ESRB’s thirst for granular data

Geplaatst op 18 september 2024 door Ellen Timmer

The European Systemic Risk Board (ESRB) in an announcement highlighed that enhanced data sharing among EU authorities is key for the ESRB to deliver on its broad financial stability mandate:

Finally, the General Board highlighted that enhanced data sharing among EU authorities is key for the ESRB to deliver on its broad financial stability mandate. The General Board took note of the ongoing legislative process initiated with the European Commission’s proposal regarding reporting requirements in the fields of financial services and investment support (Regulation 2023/0363 (COD)). The General Board also acknowledged the European Parliament’s and Council’s first readings of that proposal, as well as the opinion of the ECB. In view of the announcement by the Hungarian Presidency of the EU to start the negotiations between the Parliament and the Council in the second half of the year, the General Board will present its views in a letter to the EU co-legislators in the coming weeks.

On 19 August ESRB sent data sharing letters to the European Parliament, the European Commission and the Council of the European Union.

In all of the letters, it is stressed ESRB needs granular data (microdata) for its work. These granular data include personal data of European citizens. In the letter to the Parliament ESRB notes:

The General Board of the ESRB firmly believes that timely access to granular data 1 is essential for the ESRB to fulfil its broad financial stability mandate. However, the ESRB’s access to data is not fully aligned with its objectives in several important areas. The rules governing the ESRB’s access to data can be divided into two frameworks: (i) ex ante, whereby the ESRB has access to data on a regular, ongoing basis, i.e. as soon as it is reported; and (ii) ex post, whereby it can only access data through ad hoc requests, which take time to process. As we demonstrate below, the ex ante framework is well aligned with the ESRB’s objectives and mandate, while the ex post framework has inherent limitations that hamper the ESRB’s ability to continuously monitor and mitigate risks to financial stability. Most importantly, the ex post framework applies to the ESRB’s access to certain granular data collected by the European Supervisory Authorities (ESAs).

Granting the ESRB ex ante access to granular data collected by the ESAs as part of structured, regular supervisory reporting should therefore be a priority. In the light of the European Parliament’s first reading, this improvement – referred to as “access by default” – will need to be considered by the EU co-legislators as part of the ongoing legislative process. The enhanced data sharing proposed by the European Parliament would improve the consistency and effectiveness of macroprudential oversight across sectors and strengthen statistical and analytical cooperation to the mutual benefit of the ESRB and the ESAs.

The General Board notes that the discussion among EU co-legislators will also touch upon other elements relating to the broader aim of the proposed regulation. However, the General Board strongly believes that enhancing data sharing between the ESAs and the ESRB is of primary importance for systemic risk monitoring and financial stability. To this end, the remainder of this letter discusses (i) the ESRB’s objectives, mandate and current rules governing access to granular data; (ii) how to better align the ESRB’s data access with its objectives and mandate; and (iii) other matters that would benefit from further clarification.

1 In this letter, the terms “data” and “information” are used somewhat interchangeably; the ESRB Regulation refers to “information”, while the specific legal acts mostly refer to “data reported”. Information can be defined as the sum of data and knowledge, while data require context and need to be processed, structured, organised and analysed to be understood.

ESRB requires granular data collect by the ESAs (footnotes deleted):

Most importantly, this framework applies to granular data collected by the ESAs within structured, regular supervisory reporting frameworks such as (i) COREP/FINREP data reported under CRD/CRR, (ii) data reported under Solvency II, and (iii) data reported under MiFID II and MiFIR. To date, cooperation between the ESAs and the ESRB has been excellent in this regard, despite the operational burden such ad hoc requests entail for all authorities involved, and the ESRB’s data requests have been always fulfilled. However, these data requests necessarily entail an institutional process of consultations and approvals, which results in a considerable time lag

They stress their need for these data (footnote deleted):

The ESRB’s experience over more than ten years of working with data has shown that monitoring an increasingly complex, interconnected and fast-moving financial system requires timely access to granular data. Modern financial systems are characterised by their interconnected, evolving and complex nature, with aspirations towards even greater integration, such as that envisioned under the Capital Markets Union (CMU). This interconnectedness facilitates risk sharing across various sectors, enhancing the resilience and efficiency of financial markets. However, it also poses a risk of contagion, where shocks in one sector can quickly propagate and take on cross-sectoral dimensions. To effectively monitor these risks and develop an appropriate policy response, it is crucial to link data across markets and counterparties. This requires granular data that facilitate a comprehensive analysis of how entities are interlinked and how risks can spread throughout the financial system. Moreover, monitoring and assessing systemic risks before they materialise (or in normal times) requires continuous access to information encompassing the various components of the financial system and their interdependencies, based on a broad set of relevant macroeconomic and micro-financial data and indicators.

