1. naleving van deze ontwerprichtlijnen leidt in feite tot preventieve en voortdurende monitoring (surveillance) van het gedrag van burgers, met verstrekkende gevolgen voor hun dagelijks leven;
2. regelgeving over de bestrijding van witwassen (AML) en de financiering van terrorisme (CFT) staat altijd vol met het begrip ‘risicogebaseerde aanpak’, maar tot op heden is er geen duidelijkheid over wat dit precies inhoudt; AMLA biedt in de ontwerprichtlijnen onvoldoende houvast;
3. AMLA besteedt in de ontwerprichtlijnen geen enkele aandacht aan de positie van mensen (de ‘betrokkenen’) en aan de klanten van OE’s;
4. de ontwerprichtlijnen gaan niet in op het voorkomen van de schadelijke effecten van het AML/CFT-systeem;
5. de ontwerprichtlijnen bevatten onjuiste opvattingen over digitale risicoprofileringstechnieken en verzuimen ten onrechte het gebruik van geautomatiseerde middelen voor het opsporen van criminaliteit (geautomatiseerde risicoprofilering) te verbieden.

Algemene context

Op basis van de Europese regelgeving ter bestrijding van witwassen en terrorismefinanciering (‘AML/CFT’) moeten bedrijven publieke taken vervullen op het gebied van misdaadbestrijding. Het AML/CFT-systeem van de EU is gebaseerd op banken en is uitgebreid naar een grote groep andere bedrijven, waarvan een aanzienlijk deel uit MKB-ondernemingen bestaat. De effectiviteit van het op basis van Europese wetgeving betrekken van deze grote groep bedrijven bij de strijd tegen criminaliteit, terwijl de nodige expertise op het gebied van misdaadbestrijding bij hen ontbreekt, is nooit aangetoond.

Onze bezwaren worden hieronder nader toegelicht:

Er ontstaat een financiële surveillancestaat

Ten eerste leidt de naleving van deze ontwerprichtlijnen door AMLA in feite tot een preventieve en voortdurende controle van het gedrag van burgers, met verstrekkende gevolgen voor hun dagelijks leven. De inspanningen om witwassen en criminaliteit in het algemeen op te sporen gaan inmiddels zo ver dat elke gezagsgetrouwe burger bij elke stap in zijn of haar leven door de overheid – via particuliere instanties (met name banken) – in de gaten wordt gehouden. Privacy First maakt zich grote zorgen over het feit dat AMLA niet erkent dat het creëren van een oneindig aantal vage rechtsgronden, die uitzonderingen vormen op de beginselen van de grondrechten en de privacyregels omzeilen, deze grondrechten tot een illusie maakt. De toepassing van deze ontwerprichtlijnen leidt tot een surveillancestaat, die de grondrechten niet respecteert zoals die onder meer zijn vastgelegd in Europese wetgeving, zoals het Europees Handvest en de AVG. Privacy First constateert dat, hoewel naleving van deze rechten met de mond wordt beleden, de realiteit in de praktijk heel anders is.

De risicogebaseerde aanpak wordt niet gerealiseerd

Ten tweede merkt Privacy First op dat alle wetteksten op het gebied van antiwitwasmaatregelen en misdaadbestrijding altijd vol staan met het begrip ‘risicogebaseerde aanpak’, maar dat er tot nu toe geen duidelijkheid is over wat dit precies inhoudt. Ook AMLA legt in deze richtlijnen niet uit wat een risicogebaseerde aanpak is. Het gebruikelijke antwoord dat ‘risicogebaseerd’ betekent ‘focussen op de grootste risico’s’ is te vaag om in de praktijk toe te passen. Privacy First roept AMLA op om het begrip daadwerkelijk inhoud te geven. Ons voorstel: de toezichtseisen voor klanten met een laag risico daadwerkelijk verlichten en de focus leggen op risicogroepen, rekening houdend met de mogelijkheden van de grote groep OE’s die tot het MKB behoren. In een dergelijk systeem zou AMLA alleen hoeven te definiëren wat onder risicoklanten wordt verstaan. Aangezien de meeste burgers zich aan de wet houden, zou deze groep geen groot percentage moeten uitmaken. De door Privacy First voorgestelde aanpak zou evenredig en risicogebaseerd zijn, en bovendien in lijn met de manier waarop de overheid en het Openbaar Ministerie zelf misdrijven onderzoeken en vervolgen.

Ontbrekende aandacht voor de betrokkenen en de (overige) klanten van OE’s

Ten derde valt op aan het ontwerp dat AMLA geen enkele aandacht besteedt aan de positie van natuurlijke personen (betrokkenen) en aan de klanten van OE’s, die ook op de hoogte moeten worden gesteld van de monitoringactiviteiten en moeten kunnen beoordelen of OE’s voldoen aan hun verplichtingen, onder meer om niet meer gegevens op te vragen dan noodzakelijk is (dataminimalisatie).

Geen voorkoming van de schadelijke gevolgen van het AML/CFT-systeem

In haar commentaar in de consultatie roept Privacy First AMLA op om zich niet alleen te richten op de bestrijding van criminaliteit, maar ook verantwoordelijkheid te nemen voor de schadelijke maatschappelijke gevolgen van de privatisering van misdaadbestrijding. Privacy First dringt er bij AMLA op aan om misbruik en het ontstaan van een door financiële surveillance geregeerde samenleving te helpen voorkomen. Privacy First vestigt de aandacht van AMLA op de ernstige misstanden die in Nederland hebben plaatsgevonden en die in Nederland hebben geleid tot fundamentele kritiek van onder meer het College voor de Rechten van de Mens, de Autoriteit Persoonsgegevens, de Algemene Rekenkamer en de Afdeling advisering van de Raad van State.

Onjuiste opvattingen over geautomatiseerde risicoprofilering: digitale risicoprofilering en digitale monitoring moeten onmiddellijk worden gestopt

Bovendien wijst Privacy First erop dat AMLA teveel vertrouwen stelt in het gebruik van digitale hulpmiddelen (zoals AI) door OE’s om te bepalen of een klant mogelijk crimineel is. Wij vestigen de aandacht op belangrijke rapporten die zijn gepubliceerd over digitale risicoprofilering, waaruit blijkt dat digitale systemen gebrekkig zijn en leiden tot discriminatie en uitsluiting. Hiertoe behoren onder andere dit rapport van Amnesty International, bekendgemaakt in het bericht ‘Risicoprofileringssystemen die worden gebruikt om potentiële overtreders te identificeren, zijn in strijd met het internationaal recht en moeten worden verboden’. Zie tevens het advies van de Nederlandse Staatscommissie tegen Discriminatie en Racisme, waarin de regering wordt opgeroepen te stoppen met het gebruik van datagestuurde profilering voor het opsporen van fraude en criminaliteit.

Privacy First is van mening dat het huidige landschap van digitale risicoprofilering, of deze nu door overheidsinstanties of door OE’s wordt uitgevoerd, nog onvoldoende volwassen is, en dat AMLA in de ontwerprichtlijnen duidelijk moet maken dat het gebruik van digitale hulpmiddelen voor risicobeoordeling en -monitoring niet is toegestaan.

De toekomst van AML/CFT

Privacy First roept AMLA op om verantwoordelijkheid te nemen voor de gevolgen van AML/CFT-regelgeving voor de grondrechten van burgers en om een kritisch en onafhankelijk standpunt in te nemen, waartoe dient te behoren dat geautomatiseerde risicoprofilering wordt verboden.

