hvor selve betalingen ikke genererer personoplysninger, og hvor det således er teknisk umuligt at spore betalingen eller sammenkæde to betalinger, ligesom med fysiske kontanter. Men sådanne tekniske løsninger eksisterer ikke på markedet, og lovgivningen mod hvidvask er muligvis til hinder for at de kan udvikles.

En elektronisk betalingstjeneste vil generelt indeholde et persistent kortnummer, kontonummer eller lignende identifikationsnummer, som gør det teknisk muligt at sammenkæde to betalinger, og som gør det muligt at identificere forbrugeren. Butikker kan i princippet bruge kortnummeret til at sammenkæde flere køb og lave pseudonyme profiler af kunder, som med rette forventer at de er anonyme, når de handler i butikken. I august 2015 skrev netmediet Version2, at en dansk supermarkedskæde havde planer om dette [1]. Udbyderen af betalingstjenesten har desuden mulighed for at registrere hvor kunden køber varer og tjenester.

Den eksisterende § 85, stk. 3 beskytter forbrugeren mod denne type overvågning, fordi oplysninger om betalingsinstrumentet kun må bruges til at gennemføre betalingen, og der ikke må ske behandling til andre formål, for eksempel forbrugsovervågning. Efter den gældende lov kan forbrugeren ikke give samtykke til at behandle oplysninger om købet til andre formål, men Erhvervsministeren kan give en dispensation fra § 85, stk. 3. Der er givet dispensationer til visse loyalitetskort knyttet til betalingstjenester, elektroniske kvitteringsløsninger og betalingsoverblik i netbanker.

Disse bestemmelser videreføres i § 124 i den nye lov, idet anvendelsesområderne for de eksisterende dispensationer skrives ind i lovens bemærkninger. Der tillades således behandling til kontooplysningstjenester, som er særskilt reguleret i den nye betalingslov (og PSD2-direktivet), samt rabatprogrammer og elektroniske kvitteringsløsninger, hvor der ikke sker behandling af købsoplysninger til forbrugsprofiler.

Betragtning 89 i PSD2-direktivet kræver, at der indbygges databeskyttelse og databeskyttelse gennem indstillinger (”privacy-by-design”) i alle databehandlingssystemer, der udvikles og anvendes inden for rammerne af direktivet. En forholdsvis elementær privacy-by-design løsning kunne være, at butikken slet ikke under nogen omstændigheder får adgang til det persistente nummer (for eksempel kortnummeret, eller dele heraf) for den elektroniske betalingstjeneste, som tillader sammenkædning af to transaktioner, men alene modtager et transaktionsnummer, som er specifikt for den aktuelle transaktion, og som aldrig ville kunne bruges til sammenkædning af to transaktioner (det ville være et ”digital cash” system i forhold til butikken, men ikke i forhold til udbyderen af betalingstjenesten, som kan identificere forbrugeren).

Hvis der udover gennemførelse af betalingen skal være muligheder for andre funktioner, for eksempel elektroniske købskvitteringer, er det nødvendigt at PoS (point of sale) terminalen genererer et persistent nummer, som kan identificere forbrugeren overfor den tjeneste som modtager de elektroniske kvitteringer fra butikken. Denne afvigelse fra privacy-by-design principperne indebærer en risiko for, at der lækkes information til butikken, som kan misbruges til at opstille pseudonyme forbrugsprofiler, og som butikken muligvis vil mene er anonyme data og uden for persondatalovgivningen.

Der er behov for at beskytte forbrugeren mod den situation, og den foreslåede § 124, stk. 3 sikrer dette (ligesom den eksisterende § 85, stk. 3 i den nuværende betalingstjenestelov). Forbuddet i § 124, stk. 3 mod at behandle betalingsoplysninger, som stammer fra transaktionen, gælder for ”udbydere af betalingstjenester og andre”, dvs. alle parter i transaktionen, inklusiv den butik som modtager betalingen. Det er meget vigtigt, da den primære risiko for opstilling af forbrugsprofiler er i forhold til butikken. IT-Politisk Forening finder det meget positivt, at Erhvervsministeriet ønsker at skabe fuldstændig klarhed om, at forbrugere skal beskyttes mod overvågning af deres købsadfærd, når de bruger elektroniske betalingstjenester.

Lovgivning, der beskytter forbrugerne mod uønsket overvågning, bør naturligvis ikke være til hinder for udvikling af tillægstjenester i forbindelse med betalingen, som forbrugerne selv ønsker baseret på informeret samtykke. Efter IT-Politisk Forenings opfattelse er det afgørende, at disse tillægstjenester er reelt valgfrie, og at forbrugeren altid har mulighed for at sige nej, således at den elektroniske betalingstjeneste alene bruges til at gennemføre en betaling, men at der ikke sker yderligere behandling af personlysninger (udover udbyderens legitime interesse i at forhindre svig, jf. den behandling af personoplysninger som tillades i § 124, stk. 5).

