Verkiezingen!

Geplaatst op 27 oktober 2025 door Ellen Timmer

Woensdag zijn er verkiezingen, raadpleeg NerdVote.nl en zorg dat er digitaal deskundige mensen in de Tweede Kamer komen (ik schreef er al over).
Bert Hubert vroeg er aandacht voor in zijn artikel Cloud Kootwijk: Alles hangt af van de verkiezingen.

Kijk naar het gedrag
Mijn tip is om niet naar de verkiezingsprogramma’s te kijken, maar om te kijken naar het (stem)gedrag van de politieke partijen.
Een dieptepunt van de afgelopen tijd was de antifa-motie (artikel), stem niet op de partijen die vóór die domme motie hebben gestemd.

Geplaatst in ICT, privacy, e-commerce | Tags: , , , , | Plaats een reactie

Statewatch: EU prepares to give US direct access to police and immigration databases

Geplaatst op 26 oktober 2025 door Ellen Timmer

Statewatch published an article on European plans to give power to American agencies to search European databases, to identify people posing “a threat to US security”. Statewatch refers to a proposal by the Commission.

There is already massive data-sharing taking place, Statewatch reports:

Massive expansion in data-sharing
Under the VWP, countries whose citizens can travel to the US without a visa already have to let US agencies search their police databases, to see whether travellers have been involved in terrorism or serious crime.
The new plan would massively expand this kind of data-sharing.
The Commission’s proposal for an agreement with the US would allow searches for “security screenings and identity verifications relating to border procedures and applications for visa.”
The agreement should also cover the “prevention, detection, investigation and prosecution of crimes and terrorist offences,” says the proposal.
This suggests a massive broadening of the scope from what is currently in VWP agreements, which relate to serious crime – not simply “crime” in general.

 

More on this site on this topic in the articles on European databases.

Geplaatst in English - posts in English on this blog, Europa, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce, Strafrecht | Tags: , , , , , | Plaats een reactie

AVG-boete voor datahandelaar Experian

Geplaatst op 25 oktober 2025 door Ellen Timmer

Datahandelaren [*] vormen een groot risico voor iedere Nederlander, omdat zij een ongereguleerde sector zijn, die op grote schaal persoonsgegevens en andere vertrouwelijke gegevens verzamelen en verkopen aan de hoogste bieder, zonder de ontvangende partij te screenen en zonder dat je als betrokkene wordt geïnformeerd. Het kan tot gevolg hebben dat jouw gegevens bij criminelen of andere ongure partijen terecht komen, die er misbruik van kunnen maken.
Helaas zijn er nog geen tekenen dat de handelaren in het ‘nieuwe goud’ vergunningplichtig worden en op integriteit zullen worden getoetst.

Boete Experian
Wel is de Autoriteit Persoonsgegevens (AP) met deze bedrijven bezig, zou blijkt uit het bericht Experian krijgt boete van 2,7 miljoen euro voor privacyovertredingen. Daarin meldt de AP:

De Autoriteit Persoonsgegevens (AP) legt Experian Nederland (Experian) een boete op van 2,7 miljoen euro. Experian leverde tot 1 januari 2025 kredietbeoordelingen over mensen aan haar klanten. Daarvoor verzamelde het bedrijf gegevens over bijvoorbeeld negatief betaalgedrag, openstaande schulden of faillissementen. De AP heeft geconstateerd dat Experian de regels heeft overtreden door persoonsgegevens onterecht te gebruiken. Het bedrijf ging ook de fout in door mensen hierover onvoldoende te informeren. Het bedrijf liet mensen namelijk niet altijd weten die informatie over hen te gebruiken.

Kredietscore
Experian maakte op verzoek van klanten zoals telecombedrijven, webwinkels of verhuurders kredietwaardigheidsrapporten over mensen. Het ging om mensen die bij deze organisaties een aankoop achteraf wilden betalen of een contract wilden aangaan voor bijvoorbeeld een telefoonabonnement. Deze rapporten bevatten kredietscores over mensen. Zo’n score geeft aan in hoeverre iemand de rekeningen kan betalen en of er een risico op wanbetaling is. De klanten van Experian gebruiken de kredietscore om te beslissen of en hoe mensen een product mogen kopen.
Een kredietscore kan gevolgen hebben voor de mensen om wie het gaat. Bij hogere kredietscores konden mensen bij de klanten van Experian bijvoorbeeld betere voorwaarden krijgen, zoals een gunstiger rentepercentage. Bij lagere scores kon een gevolg zijn dat mensen als klant werden geweigerd of een hogere borgsom moesten betalen.