Privacy First heeft nog een groot aantal andere opmerkingen en voorstellen, die te vinden zijn in ons volledige commentaar in de consultatie zoals dat HIER op onze website is te downloaden (pdf).

De AP waarschuwde eerder dit jaar opnieuw voor de privacyrisico’s van digitale leermiddelen in de klas.[1] Scholen verwerken grote hoeveelheden persoonsgegevens van leerlingen, variërend van naam- en contactgegevens tot leerprestaties, gedragsgegevens en in sommige gevallen zelfs gegevens die iets zeggen over de ontwikkeling van een kind. Wanneer deze gegevens worden verzameld, gecombineerd of voor andere doeleinden worden gebruikt dan noodzakelijk voor het onderwijs, ontstaan serieuze risico’s.

Dat is extra problematisch omdat leerlingen een kwetsbare groep vormen. Anders dan volwassenen hebben zij vaak weinig begrip van de omvang en gevolgen van gegevensverwerkingen. Bovendien kunnen zij niet eenvoudig besluiten om een digitaal leermiddel niet te gebruiken wanneer dit onderdeel uitmaakt van het onderwijsprogramma.

Meer dan een juridische verplichting

De discussie wordt vaak gevoerd vanuit de AVG en contractuele afspraken tussen scholen en leveranciers. Dat is belangrijk, maar niet voldoende. Het gaat uiteindelijk om een bredere maatschappelijke vraag: welke digitale omgeving willen wij creëren voor kinderen?

Privacybescherming moet niet worden gezien als een administratieve horde die genomen moet worden voordat een toepassing kan worden ingezet. Het zou een fundamenteel ontwerpprincipe moeten zijn.[2] Wie technologie ontwikkelt voor kinderen, heeft de verantwoordelijkheid om gegevensverwerking zoveel mogelijk te beperken, transparant te zijn en commerciële belangen nooit boven de belangen van leerlingen te stellen.

De verantwoordelijkheid ligt niet alleen bij scholen

Van scholen wordt verwacht dat zij kritisch kijken naar de digitale middelen die zij inzetten. In de praktijk beschikken veel onderwijsinstellingen echter niet over de expertise, capaciteit of onderhandelingspositie om grote technologiebedrijven en softwareleveranciers effectief te controleren.

De verantwoordelijkheid mag daarom niet uitsluitend bij scholen worden neergelegd. Leveranciers moeten aantoonbaar kunnen maken dat privacybescherming vanaf het ontwerp is meegenomen. Daarnaast ligt er een belangrijke taak voor de overheid en toezichthouders om duidelijke normen te stellen en deze waar nodig te handhaven.

In een recente brief aan de Tweede Kamer onderkent de staatssecretaris van Onderwijs, Cultuur en Wetenschap de noodzaak voor het opstellen van een regieplan met betrekking tot digitalisering en AI in het funderend onderwijs.[3] Overheid, scholen en publieke partners werken samen aan dit plan om de regie over de digitalisering in het onderwijs terug te krijgen. Uitgangspunt is dat technologie ondersteunend is aan goed onderwijs en publieke waarden worden beschermd. Het gezamenlijke regieplan wordt in het najaar van 2026 verwacht.

De introductie van nieuwe Europese regelgeving, zoals de AI-verordening (AI Act), maakt deze discussie alleen maar relevanter. Wanneer digitale leermiddelen gebruikmaken van AI om leerprestaties te analyseren, leerlingen te profileren of gepersonaliseerde aanbevelingen te doen, neemt het belang van transparantie en toezicht verder toe.

Digitale geletterdheid begint bij privacy

Scholen besteden terecht steeds meer aandacht aan digitale geletterdheid. Daarbij ligt de focus vaak op mediawijsheid, online veiligheid en het herkennen van desinformatie. Privacy verdient binnen dat onderwijs een prominente plek.

Leerlingen moeten niet alleen leren hoe zij digitale middelen gebruiken, maar ook begrijpen welke gegevens worden verzameld, waarom dat gebeurt en welke rechten zij hebben. Juist omdat digitale technologie een steeds grotere rol speelt in hun dagelijks leven, is kennis over privacy een essentiële vaardigheid geworden. Digitale geletterdheid maakt leerlingen tot kritische en bewuste volwassenen die de valkuilen van een digitale samenleving kunnen vermijden en de kansen benutten.

Van discussie naar actie

De zorgen die de AP en Privacy First signaleren zijn geen reden om digitale innovatie in het onderwijs af te remmen. Zij zijn juist een oproep om innovatie op een verantwoorde manier vorm te geven.

Dat vraagt om meer transparantie van leveranciers, meer ondersteuning voor scholen, strengere toetsing van digitale leermiddelen en een sterkere positie voor leerlingen en ouders. Uiteindelijk moet het uitgangspunt eenvoudig zijn: digitale technologie mag het leerproces ondersteunen, maar mag nooit ten koste gaan van de fundamentele rechten van kinderen.

Want goed onderwijs gaat niet alleen over wat leerlingen leren. Het gaat ook over de samenleving waarin wij hen laten opgroeien. En in die samenleving hoort privacy geen luxe te zijn, maar een vanzelfsprekend recht.

[1] Autoriteit Persoonsgegevens, Privacyrisico’s voor leerlingen door digitale leermiddelen in de klas, 30 maart 2026.

[2] De Code voor Kinderrechten bestaat uit tien beginselen met praktische voorbeelden waarmee ontwerpers en ontwikkelaars de fundamentele rechten van kinderen kunnen waarborgen in digitale diensten.

[3] Brief van de staatssecretaris van Onderwijs, Cultuur en Wetenschap Digitale leermiddelen | Tweede Kamer der Staten-Generaal.

In het geconsulteerde voorstel worden uitzonderingen voorgesteld op het eerdere besluit van de AP waarin risicovolle verwerkingen worden aangewezen. Dat betreft onder meer:

• monitoring van financiële gegevens om de kredietwaardigheid of de inkomens- of vermogenspositie of het bestedingspatroon af te leiden;
• grootschalige verwerkingen van gegevens over gezondheid;
• cameratoezicht;
• verwerking van locatie – en communicatiegegevens;
• profilering, observatie en beïnvloeding van gedrag.

Commentaar Privacy First

Ook al heeft Privacy First begrip voor de positie van kleine organisaties, dat moet er echter niet toe leiden dat de bescherming van mensen tegen risicovolle verwerkingen wordt ondermijnd. Onder meer hebben we aangegeven dat de verwerking van ‘klantgegevens in verband met zakelijke activiteiten’ er niet toe mag leiden dat ondernemingen die op grond van de wet criminaliteitsbestrijdingsonderzoek moeten doen (‘witwasbestrijding’) geen DPIA hoeven uit te voeren. Verder hebben we onder andere suggesties gedaan inzake de voorgestelde uitzonderingen voor solistisch werkende zorgverleners en onderwijsinstellingen. Hieronder volgen onze voornaamste aanbevelingen:

Algemene aanbevelingen

• Combineer het nieuwe ontwerpbesluit met het bestaande DPIA-besluit uit 2019 of voorzie beide van een duidelijke toelichting.
• Vermijd vage begrippen als systematisch, stelselmatig en grootschalig, omdat deze tot interpretatieverschillen leiden.
• Maak expliciet dat ook bij een DPIA-vrijstelling alle overige AVG-verplichtingen blijven gelden, inclusief zorgvuldige leverancierskeuze en toezicht op leveranciers.
• Stel als algemene voorwaarde voor vrijstelling dat persoonsgegevens niet met derden worden gedeeld en niet buiten de EU/EER worden doorgegeven.

