Challenging Public Private Surveillance Partnerships – Privacy International | AML, CFT

Geplaatst op 10 augustus 2023 door Ellen Timmer

Privacy International (PI) wrote about a phenomenon also visible in crime fighting: the privatisation of public responsibilities. PI focuses on the use of private technology companies (nowadays banks also qualify as technology companies) through public-private partnerships (‘PPPs’) and announced:

As states around the world seek to expand their surveillance capabilities and harness the power of data to deliver public services, they are often tempted to use the services of private technology companies – through public-private partnerships (‘PPPs’). These collaborations are taking on a new form, diverging from traditional public procurement relationships and becoming much more co-dependent.

The privatisation of public responsibilities requires more scrutiny than ever to ensure human rights are not quietly abused. This is particularly true when the systems deployed are used for surveillance and mass processing of personal data. Private companies have been known to play with the limits of what can legally and ethically be done with individuals’ identities and data, without the same level of accountability required of public authorities – a significant affront to fundamental rights when used to deliver a public service.

Civil society has the power to expose the risks and issues that emerge from these partnerships, through investigation and public reporting. But identifying concrete risks and potential human rights abuses is not an easy task for anyone as it requires a multilevel understanding of the tech, law and governance mechanisms involved. Building on our own investigative work and on the expertise of our partners around the world, Privacy International has designed a handbook for civil society organisations, non-governmental organisations, academics and individuals to navigate these partnerships, providing keys to obtain crucial information, understand the technology at stake and identify privacy and governance concerns.

To support anyone trying to find out more about a public-private surveillance partnership and identify key risks and issues, this handbook is divided in to four main sections: the first section covers investigative risks, the second section explains how to gather key information related to the partnership through a variety of means, the third section provides some methods to investigate the technology at play in the partnership, and the fourth section looks into governance concerns and safeguards, including international best practice, data protection issues, and other governance mechanisms.
The checklists provided at the end of this handbook can be used as an overview of key things to investigate, and to help you keep track of your work.

This handbook is intended to help you:
* Investigate a public-private partnership, find out relevant information
* Ask the right questions to the partners involved (private and public)
* Identify concerns related to the technology involved and the governance of the partnership

We have separately developed a set of safeguards for public-private surveillance partnerships, that you can use for advocacy ideas once you have identified concerns through this handbook.

It looks like an important initiative, that may be useful in challenging the anti-money laundering (AML) and countering terrorist financing (CFT) concepts of FATF, the EU and the national EU-governments.

 

More information:

There are also versions of the handbook in other languages available: French, Spanish and ??? (Arabic?).

Geplaatst in English - posts in English on this blog, Europa, Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce | Tags: , , , , , , | Plaats een reactie

BKR is verplicht zelf verwijderingsverzoeken te beoordelen | AVG

Geplaatst op 9 augustus 2023 door Ellen Timmer

In juni deed het Gerechtshof Arnhem-Leeuwarden een interessante uitspraak over het Bureau Kredietregistratie (BKR), de omstreden stichting uit de financiële sector. Eerder stelde de Hoge Raad al vast dat BKR zelf verwerkingsverantwoordelijke in de zin van de AVG is en zich niet achter de financiële instellingen kan verschuilen waar ze voor werkt.

De uitspraak van het gerechtshof ligt in het verlengde daarvan. Zie met name overweging 2.11 (‘CKI’ is het kredietregister dat BKR bijhoudt):

2.11. Tussen partijen is niet in geschil dat BKR verwerkingsverantwoordelijke is voor de verwerking van persoonsgegevens in het CKI. Zoals uit het hiervoor aangehaalde artikel 21 AVG blijkt, rust op de verwerkingsverantwoordelijke de verplichting om een bezwaar van een betrokkene in behandeling te nemen en de verwerking te staken, tenzij aan een van de uitzonderingsgronden van artikel 21 AVG is voldaan. Bovendien dient de verwerkingsverantwoordelijke op grond van artikel 12 lid 2 AVG de uitoefening van de rechten van betrokkenen uit hoofde van artikel 15 tot en met 22 te faciliteren. Uit de hiervoor aangehaalde artikelen volgt dan ook dat BKR als verwerkingsverantwoordelijke is gehouden om een bezwaar van een betrokkene en een daaruit voortvloeiend verwijderingsverzoek in behandeling te nemen.
BKR heeft aangevoerd dat sprake is van ketenverantwoordelijkheid en dat zij om die reden zelf slechts een beperkte uitvoerende verantwoordelijkheid heeft. Haar verantwoordelijkheid is volgens haar beperkt tot het waarborgen van de volledigheid, de accuraatheid en beschikbaarheid van de kredietgegevens in het CKI (in die zin dat de kredietgegevens in het CKI worden weergegeven zoals kredietaanbieders die op doorlopende basis aanleveren overeenkomstig het daadwerkelijke verloop van de kredietovereenkomsten) en strekt zich niet uit tot de rechtmatigheidstoets van de verwerking van de persoonsgegevens in het CKI.
Het hof volgt BKR hier niet in. Ook als sprake is van ketenverantwoordelijkheid, is BKR verwerkingsverantwoordelijke voor de gegevens zoals weergegeven in het CKI. BKR en de kredietaanbieders zijn ieder afzonderlijk verantwoordelijk voor het geheel van de verwerking van persoonsgegevens in het CKI en dus de registratie van achterstands- en bijzonderheidscoderingen. (…)
Integendeel, van BKR kan juist gelet op haar verantwoordelijkheden, bevoegdheden en mogelijkheden verlangd worden dat zij als verwerkingsverantwoordelijke zich over een bezwaar of verwijderingsverzoek buigt, omdat de gegrondheid van het bezwaar of een toewijzing van het verzoek ertoe kan leiden dat de door BKR verwerkte persoonsgegevens in het CKI niet in stand kunnen worden gelaten.

