De IT’ers die moeten gaan zorgen voor de technische realisatie van het Verwijzingsportaal Bankgegevens zijn niet te benijden. Onder meer omdat er een onvaste terminologie wordt gehanteerd, zoals ik in mijn artikel van 12 augustus jl. al schreef. De onduidelijkheid rondom de terminologie neemt niet af in het concept voor het uitvoeringsbesluit, dat vandaag in consultatie is gegaan.
Zo wordt gesproken over ‘contractspartij‘ in een geheel eigen betekenis, zo lees ik in de concepttoelichting. Het begrip heeft betrekking op een leverancier van de bank/betaalinstelling, van wie een product afkomstig is. Als voorbeeld wordt een creditcard genoemd, die door tussenkomst van de bank aan een klant wordt verschaft (zou ‘klant’ hetzelfde betekenen als cliënt’?); de creditcardleverancier is de ‘contractspartij’. Mij lijkt ‘leverancier product’ een duidelijker aanduiding.
Het begrip ‘cliënt‘ wordt niet gedefinieerd, zodat er van mag worden uitgegaan dat dit dezelfde betekenis is als in het voorstel voor de Wet verwijzingsportaal bankgegevens (‘WVB’). Opmerkelijk is dat in de concepttoelichting wordt gezegd dat de cliënt “een rekeninghouder of gemachtigde” is. Een gemachtigde is natuurlijk geen cliënt, het is een vertegenwoordiger van de cliënt.
Net als in het wetsvoorstel wordt in dit conceptbesluit over ‘uiteindelijk belanghebbende‘ (ubo) gesproken, zonder aanduiding van de definitie zodat hier ook de betekenis van de WVB zal gelden, die anders is dan in de Wwft. In de passage in de concepttoelichting over de ubo (pagina 14, 2e alinea) lijkt te opsteller te veronderstellen dat transacties altijd door de ubo worden gedaan hetgeen natuurlijk onjuist is. Ik kom graag een keer bij het Ministerie van Financiën langs (tegen betaling) om alles een keer goed uit te leggen.
Tip voor het Ministerie: ga over tot het hanteren van simpele en heldere definities die aansluiten bij de privaatrechtelijke en economische werkelijkheid, bijvoorbeeld:
- cliënt = degene met de bank/betaalinstelling een overeenkomst tot het leveren van producten heeft, respectievelijk die een transactie aangaat via de bank/betaalinstelling met een derde
- statutair bestuurder (alleen bij de cliënt-rechtspersoon)
- gemachtigde = een vertegenwoordiger van de cliënt, niet zijnde een statutair bestuurder
- ubo = uiteindelijke belanghebbende in de zin van de Wwft, van een cliënt die geen natuurlijke persoon is, niet zijnde een pseudo-ubo (statutair bestuurder)
- leverancier = de leverancier van een product dat via de bank aan een cliënt wordt geleverd
Hotspot
Het Verwijzingsportaal Bankgegevens kan een interessante bron van gegevens voor criminelen zijn. Met het oog daarop zullen technische maatregelen worden genomen, zo blijkt uit de consultatiedocumenten.
Dat neemt niet weg dat cyberaanvallen en datalekken kunnen worden verwacht, zoals recent bij de Rijksdienst voor het Wegverkeer (RDW) (zie dit bericht) het geval is geweest. De technische maatregelen zullen er in moeten voorzien dat direct (met dezelfde snelheid als beschreven in artikel 3 lid 4 van het conceptbesluit) kan worden getraceerd via welke route de gelekte gegevens onrechtmatig zijn verkregen (onder meer logging), zodat de dader(s) snel kunnen worden opgespoord.
Het is belangrijk dat strafrechtelijke of bestuursrechtelijke sancties worden gekoppeld aan het onrechtmatige gebruik van het Verwijzingsportaal. Ik kan me niet herinneren in het wetsvoorstel WVB daar iets over te hebben gezien. Misschien weten strafrechtelijk georiënteerde lezers hier meer over (is het al afdoende gedekt door de huidige strafrechtelijke bepalingen?), zo ja, dan houd ik me aanbevolen.
De consultatie loopt tot 17 oktober a.s. Ik ga er over nadenken of ik mee doe.
Meer informatie:
Aanvulling 22 juli 2020
Inmiddels is er een besluit van 7 juli 202o, “houdende regels met betrekking tot het via een centraal elektronisch systeem geautomatiseerd ontsluiten van identificerende gegevens alsmede enkele andere gegevens door banken en andere betaaldienstverleners“, met in artikel 2 een groot aantal definities en aanduidingen (“identificerende gegevens”). In het besluit zijn diverse andere zaken geregeld, zoals welke autoriteiten via het portaal gegevens bij banken kunnen opvragen, dat zijn onder meer FIU-Nederland en de officier van justitie. De toelichting op het besluit bevat een overzicht van de verwerkingsverantwoordelijken als bedoeld in de AVG, waarbij is afgeweken van het advies van de Autoriteit Persoonsgegevens.
De Raad van State heeft over het besluit advies uitgebracht.
Ellen Timmer - juridische artikelen en berichten 