Reikwijdte van het besluit

Privacy First vindt de begrippen beroepsbeoefenaar en natuurlijke persoon zonder dienstverband onvoldoende duidelijk. Daardoor zouden ook grote organisaties mogelijk gebruik kunnen maken van uitzonderingen die voor kleine organisaties bedoeld zijn.

Belangrijkste opmerkingen per categorie

Werknemersgegevens

• Definieer ‘bijzondere persoonsgegevens’.
• Vervang “systematisch monitoren” door simpelweg “monitoren”.

Klantgegevens

• Sluit Wwft- en AMLR-klantenonderzoek expliciet uit van de uitzondering, omdat dit juist hoge privacyrisico’s meebrengt.
• Verduidelijk wat wordt bedoeld met “grote schaal” en “kwetsbare betrokkenen”.

Websitebezoeken

• Verduidelijk wanneer sprake is van een eenvoudig websitebezoek.
• Licht toe hoe snel al sprake is van delen met derden, bijvoorbeeld door het gebruik van Google Analytics of het embedden van Youtube video’s.

Solistisch werkende zorgverleners

• Voor zorg moet een afzonderlijke, strengere regeling gelden vanwege de gevoeligheid van gezondheidsgegevens.
• Sluit elektronische patiëntendossiers met toegang voor derden, alsmede verwerking van biometrische gegevens (inclusief DNA) uit van vrijstelling.
• Zorgverleners moeten ook technisch controle houden over wie toegang krijgt tot patiëntgegevens.

Beroepsbeoefenaren zonder dienstverband

• Overweeg dit onderdeel geheel te schrappen.
• Verduidelijk onduidelijke begrippen en beperk gegevensdeling strikt.

Cameratoezicht

• Privacy First waarschuwt voor onveilige cameraoplossingen met cloudopslag en commerciële exploitatie van beelden.
• Geen audio-opname toestaan.
• Niet alleen gezichts- en stemherkenning verbieden, maar iedere vorm van identificatie van personen.

Onderwijsinstellingen

• Gevoelige leerlinggegevens moeten strikt gescheiden blijven van reguliere leerlingadministraties.
• Niet delen met derden.
• Stimuleer gezamenlijke privacy- en DPIA-aanpak tussen instellingen.

Verenigingen en stichtingen

• Verwerk alleen gegevens die strikt noodzakelijk zijn voor de relatie met leden of donateurs en benadruk dat delen met derden niet is toegestaan.

Lees HIER onze volledige consultatiereactie (pdf).

“Voor ons was het sowieso een heel mooi moment. Ik weet niet of ‘geruststelling’ het juiste woord is, maar het voelde vooral als een prachtige bevestiging van waar we als stichting al jaren mee bezig zijn: het borgen van privacy binnen het ritregistratiesysteem.” Die erkenning wordt niet alleen bij de stichting zelf gevoeld. Ook bij de vijfentwintig leveranciers die het keurmerk voeren — samen goed voor naar schatting 80 procent van de Nederlandse markt — werkt de toekenning van de Nederlandse Privacy Award volgens Michel positief door. “In algemene zin zie je dat leveranciers daar gewoon vruchten van plukken, richting hun commercie maar ook richting hun bestaande klanten.”

Vervolgens besloot Solvinity om het overnameverbod bij de rechter aan te vechten. Solvinity had daartoe (samen met het Luxemburgse bedrijf Host Lux) bezwaar ingediend bij de staatssecretaris en een verzoek om voorlopige voorziening ingediend bij de rechtbank Rotterdam. De rechtszitting in die zaak vond vorige week plaats en was deels openbaar (toegankelijk voor het publiek). Op uitnodiging van de rechtbank hebben stichting Firewall, Privacy First en stichting Human Rights in Finance als derde-belanghebbenden aan deze rechtszitting deelgenomen. Vandaag volgde het kritische vonnis: de rechtbank stelt Solvinity in het ongelijk en laat het overnameverbod vooralsnog in stand. De rechter erkent de wettelijke grondslag voor het verbod en oordeelt onder andere dat “de overname van Solvinity door Kyndryl een bedreiging kan vormen voor het publieke belang”, in lijn met de standpunten van de staatssecretaris, Firewall en Privacy First c.s. De rechter oordeelt hierover als volgt:

“Solvinity heeft diepgaande toegang tot veel en (overwegend zeer) vertrouwelijke overheidsinformatie, waaronder (bijzondere) persoonsgegevens en gevoelige informatie uit de strafrechtketen en van de rechtspraak. Het risico bestaat dat deze informatie aan de moedermaatschappij van Kyndryl Nederland kan worden opgevraagd vanwege de toepasselijkheid van Amerikaanse extraterritoriale wetgeving. De mogelijkheid en bereidheid van Kyndryl om zich daartegen te verzetten heeft de staatssecretaris, mede gelet op het feit dat Kyndryl het bevel kan krijgen van de Amerikaanse overheid om haar informatievorderingen volledig geheim te houden, onvoldoende kunnen achten om het risico weg te nemen. Ook als dat risico in de praktijk wellicht beperkt is, heeft de staatssecretaris zich op het standpunt kunnen stellen dat ook een beperkt risico onaanvaardbaar is vanwege de grote gevolgen die het verwezenlijken van ook een beperkt risico kan hebben voor het publiek belang.” (ro. 47)

Opvallend aan het vonnis is dat de staatssecretaris desondanks wordt veroordeeld in alle proceskosten; dit wegens de eerdere tegenwerking door de staatssecretaris c.q. de landsadvocaat bij de deelname en (gedeeltelijke) kennisname van de processtukken door de drie stichtingen. De rechter noemt deze proceshouding van de staatssecretaris “weinig rechtsstatelijk” (zie ro. 33).

Hoger beroep tegen dit voorlopige vonnis is niet mogelijk. Een parallelle bezwaarprocedure van Solvinity loopt nog; in die procedure willen Firewall, Privacy First en Human Rights in Finance eveneens als derde-belanghebbenden interveniëren.

Het overnameverbod is volgens Privacy First het enige juiste besluit dat de Nederlandse regering had kunnen nemen. Elke andere uitkomst was in onze optiek onverantwoord en onrechtmatig geweest. Privacy First hoopt dat dit besluit een precedent schept om ook kritisch te kijken naar het gebruik van andere diensten van buiten Europa. Dit kan een positieve kentering in de geschiedenis vormen.

Naast stichting Firewall en Privacy First bestond onze coalitie uit initiatiefnemer Eric Smit, Esther van Egerschot, Maxim Februari, Felienne Hermans, Bert Hubert, Joris Luyendijk, Caroline Nevejan, Reijer Passchier, Jelle Postma, Sander Schimmelpenninck, Karin Spaink, Marleen Stikker en Kees Verhoeven. Deze zaak werd (en wordt) gevoerd door Roland Mans (Corten De Geer Advocaten) en Matthijs Kaaks (Boekx Advocaten).

Lees hier het hele vonnis op rechtspraak.nl.

Steunt u ons in deze zaak? Word dan donateur! 

Onder de ANPR-wet (art. 126jj Sv.) worden sinds 2019 de kentekens en locaties van miljoenen auto’s in Nederland (oftewel ieders reisbewegingen) continu vier weken in een centrale politiedatabank opgeslagen voor o.a. opsporing en vervolging, ongeacht of men ergens van verdacht wordt. Dit is totaal niet noodzakelijk, volstrekt disproportioneel en bovendien ineffectief, zo bleek de afgelopen jaren uit diverse onderzoeken. Toezicht ontbreekt en het systeem kan eenvoudig worden misbruikt. De huidige ANPR-wetgeving vormt daarmee een massale privacyschending en hoort in onze optiek niet thuis in een vrije democratische rechtsstaat.