According to the Board enhancing data sharing between the ESAs and the ESRB is increasingly important for the ESRB to continue delivering on its mandate.

The letters show that the government’s appetite for granular data is everywhere. Let’s hope data protection is in order.

Geplaatst in English - posts in English on this blog, Europa, Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce | Tags: , , , , , | Plaats een reactie

De missie van Human Rights in Finance.EU (HRIF.eu) | jaarverslag 2023

Geplaatst op 17 september 2024 door Ellen Timmer

Sinds enige tijd timmert de stichting Human Rights in Finance.EU (HRIF.eu) aan de weg op het gebied van grondrechten in het financiële domein.
Degene die meer wil weten over de beweegredenen van de stichting en de persoon die animator is van het initiatief, Simon Lelieveldt, kan terecht op de site.

Het jaarverslag 2023, Nederlandstalig (pdf), Engelstalig, in april 2024 uitgebracht, geeft achtergrondinformatie.

Ergernis klanten en machteloosheid
Op pagina 3 staat een toelichting op de aanleiding voor de stichting:

Iedereen kent (helaas) in zijn eigen omgeving het verschijnsel wel. Je bankrekening wordt geblokkeerd door de bank. Met een beetje pech ook de bankrekeningen waarop je gemachtigd bent. Vervolgens wordt de klant met heel korte tijdlijnen gevraagd allerlei informatie op te leveren. En doe je niet mee dan kan je rekening worden opgezegd worden. En alles onder de toon van: u moet bewijzen dat u geen witwasser or terrorist bent.

De grote irritatie die dit bij bankklanten veroorzaakt is terecht. In hun werkwijze schenden banken (maar ook soms: betaaldienstverleners of andere partijen die onder het financiële of witwastoezicht vallen) het grondrecht op privacy van de klanten en maken ze het door lange en ingewikkelde blokkadeprocedures het ten onrechte de klant mogelijk om over zijn eigen geld te beschikken. Daarbij moet de klant zijn onschuld bewijzen in plaats van de bank zijn verdenking op witwassen.

Juist omdat de klanten in hun portemonnee/pinpas worden geraakt durven ze niet individueel op te komen voor hun belangen. Want je riskeert zomaar dat je rekening weg is of een week niet kunt pinnen. Er is dus een groot machts-onevenwicht. De realiteit in de huidige digitale samenleving is daarbij dat onbelemmerd toegang tot je eigen digitale of contant geld, en zeker de toegang tot je eigen bankrekening en een randvoorwaarde is om je mensenrechten te kunnen uitoefenen.

HRIF schrijft dat een organisatie nodig is die voor de grote massa burgers en bedrijven opkomt, die duidelijk ervaren in hun rechten geschonden te worden, maar aan wie de expertise/gelden ontbreekt om hiervoor op te komen (2.5).

Doel: mensenrechten borgen in het economisch transactieverkeer in brede zin
Op pagina 4 en verder wordt uitgelegd dat de stichting tot doel heeft om banken en overheden met pen, publiciteit en procedure te wijzen op de verwevenheid en het belang van de bescherming en eerbiediging van fundamentele mensenrechten in het geldverkeer c.q. het economisch transactieverkeer.

Dat de grondrechten worden gerespecteerd, is in Nederland geen vanzelfsprekendheid [*]. Dat zegt niet alleen HRIF, want in het jaarverslag wordt ook het advies (pdf) van de Adviesraad Internationale Vraagstukken (AIV), geciteerd met onder meer:

Bagatelliseer de eigen mensenrechtelijke problemen – zoals de toeslagenaffaire – niet; pak deze krachtig aan en voorkom dubbele standaarden.

HRIF schrijft dat in de financiële sector in de witwasregelgeving de balans zoek is, waarbij beroep wordt gedaan op het proefschrift (pdf) van Carolin Kaiser, die zware kritiek heeft op de Europese antiwitwasregelgeving (die in Nederland is geïmplementeerd).
De Nederlandse regering heeft de pretenties dat bij de uitwerking van de Europese antwitiwasregelgeving de grondrechten zouden worden gerespecteerd, niet waar gemaakt. De evaluatie door de Europese Commissie van het Europese systeem heeft nog steeds niet plaats gevonden. In plaats daarvan heeft de Europese wetgever een nieuw antiwitwaspakket (AML Package) aangenomen. Daarover schrijft HRIF:

HRIF.EU constateert dat het wetgevend proces in Europa ernstige gebreken vertoont en er een groot belang is -ook vooraf (!)- de mensenrechten te beschermen. Wij beschouwen ons hierbij als Human Rights Defender onder VN Resolutie: A/RES/53/144 dd. 8 maart 1999.

