Privacy, proportionaliteit en subsidiariteit
Onderstaande is een fragment uit de brief die ik in januari 2019 gestuurd heb naar Minister Hoekstra (Financiën) via de internet consultatie Implementatiewet Wijziging Vierde Anti-Witwasrichtlijn. De gehele brief is hier te lezen. De voorgestelde wet is nog steeds in behandeling.
Uit recente voorstellen zoals het delen van identiteitsgegevens van cryptocurrency gebruikers onder exchanges (FATF), en het verbod op contante betalingen boven de €3.000, vermoed ik helaas dat hij de brief niet gelezen heeft.
Update 2 juli 2019, 17:40: er kwam zojuist een nieuwe versie van voorstel uit, alsmede advies van de Raad van State en de AVG. Onderstaande tekst gaat over de versie uit december.
De toelichting van de richtlijn noemt in haar 40 pagina’s nul keer het woord “privacy”. De gehele tekst heeft een vrij negatieve ondertoon als het gaat om zowel privacy als cryptovaluta. Wellicht omdat het vanuit de handhavende hoek geschreven is en zij beroepsmatig nou eenmaal alleen met de duistere aspecten te maken krijgen, en niet de positieve. Deze negatieve houding blijkt nog het meest uit de volgende zin:
“De richtlijn beoogt dan ook de anonimiteit die is verbonden aan transacties in virtuele valuta, en het verhullen van dergelijke transacties, zoveel mogelijk tegen te gaan.”
Dit staat in schril contrast met Artikel 8 van het Europees Verdrag voor de Rechten van de Mens: “Recht op eerbiediging van privé familie- en gezinsleven
1. Een ieder heeft het recht op respect voor zijn privé leven, zijn familie- en gezinsleven, zijn woning en zijn correspondentie.”
Er vindt mijns inziens te weinig maatschappelijke discussie plaats over privacy in het financiële systeem in het algemeen. Hoewel ik begrijp dat er niet zomaar voor Bitcoin een uitzondering gemaakt kan worden, vind ik het toch noodzakelijk om hier iets over te zeggen.
Witwaswetgeving lijkt over het algemeen slechts een hamerstuk. Logisch, want “Wet ter voorkoming van witwassen en financieren van terrorisme” klinkt nou eenmaal niet heel spannend en de meeste mensen zijn het eens dat witwassen en terrorisme slecht zijn. Maar daardoor ziet men niet de consequenties, en die zijn op privacy gebied zeer ernstig.
Inbreuk op een grondrecht als privacy mag alleen indien dit noodzakelijk is, en binnen de grenzen van proportionaliteit en subsidiariteit (zie Arrest Sunday Times EHRM 26 april 1979, NJ 1980/146). De noodzaak staat met onderwerpen als witwassen en terrorismefinanciering niet ter discussie. De beginselen van proportionaliteit en subsidiariteit echter des te meer, gezien de digitale (bewaar)mogelijkheden die er ondertussen zijn. Ik geef een voorbeeld.
Als ik een openbaar toilet bezoek op Utrecht Centraal, ga ik eerst door een OV poortje, loop dan langs pakweg 100 camera’s naar de ingang van het toilet, alwaar ik mijn contactloze pinpas gebruik. De cameragegevens worden binnen enkele dagen verwijderd. Het inchecken en annuleren van dat inchecken met mijn OV chip kaart wordt binnen 18 maanden verwijderd. De pintransactie wordt echter afhankelijk van de bank soms meer dan 10 jaar bewaard.
Ik zie niet hoe mijn WC bezoek tien jaar geleden van belang is voor het voorkomen van terrorisme. Dit is een probleem met subsidiariteit en proportionaliteit waar de wet m.i. te weinig nuance in toont.
De barre toestand en achteruitgang van privacy in het financiële systeem is voor veel cryptovaluta enthousiastelingen een belangrijke drijfveer om een alternatief te bouwen. Peter Van Valkenburgh van het Amerikaanse Coin Center gebruikt vaak de term Financiële Surveillance: het volgen van mensen middels de bankrekening in plaats van met camera’s of schaduwen.
Gezien het bovenstaande, is wellicht is volgende formulering beter:
De richtlijn beoogt dan ook de anonimiteit die is verbonden aan transacties in virtuele valuta, en het verhullen van dergelijke transacties, zo veel mogelijk te beschermen in lijn met Artikel 8 van het Europees Verdrag voor de Rechten van de Mens, en slechts gericht en proportioneel de anonimiteit te doorbreken waar er een zwaarwegend belang is in het voorkomen van witwassen en terrorismefinanciering.
Vanuit een nieuwe doelstelling die privacy een gelijkwaardige prioriteit geeft, kunnen we dan vervolgens proportionaliteit aanbrengen in de uitvoering door te waken dat de inbreuk niet verder gaat dan nodig en subsidiariteit door de inbreuk te beperken tot de lichtste middelen.
