AP: Het aantal ransomware-aanvallen nam toe in 2025 en de risico’s voor mensen worden groter

De Autoriteit Persoonsgegevens (AP) waarschuwt in de nieuwe rapportage over ransomware in Nederland dat het aantal ransomware-aanvallen in 2025 toenam en dat de risico’s voor mensen groter worden, lees de aankondiging en het rapport.

De AP waarschuwt dat gestolen persoonsgegevens uit verschillende datalekken kunnen worden gecombineerd, waardoor de kans op identiteitsfraude en gerichte oplichting verder toeneemt:

Bij datalekken door een ransomware-aanval lekken vooral contactgegevens. Deze gegevens gebruiken criminelen voor oplichtingsberichten. Bij ongeveer een derde van deze datalekken lekten ook burgerservicenummers (BSN’s) en kopieën van paspoorten. Deze gegevens kunnen criminelen gebruiken voor identiteitsfraude. Gestolen datasets kunnen ook worden gecombineerd. Mensen worden dan slachtoffer van de opeenstapeling van deze datalekken door de jaren heen.

Nog steeds onderschatten organisaties de risico’s.

 

Illustratie op pagina 4 van het rapport:

 

In een eerder artikel geeft de AP tips.

Geplaatst in ICT, privacy, e-commerce | Tags: , , | Plaats een reactie

Waartoe dienen dreigingsbeelden?

De Nederlandse overheid produceert allerlei ‘dreigingsbeelden’.
Zo wordt op de procedurevergadering van 9 september a.s. van het ministerie van Veiligheid het door het NCTV opgestelde ‘Dreigingsbeeld Terrorisme’ besproken (brief minister, rapport). De minister van Veiligheid beweert dat het rapport ‘inzicht’ geeft. Naar mijn idee zitten zowel de brief als het rapport vol met open deuren; het grootste gevaar gaat uit van alle gekken en dwazen die er in Nederland zijn en waarvan een deel beweert dat hun gewelddadig optreden ideologisch gemotiveerd is. Wie heeft hier iets aan? [*]

De brief van de minister eindigt met dat het kabinet zijn best zal doen geweld te voorkomen. Tegen het digitale open riool (onder meer de Amerikaanse advertentiebedrijven die de marketing van geweld faciliteren) gaat de minister niet optreden. Triest.

 

 

[*] In 2016 schreef Christiaan Weijts schreef onder de titel “De natte vinger van de terreurwichelaareen mooi artikel (betaalmuur) over de schijnwetenschap van de dreigingsbeelden, door mij hier gemeld.

Geplaatst in Fraude, witwasbestrijding, Wwft, Grondrechten | Tags: , | Plaats een reactie

De Nederlandsche Bank weigert aan een bevel van de rechtbank te voldoen | Woo-verzoek HRIF.EU [2]

Eerder meldde ik hier dat de De Nederlandsche Bank (DNB) weigert aan een bevel van de rechtbank te voldoen. Daar is een snel vervolg op gekomen. DNB heeft een voorlopige voorziening aan de Raad van State gevraagd, zie deze draad van HRIF op mastodon.

Uit de uitspraak van de Raad van State die op rechtspraak.nl is gepubliceerd blijkt dat het verzoek van DNB is gehonoreerd:

De voorzieningenrechter van de Afdeling bestuursrechtspraak van de Raad van State:
I. schorst de uitspraak van de rechtbank Amsterdam van 5 juni 2026 in zaak nr. 25/162;
II. bepaalt dat de Nederlandsche Bank N.V. geen nieuw besluit hoeft te nemen op het bezwaar van Human Rights in Finance EU, totdat de voorzieningenrechter heeft beslist over de opheffing of wijziging van deze voorlopige voorziening.

Geplaatst in Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, ICT, privacy, e-commerce | Tags: , , , , , , , , , , , , , | Plaats een reactie

‘Mijn hond doet niets hoor’ | spionagebril

De drager van een spionagebril die tegen omstanders zegt ‘ik ben niet aan het filmen, hoor‘ [*] is net als de hondenbezitter met een vervaarlijk blaffende hond, die zegt ‘mijn hond doet niets hoor‘.