Klachten over Experian
De AP startte het onderzoek na klachten over Experian. Aleid Wolfsen, voorzitter AP: ‘Mensen meldden zich bij de AP nadat ze niet langer iets op afbetaling konden kopen. Of omdat zij opeens een hoge borgsom moesten betalen bij een overstap naar een nieuwe energieleverancier. Pas achteraf bleek dat dit kon komen door kredietscores van Experian. Doordat mensen niet op de hoogte waren van de kredietcheck konden ze ook niet op tijd checken of de gebruikte informatie wel klopte. Ik kan me voorstellen dat dat enorm vervelend is om mee te maken.’

Datahandel
Experian verzamelde gegevens over mensen uit verschillende bronnen, zowel openbare als niet-openbare. Denk aan het Handelsregister van de Kamer van Koophandel, maar ook aan telecom- en energiebedrijven die gegevens van hun klanten verkopen. Zo bouwde Experian een database op met informatie van heel veel mensen in Nederland.

Onnodig gegevens verzamelen
Experian verzamelde veel gegevens over mensen. Maar het bedrijf kon onvoldoende duidelijk maken waarom het verzamelen van bepaalde gegevens nodig was. Daarnaast kon het gebruiken van gevoelige gegevens grote gevolgen hebben voor de mensen om wie het gaat. Experian had dat niet goed afgewogen en had onterecht deze gegevens gebruikt.

Hoe nu verder?
Experian erkent de wet te hebben overtreden en gaat niet in beroep tegen de boete. Het bedrijf is gestopt met de werkzaamheden in Nederland en gaat nog dit jaar de database met al deze persoonsgegevens verwijderen.

 

En de andere overtreders?
Experian is niet de enige datahandelaar met dit soort malafide praktijken. We gaan zien of die anderen ook door de AP worden aangepakt.

Ook is interessant of de bedrijven die hun klantgegevens aan datahandelaren verkopen (zoals de telecom- en energiebedrijven die in het bericht van de AP genoemd worden) door de AP beboet zullen worden.

Achtergrond
In 2024 kwamen datahandelaren in het nieuws, onder meer door het artikel van RTL, Hoe datahandelaren adressen van jou én van bedreigde personen te koop aanbieden. Zie ook de berichten met de tag datahandelaren en Experian.

 

 

[*] De datahandel is een gevarieerde sector met onder meer advertentiebedrijven (Meta, Google), maar ook kredietbeoordelingsbedrijven (Experian) en leveranciers van antiwitwasinformatie.

Geplaatst in Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce | Tags: , , , , , , | Plaats een reactie

DPA’s signed the “Joint Statement on Trustworthy Data Governance for AI”

Geplaatst op 24 oktober 2025 door Ellen Timmer

Data protection authorities (DPA’s) signed a joint statement on AI (pdf). The statement was signed by DPA’s from the EU and other parts of the world, like the UK, Canada, Australia, New Zealand, Korea and Hong Kong.

The Belgian DPA announced the statement in the article De GBA zet zich in voor innovatieve en privacybeschermende AI.

Geplaatst in English - posts in English on this blog, Europa, Grondrechten, ICT, privacy, e-commerce | Tags: , , , , | Plaats een reactie

The Spanish Data Protection Authority fined a data broker that illegally processed data related to self-employed people

Geplaatst op 23 oktober 2025 door Ellen Timmer

The Agencia Española de Protección de Datos (AEPD), the Spanish Data Protection Authority fined a data broker for processing without a legal basis and without informing the data subjects (self-employed people) of the processing (decision in Spanish).

More information in the article on GDPR Hub.

Geplaatst in English - posts in English on this blog, Grondrechten, ICT, privacy, e-commerce | Tags: , , , | Plaats een reactie

Court decision in Belgian FATCA-procedure expected on 3 December 2025

Geplaatst op 23 oktober 2025 door Ellen Timmer

In Belgium proceedings are underway concerning the validity of transfers of personal data to the US under the FATCA-agreement that Belgium has concluded with the US (that is identical to all other FATCA-agreements of the US with EU-member states).
These agreements are detrimental to anyone who is a tax resident of the EU and has American nationality, as the agreements export Citizenship-Based Taxation (CBT). With CBT, the US is the only country in the world that deviates from the internationally accepted system of Residence-Based Taxation (RBT).

Decision of April 2025
In April this year the Belgian Data Protection Authority [DPA] (Gegevensbeschermingsautoriteit / Autorité de protection des données) took a new decision on the matter (my article in Dutch, DPA decision in French).

