PSD2 is een Europese richtlijn die regelt dat jij je bankgegevens mag delen met een andere partij dan je bank. Niet dat je bank dat mag doen, maar dat jij dat mag beslissen, en dat je bank het dan moet faciliteren.
Voor jou als rekeninghouder betekent het maar één ding: als je wilt dat een app je saldi en transacties kan zien, mag je bank dat niet tegenhouden. En als je dat niet wilt, verandert er niets.
De twee diensten die het mogelijk maakt
| Dienst | Wat de partij doet | Voorbeeld |
|---|---|---|
| Rekeninginformatiedienst | Leest je saldi en transacties | Een vermogensoverzicht of huishoudboekje |
| Betaalinitiatiedienst | Zet met jouw toestemming een betaling in gang | Een alternatief voor iDEAL bij het afrekenen |
Dit onderscheid is het belangrijkste van dit hele artikel. Een app die je vermogen bijhoudt heeft alleen de eerste nodig. Die tweede, waarmee geld daadwerkelijk in beweging komt, is een aparte dienst met een aparte toestemming.
Wat een app wél kan zien
Bij een rekeninginformatiedienst krijgt de app leestoegang tot de gegevens van je betaalrekening:
- Je saldo
- Je bij- en afschrijvingen, met datum, bedrag en omschrijving
- De tegenrekening en de naam van de tegenpartij
Dat is genoeg om te weten wat je verdient, wat je uitgeeft en waaraan. Het is niet niks, en het is goed om dat scherp te hebben voordat je toestemming geeft.
Wat een app níet kan
Met alleen een rekeninginformatiedienst kan een partij:
- Geen geld overmaken. Niet naar zichzelf, niet naar iemand anders, niet naar jouw eigen andere rekening.
- Geen incasso's instellen of automatische overboekingen aanmaken.
- Niets aan je rekening veranderen. Geen limieten, geen tenaamstelling, geen pas blokkeren of aanvragen.
- Je rekening niet opzeggen.
Leestoegang is precies dat. De verbinding is eenrichtingsverkeer.
Hoe het toezicht werkt
Een partij die je bankgegevens wil uitlezen, heeft daarvoor een vergunning nodig. In Nederland verstrekt De Nederlandsche Bank die vergunningen. De Autoriteit Financiële Markten houdt toezicht op de informatie die zulke dienstverleners geven en op hoe zij met klanten omgaan, en de Autoriteit Persoonsgegevens ziet toe op de verwerking van je gegevens.
Vergunninghouders staan in een openbaar register. In de praktijk hoef je dat zelf niet na te lopen: je bank controleert of een partij een geldige vergunning heeft voordat er ook maar iets wordt gedeeld. Heeft die partij geen vergunning, dan komt de koppeling gewoon niet tot stand.
Toestemming is tijdelijk
Dit is het deel dat de meeste mensen niet weten, en het is precies de bescherming die PSD2 sterk maakt.
Je toestemming loopt af. Een aanbieder van een rekeninginformatiedienst moet je periodiek opnieuw om toegang vragen; volgens De Nederlandsche Bank is dat uiterlijk na 180 dagen. Je zult dus twee keer per jaar opnieuw moeten bevestigen dat je dit nog wilt, en dat is geen mankement maar het ontwerp.
Veel oudere artikelen noemen een termijn van 90 dagen. Die regel is later verruimd voor rekeninginformatiediensten, dus kom je dat getal nog tegen, dan lees je verouderde informatie.
Daarnaast kun je je toestemming op elk moment zelf intrekken bij de partij aan wie je die hebt gegeven. Je hoeft dus niet te wachten tot de termijn afloopt.
Waar je op let voordat je toestemming geeft
- Is het een rekeninginformatiedienst of ook een betaaldienst? Voor een vermogensoverzicht is alleen de eerste nodig.
- Waar staan mijn gegevens? Binnen de EU of daarbuiten, en hoe lang worden ze bewaard.
- Wat gebeurt er met mijn data buiten de dienst zelf? Wordt die geanalyseerd, gedeeld of doorverkocht. Lees hiervoor de privacyverklaring en niet de marketingtekst.
- Hoe trek ik het weer in? Als dat niet vindbaar is in de app, is dat een signaal.
- Kan ik mijn gegevens exporteren en mijn account verwijderen? Dat hoort te kunnen, en zonder e-mailwisseling.
Hoe Gylder het doet
Bankkoppelingen in Gylder zijn alleen-lezen: saldi en transacties worden opgehaald, en er kan geen geld mee worden verplaatst. Je gegevens worden versleuteld opgeslagen op servers binnen de Europese Unie, en je kunt je gegevens exporteren of je account verwijderen wanneer je wilt.
PSD2-koppelingen komen in september 2026 beschikbaar. Tot die tijd voeg je bankrekeningen handmatig toe, worden beleggingen geïmporteerd via een export bij je broker, en lopen crypto-koppelingen via API-sleutels met alleen leesrechten.