Ifølge lovforslagets § 124, stk. 4 må udbydere af betalingstjenester ikke stille som vilkår for indgåelse af en aftale om brug af en betalingstjeneste, at der kan ske tilknytning af andre funktioner, som indebærer opstilling af forbrugsprofiler, kortlægning af betalers forbrugsmønstre eller anden segmentering. Denne formulering opfylder det rimelige krav om, at forbrugeren altid skal kunne nøjes med at bruge betalingstjenesten til at gennemføre selve betalingen uden at være påtvunget yderligere behandling af personoplysninger.

IT-Politisk Forening skal i den forbindelse bemærke, at artikel 7, stk. 4 i persondataforordningen (forordning 2016/679/EU), der træder i kraft 25. maj 2018, på tilsvarende vis søger at forhindre, at opfyldelse af en kontrakt eller tjenesteydelse gøres betinget af behandling af personoplysninger, som ikke er nødvendige for opfyldelse af denne kontrakt. Det er imidlertid meget positivt, at forbuddet mod at kræve behandling af personoplysninger som ikke er nødvendige for selve betalingstjenesten, fremgår direkte af betalingsloven. Det sikrer juridisk klarhed for alle parter, og ikke mindst for forbrugerne.

I bemærkninger til § 124, stk. 4 står der at ”det i denne sammenhæng er underordnet om den tilknyttede funktion og betalingsfunktionen udgør klart adskilte og uafhængige funktioner”. Den formulering giver efter vores opfattelse anledning til en vis forvirring. Som vi læser bemærkningerne til § 124, stk. 3 og § 124, stk. 4 skal der være tale om klart adskilte og uafhængige funktioner for at komme ud over § 124, stk. 3, hvor kortlægning af forbrugsmønstre slet ikke tillades.

Når købsoplysninger med samtykke kan anvendes til kortlægning af forbrugsmønstre, er det efter IT-Politisk Forenings opfattelse vigtigt, at der teknisk set er tale om klart adskilte funktioner, således at forbrugeren har mulighed for at trække sit samtykke tilbage midlertidigt i en konkret købssituation, hvor forbrugeren ikke ønsker at netop dette køb bliver registreret. Det kan være et separat ”swipe” mod PoS-terminalen for et klassisk betalingskort eller en betalingsapp, hvor det i en softwareindstilling er muligt at fravælge den yderligere behandling af købsoplysninger i forbindelse med betalingstransaktionen, således at betalingsapp'en i det konkrete tilfælde kun bruges til at gennemføre betalingen.

Brug af købsoplysninger til funktioner under § 124, stk. 3, for eksempel elektroniske kvitteringsløsninger eller generelle rabatprogrammer, vil kræve samtykke, jf. § 124, stk. 2 og bemærkningerne til § 124, stk. 3 (side 385 nederst). Da der er tale om en behandling af personoplysninger, som ikke er nødvendig for at levere selve betalingstjenesten, vil persondataforordningens artikel 7, stk. 4 fra 25. maj 2018 reelt kræve, at samtykket til de i § 124, stk. 3 omtalte funktioner ikke er en betingelse for et samtykke til betalingstjenesten (ligesom situationen i § 124, stk. 4, hvor dette krav dog gælder allerede fra betalingslovens ikrafttræden).

Kontantpligten (§ 81)

Erhvervsministeriet foreslår en lempelse af den nuværende forpligtelse i betalingstjenestelovens § 56 til at modtage kontanter i fysisk handel, således at denne pligt ikke gælder i tidsrummet fra kl. 22 til 06. Erhvervsministeren kan dog fastsætte regler om, at bestemte betalingsmodtagere skal modtage kontanter også i dette tidsrum. Bemærkningerne nævner udbydere af sundhedstjenester, hvor købet ikke kan udskydes af helbredsmæssige årsager. Formålet med denne begrænsning af kontantpligten er at nedbringe risikoen for røverier.

IT-Politisk Forening vil anbefale, at den nuværende pligt til at modtage kontanter opretholdes, når der er tale om fysiske i butikker i detailhandelen, som henvender sig til den brede offentlighed. Vores begrundelse for denne anbefaling er som følger.

For det første er der borgere, som ønsker at betale kontant af forskellige hensyn, blandt andet deres privatliv. Elektroniske betalingsmidler indebærer i større eller mindre grad en registrering af borgernes køb af varer og tjenester. Selvom § 124 i lov om betalinger begrænser muligheden for at behandle disse personoplysninger til andre formål, er der ikke tale om en teknisk sikring mod misbrug via et ”digital cash” system, hvor en privacy-by-design løsning sikrer effektivt og fuldstændigt mod misbrug, herunder overvågning af borgeren (et eksempel på misbrug til overvågning er ”Se og Hør-sagen”). Det er kun en juridisk sikring, som ikke alle borgere nødvendigvis vil have tillid til. Lovens § 124 beskytter heller ikke borgerne mod at staten får adgang til oplysninger om deres betalinger med eller uden dommerkendelse.