Appeal
The DPA-decision was appealed by the Belgian administration.
The French organisation of the victims of the FATCA-agreements, the Association des Américains Accidentels (AAA), reported on their Facebook page and on linkedin that the hearing of the Belgian Markets Court (Marktenhof / Cour des marchés) has taken place yesterday and that the decision of the court is expected on 3 December (also mentioned on the Facebook page of the Dutch Accidental Americans group).
According to the AAA article, the following has been put forward on behalf of the Belgian victims of the FATCA-agreements:

📑 During the hearing, it was emphasized that data transfers carried out under FATCA raise serious concerns under the #GDPR, particularly regarding the principles of purpose limitation, proportionality, and data minimisation. It was also argued that the “important public interest” exception provided for in Article 49(1)(d) cannot serve as a basis for systematic and large-scale transfers to a country that does not offer equivalent safeguards, and that the Belgian tax administration has never conducted the impact assessment required by EU law.
The Court of Markets was invited to consider referring several preliminary questions to the Court of Justice of the European Union (CJEU), including:

👉 Whether large-scale transfers of personal data to the United States under FATCA comply with the fundamental principles of the GDPR;
👉Whether the “important public interest” derogation can be relied upon to justify such ongoing and generalised transfers;
👉 And whether, under Article 96 of the GDPR, Member States may continue to apply an international agreement concluded before the Regulation entered into force, when it conflicts with EU law and the Charter of Fundamental Rights.

We’ll see what happens.

 

 

Information on this site on FATCA:

Geplaatst in Bankrekening krijgen en behouden, Belastingrecht, English - posts in English on this blog, Europa, Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce | Tags: , , , , , , , , | Plaats een reactie

Mind the Gap | Age Assurance and the Limits of Enforcement under EU Law

Geplaatst op 22 oktober 2025 door Ellen Timmer

On the interface site a report was published on the protection of minors online. From the executive summary of the report:

Children and young people today grow up in a highly connected digital environment that provides access to educational content, entertainment, and peer communities but also exposes them to significant risks including cyberbullying, grooming, harmful or pornographic content, addictive design features, and the misuse of personal data. These risks are not only well documented in academic literature and civil society reports; they have also become a central concern for policymakers at the European Union (EU) and EU Member State levels.

In early June 2025, French president Emmanuel Macron announced his intention to have social media banned in France for under-15s ‘in the coming months’ if no progress was made at the EU level on this matter. Since then, the French Delegate Minister for AI and Digital Affairs, Clara Chappaz, has been on a crusade to rally other Member States to the cause. Cyprus, Denmark, Greece, Italy, Slovenia, and Spain soon joined forces in supporting the idea of having EU-wide age check mechanisms. Just over two weeks after President Macron’s announcement, 21 ministers from 13 Member States signed an op-ed asking to take decisive action ‘now’ to protect children online. For them, the existing legal framework ‘remains insufficient’.

Over the past fifteen years, though, the EU has adopted an increasingly dense set of measures and instruments to protect minors online. The General Data Protection Regulation (GDPR), the Audiovisual Media Services Directive (AVMSD), the Digital Services Act (DSA), and the Artificial Intelligence Act (AI Act) all contain provisions that specifically address children’s vulnerabilities. Complementary non-binding instruments—such as the Better Internet for Kids+ (BIK+) Strategy—reinforce the EU’s commitment to providing a safe and empowering digital environment for minors. At the Member State level, governments have introduced their own rules and enforcement models, notably France with its Loi SREN and Germany with its long-standing Jugendmedienschutz-Staatsvertrag.

However, despite these initiatives, minors remain insufficiently protected. The gap between what the existing framework requires and what happens in practice is striking. This paper’s central argument is that the key problem today is not a lack of legislation or awareness but a failure of implementation and enforcement. (…)

The central message is that, in the short run, more legislation is not the solution. Instead, the EU and Member States should focus on making the existing rules work by ensuring that minors’ rights are not just recognised in law but protected in practice. Only by closing the implementation gap can Europe fulfil its ambition of providing children with a digital environment that is truly safe, empowering, and respectful of their rights.

It fits in well with my view of fundamental rights in the EU: fine words and high aspirations, but when it comes down to it, they are not enforced.

Geplaatst in English - posts in English on this blog, Grondrechten, ICT, privacy, e-commerce | Tags: , , , , , , , , | Plaats een reactie

Een digitale VvE-vergadering, is dat verstandig?

