Bijna elke PSD2-koppeling die wij overnemen, kan toestemming netjes ophalen. Ongeveer de helft kan die toestemming niet fatsoenlijk intrekken.
Dat is begrijpelijk. Het aanvragen van consent is het leuke deel: er zit een gebruikersstroom omheen, er is een resultaat, en het staat in de demo. Intrekken is het saaie deel dat pas maanden later relevant wordt — en dan meteen ongemakkelijk is.
Wat er precies moet gebeuren
Een intrekking raakt minstens drie plekken tegelijk: de AIS-provider, je eigen opslag, en alles wat je van de opgehaalde gegevens hebt afgeleid. Die laatste wordt het vaakst vergeten. Als je uit rekeningmutaties een risicoprofiel hebt opgebouwd, is dat profiel ook een verwerking van die gegevens.
- Trek het consent in bij de provider, en leg het antwoord vast — ook als het misgaat.
- Stop lopende synchronisaties, inclusief taken die al in de wachtrij staan.
- Verwijder of anonimiseer de opgehaalde gegevens volgens je eigen bewaartermijn.
- Bepaal wat er met afgeleide gegevens gebeurt, en leg die keuze schriftelijk vast.
- Bewaar het bewijs dát je hebt ingetrokken — dat is precies wat een toezichthouder opvraagt.
De 90-dagenval
Consent onder PSD2 verloopt. Veel implementaties gaan ervan uit dat een gebruiker vóór de vervaldatum verlengt, en doen niets als dat niet gebeurt. Het gevolg is een koppeling die stilletjes stopt met verversen terwijl het dashboard vrolijk oude cijfers blijft tonen.
Behandel een verlopen consent daarom als een storing, niet als een randgeval: zichtbaar in de interface, met een melding aan de gebruiker en een teller op je monitoring.