De uitspraak maakt duidelijk dat het hoog tijd is dat de door de overheid verplichte kredietregistratie anders wordt ingericht. Op dit moment loopt een consultatie, die op 3 september a.s. sluit. Dat is een goede gelegenheid om aan te dringen op een volledig andere inrichting van het systeem.

Geplaatst in Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten | Tags: , , , | Plaats een reactie

Anti-OESO campagne | belastingrecht

Geplaatst op 8 augustus 2023 door Ellen Timmer

Er is een internationale campagne tegen de OESO gaande, onder meer door Tax Justice Netwerk (TJN). Geen Nederlands medium schrijft er over, terwijl ik graag zou willen weten waar het werkelijk over gaat, wat de verschillen zijn en hoe het zit met de praktische uitvoerbaarheid. Dus voorlopig zullen we het moeten doen met de propaganda van door overheden gefinancierde marketingclubs als TJN.

TJN verwijst naar dit Duitstalige artikel op de DW site.

 

Geplaatst in Belastingrecht, Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten | Tags: , , | Plaats een reactie

Cybersecurity in de financiële sector en de blinde vlak van AFM en DNB

Geplaatst op 7 augustus 2023 door Ellen Timmer

Hoewel financiële instellingen datalekken niet aan betrokkenen hoeven te melden (artikel), moeten zij wel degelijk cybersecurity maatregelen nemen.

Financiële toezichthouder AFM publiceerde recent een bericht waarin aandacht wordt gevraagd voor de Digital Operations Resilience Act (DORA). DNB publiceerde diverse berichten over cybersecurity, onder mee:

Blinde vlek voor communicatie met de klant en de gegevensverwerking op grond van de Wwft
Mij valt op dat deze toezichthouders niet optreden tegen de huidige praktijken van financiële instellingen om onveilig met de klanten te communiceren inzake het cliëntenonderzoek op grond van onder meer de Wwft.

Zo zijn er weinig banken die een beveiligd kanaal aanbieden voor het uploaden van vertrouwelijke documenten (inclusief persoonsgegevens) [*]. Er wordt zeer veel per e-mail uitgewisseld, wat een inherent onveilig communicatiemiddel is, zie bijvoorbeeld de Belastingdienst:

Een van de ernstigste AVG-overtreders is ING Bank die persoonsgegevens van uiteindelijk belanghebbenden per e-mail opvraagt. Met moeite kan een andere route worden gevonden, die door deze bank wordt afgeraden omdat de verwerking dan langer zou duren.

Ook is er geen aandacht bij AFM en DNB voor de wijze waarop financiële instellingen met het cliëntenonderzoek omgaan en of wel correct aan dataminimalisatie wordt gedaan, om de cybersecurity risico’s te verminderen.

 

[*] Er is een enkele bank die een beperkte hoeveelheid gegevens via de bank-app of via de site laat verlopen, dat kan dan alleen de rekeninghouder zelf.

Geplaatst in Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce | Tags: , , , , , , | 1 reactie

Annullment of the Travel Rule Regulation | Regulation (EU) 2023/1113 (Wtr3)

Geplaatst op 6 augustus 2023 door Ellen Timmer

Simon Lelieveldt announced [1] he is underway in the work of setting up a coordinated action to challenge the newest version of the European Travel Rule Regulation [2], also referred to as ‘Wire Transfer Regulation’ (Wtr). His focus will  be on the extra requirements for cryptocurrency providers.

Payment data sent all over the world
The Wtr is regulation unknown to the public, which requires payment service providers to send data on the payer and recipient of remittances with every transfer of funds [3]. That requirement does not only apply within the EU. Payment service providers outside the EU also receive all that data, with all the data protection risks that entails. Lelieveldt writes on the data protection risks:

So what we can see is that we have the FATF ‘recommending’ to spread out data all over the world (a bad idea to begin with) and the EU rulemakers topping it up to a degree, eliminating proportionality and finalizing the rule without understanding it is related to other rules.
There are fundamental arguments against the whole EU travel rule as well as the part where it is disproportional in its workings.

In the newest version of Wtr cryptocurrency providers are also included. They have more obligations than payment service providers [4].

 

Notes

[1] Thread on constitutionality of the Travel Rule in crypto.

[2] Regulation (EU) 2023/1113 of the European Parliament and of the Council of 31 May 2023 on information accompanying transfers of funds and certain crypto-assets and amending Directive (EU) 2015/849, EUR-Lex page.

