De privacy- en cybersecurity risico’s van het register van uiteindelijk belanghebbenden (ubo-register) zijn enorm, onder meer omdat iedereen die registratieplichtig is, zoals besloten vennootschappen, de eigen ubo’s moeten inschrijven, inclusief de bewijsstukken van het (in)directe aandeelhouderschap.

Voorbeeld:
Als een Duits echtpaar beiden directe en indirecte aandeelhoudersbelangen hebben in tien Duitse gmbh’s en twintig Nederlandse bv’s, moeten zij de door de nationale ubo-registers verlangde bewijsstukken verschaffen aan de directies van alle dertig kapitaalvennootschappen, met alle privacy- en cybersecurity-risico’s van dien. Deze directies moeten de ubo’s inschrijven in respectievelijk het Duitse ‘Transparenzregister’ en het Nederlandse ubo-register. Die informatieverschaffing aan directies van werkmaatschappijen is iets waar ubo’s terecht zeer ongelukkig mee zijn.

Kopie-ID?
Bijzonder is dat de Nederlandse Kamer van Koophandel (‘KvK’) eist dat de directie van een entiteit een kleurenkopie van beide kanten van het identiteitsbewijs (‘ID’) van de ubo overlegt, waarop volgens de KvK alleen de foto onherkenbaar mag worden gemaakt. Het nummer van het ID mag volgens de KvK niet worden afgeschermd.

Eerder publiceerde ik op dit blog het artikel Kopie identiteitsbewijs van de ubo – mag dat? | Wwft. Daarin constateerde ik dat er in de wet geen grondslag is te vinden voor de eis van de KvK dat een kopie ID van de uiteindelijk belanghebbende (‘ubo’) wordt gevraagd.

Vandaag keek ik op de website van de KvK en kwam ik een pagina tegen waarin een grondslag wordt genoemd,

Waarom wordt het kopie identiteitsbewijs van UBO’s opgeslagen in het UBO-register?
Bevoegde autoriteiten zoals opsporingsinstanties kunnen een kopie identiteitsbewijs van een UBO gebruiken voor opsporingsdoeleinden, als daar aanleiding voor is. De wettelijke grondslag staat in art. 15a lid 3 sub a van de Handelsregisterwet 2007.

Echter, het genoemde artikel bevat die grondslag niet. De tekst van artikel 15a luidt:

Handelsregisterwet 2007
Geldend van 04-12-2020 t/m heden

Artikel 15a

1. In het handelsregister wordt opgenomen wie de uiteindelijk belanghebbende is of de uiteindelijk belanghebbenden zijn van vennootschappen of andere juridische entiteiten als bedoeld in artikel 10a, tweede lid, van de Wet ter voorkoming van witwassen en financieren van terrorisme die overeenkomstig de artikelen 5 of 6, eerste lid, zijn ingeschreven in het handelsregister, met uitzondering van verenigingen van eigenaars en overige privaatrechtelijke rechtspersonen als bedoeld in artikel 6, eerste lid, onderdeel b.

2. In het handelsregister wordt over een uiteindelijk belanghebbende opgenomen:
a. het burgerservicenummer, bedoeld in artikel 1, onderdeel b, van de Wet algemene bepalingen burgerservicenummer, indien dat aan hem is toegekend;
b. een fiscaal identificatienummer van een ander land dan Nederland waarvan hij ingezetene is, indien dat door zijn woonstaat aan hem is toegekend;
c. de naam, de geboortemaand en het geboortejaar, de woonstaat en de nationaliteit;
d. de geboortedag, de geboorteplaats, het geboorteland en het woonadres;
e. de aard van het door de uiteindelijk belanghebbende gehouden economische belang en de omvang van dit belang, aangeduid in bij algemene maatregel van bestuur vast te stellen klassen.

3. In het handelsregister worden ten aanzien van een uiteindelijk belanghebbende gedeponeerd:
a. afschriften van de documenten op grond waarvan de gegevens, bedoeld in het tweede lid, onderdelen a, b, c en d, zijn geverifieerd;
b. afschriften van de documenten, behorende tot bij algemene maatregel van bestuur aan te wijzen categorieën, waaruit de aard en omvang van het economische belang, bedoeld in het tweede lid, onderdeel e, blijken.

Kopie-ID is niet verplicht
In lid 3 sub a. staat alleen dat er bewijsstukken moeten worden gedeponeerd, niet dat het nodig is om een kopie ID van de uiteindelijk belanghebbende te deponeren.

Dat is ook logisch, want de Handelsregisterwet 2007 geeft uitvoering aan de anti-witwaswet Wwft. Die wet stelt aan de verificatie van de identiteit van de ubo lagere eisen dan wordt gesteld aan de verificatie van de identiteit van de vertegenwoordiger van een entiteit (bijvoorbeeld een besloten vennootschap) of de natuurlijke persoon die cliënt is. Inzake de ubo is het voldoende de complete voornamen en achternaam te registreren en is van belang dat wordt aangetoond waarom betrokkene ubo is.

Dat betekent dat ook andere vormen van bewijslevering mogelijk moeten zijn. Zo kan ik me in het Duitse voorbeeld in het begin voorstellen dat de Duitse ubo’s er niet voor voelen kopieën van hun ID’s aan de directies van de Nederlandse werkmaatschappijen te geven en evenmin om die directies volledig te informeren over de structuur boven de directe aandeelhouder van de Nederlandse bv’s. Uit oogpunt van veiligheid en privacy, dienen zij in staat te worden gesteld alternatieve documenten aan te leveren, bijvoorbeeld een uitvoerige verklaring van een Duitse notaris, waarin de op grond van de Nederlandse wet gevraagde gegevens worden vermeld, zonder kopieën van ID’s en van andere vertrouwelijke documenten.

Handelsregisterwet 2007 gaat verder dan AMLD4/5 eist
Het genoemde artikel in de handelsregisterwet schrijft voor dat bepaalde gegevens van de ubo moeten worden geregistreerd:

• fiscaal identificatienummer/bsn;
• naam, woonadres, nationaliteit;
• geboortedatum, geboorteplaats, geboorteland.

De door de 5e Europese antiwitwasrichtlijn (AMLD5) gewijzigde 4e Europese anti-witwasrichtlijn (AMLD4) eist niet dat een kopie ID in het uboregister wordt opgeslagen, lees daar artikel 30 maar op na. Evenmin vereist AMLD4 de hiervoor genoemde persoonsgegevens. Daarmee gaat de Handelsregisterwet 2007 verder dan wat de Wwft en wat AMLD4 inzake de verificatie van de ubo voorschrijven.

Verder kan de vraag worden gesteld of het voorschrift van artikel 15a wel in overeenstemming is met de AVG, nu het tot gevolg heeft dat vertrouwelijke persoonsgegevens aan de directie van de entiteit worden verschaft, terwijl dit normaliter informatie is die de directie uit oogpunt van privacy en veiligheid niet krijgt. Een dergelijk voorschrift hoort op grond van de AVG aan de proportionaliteitseis te voldoen, mij lijkt dat die toets hier niet wordt doorstaan.

Tot slot
Er is alle reden voor ubo’s om er bezwaar tegen te hebben dat een kopie van het ID aan de directie van de entiteit moet worden afgegeven. Waarschijnlijk is een procedure nodig om boven water te krijgen dat de KvK een onrechtmatige eis stelt.