 

[*] Een van de vele artikelen: The Guardian, ‘I’m not spying’: how Meta’s smartglasses have divided opinion.

Geplaatst in Grondrechten, ICT, privacy, e-commerce | Tags: , , , , | Plaats een reactie

Hoepman: “The amount of data available to law enforcement is staggering” so access to private communication is unnecessary

Jaap-Henk Hoepman in his article Good riddance to lawful hacking explains that there is no need for law enforcement to get access to private communications:

The amount of data available to law enforcement is staggering. Even if they can no longer listen in to our communications or read our messages, the metadata (who we are talking to, when, how often, and how much) is still available to them. Law enforcement can track our locations, either through data brokers that in turn get their data form the location based services we use on our phones, or by asking the mobile network operators for the current location of our phones. Camera surveillance is increasing, especially as more and more people attach video doorbells like Amazon’s Ring next to their front door, or by people wearing Meta’s AI glasses. Perhaps the only caveat is this: metadata is mostly circumstantial evidence, that does not necessarily prove without any doubt that someone was indeed involved in perpetrating a crime. Access to data (e.g. pictures or video footage) or messages may be needed to seal a case.

Hopefully, the European legislator will realise that encryption and other protective measures are essential for citizens to protect themselves against criminals and other unsavoury characters.

Geplaatst in English - posts in English on this blog, Europa, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce | Tags: , , , , , | Plaats een reactie

EDPS letter on transfers of personal data to the US

The European Data Protection Supervisor (EDPS) wrote a letter to the European Commission on the US Supreme Court judgment Trump v. Slaughter. The Supervisor aks the Commission to closely assess whether this development affects the adequacy decision underpinning the EU-US Data Privacy Framework.

The EDPS wrote:

The EDPB wishes to highlight that the existence and effective functioning of one or more independent supervisory authorities in the third country, with responsibility for ensuring and enforcing compliance with the data protection rules, is one of the key elements to be taken into account when assessing the adequacy of the level of protection in a third country according to Article 45(2)(b) of Regulation (EU) 2016/679. It is also considered one of the key elements to ensure that data subjects in the EEA are guaranteed an essentially equivalent level of data protection in practice, and to ensure cooperation with the supervisory authorities of the Member States.

The EDPB respectfully notes that the European Commission, in the adequacy decision underpinning the EU-US Data Privacy Framework (‘DPF’) [4] , explicitly refers to the independence of the US authorities, including the FTC and that its five Commissioners may only be removed by the President for inefficiency, neglect of duty, or malfeasance in office [5] . Given the potential consequences that the US Supreme Court’s judgment may have in the EEA and its considerable significance for the EDPB, the EDPB asks the European Commission to closely assess whether this development affects the functioning of Commission Implementing Decision EU 2023/1795 and would welcome relevant actions, including the continued sharing of information with the EDPB in a timely manner.

 

[4] Commission Implementing Decision EU 2023/1795, available at https://eur-lex.europa.eu/legalcontent/EN/TXT/PDF/?uri=CELEX:32023D1795

[5] Commission Implementing Decision EU 2023/1795, §58 – 60.

Geplaatst in Belastingrecht, English - posts in English on this blog, Europa, Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce | Tags: , , , , , | Plaats een reactie

In the US beneficial ownership reporting is limited to foreign entities and foreign beneficial owners

Although, as far as I am aware, the concepts behind ‘anti-money laundering’ and the ‘beneficial owner’ (‘BO’) originated in the US, that country does not implement the rules drawn up by the Financial Action Task Force (FATF). In the US, the rules on the registration of BOs were already quite different from those we have in the EU. The difference has recently become even greater, as now only foreign BOs belonging to foreign companies need to be registered.

The Financial Crimes Enforcement Network (FinCEN) of the US announced:

FinCEN Permanently Ends Beneficial Ownership Reporting Requirements for Millions of Small Business Owners

On this page the background of the decision is explained by FinCEN.