[3] In the current version of Wtr, Regulation (EU) 2015/847 (article 4), the general rule is that the following information on the payer is accompanying the transfer:
* the name of the payer;
* the payer’s payment account number; and
* the payer’s address, official personal document number, customer identification number or date and place of birth;
and on the payee:
* the name of the payee; and
* the payee’s payment account number.
For transfers within the EU and below 1000 euro there are less requirements.

[4] See the article mentioned under [1]. In 2019 Lelieveldt wrote ‘G20 and FATF should not infringe on the human right to privacy by prescribing mass surveillance for virtual assets!‘

Geplaatst in English - posts in English on this blog, Europa, Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce | Tags: , , , , , , , , | Plaats een reactie

Gaan DNB en AFM nu alles doen wat de AVG-God verboden heeft? Datagedreven convenant

Geplaatst op 5 augustus 2023 door Ellen Timmer

“Gaan DNB en AFM nu alles doen wat de AVG-God verboden heeft?”

Dat is de eerste gedachte die bij me opkomt als ik de titel van het artikel door AFM over een nieuw convenant lees: Meer aandacht voor data en digitalisering in vernieuwd convenant AFM en DNB.

Aan het begin van het convenant wordt het uitgangspunt geformuleerd dat alles gedeeld mag worden met een piepkleine AVG-noodrem:

De bij de toezichthouders aanwezige informatie wordt in beginsel geacht over en weer relevant te zijn voor elkaars taakuitoefening, en kan ingevolge de Toezichtwetgeving eigener beweging of op verzoek met de ander worden gedeeld wanneer het doel daarvan gelegen is in die taakuitoefening en verstrekking van de informatie niet in strijd is met de Algemene verordening gegevensbescherming. De toezichthouders informeren elkaar bovendien actief over ontwikkelingen bij onder toezicht staande instellingen, die voor de ander relevant zijn. Ook bij wetgeving waarbij de andere toezichthouder geen wettelijke taak heeft, zoals de Wtt en wetgeving inzake resolutie, wordt, voor zover die wetgeving in informatie-uitwisseling voorziet, op dezelfde wijze samengewerkt als in dit convenant beschreven.

Dat uitgangspunt kan grote gevolgen hebben.

Volgens dat bericht gaat het convenant eveneens over voorkoming dat dubbel wordt uitgevraagd:

De AFM en DNB moeten elkaar proactief informeren over voorgenomen data-uitvragen die het domein van de ander kunnen raken, deze waar relevant met elkaar afstemmen en waar mogelijk samenvoegen tot een gezamenlijke data-uitvraag.

De samenwerking heeft voorts betrekking op digitaal onderzoek, iets waarmee beide toezichthouders druk bezig zijn. Wat dat digitaal onderzoek precies inhoudt wordt uit de tekst van het convenant niet duidelijk, er staat niet meer dan:

1.11 Samenwerking digitaal onderzoek
De toezichthouders werken samen op het gebied van digitaal onderzoek en maken hierover nadere werkafspraken.

In de toelichting staat:

Afspraak 1.11
Digitaal onderzoek omvat OSINT en eDiscovery onderzoek. Kort gezegd zijn dit vormen van (forensisch) onderzoek waarbij feiten worden opgespoord en gereconstrueerd in digitale systemen. Dit gebeurt bijvoorbeeld bij incidentonderzoeken. Digitaal onderzoek is van groot belang vanwege de trend van digitalisering in de samenleving in het algemeen en de financiële wereld in het bijzonder. De met digitaal onderzoek belaste organisatieonderdelen van de toezichthouders werken al geruime tijd samen. Deze samenwerking wordt in het convenant opgenomen in het kader van transparantie.

Een reden om de krachten te bundelen is om voor het toezicht effectiever te kunnen zijn. Dankzij de samenwerking vindt een kruisbestuiving plaats waardoor de toezichthouders meer expertise en capaciteit ontwikkelen dan zij zelfstandig hebben. Dit draagt bij aan meer efficiency en doelmatigheid en is ook wenselijk omdat expertise op het gebied van OSINT en eDiscovery schaars is.

Dit zet de deur open naar praktijken die elders zijn te zien zijn, namelijk dat grootschalig gegevens worden gekocht van datahandelaren, zoals advertentiebedrijven, kredietbeoordelaars en witwasinformatiebedrijven, maar ook van ongure gegevensaanbieders (bijvoorbeeld op het dark web) [1].

Persoonsgegevens

Op welke manier wordt omgegaan met de grote hoeveelheden persoonsgegevens waarover de toezichthouders beschikken, blijkt beperkt uit het convenant. In eerder geciteerde artikel 1.1.1 van het convenant staat wel een noodrem, maar wat dat praktisch inhoudt is niet uit het convenant af te leiden.

De toezichthouders hebben veel vertrouwelijke gegevens onder zich. Zo verwerkt de AFM op grond van Mifid 2 de persoons- en bedrijfsgegevens van alle beleggers en houden beide toezichthouders zich bezig met personentoetsing (toetsing van personen op geschiktheid en betrouwbaarheid) van huidige en toekomstige functionarissen bij onder toezicht staande ondernemingen. Verder worden grote hoeveelheden persoonsgegevens verwerkt in het kader van het toezicht op de naleving van de misdaadbestrijdingsregelgeving door onder toezicht staande ondernemingen [2] en gebeurt er nog meer.