Zaak van lange adem

Na een eerder kort geding verklaarde de rechtbank Den Haag Privacy First begin 2024 ontvankelijk in de bodemprocedure. Dit tussenvonnis heeft sindsdien belangrijke precedentwerking voor vergelijkbare zaken, zeker nu vanuit de Nederlandse politiek de mogelijkheden voor belangenorganisaties om rechtszaken te voeren steeds meer beperkt dreigen te worden. Inhoudelijk stelde de rechtbank Privacy First vervolgens echter in het ongelijk. Privacy First heeft daarna hoger beroep ingesteld bij het Hof Den Haag. Tevens heeft Privacy First een reeks Woo-verzoeken ingediend bij diverse betrokken overheidsorganisaties. In juni 2025 bepaalde het Hof Den Haag vervolgens dat de rechtszitting in hoger beroep in juli 2026 zou plaatsvinden.

Onderscheid ANPR “hits” en “no hits”

De ANPR-wetgeving waar de rechtszaak van Privacy First om draait ziet vooral op de massale verzameling en opslag van ieders “historische” ANPR-data, ook wel “no hits” genoemd. Dit betreft vrijwel louter onschuldige burgers en dient te worden onderscheiden van de al vele jaren bestaande politiepraktijk waarbij kentekens van verdachte personen (zogeheten “hits”) kunnen worden gebruikt voor opsporing en vervolging van misdrijven.

Kansrijke zaak

Via Pro Bono Connect heeft Privacy First het advocatenkantoor CMS ingeschakeld om deze rechtszaak pro bono voor ons te voeren. De zaak wordt tevens al jaren gesteund door het Europese Digital Freedom Fund. Indien nodig zal Privacy First de zaak tot aan de hoogste Europese rechters voortzetten. Gezien recente Europese jurisprudentie en standpunten van de Autoriteit Persoonsgegevens acht Privacy First de kans op een succesvolle rechtsgang inmiddels hoger dan ooit.

Datum en locatie

Onze langverwachte rechtszitting in hoger beroep zal op donderdag 9 juli as. om 13.30u bij het Hof Den Haag plaatsvinden. Deze rechtszitting is openbaar: u bent van harte welkom. Zaaknummer: 200.347.782/01 (Stichting Privacy First vs. de Staat).

Inmiddels is gebleken dat private misdaadbestrijdingsactiviteiten tot onjuiste behandeling van klanten kan leiden.

Het schadelijke optreden kan iedereen betreffen, zoals de uitspraak in de zaak van een ICT-expert wiens rekeningen zonder goede reden werden geblokkeerd door betaaldienstverlener bunq. Vreemdgenoeg hoefde bunq volgens deze uitspraak geen verantwoording af te leggen voor haar onjuiste optreden.

In de praktijk zijn het met name bepaalde groepen die geraakt worden door onjuist optreden van witwasbestrijdingsplichtigen, zoals mensen uit minderheidsgroepen en mensen die contante betalingen doen.

Hoewel de banken en de minister van Financiën hebben beloofd dat de hinder voor onschuldige burgers zal worden verminderd, leert de praktijk dat witwasbestrijdingsplichtigen nog steeds hinder veroorzaken. Een voorbeeld is een bank die een beginnende ondernemer indringende vragen stelt over het verdienmodel van zijn eenmanszaak en om gedetailleerde informatie over klanten en relaties vraagt. Dat zijn vragen die je van een belastinginspecteur zou verwachten en die veel verder gaan dan verwacht mag worden van een bank (bijvoorbeeld omdat persoonsgegevens van derden worden opgevraagd). Dergelijke vragen worden door banken gesteld onder dreiging van blokkering van de bankrekening en beëindiging van de relatie; voor de betrokken klant is dit angstaanjagend. Vaak is ook een probleem dat de vragen niet goed worden begrepen en daardoor onjuist beantwoord.

Privacy First is van mening dat de grondrechten van burgers ook in de geprivatiseerde misdaadbestrijding gerespecteerd moeten worden. Er moet zorgvuldig worden omgegaan met financiële persoonsgegevens.

Geautomatiseerde risicoprofilering

Onderdeel van de witwasbestrijding is dat van grote witwasbestrijdingsplichtigen wordt verwacht dat zij hun klanten met digitale middelen volgen en hun transacties en andere handelingen voortdurend analyseren, om te zien of de klant crimineel is. Op dit gebied worden in het geheim analysesystemen ontwikkeld. Naar verwachting zullen die systemen door de grootbanken gezamenlijk worden ingezet, wellicht zelfs op Europees niveau. Nieuwe Europese regels op het gebied van witwasbestrijding en financiële dienstverlening bieden nieuwe mogelijkheden voor financiële instellingen en overheden om het complete betalingsverkeer te analyseren op zoek naar crimineel geld (‘bancair sleepnet’). Dit beschouwt Privacy First als een gevaarlijke ontwikkeling aangezien niet is gewaarborgd dat zorgvuldig met de financiële persoonsgegevens van mensen wordt omgegaan.

Onze activiteiten

Onze aandacht voor financiële privacy in de criminaliteitsbestrijding was reden voor de hierna genoemde activiteiten van Privacy First.

Deelname aan NEN-consultatie over voorkoming van discriminatie bij risicoprofilering

Sinds enkele jaren is Privacy First in toenemende mate (op meerdere terreinen) actief bij het Nederlands Normalisatie Instituut (NEN). Op 17 april jl. heeft Privacy First deelgenomen aan de NEN-consultatie over de ‘Nederlandse Technische Afspraak over profileringsalgoritmes‘ (NTA). In de consultatie hebben wij er onder meer op gewezen dat de ontwerp-NTA niet geschikt is voor risicoprofilering in de misdaadbestrijding. Wij steunen de kritiek van burgerrechtenorganisaties die deel uitmaakten van de voorbereidingscommissie, dat een indirect onderscheid op grond van ‘ras’, nationaliteit en andere discriminatiegronden bij profilering in de context van handhaving of toezicht door de overheid of bedrijven die overheidstaken uitvoeren nooit is toegestaan.

In onze consultatiereactie waarschuwt Privacy First voor het gevaar dat gebruikers van profileringssystemen excessief persoonsgegevens oogsten om te gebruiken voor de ‘goede doelen’ die zij in gedachten hebben. In de ontwerp-NTA wordt onder meer gesproken over de bedoeling om aan de hand van een grote hoeveelheid persoonsgegevens de beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen van mensen te analyseren of te voorspellen. In de optiek van Privacy First is het ongewenst dat dit gebeurt.

Wij maakten diverse andere opmerkingen, onder andere over ‘betekenisvolle menselijke tussenkomst’, die in een aantal gevallen niet mogelijk zal zijn, bijvoorbeeld in de witwasbestrijding. Bovendien wordt in de witwasbestrijding niet voldaan aan het vereiste van uitlegbaarheid van geautomatiseerde besluiten.

In de ontwerp-NTA ontbreekt een volwassen regeling inzake het betrekken van degenen die geraakt worden door risicoprofilering, dus burgers en burgerrechtenorganisaties. Privacy First pleit voor een volwassen governance van profileringssystemen, met onder meer adequate feedback-mogelijkheden en een onafhankelijke ombudsmanfunctie.