Achtergrond: internationale actoren zoals FATF, die geen oog hebben voor mensenrechten
HRIF besteedt aandacht aan de opmerkelijke rol van internationale actoren zoals de Financial Action Task Force (FATF). De oorzaak van de mensenrechtenschendingen ligt bij hen, aldus HRIF:

De oorzaak van dit probleem zit op internationaal niveau bij de Financial Action Task Force on Fraud. Er zijn de nodige wetenschappelijke studies gedaan over de manier waarop, buiten democratische controle om, een internationale groep financiële beleidsmakers een web van intrusieve en massa-monitorende regelgeving over de wereld opdringen. Het formeel oogmerk is om witwassen tegen te gaan, terrorismefinanciering te voorkomen en sanctieregelingen te verordonneren. In de praktijk wordt echter een disproportioneel web van mensenrechtenschendingen voorgeschreven dat vanaf volledige massasurveillance doorgaat tot discriminatie op statelijk/nationaal niveau.

HRIF meldt ook de FATF-kritiek van het Brits instituut RUSI en het proefschrift van Mara Wesseling.

Voorts zijn Europese instanties relevant, zoals de bankentoezichthouder European Banking Authority (EBA) en de antiwitwastoezichthouder (in oprichting) Authority for Countering Money Laundering and Financing of Terrorism (AMLA) [**]. Zij maken regels zonder democratische controle. EBA heeft in het verleden niet laten zien oog te hebben voor mensenrechten.
In theorie zou er in Europa tegenwicht geboden moeten worden door de European Data Protection Board (EDPB) en de European Data Protection Supervisor (EDPS). De praktijk leert dat hun activiteiten onvoldoende effect hebben, wat ook zichtbaar is aan het AML Package.

Middel: publiciteit en procedures
HRIF geeft aan het doel te willen bereiken door middel van publiciteit, maar ook door procedures. De publiciteit verloopt via verschillende wegen. HRIF meldt de presentatie (pdf) over witwasbestrijding die op een financieel congres is gegeven en de kritiek op de sanctieregels. In januari 2023 gaf Lelieveldt een presentatie (pdf) tijdens de Nationale Privacy Conferentie van ECP en Privacy First. In 2023 initieerde HRIF een petitie tegen overmatige witwasmonitoring, die aan leden van de Tweede Kamer werd aangeboden.

In 2022 en 2023 is HRIF bezig geweest met politieke contacten het antiwitwas-systeem. Onder meer is verzocht om beëindiging van de melding van ongebruikelijke transacties en uitsluitend melden van subjectieve verdachte transacties. Verder is geageerd tegen het bancair sleepnet (Transactiemonitoring Nederland, ‘TMNL’) en tegen de Europese regelgeving die verplicht tot het meesturen van persoonsgegevens bij iedere betalingstransactie (‘Travel Rule’). HRIF is een annuleringsprocedure inzake de Travel Rule gestart. Verder is een tuchtklacht ingediend bij de bancaire tuchtinstantie.

HRIF gaat door en kan steun gebruiken
In 2024 zijn de activiteiten door gegaan, zoals ook op de site is te zien. HRIF kan gesteund worden door te doneren op hun bankrekening, die onder aan iedere pagina van de site is te vinden.

 

 

Noten:

[*] Zie ook paragrafen 2.1 tot en met 2.3 over nalatigheden van de Nederlandse overheid in het geldverkeer, onder meer de AVG-boetes voor de Belastingdienst, de SyRI affaire en het door De Nederlandsche Bank dwingen van cryptoaanbieders tot sanctiemaatregelen, waarvoor geen zonder wettelijke grondslag was.

[**] De site van AMLA is nog niet actief.

Geplaatst in Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce | Tags: , , , , , , , , , , , , , , , , , , | Plaats een reactie

Vrijspraak van corruptie – getekend voor het leven

Geplaatst op 16 september 2024 door Ellen Timmer

Een verdachte – blijkens de uitspraak geboren in 1966 – werd op 14 augustus jl. door het Gerechtshof Arnhem-Leeuwarden vrij gesproken van de verdenking van corruptie [1].

Zo’n vrijspraak geeft aan dat op het Openbaar Ministerie een zware verantwoordelijkheid rust als iemand wordt vervolgd voor corruptie of andere vormen van financieel-economische criminaliteit. De emotionele schade die door de strafzaak wordt toegebracht aan de verdachte kan immers niet ongedaan worden gemaakt.

De beschuldigingen hadden betrekking op:

Feit 1: niet ambtelijke omkoping van een medewerker van Google;
Feit 2: valsheid in geschrift, door valse facturen in de bedrijfsadministratie van verschillende vennootschappen van het inmiddels failliet verklaarde [concern] op te doen nemen en hierin valse boekingen te doen;
Feit 3: (gewoonte)witwassen van een bedrag 1.697.887;
Feit 4: deelneming aan een criminele organisatie.