Van mensen uit de praktijk hoor ik dat de werkelijkheid bij de toezichthouders anders is dan de schone AVG-theorie , dat er AVG-overtredingen plaats vinden en dat er onvoldoende toezicht is op naleving door AFM en DNB van de principes van de gegevensbescherming.

 

Noten

[1] Lees mijn blogs OSINT en datagraaiende overheden | de VS koopt op grote schaal persoonsgegevens van datahandelaren en Stiftung Neue Verantwortung: disproportionate use of commercially and publicly available data: Europe’s next frontier for intelligence reform?

[2] Bekend onder de naam ‘witwasbestrijding’, voorts bestrijding van terrorismefinanciering en de sanctieregelgeving.

Geplaatst in Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce | Tags: , , , , , , , , , , | Plaats een reactie

Kritisch advies Raad van State over Nederlandse implementatiewet Data Governance Act

Geplaatst op 4 augustus 2023 door Ellen Timmer

De Raad van State maakte het in mei uitgebrachte advies door de Afdeling advisering over Uit­voe­rings­wet da­tago­ver­nan­ce­ver­or­de­ning op 31 juli bekend. Onder meer hekelt de Afdeling de complexiteit van de Europese regels, die onvoldoende wordt toegelicht en wijst de Afdeling op het risico dat de AFM de adviezen van de Autoriteit Persoonsgegevens zal kunnen negeren als het om gegevensbescherming gaat.

Samenvatting advies uitvoeringswet EU-datagovernanceverordening
De Afdeling advisering van de Raad van State heeft op 26 juli 2023 het advies vastgesteld over de wet die de Europese Datagovernanceverordening moet uitvoeren. Het advies is op 31 juli 2023 openbaar gemaakt en gepubliceerd op de website van de Raad van State.

Achtergrond van de dataverordening
De Europese Datagovernanceverordening (DGA) heeft als doel om meer gegevens beschikbaar te maken voor algemeen gebruik. De verordening is een belangrijk onderdeel van de Europese datastrategie om de data-economie te ondersteunen. Het is ook de eerste Europese verordening op dit gebied. Er zullen nog andere verordeningen volgen. De DGA stelt regels voor het hergebruik en beschikbaar stellen van overheidsgegevens. Ten tweede regelt de verordening het delen van gegevens door burgers of organisaties via een databemiddelingsdienst. Ten derde bevat de DGA regels om het vrijwillig delen van gegevens te stimuleren met het oog op het algemeen belang. Dat zou moeten gebeuren via zogenoemde data-altruïstische organisaties.

Wat regelt het wetsvoorstel?
Het wetsvoorstel regelt dat de DGA in Nederland ook uitgevoerd kan worden. Zo wordt de Autoriteit Consument en Markt (ACM) de toezichthouder voor naleving van de DGA. De ACM is ook de bevoegde autoriteit voor databemiddelingsdiensten en data-altruïstische organisaties. In het wetsvoorstel wordt verder geregeld dat de Autoriteit Persoonsgegevens (AP) advies geeft aan de ACM of de diensten en organisaties voldoen aan de AVG.

Complexiteit
De DGA is erg abstract en ook erg technisch. Het is daarom niet makkelijk om te zien welke betekenis de DGA en het wetsvoorstel in Nederland zullen hebben. Bovendien zullen hierna nog meer Europese verordeningen volgen. Elke verordening kent zijn eigen doelstelling, maar in de praktijk moeten de regels in samenhang worden toegepast. Dat betekent dat de complexiteit van de wetgeving toeneemt en er in de praktijk veel afstemming nodig zal zijn, wat tot vragen kan leiden. Dit geldt ook voor het toezicht op de verschillende verordeningen, en voor de verhouding tot bestaande regelgeving, zoals tot de Algemene Verordening Gegevensbescherming (AVG). In de toelichting bij het wetsvoorstel wordt aan deze complexiteit echter nauwelijks aandacht besteed. De regering zou in de toelichting de betekenis van de DGA en het wetsvoorstel moeten verduidelijken en ook moeten ingaan op de verhouding tot Europese en nationale regelgeving en het toezicht.

Samenwerking toezichthouders
Het wetsvoorstel regelt dat de ACM de toezichthouder wordt op naleving van de DGA, en ook de bevoegde autoriteit wordt voor databemiddelingsdiensten en data-altruïstische organisaties. De bevoegdheden van de ACM mogen volgens de DGA geen afbreuk doen aan de bevoegdheden van ándere autoriteiten, zoals de gegevensbeschermings- of cybersecurity-autoriteit. In het voorstel krijgt de AP de taak om de ACM te adviseren over de vraag of databemiddelingsdiensten en data-altruïstische organisaties aan de AVG voldoen. De ACM bepaalt vervolgens of de dienst of organisatie kan worden geregistreerd, zodat deze een Europees label en logo mag voeren. Daarnaast regelt het wetsvoorstel dat de ACM en de AP in een protocol afspraken moeten maken over hun samenwerking.

De Afdeling advisering vindt deze regeling niet passend. Het is niet uitgesloten dat de ACM bij een negatief advies van de AP toch tot registratie overgaat. Dat strookt niet met de gedachte van de DGA dat bij een ‘conflict’ de AVG voorgaat. Als het gaat om de uitleg en de toepassing van de AVG zou de interpretatie van de AP beslissend moeten zijn. De Afdeling adviseert dit in de toelichting expliciet te bevestigen.

