ING moet overeenkomsten met Google over gegevensverwerking bij Google Pay verstrekken

Rb. Amsterdam 16 juli 2026, IT 5386; ECLI:NL:RBAMS:2026:7300 (Consumentenbond en SBIA tegen ING). ING schafte op 17 september 2024 haar eigen app voor contactloos betalen met een Android-telefoon af en biedt deze mogelijkheid sindsdien uitsluitend aan via Google Pay. Bij de activering deelt ING onder meer de naam, het adres en het telefoonnummer van de rekeninghouder met Google. Bij het verrichten van betalingen worden ook de datum, het tijdstip en het bedrag van de betaling en de naam en locatie van de winkel gedeeld. De Consumentenbond en Stichting Benadeelden in Actie (SBIA) maken zich zorgen over de rechtmatigheid van deze gegevensverwerking en verzoeken op grond van de artikelen 194 en 195 Rv om inzage in onder meer de overeenkomsten tussen ING en Google, interne besluitvorming en correspondentie, onderzoeksgegevens en eventuele DORA-documentatie. De rechtbank wijst het verzoek tegen ING Groep af, omdat onvoldoende aanwijzingen bestaan dat zij rechtstreeks betrokken is bij Google Pay of de daarover gemaakte afspraken. Ten aanzien van ING Bank is wel sprake van een relevante rechtsbetrekking. De rechtbank oordeelt in het kader van dit inzageverzoek dat ING en Google gezamenlijk verwerkingsverantwoordelijken zijn voor de persoonsgegevens die zij beiden in het kader van Google Pay verwerken. Deze gezamenlijke verantwoordelijkheid is niet beperkt tot de activering van de token, maar omvat ook de identiteits- en transactiegegevens die worden verwerkt voor contactloos betalen en daarmee samenhangende functionaliteiten, zoals het betalingsoverzicht. De rechtbank beslist niet of deze verwerking onrechtmatig is en laat in het midden of de gezamenlijke verantwoordelijkheid zich ook uitstrekt tot een eventuele verdere verwerking door Google voor andere doeleinden, zoals profilering en gerichte reclame. De bancaire zorgplicht van ING kan volgens de rechtbank wel meebrengen dat zij ten behoeve van haar rekeninghouders garanties bedingt tegen verwerking voor andere doeleinden.

De Consumentenbond en SBIA hebben volgens de rechtbank voldoende belang bij inzage in de afspraken tussen ING en Google om te kunnen beoordelen of daarin voldoende waarborgen zijn opgenomen en of hun vrees voor onrechtmatige verdere verwerking gegrond is. De tussen ING en Google overeengekomen geheimhouding staat niet aan inzage in de weg. ING Bank moet daarom binnen zes weken een papieren kopie en een doorzoekbaar pdf-bestand verstrekken van de overeenkomsten en bijlagen die betrekking hebben op het aanbieden van contactloos betalen via Google Pay aan consumenten met een Android-apparaat. ING moet daarbij volledige openheid geven over de bepalingen die zien op de verwerking van rekeninghoudersgegevens. Bedrijfsgevoelige informatie mag onleesbaar worden gemaakt, maar de kopjes en opschriften van artikelen en bijlagen niet. Eventuele afspraken over het stopzetten van ING Mobiel Betalen hoeven niet te worden verstrekt. Ook de gevraagde interne besluiten en verslagen, onderzoeksgegevens en correspondentie worden niet toegewezen, omdat deze stukken volgens de rechtbank slechts dienden ter voorbereiding van de gemaakte afspraken en de rechtspositie van consumenten niet bepalen. De DORA-documentatie wordt eveneens niet toegewezen, omdat uit het standpunt van ING volgt dat zij geen DORA-analyse heeft opgesteld en geen specifieke DORA-afspraken met Google heeft gemaakt. De rechtbank beslist daarom niet of DORA op Google Pay van toepassing is. De kosten van het verstrekken van de stukken komen op grond van artikel 194 lid 1 Rv voor rekening van de Consumentenbond en SBIA. De rechtbank legt geen dwangsom op, verklaart het inzagebevel uitvoerbaar bij voorraad en compenseert de proceskosten, zodat iedere partij haar eigen kosten draagt.