Commentaar op het ECRI-rapport over Nederland

Op verzoek van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) gaven wij op 28 april jl. onze reactie op het rapport over Nederland dat is uitgebracht door de Europese Commissie tegen Racisme en Intolerantie (ECRI). Privacy First herkent zich in veel elementen van het rapport, maar attendeert BZK erop dat sommige aspecten te weinig aandacht krijgen. Dat betreft met name de systemische gebreken in de Europese antiwitwasregels, die leiden tot discriminerende gedragingen van overheidsinstanties en van bedrijven die op grond van die regels overheidstaken uitvoeren, onder andere banken. Onderdeel van die regels is dat iedereen met een relatie met een zogenaamd ‘hoog-risicoland’ op criminaliteit zelf ook als een verhoogd criminaliteitsrisico wordt beschouwd. Ook relaties met aangrenzende landen kunnen leiden tot extra aandacht. In de praktijk leidt dit tot discriminatie en disproportioneel klantenonderzoek, wat onder de nieuwe Europese antiwitwasverordening die volgend jaar in werking treedt alleen maar erger zal kunnen worden. Daar komt bij dat ECRI zich niet realiseert dat algoritmische discriminatie ook aan de orde is bij de bedrijven die de antiwitwasregels uitvoeren.

Privacy First roept ECRI op om meer aandacht aan de privatisering van overheidstaken naar bedrijven te besteden en de systemische gebreken van de antiwitwasregels in kaart te brengen. Verder dient de rechtsbescherming te worden verbeterd en is belangrijk dat bij algoritmische profilering door bedrijven sterkere waarborgen worden gecreëerd.

Deelname aan consultatie van de Europese antiwitwasautoriteit AMLA

Op 6 mei jl. nam Privacy First deel aan de consultatie van de nieuwe Europese antiwitwasautoriteit AMLA over hun ontwerp van nadere regels inzake klantenonderzoek (ontwerp-RTS). In onze reactie leverden we onder meer kritiek op het one-size-fits-all systeem, het voorstel van AMLA om de Europese Digitale Identiteit (EUDI-wallet) feitelijk verplicht te stellen en de financiële persoonsgegevens die volgens de ontwerp-RTS altijd moeten worden opgevraagd ook al is er geen goede reden voor.

Onze brieven naar aanleiding van het advies van de Staatscommissie tegen Discriminatie en Racisme

Begin mei jl. bracht de Staatscommissie tegen Discriminatie en Racisme (SDR) het advies ‘Principes voor profilering. Een kritisch perspectief op de toepassing van datagedreven profilering door de overheid‘ uit. In het begeleidende nieuwsbericht adviseert de SDR te stoppen met datagedreven profilering door de overheid vanwege discriminatie.

Dit advies was aanleiding voor Privacy First en het Nederlands Juristen Comité voor de Mensenrechten (NJCM) om op 15 mei jl. een gezamenlijke brief te sturen aan enkele commissies van de Tweede Kamer en relevante ministers. In deze brief geven Privacy First en NJCM aan dat het advies van SDR ook relevant is voor de geprivatiseerde criminaliteitsbestrijding (witwasbestrijding) en dat ook daar de datagedreven profilering moet worden stopgezet.

Privacy First heeft het advies van SDR tevens onder de aandacht van de Europese antiwitwasautoriteit AMLA gebracht en aangegeven dat de bevindingen in het rapport van toepassing zijn op datagedreven profilering op grond van de Europese antiwitwasregels.

Tot slot

Privacy First blijft de ontwikkelingen kritisch volgen en houdt zich aanbevolen voor ondersteuning door professionele vrijwilligers die kennis hebben van de hierboven genoemde onderwerpen. Ook tips en praktijkervaringen die nuttig kunnen zijn voor onze activiteiten zijn altijd van harte welkom.

De afgelopen tijd is Privacy First volop actief geweest met het onderwerp identificatie:

Brandbrief over EUDI-wallet

In maart jl. vroegen we in een brandbrief aan de minister van Financiën ^[1] aandacht voor een Europees voorstel dat ertoe leidt dat het Europese identificatiemiddel, de Europese Digitale Identiteit, ook wel als EUDI-wallet of EDI-wallet aangeduid, verplicht wordt. De minister heeft in een brief van 11 mei jl. aan de Tweede Kamer ^[2] laten weten het niet met ons eens te zijn.

Deelname Europese consultatie eIDAS/EUDI-wallet

Privacy First heeft het onderwerp identificatie aangekaart in een recente Europese consultatie over de Business Wallet ^[3]. Deze wallet is net als de EUDI-wallet gebaseerd op de Europese eIDAS-verordening. In onze consultatiereactie ^[4] hebben wij er op gewezen dat private partijen in het eIDAS-systeem, zoals de wallet-aanbieders, niet op integriteit of het ontbreken van tegenstrijdig belang worden getoetst. Dit is een ernstig gebrek in het systeem. Privacy First heeft onder meer aangedrongen op versterking van de bepalingen over de vrijwilligheid van de wallets.

Nieuwe brief Privacy First aan Tweede Kamer

Onlangs heeft de commissie Digitale Zaken van de Tweede Kamer besloten om extra aandacht aan de eIDAS-verordening en de Business Wallet te gaan besteden. Dat was voor Privacy First aanleiding om op 1 juni jl. een uitvoerige brief ^[5] aan deze commissie en andere relevante commissies van de Tweede Kamer te schrijven, waarin wij de risico’s rond identificatie uitvoerig aan de orde hebben gesteld. We leggen in deze brief uit waarom we het niet eens zijn met het standpunt van de minister van Financiën zoals geuit in diens brief aan de Tweede Kamer van 11 mei jl. Verder gaan we in op de vrijwilligheid van de wallets en stellen we een groot aantal vragen over het eIDAS-systeem, waaronder:

• hoe wordt voorkomen dat de wallets een controlemiddel worden,
• hoe wordt gewaarborgd dat de ontvangende partijen niet overvragen (overidentificatie),
• welke waarborgen er zijn ter voorkoming van onnodige verspreiding van persoonsgegevens,
• hoe het zit met het gebrekkige verdienmodel voor walletaanbieders,
• waarom de verplichting ontbreekt dat de wallets kunnen worden gebruikt zonder apparaten of software van internetgiganten van buiten de EU.

Privacy First blijft de ontwikkelingen hieromtrent kritisch volgen.

Heb je nuttige informatie voor ons of relevante ervaringen met identificatie (c.q. identiteitsverificatie) die voor onze contacten met overheidsinstanties nuttig kunnen zijn, laat het ons dan weten.

^[1] https://privacyfirst.nl/artikelen/brandbrief-privacy-first-over-verplichtstelling-europese-digitale-identiteit-bij-banken/ (zie ook update 1 juni 2026)

^[2] https://www.tweedekamer.nl/kamerstukken/brieven_regering/detail?id=2026Z09523&did=2026D21471

^[3] https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/14663-Europese-portemonnee-voor-ondernemingen-digitale-identiteit-veilige-gegevensuitwisseling-en-juridische-kennisgevingen-voor-eenvoudige-digitale-bedrijven_nl

^[4] https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/14663-Europese-portemonnee-voor-ondernemingen-digitale-identiteit-veilige-gegevensuitwisseling-en-juridische-kennisgevingen-voor-eenvoudige-digitale-bedrijven/F33399513_nl

^[5] https://privacyfirst.nl/wp-content/uploads/SPF20260601.pdf (pdf)

Ieder jaar organiseert Privacy First samen met ECP | Platform voor de InformatieSamenleving tijdens de Nationale Privacy Conferentie de uitreiking van de Nederlandse Privacy Awards. Een professionele vakjury buigt zich over privacybewuste ideeën, oplossingen en initiatieven van ondernemingen, overheden en andere organisaties die privacy en informatiebescherming hoog in het vaandel hebben.