De regeling roept de vraag op of het wettelijk regelen van de verhouding tussen ACM en AP wel wenselijk is: de regeling kan deze verhouding onnodig formaliseren. Aansluiting bij de bestaande praktijk van samenwerking op basis van onderlinge afspraken biedt meer flexibiliteit. Wettelijke regeling van de samenwerking tussen alleen de AP en de ACM ligt verder niet voor de hand omdat er ook samenwerking met andere autoriteiten nodig zal zijn, terwijl die niet wettelijk worden geregeld. De Afdeling adviseert daarom de verplichte advisering door de AP aan de ACM uit het voorstel te schrappen.

Volgens de Afdeling advisering zou verder de toezichtsstructuur beter doordacht moeten worden. Dan kan ook de vraag aan de orde komen of een bredere wettelijke regeling van de verhouding en samenwerking tussen de verschillende toezichthouders wenselijk en noodzakelijk is.

Transparantie van toezicht
De DGA regelt verder dat er een Europees Comité voor gegevensinnovatie komt. Dat Comité is een deskundigengroep waarin onder meer vertegenwoordigers van de nationale toezichthouders zitten, met de Europese Commissie als voorzitter. Het Comité heeft als taak om de Europese Commissie te adviseren en te ondersteunen bij verschillende onderwerpen. Zo adviseert het Comité over richtsnoeren (die bepaalde normen verder uitleggen) en ontwikkelt het Comité deze richtsnoeren ook zelf.

De Afdeling advisering merkt op dat er duidelijkheid moet zijn over de openbaarheid van het werk van de nationale en Europese toezichthouders. Ook moet duidelijk zijn hoe zij belanghebbenden bij hun activiteiten betrekken en hoe zij verantwoording afleggen.

Bindende aanwijzing
De ACM kan een last onder dwangsom of een bestuurlijke boete opleggen als de verordening wordt overtreden. Het zal echter voor de praktijk niet altijd duidelijk zal zijn wat de normen van de DGA concreet inhouden. Daarom geeft de Afdeling advisering in overweging om de ACM ook de bevoegdheid te geven om een bindende aanwijzing te geven. Dan kan concreet worden aangegeven welke handelingen op grond van de verordening worden verwacht, vóórdat een last onder dwangsom of een bestuurlijke boete wordt opgelegd.

Geplaatst in Europa, Grondrechten, ICT, privacy, e-commerce | Tags: , , , , | Plaats een reactie

Debanking in the UK | AML, CFT

Geplaatst op 3 augustus 2023 door Ellen Timmer

The UK sets a bad example on many human rights issues. Among other things, the UK leads the way in excluding people and organisations from the financial system, which is often based on so-called crime-fighting arguments. They call it ‘debanking’ there, others call it ‘de-risking’ . On that matter The Guardian published the article UK banks are closing more than 1,000 accounts every day, and wrote:

When people or organisations have their bank accounts closed, they often receive little or no explanation as to why this has happened, though the banks sometimes say it is due to concerns over financial crime such as money laundering and fraud

According to an organisation from the compliance industry: ‘Britain Changes Tune on De-risking‘ (article).

Whether that is the case I wonder. Compliance is so immensely expensive that the general trend is for banks to say goodbye to all customers who are too expensive in compliance measures. New rules will not change that unless governments abandon the bizarre expectations they have of the crime-fighting capabilities of financial institutions and other ‘obliged entities’.

Geplaatst in Bankrekening krijgen en behouden, English - posts in English on this blog, Europa, Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten | Tags: , , , , | 3 reacties

De nieuwste soort hoogrisicolanden | ‘derde landen waarvoor is aangetoond dat er een permanent en bijzonder hoog risico bestaat dat hun rechtsgebied voor omzeiling wordt gebruikt’

Geplaatst op 2 augustus 2023 door Ellen Timmer

In de internationale misdaadbestrijding zijn de ontwerpers van de systemen, zoals FATF en Europa, druk in de weer met het in de ban doen van landen die onvoldoende hun best doen om misdaad te voorkomen en te bestrijden (misdaadbestrijding wordt verhullend aangeduid als ‘witwasbestrijding’), die landen worden ook wel hoogrisicolanden genoemd. De lijsten veranderen voortdurend zodat ondernemingen die door de overheid worden ingeschakeld bij de misdaadbestrijding (bijvoorbeeld banken) nauwelijks kunnen volgen welk land er wel en niet op staat.

Hoogst vervelend is dat er nooit leesbare uitleg verschijnt over de redenen waarom een land een hoog risico vormt en op de zwarte lijst komt of er weer af gaat, laat staan dat er een fatsoenlijke Europese database is waarin het plaatsen en verwijderen goed wordt gedocumenteerd. Dat moet ‘de private sector’ maar doen vinden de arrogante ontwerpers van de internationale en nationale misdaadbestrijdingsconcepten en dat leidt er toe dat alleen grote ondernemingen die de rekeningen van de compliance industrie kunnen betalen enigszins weten hoe het er voor staat.