Geplaatst op 21 oktober 2025 door Ellen Timmer

In de Tweede Kamer wordt een voorstel voor de Wet digitale algemene vergadering privaatrechtelijke rechtspersonen [1] behandeld.
In het wetsvoorstel worden geen veiligheidseisen aan de elektronische deelname aan de vergadering gesteld. In enige bepalingen staat niet meer dan [2]:

Voor de toepassing van lid 6 is vereist dat de degene die toegang heeft tot de algemene vergadering via het elektronisch communicatiemiddel kan worden geïdentificeerd, rechtstreeks het stemrecht kan uitoefenen en via een tweezijdig audiovisueel communicatiemiddel rechtstreeks kan kennisnemen van de verhandelingen ter vergadering alsmede rechtstreeks kan deelnemen aan de beraadslaging.

Het lijkt er op dat er door vergadergerechtigden geen bezwaar kan worden gemaakt tegen het gekozen digitale communicatiemiddel als dat onveilig is of gegevens kan lekken.

Op grond van een wijzigingsvoorstel wordt digitaal vergaderen eveneens mogelijk voor verenigingen van eigenaars (VvE’s), hoewel je zou zeggen dat fysiek vergaderen geen probleem hoeft te zijn nu de meeste appartementseigenaren ook wonen in hun appartement. Deze aanpassing is voorgesteld in een nota van wijziging van 26 september jl. [3]. Opvallend is dat het voor VvE’s heel makkelijk wordt gemaakt om digitaal te vergaderen, aldus de toelichting:

Anders dan bij de gewone vereniging is er geen voorafgaande machtiging van de algemene vergadering vereist om (volledig) digitaal te kunnen vergaderen.

Appartementseigenaren moeten er moeite voor doen om toch een fysieke vergadering bijeen te roepen, wat merkwaardig is, nu in de toelichting op de wijziging wordt erkend dat er digitaal minder vaardige eigenaren kunnen zijn.
Er is een versie van het wetsvoorstel waarin de laatste wijzigingen zijn verwerkt [4].

Het wetsvoorstel kan zorgen voor een nieuwe bron van cybersecurity risico’s, waar het digitale dievengilde blij mee zal zijn.

Het plenaire debat over dit wetsvoorstel is op dit moment gepland op 24 november a.s.

 

 

Noten:

[1] Dossier 36489, pagina Tweede Kamer, waar de volgende introductie wordt vermeld:

Doel van dit wetsvoorstel is het gebruik van elektronische communicatiemiddelen bij algemene vergaderingen van privaatrechtelijke rechtspersonen te faciliteren en te normeren door:
1. het wijzigen van Boek 2 en Boek 5 van het Burgerlijk Wetboek en enige andere wetten
2. nadere voorwaarden te stellen aan het gebruik van elektronische communicatiemiddelen bij de algemene vergadering zodat er bij de algemene vergadering draagvlak is voor het houden van een volledig digitale of hybride vergadering, een digitale vergadering zoveel mogelijk een afspiegeling vormt van een fysieke vergadering en deelnemers ook langs digitale weg daarin volwaardig kunnen participeren.
3. aanpassen van de regels voor oproeping voor de algemene vergadering zodat oproeping langs elektronische weg vereenvoudigd wordt.
Deze samenvatting is gebaseerd op het wetsvoorstel en de memorie van toelichting zoals ingediend bij de Tweede Kamer.

[2] Wetsvoorstel, artikel I, onderdeel A inzake artikel 38 boek 2 BW, aanpassing van het zevende lid van artikel 38.

[3] Artikel II van de nota van wijziging.

[4] Het bijgewerkte wetsvoorstel dateert van 26 september jl. en is bijgewerkt tot en met nr. 12.

Geplaatst in ICT, privacy, e-commerce, Not-for-profit, Rechtspersonenrecht | Tags: , , | Plaats een reactie

Thomas Bollen over het geldstelsel

Geplaatst op 20 oktober 2025 door Ellen Timmer

Thomas Bollen, journalist bij Follow the Money, heeft een boek gepubliceerd over het geldstelsel, ‘Geld genoeg, maar niet voor jou‘ (onder meer te koop via de boekenpagina van FtM). Uit de introductie:

Onderzoeksjournalist Thomas Bollen neemt je mee naar het internationale strijdtoneel van ons geld. Hier nemen burgerbewegingen, wetenschappers en oud-bankiers het op tegen de machtigste bedrijven ter wereld. Samen reizen we langs de goudkluizen en banktorens van de gevestigde financiële orde. We volgen hoe geld door de samenleving stroomt en ontrafelen hoe tech-miljardairs en cryptobedrijven met hun digitale munten stilletjes de macht overnemen.
Als we niet ingrijpen, groeit de kloof tussen de superrijken en de rest. Geld genoeg, maar niet voor jou laat zien wat er nodig is om het tij te keren. Hoe heroveren we de macht over ons geld?