De winnaars van 2026 waren UMC Utrecht & Roseman Labs, Stichting Keurmerk Ritregistratiesystemen, TNO, NFI & SURF en het Nationaal innovatie centrum privacy-enhancing technologies (Nicpet). Op de website van de Privacy Awards vindt u een overzicht van alle genomineerden en winnaars sinds 2018. Stuk voor stuk vormen zij de fundering en bouwstenen voor een privacyvriendelijke samenleving.

Jury

De jury van de Privacy Awards bestaat uit onafhankelijke privacy-experts: Sulaika Duijsings-Mahangi (juryvoorzitter), Koen Versmissen, Marlon Domingus, Sah Farooq, Jan Rinia, Kenneth Sleijpen en Mabel de Vries. Meer informatie over de juryleden, het juryreglement en de juryrapporten van de afgelopen jaren vindt u op de website van de Privacy Awards.

Inschrijving

De jury nomineert inschrijvingen in de volgende categorieën:

• Techniek
• Toepassing
• Bewustmaking

Tevens is er de mogelijkheid van een Aanmoedigingsprijs.

De inzendingen worden o.a. getoetst aan de volgende criteria:
–   maatschappelijke impact
–   innovatief vermogen
–   toekomstbestendigheid.

Meld ons uw initiatief! Wie weet behoort u tot de genomineerden voor de komende editie, en staat u op 28 januari 2027 op het podium met een trofee in uw handen. De checklist voor uw aanmelding vindt u hier (of klik hier voor een Engelstalige versie). Ga voor meer informatie over de Nederlandse Privacy Awards naar PrivacyAwards – Privacy First. De uiterste datum voor inzendingen is 16 oktober 2026. 

Aanmelden: via awards@privacyfirst.nl (o.v.v. ‘Inschrijving Privacy Awards 2027’).

Suggesties voor kandidaten aandragen

Heeft u een opmerkelijk initiatief gezien, waarvan u denkt: dát verdient een Privacy Award? Laat het ons weten! Melden kan via awards@privacyfirst.nl (o.v.v. ‘Suggestie Privacy Awards 2027’).

Sponsoring

De uitreiking van de Nederlandse Privacy Awards wordt mede mogelijk gemaakt door ECP | Platform voor de InformatieSamenleving en NordVPN. Mediapartner is PONT Data & Privacy. Wilt u graag ook sponsor of partner van de Nederlandse Privacy Awards worden? Neem dan contact op met Privacy First!

Aan het gebruik hiervan kleven grote risico’s. Heeft een systeem een sleutelpositie in een groter netwerk van diensten, zoals DigiD, dan ontstaat een ‘single point of failure’. Voor hackers is grootschaligheid een ‘honingpot’, omdat ze met één hack toegang krijgen tot enorm veel data, zoals bij Odido en ChipSoft. Als het systeem ook nog eens in één datacentrum draait, dan is een brandje voldoende om een dienst te laten uitvallen.

Voor een belastingdienst, ministerie, of een telecomprovider geldt dat het gecentraliseerde organisaties zijn. Die zijn al snel afhankelijk van grootschalige gecentraliseerde (onderdelen in hun) automatisering, ondanks de nadelen die het heeft.

Voor de zorg is dat anders. Het verlenen van zorg is een proces dat plaatsvindt tussen jou en je zorgverleners. Ga je van de dokter naar de apotheek, dan kunnen je gegevens die route volgen, oftewel: ‘gericht beschikbaar’ worden gesteld. Ook dan zijn er risico’s, maar kleinschalig systeem = kleinschalig probleem.

De Algemene Verordening Gegevensbescherming (AVG) stelt heldere eisen. Odido is volgens deze wet een zogenoemde “verwerkingsverantwoordelijke”. De wet zegt daarover dat ze
1) strenge veiligheidsmaatregelen moeten inregelen in hun systemen (bijvoorbeeld met beperkte toegangsrechten voor medewerkers en monitoring op het downloaden van grote hoeveelheden data);
2) zo weinig mogelijk data van klanten moeten vragen en dat de verwerking rechtmatig is;
3) transparant moeten zijn; en
4) bij een datalek onmiddellijk adequate stappen moeten zetten om de Autoriteit Persoonsgegevens en klanten te informeren.

In het geval van Odido is duidelijk dat het telecombedrijf op meerdere punten nalatig is geweest. Zo zijn er veel te veel gegevens bewaard, voor een veel te lange periode. Alleen al uit de hoeveelheid gegevens die is gestolen blijkt dat de data niet goed waren afgeschermd of ‘gecompartimenteerd’. Ook is Odido onvoldoende transparant geweest en is de meldplicht niet correct nageleefd.

In haar eigen communicatie heeft Odido er inmiddels op gewezen dat de getroffen persoonlijke gegevens van klanten al gebruikt zijn voor criminele activiteiten zoals phishing. Op andere punten is er nog onduidelijkheid. Er lopen verschillende onderzoeken door het Openbaar Ministerie, de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur.

Drie doelen

CUIC wil met deze zaak drie dingen bereiken. Ten eerste: genoegdoening voor alle mensen van wie gegevens nu op straat liggen. Ten tweede: een voorbeeld stellen voor alle bedrijven. Privacy is een fundamenteel recht dat goed beschermd moet worden. Ten derde: dat Odido openheid van zaken geeft over hoe dit enorme datalek heeft kunnen ontstaan en waarom het bijvoorbeeld waarschuwingen van softwarebedrijf Salesforce over de veiligheid van haar systemen in de wind lijkt te hebben geslagen.

Het grotere plaatje

CUIC voorzitter Eliëtte Vaal: “Je kunt nooit helemaal uitsluiten dat een inbreker binnenkomt in systemen. Maar de wet vereist dat je op z’n minst goede voorzorgsmaatregelen neemt. Odido lijkt de veiligheid van de gegevens van haar klanten als het sluitstuk van haar bedrijfsvoering te hebben beschouwd. Daarmee hebben ze miljoenen klanten en oud-klanten blootgesteld aan het risico dat zaken als hun bankgegevens nu kunnen worden misbruikt. Veel mensen maken zich daar terecht zorgen over.”

Meld je kosteloos aan voor de zaak op CUIC.eu

Mensen die klant zijn of waren van Odido, T-mobile, Ben of Tele2 worden opgeroepen zich aan te melden voor deze collectieve actie op www.cuic.eu. Aanmelden is kosteloos. Privacy is een fundamenteel recht dat bescherming behoeft tegen onrechtmatige commerciële praktijken.

Over CUIC

CUIC is een onafhankelijke non-profit organisatie en staat voor Consumers United in Court, ook uit te spreken als ‘CU in Court’ (see you in court). CUIC heeft als missie de privacy van consumenten te beschermen en kan daartoe procederen onder de nieuwe Wet afwikkeling massaschade in collectieve actie (Wamca), waarbij de krachten van consumenten gebundeld worden. CUIC is mede opgericht door Privacy First en de Europese organisatie None of Your Business (noyb), twee organisaties die al vele jaren en met succes strijden en procederen voor privacy en gegevensbescherming van burgers, met belangrijke gevolgen in wetgeving, uitvoering en toezicht.

