Het bancaire sleepnet dat het kabinet afgelopen vrijdag door middel van een wetsvoorstel heeft voorgesteld (vindplaatsen hier) is om diverse redenen interessant. De bedoeling is dat het samenwerkingsverband van de banken, Transactie Monitoring Nederland (TMNL), alle transacties van consumenten gaat analyseren.

Dit geldt alleen niet voor transacties onder 100 euro tussen consumenten onderling en financiële transacties van consumentenrekeningen naar zakelijke rekeningen. De uitzonderingen staan in artikel 34b lid 4 van het voorstel:

4. In afwijking van het derde lid geldt voor transacties tot €100 dat;
a. transacties tussen particuliere personen niet binnen de gezamenlijke voorziening gecombineerd worden;
b. bij transacties tussen een particulier persoon en een zakelijke rekening, van de particuliere persoon alleen het IBAN-nummer, het BIC-nummer en de landencode binnen de gezamenlijke voorziening verwerkt worden.

Dat betekent dat alleen kleine pinbetalingen van consumenten aan bedrijven en aan andere consumenten niet voor het opsporen van misdaad gebruikt worden. Deze uitzondering geldt niet voor bijvoorbeeld rekeningen van eenmanszaken en vennootschappen onder firma.

In de memorie van toelichting wordt gezegd dat met deze uitzonderingen “60-70% van de transactiegegevens van particuliere cliënten en ongeveer 5% van alle transacties” niet door TMNL worden verwerkt. Dat klinkt bijzonder en als dat waar is kan dat alleen maar komen door pinbetalingen van consumenten voor dagelijkse uitgaven. Er blijft dan nog meer dan genoeg over voor het maken van profielen van iedere Nederlandse burger.

Consumenten zijn een hoog risico witwassen en terrorismefinanciering denkt het kabinet
Het valt op dat in de memorie van toelichting staat dat het dringend noodzakelijk is dat de BSN’s van alle Nederlanders met rekeningen bij banken door TMNL moeten worden verwerkt, wat aangeeft dat het kabinet veronderstelt dat er zeer veel door consumenten wordt witgewassen en terrorisme gefinancierd. Het is jammer dat het kabinet dit niet nader toelicht.

Als oplettende burgers zou je namelijk verwachten dat banken op zoek moeten naar Russische oligarchen en naar boefachtige grote bedrijven die belasting ontduiken en rechten van burgers schenden.

In de memorie van toelichting wordt uitgelegd dat TMNL het BSN nodig heeft, omdat er zoveel (kennelijk verdacht) betalingsverkeer van consumenten (ook ‘retailcliënten’ genoemd) is:

De Nederlandse banken hebben gezamenlijk 35 miljoen cliënten, waarvan 31 miljoen retailcliënten, die over één of meer (al dan niet aan elkaar gekoppelde) rekeningen beschikken.

Al die consumenten zijn kennelijk verdacht en het is essentieel dat hun transacties worden geanalyseerd, zo valt af te leiden uit deze passage (de ‘gezamenlijke voorziening’ is TMNL):

Voor een effectieve werking van de monitoring in een gezamenlijke voorziening is het noodzakelijk dat unieke nummers aan een cliënt gekoppeld kunnen worden. Het ontbreken van een overkoepelend uniek nummer leidt ertoe dat aan elke transactie een groot aantal persoonsgegevens zou moeten worden verbonden om vast te stellen dat verschillende transacties van verschillende banken bij dezelfde cliënt horen. Hoewel het op voorhand onmogelijk is om aan te tonen in hoeveel van de gevallen het niet mogelijk zal zijn om een cliënt te identificeren, zonder gebruik van een uniek nummer, zijn er meerdere redenen om aan te nemen dat dit om een substantieel aantal zal gaan. Ten eerste zijn initialen en achternaam onvoldoende onderscheidend. Ook in combinatie met woonadres en/of geboortedatum is nog steeds niet in alle gevallen te bepalen of het dezelfde persoon betreft. Ten tweede is er een verscheidenheid aan registraties bij deze gegevens. Zo is de schrijfwijze van namen niet altijd uniform, zeker als het buitenlandse namen betreft. Ook wisselen namen van dezelfde personen, bijvoorbeeld doordat zij in het huwelijk treden. Bij de ene bank kan daardoor dezelfde persoon onder een andere naam zijn geregistreerd als bij een andere bank. Verder zijn woonadressen niet altijd gelijk bij dezelfde personen. Ten derde bestaat er in algemene zin bij de invoer van gegevens altijd een bepaalde foutmarge. Bij het combineren van gegevens neemt deze marge aanzienlijk toe naarmate meer gegevens nodig zijn om vast te stellen of sprake is van dezelfde persoon.