De bewijsvoering van het OM is gebaseerd op verklaringen van twee getuigen (‘[naam 1]’ en ‘[naam 3]’) die schuld hebben bekend in het kader van Amerikaans strafrechtelijk onderzoek, de zogenaamde ‘plea bargain’, waarover het hof opmerkt:

De verklaringen van [naam 1] en [naam 3] zijn echter afgelegd in het kader van een plea bargain met de Amerikaanse autoriteiten. Toen [naam 1] en [naam 3] hun verklaringen aflegden was het nog onduidelijk wat hun eigen straf zou worden, waardoor niet valt uit te sluiten en door het hof ook niet onaannemelijk wordt geacht dat zij in hun eigen voordeel hebben verklaard door de rol van [medeverdachte] en verdachte te vergroten. Deze verklaringen kunnen daarom naar het oordeel van het hof slechts met de nodige behoedzaamheid worden gebruikt en zijn slechts bruikbaar voor het bewijs voor zoverre zij door steunbewijs worden ondersteund.

Opvallend is dat inzake de omkoping beroep wordt gedaan op een verklaring van [naam 1] terwijl de twee andere aanwezigen bij dat gesprek het verklaarde ontkennen. Daar komt  nog  bij dat het hof het onaannemelijk acht dat uit het niets smeergeldvoorstellen worden gedaan. Ook op grond van andere omstandigheden ontstaat bij het hof niet de overtuiging van schuld en wordt verdachte vrijgesproken van omkoping, wat er toe leidt dat de overige beschuldigingen evenmin bewezen.

Leren van fouten
Het is te hopen dat het OM heeft geleerd van deze corruptie-zaak en van de corruptie-zaak inzake de Haagse wethouder [2].
Uit de uitspraak blijkt niet of meldingen van ongebruikelijke transacties door banken of andere Wwft-plichtigen een rol hebben gespeeld in het ontstaan van deze strafzaak [3]. Als dat het geval is geweest, is belangrijk dat wordt nagegaan of er door de Wwft-plichtigen en/of FIU Nederland fouten zijn gemaakt, zodat daarvan kan worden geleerd.

 

 

Noten:

[1] Eerder werd verdachte door de rechtbank veroordeeld “ter zake van medeplegen van actieve niet-ambtelijke omkoping, meermalen gepleegd (feit 1), medeplegen van valsheid in geschrift, meermalen gepleegd (feit 2) en medeplegen van gewoontewitwassen (feit 3)“. Dat leverde op: “een voorwaardelijke gevangenisstraf voor de duur van zes maanden met een proeftijd van twee jaren en een taakstraf van 180 uren, subsidiair 90 dagen hechtenis”, waarbij de beschuldiging van deelneming aan een criminele organisatie van tafel ging.

[2] Zie Afgang van het Openbaar Ministerie in de zaak van de Haagse wethouder.

[3] Eerder schreef ik Onderneming gedupeerd door onterechte melding van ‘ongebruikelijke transactie’.

 

 

 

Aanvulling 26 november 2024 – corruptiebeleving
Op eucrim stond een artikel over corruptiebeleving, Eurobarometer: Citizens and Businesses Remain Concerned over Corruption, 17 oktober 2024. Bij dit soort onderzoeken vraag ik me altijd af welke corruptie definitie wordt gehanteerd. Ik ken mensen die ongeveer iedereen met wie ze het niet eens zijn ‘corrupt’ noemen.

Geplaatst in Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten, Strafrecht | Tags: , , , , | Plaats een reactie

Interface bepleit betere regelgeving inzake data analyse door Duitse inlichtingendiensten

Geplaatst op 15 september 2024 door Ellen Timmer

De Duitse nonprofit organisatie Interface publiceerde een rapport over digitale gegevensanalyse door de Duitse inlichtingendiensten. Daarin wordt gepleit voor betere regelgeving [1].

De auteurs constateren dat inlichtingendiensten steeds grotere hoeveelheden gegevens verwerken en dat zij dit in toenemende mate doen door middel van geautomatiseerde gegevensanalyse. Men veronderstelt dat die werkwijze ook voordelen biedt, waarbij door de voorstanders de bekende verhalen over efficiëntie en het duidelijk worden van verborgen patronen worden verteld [2].

Aan de analyseactiviteiten zijn ook risico’s verbonden, nu er allerlei gegevens automatisch worden gekoppeld, gedragspatronen worden geanalyseerd en relatie- en communicatienetwerken in kaart worden gebracht.

Illustratie uit het rapport

 

De diepgaande analyses kunnen ook betrekking hebben op onschuldige burgers, die – als ze er weet van krijgen – angstig kunnen worden, terwijl ze zich tegen de inbreuk op hun privéleven niet kunnen verdedigen [3]. Er zijn in Duitsland onvoldoende waarborgen voor burgers (waarschijnlijk is dat in Nederland niet anders). Door de inzet van data analyse wordt de surveillance druk sterk verhoogd, terwijl waarborgen tegen schending van grondrechten ontbreken [4].