Landen waarvan wordt verondersteld dat zij een hoog risico vormen, pleeg ik als ‘schurkenstaten’ aan te duiden. Bekende schurkenstatenlijsten zijn afkomstig van de informele wereldregering FATF en van Europa. Verder houden individuele landen en allerlei instanties er hun eigen lijsten van schurkenstaten op na.

Europa kent een lijst van schurkenstaten op het gebied van misdaadbestrijding en een andere lijst die betrekking heeft op landen die zich op fiscaal gebied misdragen.

Nieuwe Europese categorie van hoogrisicolanden
Onlangs is er nieuwe categorie hoogrisicolanden bij gekomen die verband houdt met de Europese sanctieregels inzake Rusland, nl. [1]

derde landen waarvoor is aangetoond dat er een permanent en bijzonder hoog risico bestaat dat hun rechtsgebied voor omzeiling wordt gebruikt

In de considerans bij het besluit van 23 juni 2023 [2] wordt de gang van zaken beschreven:

(12) Indien na de vaststelling van individuele maatregelen en verdere contacten met het derde land het gezien de omvang, de soort of de systemische aard van de lopende omzeiling duidelijk blijkt dat die stappen onvoldoende of ontoereikend zijn om een dergelijke omzeiling in of via het betrokken derde land te voorkomen, moet de Unie verdere maatregelen kunnen nemen.

(13) Om de Unie in staat te stellen uitzonderlijke maatregelen als laatste redmiddel te nemen in de in de overwegingen 9 en 12 bedoelde gevallen, moet de mogelijkheid worden ingevoerd om de verkoop, levering, overdracht of uitvoer van gevoelige goederen en technologie voor tweeërlei gebruik, of goederen en technologie die kunnen bijdragen tot de verbetering van Ruslands militaire, technologische of industriële capaciteit of tot de ontwikkeling van zijn defensie- en veiligheidssector, zodanig dat dit Ruslands vermogen tot oorlogvoering versterkt, en waarvan de uitvoer naar Rusland op grond van Besluit 2014/512/GBVB en Verordening (EU) nr. 833/2014 is verboden, te beperken naar derde landen waarvan is aangetoond dat hun jurisdictie een voortdurend en bijzonder hoog risico loopt te worden gebruikt voor omzeiling.

(14) Besluiten om een derde land en beoogde goederen of technologie in het toepassingsgebied van die maatregel op te nemen, worden door de Raad met eenparigheid van stemmen genomen.

De aangewezen landen worden toegevoegd aan de annex van de sanctieregeling.

 

Noten

[1] Overweging 13 van Verordening (EU) 2023/1214 van 23 juni 2023.

[2] Besluit (GBVB) 2023/1217 van de Raad van 23 juni 2023 tot wijziging van Besluit 2014/512/GBVB betreffende beperkende maatregelen naar aanleiding van acties van Rusland die de situatie in Oekraïne destabiliseren, overzichtspagina.

 

 

Meer informatie:

  • De mogelijkheid om een nieuwe soort hoogrisicolanden aan te wijzen (landen die bijdragen aan de ontwijking van sancties tegen Rusland) maakt deel uit van het 11e pakket van sanctiemaatregelen regen Rusland, te vinden via de themapagina over de Ruslandsancties. Lees het persbericht en de vragen en antwoorden over het pakket.
  • De actuele lijst van de Europese Commissie van hoogrisicolanden op misdaadbestrijdingsgebied (Gedelegeerde Verordening (EU) 2016/1675 van de Commissie van 14 juli 2016 tot aanvulling van Richtlijn (EU) 2015/849 van het Europees Parlement en de Raad door de identificatie van derde landen met een hoog risico die strategische tekortkomingen vertonen) dateert van 16 juli jl. en staat hier.
  • De Europese Raad heeft een pagina over fiscale hoogrisicolanden.
  • De zwarte lijst van FATF is hier te vinden (verdeeld in een ‘zwart’ en een ‘grijs’ deel).
  • Nederland hield in 2020 de Consultatie aanwijzing van laagbelastende staten 2021, de enige gepubliceerde consultatiereactie is van mij: “Het is ongewenst dat Nederland en andere EU-staten hun eigen lijsten van laagbelastende staten vaststellen en daarmee de internationale chaos rondom ‘onvrije landen’, landen die onvoldoende witwasbestrijdende maatregelen nemen en andersoortige ‘schurkenstaten’ verhogen. Ik begrijp dat Nederland goede sier wil maken met maatregelen tegen belastingfraude. Het is aan te bevelen om dat op een andere manier te doen” (ook geblogd).
Geplaatst in Europa, Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Sanctieregels | Tags: , , , , , , | Plaats een reactie

Heeft Whatsapp een gerechtvaardigd belang? | AVG

Geplaatst op 1 augustus 2023 door Ellen Timmer

Onlangs schreef een lezer van dit blog dat hij bij Whatsapp bezwaar had gemaakt tegen verwerking van zijn persoonsgegevens en van Whatsapp de volgende reactie kreeg:

Bedankt voor je bericht.
Beantwoord dit bericht met de volgende informatie, zodat wij je bezwaar kunnen beoordelen:
– Tegen welke gegevensverwerking je bezwaar maakt. Jouw recht om bezwaar te maken is van toepassing wanneer wij legitieme belangen hebben om je gegevens te verwerken.
– Wat de impact van de verwerking van WhatsApp op jou is (zoals welke rechten en vrijheden volgens jou worden beïnvloed door de verwerking, en waarom).
– Eventuele aanvullende informatie die volgens jou voor ons nuttig is voor de beoordeling van je bezwaar (optioneel).
We kunnen je om meer gegevens vragen als je verzoek onvolledig is.
Met vriendelijke groet,
WhatsApp Privacy Operations

 

Ik heb de lezer volgende teruggeschreven:

In whatsapp heb ik me tot nu toe niet verdiept. Als het goed is lezen ze je app berichten niet (maar of dat echt zo is…). Mijn grootste bezwaar is dat ze het adresboek van gebruikers stelen en gebruiken om wereldwijd relaties in beeld te brengen. Dat betekent:

1. Ze krijgen persoonsgegevens van mensen in het adresboek die geen toestemming hebben gegeven en [a] dus niet door Meta c.s. verwerkt mogen worden; [b] voorts zien ze dat je een relatie hebt met de onder [a] genoemde mensen.

2. [a] Ze zien ook gegevens van mensen die whatsapp wel gebruiken (dus dan mag whatsapp die gegevens hebben) en [b] dat jij een relatie met de onder [a] genoemde mensen hebt.

Ik ben van mening dat 1. volledig illegaal is en dat 2 [b] ook illegaal is. Het gaat Meta c.s. niets aan met wie jij in welke frequentie contact hebt.

Zie over adresboeken ook dit blog. Wat de Belgische privacy autoriteit hier beslist is ook van toepassing op Meta c.s. Helaas gaat die uitspraak niet over het in beeld brengen van relaties. Ik vind dat dit nooit kan bij een messaging dienst.

Op basis van het bovenstaande zou ik bezwaar maken en zeggen dat de belangenafweging in jouw voordeel is (in kaart brengen relaties) en in het belang van de derden in jouw adresboek. (Zie over de drie criteria bij gerechtvaardigd belang ook dit blog en bekijk mijn andere berichten.)

 

De lezer laat mij weten het volgende aan whatsapp te hebben geschreven (grijs zijn de vragen van whatsapp en blauw zijn de antwoorden van de lezer):

Beantwoord dit bericht met de volgende informatie, zodat wij je bezwaar kunnen beoordelen:

– Tegen welke gegevensverwerking je bezwaar maakt. Jouw recht om bezwaar te maken is van toepassing wanneer wij legitieme belangen hebben om je gegevens te verwerken.
Mijn grootste bezwaar is dat Whatsapp het adresboek van gebruikers uitleest en persoonsgegevens buit maakt (steelt) en gebruikt om wereldwijd relaties in beeld te brengen. Dit betekent:
1. Whatsapp krijgt persoonsgegevens van mensen in mijn adresboek die geen toestemming hebben gegeven en [a] dus niet door Meta c.s. verwerkt mogen worden; [b] voorts ziet Whatsapp dat je een relatie hebt met de onder [a] genoemde mensen.
2. [a] Whatsapp ziet ook persoonsgegevens van mensen die whatsapp wel gebruiken en [b] dat ik een relatie met de onder [a] genoemde mensen hebt.
Ik ben van mening dat 1. volledig illegaal is en dat 2 [b] ook illegaal is. Het gaat Meta c.s. niets aan met wie ik in welke frequentie contact hebt.
Daarnaast maak ik bezwaar tegen verwerking van mijn gegevens door Meta/Whatsapp met betrekking tot:
* Business intelligence and analytics.
* Om informatie te bewaren en te delen met anderen
* Om veiligheid, integriteit en beveiliging te bevorderen

– Wat de impact van de verwerking van WhatsApp op jou is (zoals welke rechten en vrijheden volgens jou worden beïnvloed door de verwerking, en waarom).
Zie hierboven en https://ellentimmer.com/2020/06/14/adresboekjatten-3/
De belangenafweging valt in mijn voordeel uit (in kaart brengen relaties) en in het belang van de derden in jouw adresboek. Mijn persoonlijke belangen wegen zwaarder dan de door Meta/Whatsapp vastgestelde gerechtvaardigde belangen. Ik wil gewoon whatsapp kunnen blijven gebruiken zonder dat Whatsapp data graait m.b.t. mijn persoonsgegevens en mijn relaties en daar segmentatie en profilering op toepast.

De argumenten van whatsapp

Daar krijgt de lezer van whatsapp dit antwoord op:

Bedankt voor je bericht. Zo te zien maak je bezwaar tegen het verwerken van je persoonlijke gegevens op grond van de bepalingen van de verordening inzake gegevensbescherming.

Met de functie Uploaden van contacten openen en uploaden we meestal dagelijks de telefoonnummers in de adresboeken van gebruikers. Dit hangt af van verschillende factoren, waaronder hoe vaak iemand WhatsApp gebruikt. Meer informatie over de functie Uploaden van contacten vind je hier (https://faq.whatsapp.com/general/contacts/about-contact-upload). Als deze contacten nog geen WhatsApp gebruiken, beheren we deze informatie zodanig voor je dat niet-gebruikers van WhatsApp niet kunnen worden geïdentificeerd.