The reaction from organisations marketing BO-registration, like Transparency International and FACT Coalition, was predictable. Reuters quotes a representative of the FACT Coalition saying the new rule is “hand[ing] a major victory to U.S. adversaries, corrupt officials, fraudsters, and tax evaders who use our financial system to move and hide illicit wealth”. In this article the authors comment that a future administration could just as quickly reinstate BO reporting obligations for domestic companies and U.S. persons.

Geplaatst in Belastingrecht, English - posts in English on this blog, Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Ubo-register | Tags: , , , | Plaats een reactie

Europese privacytoezichthouder bekritiseert voorstellen waar Europese misdaadbestrijdingsinstanties meer bevoegdheden krijgen

Na een succesvolle machtsgreep op het gebied van de geprivatiseerde misdaadbestrijding (bestrijding van ‘witwassen’ en ‘terrorismefinanciering’) is de EU nu druk bezig om de overige misdaadbestrijdingsbevoegdheden en -activiteiten te versterken.
Er zijn voorstellen gedaan tot wijziging van de Europese regels inzake gegevensbescherming inzake [a] de algemene misdaadbestrijding, [b] Europol en [c] Eurojust. Deze voorstellen zijn onderdeel van de ProtectEU strategie van de Europese Commissie.

EDPS advies
De Europese instantie die toezicht houdt op gegevensbescherming op Europees niveau, de European Data Protection Supervisor (EDPS), heeft adviezen uitgebracht over Europese voorstellen inzake de bevoegdheden van Europol en Eurojust. De titels van de persberichten luiden (machinevertaald):

  • Een samenhangend kader voor gegevensbescherming voor de instanties op het gebied van justitie en binnenlandse zaken van de EU vereist strenger toezicht en strengere handhaving [1].
  • De uitbreiding van de bevoegdheden van Europol mag niet ten koste gaan van een krachtige EU-gegevensbescherming [2].
  • Modernisering van Eurojust: een sterker mandaat vereist even sterke waarborgen voor gegevensbescherming [3].

Uit deze titels kan al worden afgeleid dat de EDPS zeer kritisch is over de voorstellen, nu waarborgen ter bescherming van burgers onvoldoende zijn.

 

Noten:

[1] A coherent data protection framework for EU Justice and Home Affairs agencies needs stronger supervision and enforcement. EDPS Opinion 17/2026 on the Proposal for a Regulation amending Regulation (EU) 2018/1725 on the protection of natural persons with regard to the processing of personal data by the EU institutions, bodies, offices and agencies
[2] Expanded Europol powers must not come at the expense of robust EU data protection. EDPS Opinion 17/2026 on the Proposal for a Regulation amending Regulation (EU) 2018/1725 on the protection of natural persons with regard to the processing of personal data by the EU institutions, bodies, offices and agencies
[3] Modernising Eurojust: a stronger mandate requires equally strong data protection safeguards. EDPS Opinion 19/2026 on the Proposal for the Regulation on the establishment of Eurojust and repealing Regulation (EU) 2018/1727.

Geplaatst in Europa, Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce, Strafrecht | Tags: , , , | Plaats een reactie

Are IP addresses personal data? | IP addresses in the draft guidelines by the AMLA

Privacy International (PI) published the article Are IP addresses personal data? In the article PI explains what an IP address is and informs the reader on the decisions of the Court of Justice of the European Union.

On the character of the IP address PI writes:

Every time you visit a website or use some other Internet service, you need to tell the other party where you connected from so they can send information back to you. That means giving out your IP address widely and frequently (including to those who place their content on other people’s websites, such as advertisers). As such, IP addresses can, in practice, be used to track and identify us in various ways. They are frequently used within the advertising industry to assist with targeted advertising. They can also be used to help with the geolocation tracking of individuals (even though the location of an IP address may not always match the device’s location). (…)

the UK’s data protection regulator, the Information Commissioner’s Office (ICO) describes IP addresses as ‘online identifiers’; a digital means of identifying an individual within information, which makes it ‘identifiable’ and therefore personal data. IP addresses are also considered to be an ‘online identifer’ within recital 30 of the GDPR which explicitly lists IP addresses as an example.

