De rechtbank Amsterdam heeft geoordeeld dat ING inzage moet geven in de overeenkomsten die zij met Google heeft gesloten over het aanbieden van Google Pay aan consumenten. De Consumentenbond en Stichting Benadeelden in Actie (SBIA) hadden deze informatie opgevraagd om te kunnen beoordelen of de verwerking van persoonsgegevens bij contactloos betalen via Google Pay voldoet aan de AVG. De rechtbank wijst dat verzoek gedeeltelijk toe en geeft daarbij belangrijke oordelen over gezamenlijke verwerkingsverantwoordelijkheid, de zorgplicht van banken en het inzagerecht.
Volgens de rechtbank zijn ING en Google gezamenlijk verwerkingsverantwoordelijk voor de verwerking van persoonsgegevens die nodig zijn om contactloos betalen via Google Pay mogelijk te maken. Daarbij gaat het niet alleen om de activering van de digitale betaalkaart (de token), maar ook om persoonsgegevens zoals naam, adres, telefoonnummer en betaalgegevens die tussen beide partijen worden uitgewisseld. De rechtbank verwerpt daarmee het standpunt van ING dat de gezamenlijke verantwoordelijkheid zich slechts uitstrekt tot een beperkt deel van de verwerking.
De rechtbank wijst erop dat Google Pay is gekoppeld aan een Google-account en dat Google naast de noodzakelijke betaalgegevens ook een overzicht van transacties bijhoudt. Juist omdat het om zeer privacygevoelige persoonsgegevens gaat, kan volgens de rechtbank uit de bancaire zorgplicht voortvloeien dat ING contractuele waarborgen moet afspreken om te voorkomen dat Google deze gegevens voor andere doeleinden gebruikt, zoals advertentieprofilering.
Om die reden hebben de Consumentenbond en SBIA volgens de rechtbank een voldoende rechtmatig belang bij inzage in de overeenkomsten tussen ING en Google. Alleen door die afspraken te bestuderen kunnen zij beoordelen of de samenwerking voldoet aan de verplichtingen uit artikel 26 AVG voor gezamenlijke verwerkingsverantwoordelijken en of een eventuele collectieve procedure kans van slagen heeft. Dat de overeenkomsten vertrouwelijk zijn, staat volgens de rechtbank niet aan inzage in de weg. Wel mogen bedrijfsgevoelige onderdelen onleesbaar worden gemaakt.
Niet alle gevraagde documenten hoeven echter te worden verstrekt. De rechtbank wijst de verzoeken om interne besluitvorming, onderzoeksdocumenten, correspondentie tussen ING en Google en een eventuele DORA-analyse af. Deze stukken dienden volgens de rechtbank slechts ter voorbereiding van de samenwerking en bepalen niet de rechtspositie van consumenten. Bovendien is niet gebleken dat ING beschikt over specifieke DORA-documentatie met betrekking tot Google Pay.
