Nederland is door Europa verplicht om het Verwijzingsportaal Bankgegevens in leven te roepen. Onlangs heeft de Autoriteit Persoonsgegevens (AP) het aangepaste voorstel voor de wijzigingswet inzake dit portaal getoetst en schrijft in het nieuwsbericht dat het voorstel nog steeds niet adequaat is:

Het verwijzigingsportaal bankgegevens geeft de politie, Belastingdienst en andere overheidsinstanties toegang tot de administraties van banken en andere betaaldienstverleners.
Het doel van de wijzigingswet is het uitbreiden van het verwijzingsportaal. Het concept zorgt ervoor dat via het portaal meer persoonsgegevens kunnen worden opgevraagd. En dat meer overheidsinstanties dit mogen doen.
De AP gaf eerder advies over deze wijzigingswet. In de nieuwe versie van het concept is de uitleg aangevuld, maar de wettekst niet. Deze aanvullingen lossen de eerdere problemen niet op.
De AP zegt dat er grenzen moeten worden gesteld aan de uitbreiding van het systeem. Het concept voldoet niet aan de toetscriteria van de AP. De wet en uitleg moeten worden aangepast. Of de wijzigingswet moet worden stopgezet.

Het besproken wetsvoorstel Wijzigingswet verwijzingsportaal bankgegevens is voor zover ik weet nog niet openbaar, zodat het gissen is wat er precies in staat.
Uit het advies van de AP is op te maken dat het portaal wordt uitgebreid en dat het doel en de reikwijdte van de uitbreiding wettelijk dienen te worden verankerd. Dat is nu niet het geval, de AP schrijft:

De AP ziet niet hoe goede voornemens voor de toekomst nu een waarborg bieden tegen ongebreidelde uitbreiding.

Huidig functioneren Verwijzingsportaal

De AP geeft een beschrijving van wat het portaal nu doet:

Op 10 september 2020 is de Wet verwijzingsportaal bankgegevens in werking getreden. Hierdoor zijn banken en andere betaaldienstverleners die rekeningen aanbieden met een International Bank Account Number met landcode NL, en banken die kluizen aanbieden verplicht aangesloten op het verwijzingsportaal. Het verwijzingsportaal is een technische koppeling die het voor aangesloten banken en betaaldienstverleners mogelijk maakt om geautomatiseerd te voldoen aan bepaalde vorderingen of verzoeken van bevoegde autoriteiten met betrekking tot bepaalde identificerende gegevens over hun cliënten, gegevens over uiteindelijk belanghebbenden en gegevens over de openings- en sluitingsdatum van rekeningen of kluizen.

Banken en andere betaaldienstverleners waren reeds voor de komst van het verwijzingsportaal verplicht te voldoen aan betreffende vorderingen en verzoeken van de bevoegde autoriteiten. Dit proces van vorderen, verzoeken en verstrekken van bepaalde gegevens vond handmatig en op individuele basis plaats. Met het verwijzingsportaal is dit proces geautomatiseerd.

Problematisch aan het portaal is dat burgers niet over de raadplegingen worden geïnformeerd, zodat niet kan worden gesignaleerd dat instanties buiten hun boekje gaan en er geen corrigerende maatregelen tegen hen kunnen worden genomen. (Het niet informeren van de persoon om wie het gaat is overigens een algemeen probleem in de misdaadbestrijding.)

Voorgestelde wijzigingen Verwijzingsportaal

De voorgestelde wijzigingen worden door de AP in het actuele advies als volgt beschreven:

De volgens de AP belangrijkste aspecten van het concept, zijn die van de aansluiting van het CJIB op het verwijzingsportaal en die van het vaststellen van de verblijfplaats van vermiste personen door de Officier van Justitie. Voor een volledig overzicht van de door het concept voorgestelde aanpassingen, verwijst de AP naar haar brief van 10 februari 2022.

De AP heeft in 2022 geadviseerd over het Verwijzingsportaal, aankondiging, advies (pdf). In dat advies worden de volgende wijzigingen genoemd (voetnoten verwijderd):

1. Uitbreiding identificerende gegevens:
De identificerende gegevens die kunnen worden gevorderd of verzocht, worden uitgebreid met het e-mailadres, het mobiele telefoonnummer en het International Mobile Equipment Identity number (IMEI-nummer) van het mobiele telefoontoestel.

Ad 1. Ik blijf het onbegrijpelijk vinden dat de rijksoverheid het gebruik van e-mail normaliseert door dit soort voorschriften, terwijl bekend is dat e-mail lek is als een mandje.

2. Saldo- en transactiegegevens:
Saldo- en transactiegegevens van cliënten van Nederlandse banken met meer dan tweeëneenhalf miljoen rekeninghouders zullen worden verstrekt via het verwijzingsportaal bankgegevens.

Ad 2. Dat complete transactiegegevens kunnen worden ingezien gaat heel ver! Daar horen strenge waarborgen en goed toezicht bij.

3. Informatie vermiste personen:
De Officier van Justitie zal – na machtiging van de rechter-commissaris – via het verwijzingsportaal bankgegevens gegevens kunnen verkrijgen voor het doel de verblijfplaats vast te stellen van een vermiste persoon die zich heeft onttrokken aan de tenuitvoerlegging van verplichte zorg op grond van de Wet verplichte geestelijke gezondheidszorg (Wvggz).