We bewaren deze telefoonnummers niet en verwerken ze alleen op dat moment om cryptografische hashwaarden te maken zodat we deze contacten op efficiëntere wijze aan WhatsApp-gebruikers kunnen koppelen als ze WhatsApp gaan gebruiken.

Omdat WhatsApp geen persoonlijke gegevens over niet-gebruikers opslaat, is er geen sprake van een gegevensverwerkingsactiviteit waartegen je bezwaar kunt maken. We hebben je bezwaar beoordeeld en vastgesteld dat, voor zover er volgens de verordening inzake gegevensbescherming een relevante juridische basis voor bezwaar is, we dwingende en legitieme gronden hebben voor de verwerking waar je bezwaar tegen maakt.

We hebben je verzoek beoordeeld en het lijkt erop dat je bezwaar maakt tegen de verwerking van persoonlijke gegevens waarvoor WhatsApp legitieme belangen heeft.

We hebben je bezwaar tegen de verwerking van je gegevens voor de onderstaande doelen beoordeeld:
– We verwerken je gegevens voor bedrijfskennis- en analysedoeleinden, en gebruiken deze gegevens om zakelijke inzichten te krijgen en nauwkeurig rapporten over het aantal gebruikers op te stellen. De verzameling van deze gegevens is bijvoorbeeld nodig om nauwkeurige rapporten aan regelgevende instanties te kunnen verstrekken.
– We bewaren en delen je gegevens met derde partijen, waaronder wetshandhavingsinstanties, en zodat we op juridische verzoeken kunnen reageren. We wegen je rechten altijd zorgvuldig af tegen de belangen van de derde partijen die je gegevens ontvangen.
– We bewaren en delen je gegevens om juridisch advies in te winnen of om onszelf te beschermen bij procesvoering en andere geschillen. Deze verwerking is nodig om onze wettelijke rechten te verdedigen of te doen gelden.
– We verwerken je gegevens om onze klantenservice te verbeteren, wat noodzakelijk is om de verwerking (zoals beschreven in ons Privacybeleid) uit te voeren, zodat we op een effectieve en optimale manier kunnen reageren op vragen en twijfels die onze gebruikers hebben.
– We houden gebruikersaccounts veilig en bestrijden bedreigingen, misbruik of inbreuk makende activiteiten op onze diensten om veiligheid, integriteit en bescherming te garanderen. Deze verwerking zorgt er ook voor dat onze diensten conform onze voorwaarden en beleidsregels worden gebruikt.

We hebben vastgesteld dat we dwingende legitieme redenen hebben voor deze verwerking. Dit betekent dat we na beoordeling van je bezwaar een verdere afwegingstest hebben uitgevoerd. Uit deze test concluderen we dat onze dwingende legitieme redenen (of die van anderen) zwaarder wegen dan je bezwaar. Daarom blijven we je gegevens verwerken voor deze doeleinden.

Je hebt het recht om een klacht in te dienen bij de Ierse functionaris voor gegevensbescherming, de hoofdtoezichthouder van WhatsApp (zie http://www.dataprotection.ie). Je hebt ook het recht om contact op te nemen met je lokale autoriteit voor gegevensbescherming en om een vordering voor de rechtbank te brengen.

Met vriendelijke groet,
WhatsApp Privacy Operations

 

Opvallend is dat whatsapp zegt dat zij de persoonsgegevens van niet-whatsapp gebruikers niet zouden verwerken, anders dan “cryptografische hashwaarden te maken zodat we deze contacten op efficiëntere wijze aan WhatsApp-gebruikers kunnen koppelen als ze WhatsApp gaan gebruiken“, wat mij gewoon verwerking lijkt. Er zouden geen persoonlijke gegevens van niet-gebruikers worden opgeslagen. Ik ben benieuwd of dit door een onafhankelijke toezichthouder technisch is getoetst.

De gegevens van whatsapp gebruikers worden wel verwerkt, onder meer “om zakelijke inzichten te krijgen” (wat ook de onderlinge relaties zal omvatten); waarom een gebruiker dat goed zou moeten vinden wordt niet uitgelegd. Alle persoonsgegevens van gebruikers worden volgens het antwoord gedeeld “met derde partijen, waaronder wetshandhavingsinstanties“, kennelijk zonder juridische noodzaak. Dat is bizar. Ook de andere elementen van de ‘onderbouwing’ rammelen.

De zogenaamde onderbouwing door whatsapp ziet er hoogst twijfelachtig uit.

Tot slot

Ik ben benieuwd of er lezers zijn die wel eens dieper zijn gedoken in de gegevensverwerking door advertentiebedrijf Meta/Facebook, voor zover het whatsapp betreft en hoor graag jullie ervaringen.

 

Aanvulling 5 augustus 2023
Whatsapp beweert de aanpak te hebben gewijzigd, lees We’re updating our Privacy Policy for people in the European Region. Er is door noyb gereageerd met Meta apparently switches to consent for behavioral ads after five years of litigation.
Zie ook het bericht in VPN Gids Meta: ‘We hebben ‘intentie’ om grondslag voor gerichte advertenties te veranderen’ en Euractiv WhatsApp shifts legal basis for processing personal data in Europe.

Geplaatst in ICT, privacy, e-commerce | Tags: , , , , , , | 2 reacties