De claim tegen Odido is de tweede rechtszaak die CUIC start, na de zaak van CUIC tegen het techbedrijf Avast dat jarenlang het online surfgedrag van miljoenen mensen onrechtmatig verzamelde en doorverkocht. De zaak tegen Avast loopt momenteel bij de rechtbank Amsterdam.

Reeds sinds de allereerste conceptversie van het Wtmo-voorstel in 2018 heeft Privacy First zich er actief tegen verzet. De afgelopen jaren drong Privacy First daartoe bij de Tweede en Eerste Kamer aan op verwerping van het wetsvoorstel. Na jarenlange vertragingen (o.a. wegens privacybezwaren) werd op 1 april 2025 alsnog een gewijzigde versie van het wetsvoorstel door de Tweede Kamer aangenomen, waarna behandeling in de Eerste Kamer volgde. Een vertegenwoordiger van Privacy First voerde vervolgens het woord tijdens een door de commissie voor J&V van de Eerste Kamer op 25 november 2025 georganiseerde deskundigenbijeenkomst. Tijdens die bijeenkomst werd voor iedereen duidelijk hoeveel gebreken er nog steeds aan het wetsvoorstel kleefden. Zelfs degenen die geacht werden de wet uit te voeren, de burgemeesters en het Openbaar Ministerie, waren van mening dat zij de taken op grond van de Wtmo niet konden uitvoeren. Op 17 maart jl. was vervolgens het plenaire debat in de Eerste Kamer waarin door een meerderheid van Kamerleden veel kritiek op het wetsvoorstel werd geuit. Het was daarom geen verrassing dat het voorstel op 24 maart jl. is verworpen.

Privacy First is verheugd dat de Wtmo nu eindelijk van tafel is.

Het is te hopen dat het ministerie van Justitie & Veiligheid niet opnieuw met een voorstel komt waarmee de grote groep goedwillende nonprofit organisaties wordt benadeeld. Immers, de bedreigingen van de Nederlandse rechtsstaat hebben niets met de nonprofit te maken.

Meer informatie:

• Bericht Eerste Kamer over verwerping van het wetsvoorstel d.d. 24 maart 2026 https://www.eerstekamer.nl/nieuws/20260324/senaat_verwerpt_voorstel_om
• Bericht Eerste Kamer over het debat op 17 maart jl. https://www.eerstekamer.nl/nieuws/20260317/tegengaan_ondermijning_door
• Verslag van de deskundigenbijeenkomst in de Eerste Kamer d.d. 25 november 2025 https://www.eerstekamer.nl/behandeling/20251223/verslag_van_een

Eerdere artikelen van Privacy First over de Wtmo:

• Privacy First waarschuwt Tweede Kamer voor gevolgen van wetsvoorstel Wtmo, 17 januari 2025 https://privacyfirst.nl/artikelen/privacy-first-waarschuwt-tweede-kamer-voor-gevolgen-van-wetsvoorstel-wtmo/
• Wetsvoorstel inzake ’transparantie’ van maatschappelijke organisaties past in een negatieve trend, 24 oktober 2024 https://privacyfirst.nl/artikelen/wetsvoorstel-inzake-transparantie-van-maatschappelijke-organisaties-past-in-een-negatieve-trend/
• Wetsvoorstel non-profit ondermijnt maatschappelijk middenveld, 21 mei 2024 https://privacyfirst.nl/artikelen/wetsvoorstel-non-profit-ondermijnt-maatschappelijk-middenveld/

Meer informatie leest u in onze volledige consultatiereactie (pdf).

• Consultatiereactie Privacy First: https://www.internetconsultatie.nl/derdenaanwijzingbankenbesluit/reactie/411e6e11-3f02-4def-a96f-ea6aa1fac701
• Aankondiging van de consultatie: https://www.internetconsultatie.nl/derdenaanwijzingbankenbesluit/b1.

Hierbij attendeert Stichting Privacy First u erop dat de nieuwe Europese antiwitwasautoriteit AMLA [1] in strijd met de eIDAS-verordening in een recent bekendgemaakt consultatiedocument [2] voorstelt dat witwasbestrijdingsplichtigen natuurlijke personen in non-face-to-face situaties moeten identificeren door middel van de Europese digitale identiteit (‘EUDI-wallet’).

Wij verzoeken u dringend de Europese Commissie en AMLA te wijzen op de verplichtingen die uit de eIDAS-verordening voortvloeien en die niet door de antiwitwasregelgeving mogen worden ondergraven. Dit is van groot belang voor de vele mensen in de EU die onvoldoende digitaal vaardig zijn en voor degenen die geen gebruik kunnen of willen maken van digitale middelen waarvoor apparaten en software van Big Tech moeten worden gebruikt.

EBA consultatie

AMLA is op de hoogte van de verplichtingen op grond van de eIDAS-verordening, aangezien Privacy First daar in de consultatie van de Europese Banken Autoriteit (EBA) op heeft gewezen. Op 6 juni 2025 heeft Privacy First deelgenomen [3] aan een consultatie van de Europese Banken Autoriteit (EBA) [4] over de nadere regels (‘RTS’) op het gebied van het cliëntenonderzoek op grond van de antiwitwasverordening (AMLR) die medio 2027 in werking treedt.

In het consultatiedocument stelde EBA voor dat witwasbestrijdingsplichtigen in non-face-to-face situaties verplicht zullen zijn om de Europese digitale identiteit (‘EUDI-wallet’) te gebruiken voor de verificatie van de identiteit. Wij hebben de EBA er op geattendeerd dat de door hen voorgestelde bepaling in strijd is met de eIDAS-verordening, die bepaalt dat het gebruik van de EUDI-wallet volledig vrijwillig is. Voorts hebben wij uitvoerig toegelicht dat aan verificatie van de identiteit voor mensen grote risico’s zijn verbonden en er van witwasbestrijdingsplichtigen, gezien de afhankelijkheidsrelatie, extra maatregelen mogen worden verwacht om de risico’s voor burgers te beperken.

AMLA neemt de EBA-tekst over

Onlangs heeft AMLA de nadere regels opnieuw in consultatie gebracht [2]. Wij zien aan het ontwerp dat AMLA niets heeft gedaan met ons commentaar op de verplichtstelling van de EUDI-wallet. Opnieuw staat in het ontwerp dat het gebruik van de EUDI-wallet verplicht is en dat alleen in uitzonderlijke gevallen identificatie op een andere digitale manier mag plaatsvinden. Ons voorstel dat er altijd een vorm van alternatieve, fysieke identificatie moet worden aangeboden, zodat aan de eIDAS-verordening wordt voldaan, is niet overgenomen.

Dringend actie nodig

Hoewel wij van plan zijn aan de consultatie door AMLA deel te nemen, willen wij nu al aan de alarmbel trekken. Het is immers hoogst ongewenst dat Europese instanties de voorschriften van Europese verordeningen naast zich neer leggen.

Het is belangrijk dat artikel 5a van de eIDAS verordening [5], waarin staat dat het gebruik van de EUDI-wallet volledig vrijwillig is, geen dode letter wordt. Wij hopen dat u daar uw bijdrage aan zult leveren.

Deze open brief zullen wij ook elders verspreiden. Voorts zullen wij AMLA aanschrijven.

Hoogachtend,
Stichting Privacy First

Noten

[1] The Authority for Countering Money Laundering and Financing of Terrorism, https://www.amla.europa.eu/.

