Privacy First pleit voor verbod op geautomatiseerde risicoprofilering door banken
Commentaar in de consultatie van de Europese antiwitwasautoriteit (AMLA) over de doorlopende screening van klanten door banken en andere bedrijven
Privacy First heeft deelgenomen aan de consultatie die is georganiseerd door de Europese Authority for Anti-Money Laundering and Countering the Financing of Terrorism (AMLA) over ontwerprichtlijnen betreffende de doorlopende monitoring van klanten door ondernemingen met wettelijke antiwitwasverplichtingen (‘OE’s’). De ontwerprichtlijnen geven informatie over hoe OE’s naar de mening van AMLA de doorlopende monitoring van klanten moeten organiseren. Privacy First heeft hier veel fundamentele bezwaren tegen.
Privacy First heeft fundamentele bezwaren tegen de voorgestelde ontwerprichtlijnen:
- naleving van deze ontwerprichtlijnen leidt in feite tot preventieve en voortdurende monitoring (surveillance) van het gedrag van burgers, met verstrekkende gevolgen voor hun dagelijks leven;
- regelgeving over de bestrijding van witwassen (AML) en de financiering van terrorisme (CFT) staat altijd vol met het begrip ‘risicogebaseerde aanpak’, maar tot op heden is er geen duidelijkheid over wat dit precies inhoudt; AMLA biedt in de ontwerprichtlijnen onvoldoende houvast;
- AMLA besteedt in de ontwerprichtlijnen geen enkele aandacht aan de positie van mensen (de ‘betrokkenen’) en aan de klanten van OE’s;
- de ontwerprichtlijnen gaan niet in op het voorkomen van de schadelijke effecten van het AML/CFT-systeem;
- de ontwerprichtlijnen bevatten onjuiste opvattingen over digitale risicoprofileringstechnieken en verzuimen ten onrechte het gebruik van geautomatiseerde middelen voor het opsporen van criminaliteit (geautomatiseerde risicoprofilering) te verbieden.
Algemene context
Op basis van de Europese regelgeving ter bestrijding van witwassen en terrorismefinanciering (‘AML/CFT’) moeten bedrijven publieke taken vervullen op het gebied van misdaadbestrijding. Het AML/CFT-systeem van de EU is gebaseerd op banken en is uitgebreid naar een grote groep andere bedrijven, waarvan een aanzienlijk deel uit MKB-ondernemingen bestaat. De effectiviteit van het op basis van Europese wetgeving betrekken van deze grote groep bedrijven bij de strijd tegen criminaliteit, terwijl de nodige expertise op het gebied van misdaadbestrijding bij hen ontbreekt, is nooit aangetoond.
Onze bezwaren worden hieronder nader toegelicht:
Er ontstaat een financiële surveillancestaat
Ten eerste leidt de naleving van deze ontwerprichtlijnen door AMLA in feite tot een preventieve en voortdurende controle van het gedrag van burgers, met verstrekkende gevolgen voor hun dagelijks leven. De inspanningen om witwassen en criminaliteit in het algemeen op te sporen gaan inmiddels zo ver dat elke gezagsgetrouwe burger bij elke stap in zijn of haar leven door de overheid – via particuliere instanties (met name banken) – in de gaten wordt gehouden. Privacy First maakt zich grote zorgen over het feit dat AMLA niet erkent dat het creëren van een oneindig aantal vage rechtsgronden, die uitzonderingen vormen op de beginselen van de grondrechten en de privacyregels omzeilen, deze grondrechten tot een illusie maakt. De toepassing van deze ontwerprichtlijnen leidt tot een surveillancestaat, die de grondrechten niet respecteert zoals die onder meer zijn vastgelegd in Europese wetgeving, zoals het Europees Handvest en de AVG. Privacy First constateert dat, hoewel naleving van deze rechten met de mond wordt beleden, de realiteit in de praktijk heel anders is.