De auteurs van het rapport bepleiten de volgende maatregelen:

  • een  betere juridische grondslag voor data analyse;
  • regeling inzake inbreuken op grondrechten door data analyse, waarbij onderscheid kan worden gemaakt op basis van de ernst van de inbreuk;
  • op basis van deze regeling waarborgen creëren om onevenredige inbreuken als gevolg van data analyse tegen te gaan;
  • versterking van de controle op het gebruik van data analyse door de inlichtingendiensten, bijvoorbeeld door de federale privacytoezichthouder bevoegdheden te geven.

Illustratie uit het rapport

 

Dit is problematiek die overal in Europa, ook in Nederland, speelt en die ook in de private sector aan de orde is, zeker als bedrijven overheidstaken uitvoeren, zoals de witwasbestrijding door banken.

 

Noten:

[1] Algorithmische Aufklärung: Warum Nachrichtendienste rechtliche Leitplanken für automatisierte Datenanalysen brauchen, online versie rapport, pdf-versie rapport.

[2] Zie in de samenvatting: “Nachrichtendienste stehen weltweit vor dem Problem, dass sie immer größere Datenmengen bewältigen müssen, die sie mit unterschiedlichen Methoden erheben. Deshalb greifen die Dienste – auch in Deutschland – auf Systeme zur automatisierten Datenanalyse zurück. Das Versprechen, das damit verbunden ist: Ihre Arbeit wird effektiver, zuvor verborgene Informationen werden sichtbar. Bisher waren es vor allem endliche Personalressourcen, die der Auswertung großer Datenmengen Grenzen gesetzt haben. Heute sollen automatisierte Datenanalysetools helfen, genau diese Grenzen zu überwinden.”

[3] In de samenvatting staat daar over: “Mithilfe komplexer Algorithmen sollen automatisiert Daten strukturiert und verknüpft, Verhaltensmuster analysiert, Beziehungs- und Kommunikationsnetzwerke erstellt und Auffälligkeiten identifiziert werden. Von einer solchen Verarbeitung betroffen sein können auch Menschen, deren Verhalten dafür keinen Anlass gegeben hat. Verschiedene Faktoren verschärfen die Eingriffe: die möglichen Einblicke in persönlichkeitsrelevante Bereiche sind besonders tief, die Eingriffe haben eine große Streubreite – betreffen also potenziell sehr viele Menschen auf einmal –, wodurch wiederum Einschüchterungseffekte entstehen können, wenn sich Menschen zunehmend überwacht fühlen. Dazu kommt, dass automatisierte Methoden anfällig für diskriminierende Verzerrungen, Manipulationen und andere Fehler sind. Betroffene können sich kaum dagegen zur Wehr setzen – nicht zuletzt deshalb, weil sie häufig gar nicht wissen, in welcher Weise Nachrichtendienste ihre persönlichen Daten auswerten.”

[4] Samenvatting: “Denn durch den Einsatz dieser Methoden wird der Überwachungsdruck drastisch erhöht – und zwar ohne, dass entsprechende Sicherungsmechanismen geschaffen werden, die missbräuchlichen Eingriffen in Grundrechte entgegenwirken.“

Geplaatst in Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce | Tags: , , , , , | Plaats een reactie

Toegang tot microdata van het CBS

Geplaatst op 14 september 2024 door Ellen Timmer

De toegang tot microdata van het CBS is – zo blijkt uit een recente brief van de de staatssecretaris Jeugd, Preventie en Sport [*] – een ‘aanvullende statistische dienst’:

De toegang tot microdata via de remote access faciliteit van het CBS is een aanvullende statistische dienst zoals bedoeld in de ‘Beleidsregel taakuitoefening CBS’ (hierna: beleidsregel) en de ‘Regeling werkzaamheden derden CBS’ (hierna: ministeriële regeling). Bij de vraag of het CBS de aangewezen partij is om een statistisch onderzoek te verrichten spelen twee publieke belangen een rol. Het is een publiek belang dat praktijk, beleid en wetenschap toegang hebben tot hoogwaardige statistische informatie. Tegelijk is het een publiek belang dat voldoende ruimte is voor private statistische dienstverleners. Omdat een aantal jaar geleden door de sterke toename van databronnen en het aantal aanbieders van statistische diensten onduidelijkheid was ontstaan over de rolverdeling tussen het CBS en marktpartijen, zijn op 1 juli 2020 de ministeriële regeling en de beleidsregel in werking getreden. Deze beogen meer duidelijkheid te scheppen over die rolverdeling en doen dit ook volgens een recente onafhankelijke evaluatie van KWINK Groep. De ministeriële regeling regelt in welke situaties en onder welke voorwaarden het CBS statistische werkzaamheden voor derden mag verrichten. In de beleidsregel wordt het proces rondom aanvullende statistische dienstverlening (aan derden en niet derden) van het CBS gespecificeerd.

