Europa-Parlamentets og Rådets forordning nr. 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og databeskyttelsesloven finder anvendelse på udbydere af betalingstjenester og udstedere af elektroniske penge, jf. dog stk. 2-4.
Stk. 2 En udbyder af betalingstjenester og en udsteder af elektroniske penge må kun tilgå, behandle og opbevare personoplysninger, som er nødvendige for ydelse af betalingstjenester, med brugerens udtrykkelige samtykke.
Stk. 3 Uanset stk. 2 og § 125, stk. 3, må en udbyder af betalingstjenester og betalingssystemer og en udsteder af elektroniske penge behandle personoplysninger til brug for forebyggelse, efterforskning, retshåndhævelse og opdagelse af misbrug eller svig, eller hvis behandlingen er hjemlet ved anden lov.
Stk. 4 Udbydere af betalingstjenester og udstedere af elektroniske penge må ikke betinge priser eller vilkår for brugen af betalingstjenester omfattet af bilag 1, nr. 1-7, eller betalingskonti af, at brugeren giver samtykke til behandling af betalingsoplysninger, der ikke foretages i forbindelse med leveringen af betalingskontoen eller betalingstjenesten, eller af, at brugeren giver samtykke til, at der kan tilknyttes en loyalitetskortfunktion til betalingstjenesten.