VPN-protection

The use of IP adresses by advertising companies like Google and Meta and by criminals to follow their targets, is a good reason to use a VPN. That is something that does not seem to be known by law enforcement agencies (LEAs). They want obliged entities (‘OEs’, companies with AML-duties, like banks) to use IP addresses to detect potential criminal activity.

An example of that is found in the draft rules by the Authority for Countering Money Laundering and Financing of Terrorism (AMLA) on ongoing monitoring by OEs [*], marking by me:

27. The following non-exhaustive list of events are provided as instances of what may trigger a review of customer information (…)
b) Behavioural, activity-based or transactional anomalies: unusual transaction patterns, inconsistent behaviour, frequent and unexplained changes of professional service providers, repeated or unusual changes in IP address or device location, where relevant, or any activity that deviates from the customer’s profile or from the expected purpose and intended nature of the business relationship. Obliged entities should consider AMLA’s guidelines pursuant to Article 69(5) AMLR on indicators of suspicious activity or behaviors.

Perhaps the AMLA and the LEAs need some extra training in the areas of cybersecurity and protection against tracking

 

 

[*] Page 27 of the consultation document. More information on the consultation: announcement, consultation page, consultation document, my article in Dutch.

Geplaatst in English - posts in English on this blog, Europa, Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce, Strafrecht | Tags: , , , , , , , , , , | Plaats een reactie

Advies Raad van State over implementatie Europese antiwitwasregels

De Afdeling advisering van de Raad van State heeft een interessant advies uitgebracht over het wetsvoorstel inzake implementatie van de Europese antiwitwasverordening en -richtlijn (onderdeel van het ‘AML Package’, het ‘antiwitwaspakket’). De verordening treedt medio volgend jaar in werking. Kern van de verordening is dat bedrijven overheidstaken op het gebied van misdaadbestrijding moeten uitvoeren. Een groot aantal bedrijven, van boekhouder tot bank, hebben dit soort taken.

Alertheid op grondrechten schendende elementen in de geprivatiseerde criminaliteitsbestrijding
De Afdeling constateert dat de nieuwe Europese regels weinig wetgevende ruimte voor de Nederlandse overheid laat, maar roept de regering desalniettemin op om alert te zijn op grondrechten schendende elementen in de regelgeving, respectievelijk de praktische uitvoering [*]:

De Afdeling advisering onderkent dat Nederland door deze centralisatie aanmerkelijk minder ruimte heeft om zelf regels te stellen. Toch mag van de regering ten aanzien van de toepassing van het AML-pakket een actieve houding worden verwacht om te zorgen voor een goed werkend systeem in Nederland. De Afdeling advisering benadrukt dat de regering in het bijzonder de vinger aan de pols moet houden bij de uitwerking van de risicogebaseerde benadering, het voorkomen van discriminatie en uitsluiting en de bescherming van persoonsgegevens, omdat deze aspecten in de huidige praktijk kwetsbaar zijn gebleken.

De nieuwe regels zullen enorme gevolgen hebben, zo meldt de Afdeling, al zijn de details nog niet bekend [*]:

Op dit moment is nog onzeker hoe deze aanpak er uit zal komen te zien, terwijl wel vaststaat dat de aanpak en in het bijzonder de grootschalige gegevensdeling tussen tal van publieke en private partijen, grote gevolgen zal hebben voor burgers, bedrijven en instellingen.