4.17.

Het verwerken van gegevens is alleen rechtmatig als daar een verwerkingsgrondslag voor bestaat, welke limitatief opgesomd zijn in artikel 6 AVG. Eén van die verwerkingsgrondslagen is wanneer de verwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is (artikel 6 lid 1 sub b AVG).

4.18.

Consumentenbond en SBIA maken zich zorgen dat de verwerking door Google van de gegevens die worden verstrekt in het kader van Google Pay verder gaat dan alleen hetgeen noodzakelijk is voor de uitvoering van de overeenkomst. Het is een feit van algemene bekendheid dat het verdienmodel van Google is dat zij profielen van gebruikers maakt om hen gericht advertenties aan te bieden. Bovendien staat in de Google Payments Privacy Notice, dat Google de gegevens die zij verkrijgt voor Google Pay mag verwerken in overeenstemming met haar algemenere Google Privacy Policy en dat de gegevens gebruikt mogen worden voor “every day business purposes”.

Als Google de gegevens verder verwerkt dan nodig voor Google Pay en afgesproken met ING (bijvoorbeeld wanneer Google Pay de gegevens verder verwerkt voor advertentiedoeleinden), dan is dat mogelijk in strijd met de AVG, omdat het dan de vraag is of Google daar wel een geldige verwerkingsgrondslag voor heeft vastgesteld, aldus Consumentenbond en SBIA.

4.19.

ING stelt dat zij afspraken heeft gemaakt met Google over de het gebruik van de gegevens die zij aan Google verstrekt in het kader van Google Pay. Daartoe zijn ING en Google ook verplicht op grond van de AVG als gezamenlijk verwerkingsverantwoordelijken. Gezamenlijke verwerkingsverantwoordelijken moeten namelijk op transparante wijze hun verantwoordelijkheden voor de nakoming van de AVG vaststellen, met name ten aanzien van de rechten van betrokkenen en de informatieverplichtingen die op verwerkingsverantwoordelijken rusten. De kern van deze regeling moet beschikbaar worden gesteld aan de betrokkenen wiens gegevens verwerkt worden door de gezamenlijk verwerkingsverantwoordelijken (artikel 26 AVG).

4.20.

Consumentenbond en SBIA hebben een rechtmatig belang om de afspraken tussen ING en Google in te zien om te kunnen beoordelen of de afspraken voldoende zijn en daarmee te kunnen beoordelen of de vrees dat Google de gegevens van rekeninghouders van ING onrechtmatig verwerkt al dan niet gegrond is.

4.21.

Het standpunt van ING is dat Consumentenbond en SBIA geen belang hebben bij toewijzing van de vorderingen, omdat – kort gezegd – de Consumentenbond geen procedure zal beginnen en SBIA niet voldoet aan de eisen van artikel 3:305a BW en een collectieve actie daarop zal stranden. Bovendien willen de consumenten niet eens dat Consumentenbond en SBIA een collectieve actie starten, aldus ING.

4.22.

De Consumentenbond heeft verklaard in dit geval mede als eiser in een mogelijke WAMCA-procedure te zullen optreden. Alleen al daarom wordt dit verweer verworpen, omdat in ieder geval op voorhand geen reden is te twijfelen aan de ontvankelijkheid van de Consumentenbond.

4.23.

Het verweer dat de consumenten een eventuele procedure niet zouden wensen wordt verworpen. Weliswaar kan het zo zijn dat consumenten aan ING de wens te kennen hebben gegeven Google Pay te gebruiken, daarmee is echter niet gezegd dat zij tegen een procedure zouden zijn die er op gericht is dat hun gegevens niet voor andere doeleinden dan Google Pay worden gebruikt.