MiFID II and GDPR: Can’t Live with Them, Can’t Live without Them?

“Data is the new electricity”[1]. Het citaat is origineler dan “Data is the new oil”[2], maar schetst wel evenzeer het belang van gegevens in deze tijd. Ook in de financiële sector is de impact van gegevens, en in het bijzonder persoonsgegevens, fenomenaal.

In deze bijdrage gaan we in op het kruispunt tussen twee wetgevende teksten, de Markets in Financial Instruments Directive II (“MiFID II”) en de General Data Protection Regulation (“GDPR”), die beide een rol spelen bij de verwerking van persoonsgegevens bij het aanbieden van beleggingsdiensten.

MiFID II legt de spelregels op die beleggingsondernemingen moeten volgen bij financiële dienstverlening en is gericht op transparantie en leidt tot een maximalisatie van de inwinning van informatie over de cliënt. GDPR is gericht op de controle van het datasubject (de belegger of de cliënt) over de verwerking van zijn persoonsgegevens en het verstrekken van waarborgen ter bescherming van die gegevens, waaronder gegevensminimalisatie. Het simultaan toepassen van één wetgevend kader dat leidt tot gegevensmaximalisatie en één wetgevend kader dat gericht is op gegevensminimalisatie, lijkt op het eerste gezicht tot een onmogelijke combinatie. Het is niet de bedoeling om een gedetailleerd overzicht te geven van beide wetgevende kaders, noch om alle raakvlakken tussen MiFID II en GDPR exhaustief te schetsen[3]. We bekijken daarentegen welke impact GDPR heeft op de verplichtingen van beleggingsondernemingen en de rechten van beleggers onder MiFID II.

De bijdrage volgt de volgorde van de customer journey van een cliënt van een beleggingsonderneming (deel 2). We beginnen met een bondig overzicht van de achtergrond van beide wetteksten (deel 1).