Democratische legitimiteit ontbreekt
Dat nog veel onbekend is, komt door de regelgevende bevoegdheden van de nieuwe Europese antiwitwasautoriteit, de Authority for Countering Money Laundering and Financing of Terrorism , ‘AMLA’. De Afdeling zet vraagtekens bij de democratische legitimiteit van de nadere regels (technische reguleringsnormen, richtsnoeren en aanbevelingen) die de AMLA tot stand  brengt [**]:

Ten tweede is er de instelling van de AMLA als toezichthouder én regelgever. Deze zal rechtstreeks toezicht houden op veertig grote financiële ondernemingen en op de nationale toezichthouders. De AMLA krijgt ruime toegang tot informatie en de bevoegdheid om administratieve maatregelen, geldboeten en dwangsommen op te leggen aan poortwachters. (zie noot 5) Ook wordt deze autoriteit verantwoordelijk voor het opstellen van technische normen, die bindend zijn na bekrachtiging door de Europese Commissie (hierna: Commissie). (zie noot 6) Voorts gaat de AMLA richtsnoeren en aanbevelingen uitbrengen voor toezichthouders, FIE’s en meldingsplichtige entiteiten. Deze zijn formeel niet bindend maar de geadresseerden moeten wel ‘alles in het werk stellen’ om deze in acht te nemen. (…)

De AMLA heeft op Europees niveau daarmee grote invloed op de betekenis en praktische uitvoering van het AML-pakket binnen de Nederlandse rechtsorde. In dit licht kunnen er vanuit het oogpunt van publieke verantwoording vragen gesteld worden over de democratische legitimiteit van de richtsnoeren en aanbevelingen die de AMLA uitbrengt. (…)

Wel rijst de vraag hoe precies en wie vooraf wordt geconsulteerd en hoe achteraf in brede zin publieke verantwoording wordt afgelegd. Dat is in dit kader van groot belang, gelet op de betekenis die de richtsnoeren en aanbevelingen van de AMLA in de praktijk zullen hebben voor uitleg en toepassing van het AML-pakket, niet alleen voor toezichthouders en de FIU, maar ook de meldingsplichtige entiteiten en burgers. De toelichting gaat nu nog niet in op de vraag hoe consultatie en verantwoording reële betekenis verkrijgen, zodat het daadwerkelijk voorwerp kan worden van publiek debat.

Wordt er geleerd van de fouten uit het verleden?
In het verleden zijn ernstige fouten gemaakt in de geprivatiseerde criminaliteitsbestrijding. De Afdeling merkt op dat de vernieuwde regels niet betekenen dat dezelfde fouten niet opnieuw gemaakt worden [*]:

Het is niet aannemelijk dat de nieuwe regelgeving als vanzelf tot een betere uitvoering zal leiden. Zij adviseert de regering om in de toelichting van het wetsvoorstel in te gaan op de vraag welke randvoorwaarden zij van belang acht om de risico-gebaseerde aanpak in de praktijk te borgen, en hoe deze zich verhouden tot de sanctiemogelijkheden. Mede in verband daarmee adviseert zij om de uitvoeringspraktijk te monitoren en een evaluatiebepaling op te nemen in het wetsvoorstel.

Daarbij moet de voorkomen van discriminatie en uitsluiting specifieke aandacht krijgen. In het advies maakt de Afdeling melding van de kritiek van het College voor de Rechten van de Mens en de Algemene Rekenkamer.

Mijn commentaar: AMLA laat in de consultatiedocumenten die de afgelopen tijd zijn uitgebracht zien dat zij voornemens is dezelfde fouten opnieuw te maken, zelfs op nog grotere schaal.

Riskante grootschalige verzamelingen van persoonsgegevens bij bedrijven en overheid
De Afdeling waarschuwt voor de grote maatschappelijke risico’s veroorzaakt door de grootschalige gegevensverwerking [*]:

De Afdeling advisering waarschuwt voor het risico dat op een zeker moment het overzicht verloren gaat waar zich welke (vertrouwelijke) gegevens bevinden, voor wie deze toegankelijk zijn en met welk doel deze nog mogen worden gebruikt.

Ik vraag me af of dit overzicht er op dit moment wel is.

Tot slot
De Afdeling maakt nog veel meer opmerkingen. Het zal me benieuwen wat de verantwoordelijke ministeries met dit advies gaan doen.

 

 

[*] Bron: de samenvatting.
[**] Bron: het complete advies.

Geplaatst in Europa, Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce, Strafrecht | Tags: , , , , , , , | Plaats een reactie