Ik vraag mij nog steeds af of je als klant niet veel beter een klacht bij de AP kan indienen. Immers heeft ING ook persoonsgegevens (toegang bankrekening) doorgegeven aan de oplichter, zonder dat hier expliciet toestemming voor was gegeven. Met andere woorden, heeft de ING wel genoeg beveiligingsmaatregelen genomen om het inzien van persoonsgegevens door een derde te voorkomen. De vraag die je dan kan stellen: doet de ING wel genoeg om dit soort phishing tegen te gaan? Niet onder de bankenwetgeving (PSD2 etc.), maar onder de privacywet (AVG, Artikel 32) dus. Volgens mij kom je dan op de discussie welk authenticatie niveau wel voldoende is voor het inloggen op je bankrekeningen. Net zoals DigiD Hoog verplicht is voor het inzien van medische gegevens, kan je je afvragen of er bij banken ook niet sprake moet zijn van dergelijk sterke authenticatie. Want een beetje TAN codes overtypen is vrij eenvoudig en kan je op geen enkele manier zien als 'sterke' authenticatie. (En nee, DigiD Hoog bestaat (nog) niet, ...