De Nederlandsche Bank (DNB) maakte bekend een boete aan bunq te hebben opgelegd vanwege onvoldoende cliëntenonderzoek.
Deze bank is in het verleden in het nieuws geweest wegens het onvoldoende nemen van cybersecurity maatregelen. Dat is geen onderwerp van het boetebesluit.

Grootschalige verwerking transactiegegevens
Uit het besluit blijkt dat DNB op grote schaal Nederlandse transactiegegevens verwerkt en op basis daarvan een AI model heeft gebouwd (het ‘outlierdetectiemodel’) waarmee vermoedelijk crimineel geld (verdachte transacties) kunnen worden opgespoord. Verder lijkt DNB op zeer grote schaal transactiegegevens bij bunq te hebben opgevraagd, verhullend aangeduid als transactiegegevens en ‘datapunten’.

Simon Lelieveldt reageerde er op in het artikel Boetebesluit Bunq roept vooral ook vragen op over rechtmatigheid dataverwerking klantgegevens en tooling DNB.

Klant 1 – de bloemenhandelaar
In het besluit worden een aantal voorbeelden besproken, waarbij opvalt dat niet systematisch naar inkomsten en uitgaven en naar het type afnemer en leverancier wordt gekeken. Ook de cijfermatige gegevens zijn voor een groot deel verwijderd, wat het er niet leesbaarder op maakt. Zoals gebruikelijk grossiert de toezichthouder in conclusies [1] maar wordt niet duidelijk gemaakt waar die conclusies op zijn gebaseerd. Gevolg is dat andere witwasbestrijdingsplichtigen niets van het besluit kunnen leren.

De tekst bij de eerste cliënt, een bloemenhandelaar, roept bij mij veel vragen op. Zoals:

• Zijn alle ondernemingen die internationaal handelen hoog risico en zo ja, welke gevolgen heeft dat voor de internationale handel? Of is alleen de bloemenhandel per definitie hoog risico?
• Er is een relatie met Rusland: betreft dit feiten vóór of na de inval in Oekraïne en de nieuwe sancties?
• Hoort iedere onderneming per definitie een website te hebben, ook als het om gespecialiseerde handel gaat waarbij een website geen rol speelt?
• Er zijn bankrekeningen in het buitenland (de landen worden niet vermeld) waarvan het doel of de achtergrond niet duidelijk is. Waarom niet? Is het hebben van een buitenlandse bankrekening per definitie verdacht?
• Waarom zijn transacties  met grote ronde bedragen per definitie verdacht?
• Moet een bank bedrijfsadressen van wederpartijen van een klant onderzoeken? Waarom moet het adres van een leverancier ook een adres zijn producten opgeslagen kunnen worden?
• Kan een bank inzicht hebben in het “totale cliëntbeeld”, zoals in paragraaf 104 wordt verondersteld?

Zo kan ik nog verder gaan. Het heeft een hoog ‘achteraf’ karakter, waarbij de vraag is of de genoemde feiten en omstandigheden niet ook bij legitieme klanten kunnen voorkomen. Een vergelijking met soortgelijke internationaal handelende bedrijven en hun kenmerken ontbreekt.

Klant 2 – de minderjarige
Het tweede voorbeeld betreft een minderjarige cliënt die hoog risico is. Waarom dat het geval is wordt niet toegelicht, merkwaardig. Wat er cijfermatig gebeurt is ook onduidelijk. Het transactievolume zou te hoog zijn (kennelijk in verhouding tot andere minderjarigen). Hoewel het niet om heel grote bedragen lijkt te gaan, lijkt DNB te verwachten van de bank dat in detail wordt gekeken naar de onderbouwing van betaalverzoeken. DNB concludeert dat de bank “aanvullend en diepgaand onderzoek … naar de (economische) rationale van de inkomende en uitgaande transacties” had moeten verrichten.
De vraag is of een nader onderzoek bij dit soort kleine klanten überhaupt zin heeft. Logischer is om na te gaan of het systeem van betaalverzoeken niet op de schop moet, nu het kennelijk criminele mogelijkheden biedt (welke wordt uit het besluit niet duidelijk [2]).

Hier zit DNB in privégegevens van burgers te neuzen. Is dat wel wenselijk?

Klanten 3 en 4 – de handelaarster in luxe horloges en juwelen | de cryptovaluta klant
Ook hier is de tekst dermate onduidelijk dat niet kan worden vastgesteld waarom het transactiepatroon of andere feiten en omstandigheden een vermoeden van crimineel geld oplevert.

Tot slot

Het zal me benieuwen wat de reactie van bunq op deze beslissing is. Ik begreep dat er beroep is ingesteld. De grote vraag is of DNB reële eisen aan de bank stelt op het gebied van het klantenonderzoek en transactiemonitoring.

Noten:

[1] Teksten als “Dit terwijl de transacties naar het oordeel van DNB kenmerken vertoonden die aanleiding hadden moeten zijn voor nader onderzoek naar de transacties”.
[2] Te denken valt aan optreden als geldezel. Maar ook kindermisbruik c.a. is mogelijk.