Over de regels is een procedure gaande tussen CBS / Staat der Nederlanden en een marktpartij, Data & Insights Network (D&IN, voorheen de MarktOnderzoekAssociatie.nl).

In de brief komt ook het onderwerp gegevensbescherming aan de orde, waarover de staatssecretaris schrijft:

Ik ben van mening dat het waarborgen van privacy en het goed onderbouwen en monitoren van vraagstukken omtrent gegevensuitwisseling voor wetenschappelijk onderzoek geen verspilling is van publieke middelen.

waarna wordt aangegeven dat de AVG van toepassing is en dat de algemene beginselen uit de AVG gelden, onder meer het beginsel van dataminimalisatie:

Een ander beginsel betreft dat van dataminimalisatie. Dat beginsel houdt in dat persoonsgegevens alleen mogen worden verwerkt voor zover dat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Dit beginsel kan in deze kwestie met zich meebrengen dat niet onnodig en herhaaldelijk persoonsgegevens worden uitgewisseld, mede omdat dat het risico in zich bergt dat persoonsgegevens op een onrechtmatige wijze worden verwerkt of in handen van onbevoegden komen. Het is dan ook een misvatting dat onderzoekers de data financieren. De in artikel 89 lid 1 van de AVG genoemde passende waarborgen zijn namelijk niet gratis. Deze maatregelen zijn van belang om eventuele onthulling te voorkomen en moeten voor nieuwe onderzoeken opnieuw worden getoetst aan het in artikel 5 genoemde beginsel van dataminimalisatie.

Gegevensbescherming
Het CBS bezweert dat er hoge eisen worden gesteld aan de toegang tot microdata, bekijk deze pagina. Daar staat onder meer:

Uw aanvraag wordt getoetst door het CBS op onder andere de vraag of de instelling het verrichten van statistisch of wetenschappelijk onderzoek als hoofdactiviteit heeft en publiceert voor de openbaarheid

De privacyverklaring voor deelnemers aan enquêtes is hier te vinden; zie ook de veelgestelde vragen. De voornoemde privacyverklaring lijkt ook de algemene verklaring te zijn, want vanuit de organisatiepagina wordt er eveneens naar verwezen.

 

 

[*] Brief van de staatssecretaris Jeugd, Preventie en Sport van 4 september 2024.

 

 

Lees de artikelen op dit blog over de microdata van CBS en over microdata in het algemeen.

 

 

Aanvulling 3 januari 2025
Er is contact tussen het CBS en de Autoriteit Persoonsgegevens (AP) geweest, zie het nieuwsbericht van de AP van 30 oktober 2024 en de bijgevoegde brief van 28 oktober 2024 (pdf). In die brief schrijft de AP dat de juridische uiteenzetting door het CBS correct is en meldt:

Wel wil ik u meegeven dat de AP niet op voorhand, in zijn algemeenheid, kan zeggen of het CBS in afzonderlijke zaken ook aan alle overige voorwaarden (niet zijnde de rechtsgrond) voor de verwerking van persoonsgegevens voldoet. Het is aan het CBS om, per geval, aan te tonen dat aan alle voorwaarden wordt voldaan voor het ontvangen en verwerken van gegevens, desnoods met een extra Data Protection Impact Assessment (DPIA). De AP ziet vervolgens toe op een goede naleving van de AVG door het CBS.

Geplaatst in Grondrechten | Tags: , , , , , , | Plaats een reactie

Nederland is voorstander van overheidstoegang tot vertrouwelijk berichtenverkeer van burgers | Going Dark

Geplaatst op 13 september 2024 door Ellen Timmer

De media besteden er geen aandacht aan: de Nederlandse regering is voorstander van het Europese ‘Going Dark’ voorstel, zo valt te lezen in een recent verslag [*]. Dat voorstel is gedaan door een Europese werkgroep, de High-Level Group (HLG) over “access to data for effective law enforcement“, waar ik eerder over schreef.

De HLG stelt voor dat opsporingsinstanties altijd toegang moeten kunnen krijgen tot geëncrypte communicatie (zoals via whatsapp en signal) en dat er  real time toegang tot elektronische communicatie nodig is. Dat betekent dat burgers zich niet meer kunnen beveiligen tegen criminelen en datagulzige advertentiebedrijven, om van vijandige overheden maar te zwijgen.