For det andet er der andre, og mere effektive, metoder til at sikre sig mod røverier end at begrænse muligheden for kontant betaling. Hvis der er risiko for røverier kl. 22:01, er der formentlig en næsten tilsvarende risiko for røverier kl. 21:55, hvor kontantpligten består. Butiksejerne kan løse dette problem ved at investere i lukkede kasseterminaler, som er sikret mod røverier (hvilket mange butikker allerede har gjort). Når de sikrede lukkede kassesystemer først er anskaffet, kan de lige så godt bruges hele døgnet. Derfor har vi meget svært ved at se, at risikoen for røverier skulle udgøre et argument for at begrænse kontantpligten i tidsrummet efter kl. 22.

For det tredje frygter vi, at afskaffelsen af kontantpligten efter kl. 22 er en glidebane mod en fuldstændig afskaffelse af kontantpligten. Sålænge det kun er i tidsrummet kl. 22-06, er der tale om en begrænset ulempe for de borgere, som ønsker at betale kontant, eller som alene har mulighed for at betale kontant, fordi de ikke har adgang til de krævede elektroniske betalingstjenester. Men i forhold til risikoen for røverier, og udgifterne ved at håndtere kontanter, vil en afskaffelse af kontantpligten i tidsrummet kl. 22-06 næppe gøre nogen reel forskel. Derfor vil der formentlig ret hurtigt komme et pres mod en yderligere lempelse af kontantpligten.

For det fjerde tager lovforslaget ikke stilling til hvordan betaler og betalingsmodtager juridisk skal forholde sig, hvis det af tekniske grunde eller andre grunde ikke er muligt at gennemføre en elektronisk betaling. I dag er danske pengesedler og mønter eneste lovlige betalingsmiddel i Danmark, dvs. fordringshaver kan betinge sig betaling med dette betalingsmiddel, og skyldneren kan frigøre sig fra sin forpligtelse ved at erlægge dette betalingsmiddel. Skyldneren kan på forhånd sikre sig, at han eller hun har kontanter til købet ved en simpel optælling af sedler og mønter. Men det samme er ikke tilfældet, hvis betalingsforpligtelsen efter aftale kun kan opfyldes med en eller flere elektroniske betalingstjenester. Tekniske problemer som IT-nedbrud hos Nets, eller en defekt chip på et betalingskort, kan betyde at betalingen ikke kan gennemføres. Hvad der skal ske i denne situation er uklart efter lovforslaget. Varer i en kiosk kan selvfølgelig lægges tilbage på hylderne, men der kan også være tale om at borgeren (forbrugeren) har konsumeret varen, for eksempel i en bar eller på en restaurant, hvor der ofte ydes en vis kortvarig kredit.

Det vil være urimeligt, hvis borgeren i den situation misligholder sin betalingsforpligtelse med risiko for juridiske konsekvenser til følge, fordi betalingen ikke kan gennemføres af tekniske årsager (enten systemnedbrud eller defekt betalingskort), og betalingsmodtageren nægter at modtage kontanter for at frigøre skyldneren fra betalingsforpligtelsen. Der vil også være nogle borgere, som ved gennemførelsen af betalingen ikke er i besiddelse af den elektroniske betalingstjeneste som butikken insisterer på, fordi de har overset eller misforstået skiltningen i butikken om at der for eksempel kun accepteres MasterCard Debit og ikke MobilePay (eller omvendt).

For det femte vil en afskaffelse af kontantpligten for nogle borgere helt fratage dem muligheden for at købe varer, herunder dagligvarer og andre livsfornødenheder i det pågældende tidsrum. Bankerne har efter de gældende aftaler om en basal indlånskonto (jf. websiden basalindlånskonto.dk) kun pligt til at tilbyde kunderne en konto med hævekort, som kan bruges til at hæve kontanter. Der er ikke en pligt for bankerne til at tilbyde alle kunder et gebyrfrit betalingskort, som kan bruges i alle butikker i det tidsrum, hvor kontantpligten er afskaffet. Der vil også være visse grupper af borgere, for eksempel hjemløse eller udenlandske besøgende, som har vanskeligt ved at opfylde de dokumentationskrav, som er nødvendige for at få et betalingskort via en bank, enten i Danmark eller udlandet.

Noter

[1] Dansk Supermarked vil datamine hash-værdien på din Føtex-kvittering, netmediet Version2, 7. august 2015
https://www.version2.dk/artikel/dansk-supermarked-vil-datamine-hash-vaerdien-paa-din-foetex-kvittering-310405