In de toelichting onder §7.1 “Persoonsgegevens in het kader van het cliëntenonderzoek” staat:
“Er geldt een bewaartermijn van vijf jaar vanaf het moment dat een zakelijke relatie is beëindigd of een transactie is verricht, voor de persoonsgegevens die uit hoofde van het cliëntenonderzoek worden verzameld.
Zonder het verrichten van cliëntenonderzoek zou een effectieve bestrijding van witwassen en financieren van terrorisme niet mogelijk zijn. Ten einde signalen die duiden op onder meer witwassen of terrorismefinanciering te kunnen herkennen, is het verwerven van kennis en informatie over de identiteit van een cliënt onmisbaar. Ook voor het functioneren van de (Nederlandse) opsporingsautoriteiten is deze informatie essentieel.”
Hier wordt een valse tegenstelling gecreëerd. Aan de ene kant is er de GDPR die het mensenrecht op privacy probeert waar te borgen. Aan de andere is er de noodzaak om witwassen te bestrijden. Er wordt gedaan alsof het volledig opheffen van het recht op privacy de enige optie is.
Het is belangrijk om het contrast goed in beeld te krijgen. Als alléén het recht op privacy van belang zou zijn, dan moet iedere wisseldienst van cryptovaluta alle gegevens van hun klanten verwijderen zodra een transactie compleet is. Ze moeten dus vrijwel onmiddellijk het rekeningnummer waar vandaan betaald is verwijderen, het bitcoin adres waar de coins naar verzonden zijn vergeten, de naam en adresgegevens van de klant wissen, etc, etc. Die gegevens hebben namelijk totaal geen bedrijfsmatig nut. Daarnaast zou het absoluut verboden zijn om de bitcoins van een klant na aankoop te volgen.
Als alléén het bestrijden van witwassen van belang is, dan mogen gegevens nooit gewist worden en moet iedere klant maximaal bespioneerd worden, vooral ook na de aankoop.
Het enige compromis wat de wet hier doet is de termijn op 5 jaar na beëindiging van de relatie zetten. Dit werkt misschien bij bankrekeningen waarbij men jaarlijks voor de service moet betalen, maar sluit niet aan bij de praktijk rond cryptovaluta. Mensen sluiten vrijwel nooit online accounts en dus eindigt de relatie feitelijk nooit. In de praktijk zouden deze gegevens daardoor onbeperkt bewaard moeten worden.
Daarnaast is de blockchain voor iedereen in te zien, waardoor de gevolgen van een eventueel datalek veel ingrijpender zijn. Kwaadwillenden kunnen dan zien welke personen veel Bitcoin bezitten. Dit leidt nu soms al tot berovingen en ontvoeringen.
Waarom kan de wet hier geen subsidiariteit en proportionaliteit toepassen? Moet iedere Nederlander in al zijn financiële doen en laten dag en nacht bespioneerd worden voor het geval dat? Moet elk met de pin betaalde WC bezoek tot het einde der tijden digitaal bewaard worden? Als er X dagen na een transactie geen grond van verdenking is, waarom moeten transactiegegevens dan niet verwijderd worden?
Voor zover het verwijderen van transactiegegevens wel degelijk verplicht is, kan de wet dit wellicht expliciet vermelden. Denk daarbij ook aan het verwijderen van het Bitcoin adres waar de klant op betaald is. Dit verwijderen is mogelijk technisch ingewikkeld, maar bij cryptovaluta van extra belang vanwege o.a. het bovengenoemde verhoogde risico op beroving.
Daarnaast dient opgemerkt te worden dat wisseldiensten en bewaarportemonnees vaak gebruik maken van zogenaamde cluster analyse, waarmee ze inzicht krijgen in de transacties van hun klanten en bv. de herkomst van coins kunnen natrekken. De aanbieders deze diensten zijn vaak buiten Nederland en zelfs buiten de EU gevestigd. Dit kan ertoe lijden dat gevoelige informatie van alle klanten buiten de landsgrenzen terecht komt, en mogelijk in handen valt van buitenlandse inlichtingendiensten die daar weer hun voordeel mee kunnen doen.
Onschuldpresumptie
Tevens wordt in dit wetsvoorstel m.i. de onschuldpresumptie in gevaar gebracht. Dit gezien de deels omgekeerde bewijslast in witwaszaken. Uiteraard zijn daar in de jurisprudentie beperkingen in aangebracht ter bescherming van een verdachte. Echter op het gebied van cryptovaluta bestaat momenteel zo bar weinig kennis en expertise binnen de rechterlijke macht en de advocatuur, dat een situatie ontstaan is waarin ik sterk vermoed dat sommige verdachten geen eerlijk proces krijgen.
Met name het gebruik van voor de verdediging oncontroleerbare clusteranalyse als black box bewijsmateriaal is zeer zorgwekkend. Als aanbieders van wisseldiensten en bewaar portefeuilles door deze wet ook (meer) clusteranalyse gaan toepassen en die vervolgens delen met handhavers, wordt dit probleem verergerd.
Met dank aan mr.drs. A.G. Haasnoot en enkele Twitter gebruikers voor feedback op de conceptversie van dit hoofdstuk en brief als geheel.