 

 

[*] Verslag van de informele bijeenkomst van de Raad Justitie en Binnenlandse Zaken, 22 en 23 juli 2024 te Boedapest, zie paragraaf 4 Bestrijding georganiseerde criminaliteit: “Tevens werd door veel lidstaten, waaronder Nederland, het werk en de aanbevelingen van de high level group on lawful access to data (HLG) verwelkomd“.

 

Lees de berichten op dit blog over het Going Dark voorstel  en over encryptie.

Geplaatst in Europa, Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce | Tags: , , , , | Plaats een reactie

Autoriteit Persoonsgegevens aan de slag met Big Tech | boetes voor Uber en Clearview

Geplaatst op 12 september 2024 door Ellen Timmer

De Autoriteit Persoonsgegevens (AP) heeft de internationale grootbedrijven Uber en Clearview aangepakt met boetes, lees de aankondigingen:

Uber is helemaal niet ‘disruptive’, het lapt gewoon wetgeving aan de laars
Over Uber verscheen op 2 september een uitgebreid artikel bij Investico. Daaruit blijkt dat Uber onder meer mensenrechten aan de laars lapte [*]. In het artikel wordt onder meer Geert-Jan Knoops, advocaat bij het Internationaal Strafhof, geciteerd:

Hij noemt het ‘merkwaardig’ en ‘riskant’ dat het Europese hoofdkantoor van Uber in Amsterdam rechtstreeks informatie overdraagt aan het Colombiaanse justitie.

‘Je kunt als Nederlands bedrijf niet zomaar gegevens over burgers overdragen aan andere staten. De koninklijke weg is dat dit gebeurt via een rechtshulpverzoek van Colombia aan het Nederlandse justitie, die dat vervolgens alleen inwilligt onder zeer strenge voorwaarden. Er moet een strafrechtelijke verdenking zijn, en er moeten garanties zijn dat de rechten van burgers voldoende worden beschermd.’

De informatie over de aanpak van Uber maakt duidelijk dat beschermen van de persoonsgegevens totaal oninteressant werd gevonden, ook omdat het ‘te duur’ zou zijn. Dat is kenmerkend voor veel techbedrijven en maakt het nodig dat er krachtig wordt opgetreden.

Toontje lager
Beide bedrijven zullen grote advocatenteams klaar hebben staan om de AP een toontje lager te laten zingen.

Clearview slaagde er in het VK al in om van de Engelse privacy autoriteit te winnen, lees dit artikel. Volgens BBC is de kern: “In simple terms, Clearview succeeded in appealing against the ICO’s fine and enforcement action because it was used solely by law enforcement bodies outside the UK.”

 

 

[*] “In 2022 maakte Investico voor De Groene Amsterdammer samen met Trouw en Het Financieele Dagblad onderdeel uit van het internationale team dat onderzoek deed naar de Uber Files (…). Het liet zien hoe Uber, opgericht in 2009, in moordtempo uitrolde over de wereld waarbij het alle wetgeving aan haar laars lapte.“

Geplaatst in Grondrechten, ICT, privacy, e-commerce | Tags: , , , , | Plaats een reactie

Privacy First verzoekt De Nederlandsche Bank en Minister van Financiën om aanpassing identificatiepraktijken van financiële instellingen

Geplaatst op 12 september 2024 door Ellen Timmer

Privacy First heeft vandaag een verzoek aan De Nederlandsche Bank (DNB) en de minister van Financiën gedaan om de identificatiepraktijken van financiële instellingen aan te passen. De tekst van het bericht volgt hier onder. Het verzoek wordt in een pdf-document toegelicht. Daarin wordt de toepasselijke regelgeving besproken en wordt ingegaan op de rechtspraak en beslissingen van Kifid.

Het artikel van Privacy First:

 

Privacy First verzoekt De Nederlandsche Bank en Minister van Financiën om aanpassing identificatiepraktijken van financiële instellingen

Financieel | 12 september, 2024

Vanwege de digitale ontwikkelingen, onder meer op het gebied van kunstmatige intelligentie, nemen de risico’s rondom identiteitsfraude sterk toe. De afgelopen jaren heeft Stichting Privacy First regelmatig signalen van burgers ontvangen die zich zorgen maken over de wijze waarop financiële instellingen, zoals banken, hun identiteit verifiëren.

Risico’s identiteitsfraude

Deze signalen waren voor Privacy First aanleiding onderzoek te doen naar de achtergrond. Daarbij kwamen we veel tegen wat ons zorgen baart, onder meer in de rechtspraak en in beslissingen van geschillenbeslechter Kifid.

Met beroep op de antiwitwaswet Wwft [*] verlangen financiële instellingen dat kopieën van identiteitsbewijzen worden gemaakt zonder dat de foto en het BSN mogen worden afgeplakt en wordt soms van klanten verlangd dat zij foto’s of video’s van zichzelf maken. De financiële instellingen bewaren de kopieën en de beelden zeer langdurig en vragen soms tijdens een bestaande relatie opnieuw om identificatie. Dit levert grote gegevensbeschermingsrisico’s voor burgers op en is in strijd met de Wwft en AVG.