Ad 3. Ik ben heel benieuwd hoe zinvol deze toegang is in dit soort gevallen. Zie ook de opmerking bij 7 en 8.

4. Vorderingen en verzoeken ten behoeve van het Europees Openbaar Ministerie (EOM):
Het Openbaar Ministerie zal ten behoeve van het EOM vorderingen en verzoeken kunnen doen via het verwijzingsportaal bankgegevens.

5. Vorderingen en verzoeken ten behoeve van rechtshulpverzoeken en Europese onderzoeksbevelen:
De Nationale Politie en het Openbaar Ministerie zullen ter uitvoering van rechtshulpverzoeken en Europese onderzoeksbevelen in het kader van onderzoek en vervolging van strafbare feiten die de financiële belangen van de EU schaden gegevens kunnen vorderen via het verwijzingsportaal bankgegevens.

6. Vorderingen en verzoeken ten behoeve van het Europees Bureau voor Fraudebestrijding (OLAF):
De OLAF-verordening is aangevuld met een bepaling op grond waarvan nationale bevoegde autoriteiten verplicht zijn het OLAF voor haar onderzoeken informatie te verstrekken die beschikbaar is via het verwijzingsportaal bankgegevens. Verzoeken om informatie uit het verwijzingsportaal bankgegevens zullen eerst binnenkomen bij de Anti-Fraude Coördinatie Service van de Douane en deze zal de informatie met tussenkomst van de Fiscale Inlichtingen- en Opsporingsdienst verkrijgen en aan het OLAF verstrekken.

Ad 4-6: Hier kunnen goede redenen voor zijn maar dan moet er wel zeker worden gesteld dat deze instanties zorgvuldig handelen.

7. Aansluiting Centraal Justitieel Incassobureau (CJIB):
Het CJIB zal worden aangesloten op het verwijzingsportaal bankgegevens ten behoeve van:

a. de uitbetaling van het voorschot inzake het voorschotfonds aan slachtoffers in het kader van de door de rechter of de Officier van Justitie opgelegde schadevergoedingsmaatregel;
b. de inning van strafrechtelijke en administratieve geldelijke sancties en maatregelen;
c. reconciliatie.

8. Betalingsvordering Belastingdienst:
De Belastingdienst zal het verwijzingsportaal bankgegevens kunnen gebruiken voor de eerste stap van het proces van de betalingsvordering, namelijk het opvragen van saldogegevens.

Ad 7 en 8. Waarom krijgen het CJIB en de Belastingdienst deze voorkeursbehandeling? Iedere schuldeiser wil wel toegang tot de bankrekening, waarom deze wel en anderen niet? Wat is de onderbouwing daarvan?

Mij lijkt dat de grootschalige toegang die het Verwijzingsportaal zal gaan bieden alleen en onder strenge voorwaarden gebruikt mag worden voor belangrijke strafrechtelijke zaken, zoals onder 4-6 genoemd.

Oordeel AP

Naar het oordeel van de AP voldoet het wetsvoorstel nog steeds niet aan de eisen op het gebied van gegevensbescherming. Die eisen worden door de AP beschreven in de bijlage ‘Toetsingskader‘.

De AP constateert dat steeds meer overheidsinstanties op het portaal zullen worden aangesloten zonder toetsing van noodzaak en waarborgen (noot verwijderd):

In de toekomst zal een brede beleidsvisie op het geautomatiseerd opvragen van gegevens bij financiële instellingen worden opgesteld, die verder gaat dan het opvragen van gegevens voor de bestaande doelen door aangewezen overheidsinstanties bij aangewezen financiële instellingen. De AP wil voorkomen dat de hierboven genoemde doelen die het verwijzingsportaal dient geleidelijk opgerekt worden, waardoor steeds meer instanties op het snelle en efficiënte verwijzingsportaal aansluiten. Dit kan bijvoorbeeld in de vorm van een wettelijke doelbepaling, aan de hand waarvan bij iedere uitbreiding van het verwijzingsportaal de afweging gemaakt dient te worden of aansluiting van een instantie strookt met deze doelen. (…)

Het ontbreken van duidelijke kaders kan in de praktijk een groot risico voor de privésfeer van de burger worden, bijvoorbeeld als elke bevoegde ambtenaar op ieder gewenst moment en feitelijk gemakkelijk bankgegevens van vele onverdachte en onschuldige burgers kan opvragen en inzien. Bovendien bestaat het risico dat snelheid op steeds grotere schaal aan zorgvuldigheid in de weg kan staan.

De AP concludeert dat het aangepaste concept onvoldoende waarborgen bevat tegen ongebreidelde uitbreiding van het verwijzingsportaal met de daaraan verbonden risico’s voor de bescherming van persoonsgegevens, zodat het concept toetsing aan punt 4 rechtszekerheid respectievelijk punt 5 inhoudelijke en procedurele waarborgen van het kader in de bijlage dan ook nog steeds niet doorstaat. Wettekst en toelichting moeten daarom worden aangevuld of van voortzetting moet worden afgezien.