De risicogebaseerde aanpak wordt niet gerealiseerd
Ten tweede merkt Privacy First op dat alle wetteksten op het gebied van antiwitwasmaatregelen en misdaadbestrijding altijd vol staan met het begrip ‘risicogebaseerde aanpak’, maar dat er tot nu toe geen duidelijkheid is over wat dit precies inhoudt. Ook AMLA legt in deze richtlijnen niet uit wat een risicogebaseerde aanpak is. Het gebruikelijke antwoord dat ‘risicogebaseerd’ betekent ‘focussen op de grootste risico’s’ is te vaag om in de praktijk toe te passen. Privacy First roept AMLA op om het begrip daadwerkelijk inhoud te geven. Ons voorstel: de toezichtseisen voor klanten met een laag risico daadwerkelijk verlichten en de focus leggen op risicogroepen, rekening houdend met de mogelijkheden van de grote groep OE’s die tot het MKB behoren. In een dergelijk systeem zou AMLA alleen hoeven te definiëren wat onder risicoklanten wordt verstaan. Aangezien de meeste burgers zich aan de wet houden, zou deze groep geen groot percentage moeten uitmaken. De door Privacy First voorgestelde aanpak zou evenredig en risicogebaseerd zijn, en bovendien in lijn met de manier waarop de overheid en het Openbaar Ministerie zelf misdrijven onderzoeken en vervolgen.
Ontbrekende aandacht voor de betrokkenen en de (overige) klanten van OE’s
Ten derde valt op aan het ontwerp dat AMLA geen enkele aandacht besteedt aan de positie van natuurlijke personen (betrokkenen) en aan de klanten van OE’s, die ook op de hoogte moeten worden gesteld van de monitoringactiviteiten en moeten kunnen beoordelen of OE’s voldoen aan hun verplichtingen, onder meer om niet meer gegevens op te vragen dan noodzakelijk is (dataminimalisatie).
Geen voorkoming van de schadelijke gevolgen van het AML/CFT-systeem
In haar commentaar in de consultatie roept Privacy First AMLA op om zich niet alleen te richten op de bestrijding van criminaliteit, maar ook verantwoordelijkheid te nemen voor de schadelijke maatschappelijke gevolgen van de privatisering van misdaadbestrijding. Privacy First dringt er bij AMLA op aan om misbruik en het ontstaan van een door financiële surveillance geregeerde samenleving te helpen voorkomen. Privacy First vestigt de aandacht van AMLA op de ernstige misstanden die in Nederland hebben plaatsgevonden en die in Nederland hebben geleid tot fundamentele kritiek van onder meer het College voor de Rechten van de Mens, de Autoriteit Persoonsgegevens, de Algemene Rekenkamer en de Afdeling advisering van de Raad van State.
Onjuiste opvattingen over geautomatiseerde risicoprofilering: digitale risicoprofilering en digitale monitoring moeten onmiddellijk worden gestopt
Bovendien wijst Privacy First erop dat AMLA teveel vertrouwen stelt in het gebruik van digitale hulpmiddelen (zoals AI) door OE’s om te bepalen of een klant mogelijk crimineel is. Wij vestigen de aandacht op belangrijke rapporten die zijn gepubliceerd over digitale risicoprofilering, waaruit blijkt dat digitale systemen gebrekkig zijn en leiden tot discriminatie en uitsluiting. Hiertoe behoren onder andere dit rapport van Amnesty International, bekendgemaakt in het bericht ‘Risicoprofileringssystemen die worden gebruikt om potentiële overtreders te identificeren, zijn in strijd met het internationaal recht en moeten worden verboden’. Zie tevens het advies van de Nederlandse Staatscommissie tegen Discriminatie en Racisme, waarin de regering wordt opgeroepen te stoppen met het gebruik van datagestuurde profilering voor het opsporen van fraude en criminaliteit.
Privacy First is van mening dat het huidige landschap van digitale risicoprofilering, of deze nu door overheidsinstanties of door OE’s wordt uitgevoerd, nog onvoldoende volwassen is, en dat AMLA in de ontwerprichtlijnen duidelijk moet maken dat het gebruik van digitale hulpmiddelen voor risicobeoordeling en -monitoring niet is toegestaan.
De toekomst van AML/CFT
Privacy First roept AMLA op om verantwoordelijkheid te nemen voor de gevolgen van AML/CFT-regelgeving voor de grondrechten van burgers en om een kritisch en onafhankelijk standpunt in te nemen, waartoe dient te behoren dat geautomatiseerde risicoprofilering wordt verboden.
Privacy First heeft nog een groot aantal andere opmerkingen en voorstellen, die te vinden zijn in ons volledige commentaar in de consultatie zoals dat HIER op onze website is te downloaden (pdf).