Hij schreef over zijn boek het artikel Hoe heroveren we de macht over ons geld? (betaalmuur).

Bollen is ook gestart met een serie podcasts, die niet achter een betaalmuur zitten. In de aflevering ‘Als Europa niets doet, verliezen we de macht over ons geld’ (onder meer te beluisteren via FtM en Apple podcast) interviewt hij Martijn van der Linden, ooit bankier bij ING en nu actief bij stichting Ons Geld. Het is interessant om te horen dat volgens hen geld nu grotendeels wordt gemaakt door de banken, met allerlei onprettige neveneffecten, en dat er juist overheidsgeld (contant geld en de digitale euro / CBDC) nodig is om een tegenwicht te bieden aan de geldcreatie door banken. Ook een WRR rapport over ons geldstelsel passeert de revue.

Het is boeiende materie waar ik niet in thuis ben.

Geplaatst in Financieel recht, onder meer Wft, Wtt, Grondrechten | Tags: , , | Plaats een reactie

BIS proposes financial surveillance as an alternative to the failed AML/CFT system of the FATF

Geplaatst op 19 oktober 2025 door Ellen Timmer

The Bank for International Settlements (BIS) this month published the article The use of artificial intelligence for policy purposes on a report (pdf) submitted to the G20 Finance Ministers and Central Bank Governors.
In the paragraph ‘Oversight of payment systems‘ [*] the authors explain that the current system of detecting financial crime (anti-money laundering, ‘AML’, and countering the financing of terrorism, ‘CFT’) is highly inadequate:

While rule-based monitoring is straightforward, it suffers from a number of shortcomings. It is notorious for false positives – vast numbers of flagged transactions that upon investigation turn out to be innocuous. It is not uncommon for 95% or more of anti-money laundering (AML) alerts to be false positives, creating huge workloads for compliance teams (and the financial intelligence units that they file reports to) and likely distracting from real criminal schemes. (…)
Partly due to these reasons, the result is an ineffective, fragmented global payments system. Criminals exploit the fragmentation and complexity of payment networks to hide illicit funds, while banks expend enormous resources on compliance.

It shows that the concepts developed by the FATF and the EU have led to large-scale waste of money.

The solution is to treat every account holder as a potential criminal and to and to drag a dragnet over all financial transactions of account holders at various banks. This concept was tested in the BIS project Aurora:

Project Aurora was launched by the BIS Innovation Hub as a proof of concept to test new techniques for AML monitoring across institutions and borders (BISIH (2023)). (…)
By having a more complete view of transaction networks, AI models can uncover complex money laundering patterns that would evade isolated checks at one bank. (…)

Aurora successfully performed a simulated collaborative analysis. Multiple institutions’ transaction data were combined in encrypted form, and graph neural networks (a type of AI suited for network data) were applied to identify suspicious clusters of transactions. The results are striking. Aurora’s approach proved far more effective than traditional rule-based AML monitoring approaches. According to the published findings, it detected up to three times more money laundering cases involving complex schemes and at the same time reduced false positives by up to 80%.

The reasons underlying the success are instructive and point to the value of combining behavioural analytics and data-sharing. First, instead of focusing on individual transactions, the focus was on the behaviour of networks of transactions (pattern of flows and relationships between senders/receivers) to spot anomalies indicative of laundering rings. This network-centric, behavioural approach improves detection as launderers might hide individual transactions, but their overall network behaviour (eg funds circling through intermediaries and back to the origin, and multiple accounts funnelling to one exit point) can give them away. Second, by pooling data from many institutions (with appropriate privacy safeguards), the ML algorithms have the “big picture” – they can see the crossinstitution connections that a single bank’s system would miss. For example, Bank A might see funds going to Bank B, and Bank B sees them going to Bank C. But neither alone sees A→B→C as one chain. The combined view does, and for some ML techniques like artificial neural networks and graph neural networks, such a holistic view can substantially improve performance.

The authors of the report believe that fundamental rights are respected in the financial dragnet (financial surveillance) that was tested in the Aurora project. The question is whether this is really the case.

 

 

[*] Paragraph 3.3, page 7 and further of the report (pdf).

Geplaatst in English - posts in English on this blog, Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Grondrechten, ICT, privacy, e-commerce | Tags: , , , , , , , , , , | Plaats een reactie