Het kabinet denkt dat dit niet in strijd is met de AVG en het Europese Handvest (de banken zijn ‘deze afgebakende groep’):

Het gebruik van BSN door deze afgebakende groep wordt voor deze specifieke taak als proportioneel beoordeeld. Een inrichting zonder uniek nummer zou niet effectief zijn en een verwerking van een grotere hoeveelheid data met zich brengen. Het zelf tot stand brengen van een uniek nummer wordt niet proportioneel geacht gezien de grote hoeveelheid persoonsgegevens die daarvoor nodig is en de grote investering.

Dat bijna alle klanten van banken verdacht zijn volgt ook uit deze passage in §3.2 van de memorie van toelichting (markering door mij):

Daarnaast is er bij banken veelal sprake van cliënten die doorlopende monitoring vereisen en is er beperkt sprake van incidentele transacties. De omvang is daarbij dusdanig, bijna 10 miljard transacties per jaar bij 35 miljoen cliënten, dat een effectievere inrichting van deze monitoring voor het stelsel voor het voorkomen van witwassen en terrorismefinanciering als geheel de meeste meerwaarde zal hebben.

Medische gegevens en informatie vakbondslidmaatschap kunnen relevant zijn voor opsporing misdaad, denkt het kabinet
Uit de memorie van toelichting blijkt verder dat banken geacht worden aan te gaan achter kruimelbetalingen en dat om die reden ook  bijzondere categorieën van persoonsgegevens en persoonsgegevens van strafrechtelijke aard mogen worden verwerkt. Voorbeelden van bijzondere categorieën van persoonsgegevens zijn gegevens over politieke opvattingen, godsdienst of levensovertuiging, lidmaatschap van een vakbond, gezondheid of het seksuele leven. Banken [*] zijn op grond van de verplichtingen uit de Wwft verplicht informatie vast te leggen die dergelijke gegevens kunnen bevatten. Volgens de memorie van toelichting is het voor bestrijding van witwassen en terrorismefinanciering van belang om medische persoonsgegevens te verwerken (zorgfraude) en om persoonsgegevens inzake betalingen aan religieuze of levensbeschouwelijke organisaties (terrorismefinanciering).

Slotopmerking
Het wetsvoorstel is een sleepwet pur sang die de surveillance samenleving aankondigt.

PS Er is nog meer over het wetsvoorstel te zeggen, daar kom ik als ik tijd heb op terug.

[*] Dit geldt ook voor andere Wwft-plichtigen.

AANVULLINGEN

Aanvulling 18 november 2022
Ik ben benieuwd wat de Tweede Kamer gaat doen. Alkaya is er al mee bezig, hij diende een amendement in en schreef op twitter:

De regering heeft een wet gemaakt waarin ze alle transacties boven 100 euro veel strenger in de gaten willen houden. De privacywaakhond was al erg kritisch. SP ook. Wij willen geen massasurveillance.

Stap 1, grens flink verhogen: https://t.co/q0O5BiGolehttps://t.co/Hg8arYSceg

— Mahir Alkaya (@MahirAlkaya) November 17, 2022

 

Aanvulling 8 december 2022

Voormalig toezichthouder bij geheime diensten Bert Hubert over het bancaire sleepnet:

Zolang je denkt dat je met meer data alleen maar de wereld kan verbeteren is dit een prima idee. Helaas is die aanname onjuist.

— bert hubert (@bert_hubert) December 4, 2022