Verzoek aan DNB en de Minister van Financiën

Privacy First heeft vandaag een uitgebreid gemotiveerd verzoek gestuurd aan bankentoezichthouder De Nederlandsche Bank en aan de Minister van Financiën om maatregelen te nemen zodat financiële instellingen de Wwft en de AVG beter naleven en het risico op identiteitsfraude wordt beperkt.

In dit verzoek komen wij onder meer tot de volgende conclusies en aanbevelingen:

  • De Wwft biedt geen grondslag voor het langdurig bewaren van kopieën van identiteitsbewijzen.
  • Het maken van selfies en video-opnamen wordt evenmin door de Wwft voorgeschreven en ook een grondslag voor het bewaren ontbreekt. Het gebruik ervan is alleen toegestaan als sprake is van een adequate onderbouwing.
  • Het langdurig bewaren van kopieën van identiteitsbewijzen, selfies en video-opnamen leidt tot verhoogde risico’s op identiteitsmisbruik. Als er een aantoonbare noodzaak tot bewaren zou zijn, dient dat zo kort mogelijk te duren, ter voldoening aan het dataminimalisatiebeginsel van de AVG. De kopieën van identiteitsbewijzen en de beelden dienen alsdan zo spoedig mogelijk te worden verwijderd.
  • Op grond van de Wwft en de AVG dienen de identificatiemaatregelen van Wwft-plichtige ondernemingen aantoonbaar proportioneel te zijn en niet verder te gaan dan nodig voor het beoogde doel. Dat betekent dat de risico’s van identiteitsmisbruik zo goed mogelijk gemitigeerd moeten worden en financiële instellingen dit ook aan de burger kunnen aantonen.
  • Financiële instellingen vervullen een maatschappelijk essentiële functie en zijn digitale ondernemingen zonder fysieke kantoren geworden. Dat heeft riskante identificatiepraktijken in de hand gewerkt. Wij menen dat van de financiële instellingen mag worden verwacht dat zij laagdrempelige fysieke identificatiemogelijkheden bieden, zodat riskante digitale handelingen worden voorkomen.
  • Het is nodig de aanpak bij verificatie van de identiteit op grond van de Wwft ingrijpend aan te passen, zodat wordt voorkomen dat andere Wwft-plichtige ondernemingen het slechte voorbeeld van de financiële sector volgen.

Ons gehele verzoek aan DNB en de Minister van Financiën kunt u HIER downloaden (pdf).

Onze wens is dat er een beweging op gang komt ter verbetering van de gegevensbescherming van burgers door financiële instellingen.

Wij hebben de vaste commissies voor Financiën, Digitale Zaken en Justitie en Veiligheid van de Tweede Kamer hierover geïnformeerd, evenals een aantal andere relevante partijen.

 

[*] De Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft).

Geplaatst in Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce | Tags: , , , , , , , , , , , | 1 reactie

FATCA-victim in the UK declared inadmissible in proceedings due to not disclosing litigation financier

Geplaatst op 11 september 2024 door Ellen Timmer

Lawyer Filippo Noseda announced in this article that his client Jenny was declared inadmissible in proceedings because she did not disclose the identity of her main funder.
Noseda explains his views on the judgments in the interview “In the Pages: The FATCA Wars: Jenny’s Day in Court” (Tax Notes International, July 19, 2024) and in an article in Tax Notes, The FATCA Wars: Technical Knockout. Game, Set, Rematch?

Geplaatst in Belastingrecht, English - posts in English on this blog, Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten | Tags: , , , | Plaats een reactie

DNB en AFM zijn niet geschikt voor toezicht op gebruik AI door financiële instellingen

Geplaatst op 11 september 2024 door Ellen Timmer

Simon Lelieveldt van Human Rights in Finance.EU publiceerde in het NRC de opinie Toezicht AI moet onafhankelijk zijn (betaalmuur).
Daarin legt hij uit dat De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) wegens tegenstrijdig belang niet geschikt zijn als toezichthouder op het gebruik van kunstmatige intelligentie door financiële instellingen. Terecht schrijft Lelieveldt over het toezicht op de witwasbestrijdingstaken van banken die financiële surveillance met zich mee brengen en de rol van DNB en AFM daarbij:

Ze zijn immers zelf verantwoordelijk voor het instrueren van banken om klantgegevens massaal te analyseren

Dat kan natuurlijk nooit samen gaan met onafhankelijk AI-toezicht.

Geplaatst in Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce | Tags: , , , , , , , , , | Plaats een reactie