[2] Aankondiging: https://www.amla.europa.eu/policy/public-consultations/consultation-draft-rts-customer-due-diligence_en.

[3] Artikel over onze consultatiedeelname: https://privacyfirst.nl/artikelen/digitale-identiteit-wordt-sluipenderwijs-toch-verplicht/, volledige consultatiebijdrage van Privacy First: https://privacyfirst.nl/wp-content/uploads/Privacy-First-response-EBA-consultation-on-additional-AMLR-rules-June-2025.pdf.

[4] Aankondiging: https://www.eba.europa.eu/publications-and-media/press-releases/eba-consults-new-rules-related-anti-money-laundering-and-countering-financing-terrorism-package.

[5] https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:02014R0910-20241018#art_5a, lid 15.

Voor overheden weegt de plicht om openbaar te zijn extra zwaar. Burgers hebben geen invloed op gegevensverwerking op basis van wettelijke taken. Transparantie hierover is geen luxe, maar een randvoorwaarde van onze democratische rechtsstaat. De informatie moet bovendien laagdrempelig toegankelijk zijn: zonder aanvraag of inlog, in begrijpelijke taal en digitaal toegankelijk.

Transparantie als basis

Als je niet weet welke informatie de overheid over jou opslaat heb je ook geen zicht op rechtmatige verwerkingen en kunnen onjuiste verwerkingen niet worden opgespoord.

Vaak komt de informatie pas naar boven bij journalistiek onderzoek of met individuele verzoeken – met een expliciet beroep op de Wet open overheid (Woo) en gegevensbeschermingsrechten (AVG) of privacyrechten (Grondwet, EVRM).

Voorbeelden van verwerkingen met zeer ingrijpende gevolgen:

• kredietchecks (creditscoring door handelsinformatiebureaus)
• zwarte lijsten (financiële instellingen, Gemeentelijk Incidenten Register, FSV-registratie Belastingdienst)
• systematische profilering (zonder betekenisvolle menselijke tussenkomst).

De gevolgen van deze verwerkingen raken burgers direct in hun dagelijks leven, nu nog regelmatig zonder dat zij weten hoe of waarom.

En het wordt nog erger. Zelfs als je cookies weigert, blijken data via server-side tracking alsnog te worden doorgestuurd. Expliciete toestemming voor het delen van gevoelige (medische of seksuele) informatie wordt niet apart gevraagd, terwijl dat wettelijk wel moet bij dergelijke bijzondere persoonsgegevens. “Cookies weigeren” geeft dus vaak een vals gevoel van controle.

Dit gebeurt terwijl de Autoriteit Persoonsgegevens (AP) in 2024 nog een boete van 600.000[1] euro  oplegde aan Kruidvat (na bezwaar van Kruidvat werd dit 50.000 euro)[2] vanwege het gebruik van trackingcookies op hun website zonder de toestemming van bezoekers. Juist bij een drogisterij zijn de risico’s groot. Aankopen zoals zwangerschapstesten of medicatie, gecombineerd met locatiegegevens, kunnen namelijk leiden tot extreem specifieke en invasieve profielen. Van “lessons learned” lijkt er geen sprake te zijn als je naar de onderzoeksresultaten van Investico kijkt.

Waarom is dit problematisch?

Waarom dit zo problematisch is, heeft te maken met het feit dat de risico’s allesbehalve theoretisch zijn. De risico’s zijn reëel en ernstig met als gevolg dat er totaal geen privacygevoel meer is, het vertrouwen weg is en er ook nog juridische gevolgen aan verbonden kunnen worden. Hieronder volgen enkele voorbeelden van wat er met de verzamelde gegevens kan gebeuren:

• Profilering en doorverkoop: er worden zeer gedetailleerde profielen opgebouwd en doorverkocht in een ondoorzichtig advertentie-ecosysteem.
• Zeer specifieke kenmerken: die profielen kunnen zo specifiek zijn dat ze iemands seksuele voorkeuren of medische situatie (impliciet) blootleggen.
• Strafrechtelijke risico’s: in de Verenigde Staten zagen en zien we dat aankoopdata en locatiegegevens (en social media gegevens) gebruikt kunnen worden in (strafrechtelijke) onderzoeken, bijvoorbeeld rond abortus[3] en visa[4].
• Regimeverandering: gegevens die in het huidige politieke klimaat onschuldig lijken, kunnen onder een ander regime ineens tegen burgers worden ingezet. Wat vandaag marketingdata is, kan morgen bewijsstuk zijn.
• Datalekken en chantage: het datalek bij Ashley Madison[5] liet zien hoe verstrekkend de gevolgen kunnen zijn wanneer gevoelige informatie openbaar wordt. Mensen verloren hun baan, hun relatie, sommigen pleegden zelfs zelfmoord. Moreel kun je van overspel iets vinden, maar het is niet strafbaar. Publiekelijk werden mensen wel veroordeeld via gelekte data.
• Onjuiste koppelingen: soms worden e-mailadressen of gegevens gebruikt waarvan niet zeker is dat ze correct zijn. Bij een datalek kunnen gegevens ten onrechte aan iemand worden gekoppeld met reputatieschade tot gevolg.
• Minderjarigen: als dit soort tracking ook minderjarigen raakt, zijn de risico’s nog ernstiger.

Dit is geen abstract privacydebat. Dit gaat over machtsverhoudingen, over controle, over kwetsbaarheid.

Wie moet de consumenten beschermen?

Niet de consument zelf. Het idee dat je “veilig” bent door cookies te weigeren is achterhaald. In eerste instantie zijn online drogisterijen zelf verantwoordelijk voor het (laten) plaatsen van de trackers. Zij bepalen welke trackers op hun website staan. De grote platforms zijn medeverantwoordelijk. Hun pixels en advertentienetwerken maken deze tracking mogelijk en winstgevend. Zij zijn ook herhaaldelijk op de vingers getikt. Toch blijven deze praktijken bestaan, vaak verscholen achter complexe technische infrastructuren. Tot slot moet de AP toezicht (blijven) houden, voorlichten en handhaven. De AP heeft voldoende degelijke instrumenten om dit te kunnen doen. Het instrumentarium strekt zich van onderzoeken doen, waarschuwen of berispen tot aan boetes opleggen, verwerkingen stilleggen en gegevens laten wissen.

Afgelopen jaren heeft de AP veel informatie gedeeld over cookies en zegt strenger te controleren. De boete voor Kruidvat laat zien dat optreden mogelijk en nodig is. Maar handhaving is vaak achteraf en versnipperd. Tegen de tijd dat er een boete ligt, zijn er al duizenden, zo niet miljoenen profielen gemaakt en verspreid.

Bovendien vindt Privacy First dat cookiebanners niet de echte oplossing zijn. Ze zijn vaak onduidelijk of misleidend. Mensen zijn “cookiemoe” en klikken snel op “accepteren”, zonder enig overzicht van wat er met hun gegevens gebeurt of in welke databases ze belanden. Je weet als consument niet in welk profiel je zit, welke labels aan je zijn geplakt, of wie daar toegang toe heeft.

Hoe moet dit worden opgelost?

Privacy First vindt dat de tijd van “nuance en coulance” voorbij is. Bedrijven verzamelen elke dag meer data omdat het winst oplevert, totdat ze worden teruggefloten. Als maatschappij moeten we duidelijker aangeven waar de grens ligt.

• De oplossing begint bij dat bedrijven zich aan de wet moeten houden. Privacy by design moet de norm zijn, zeker bij gevoelige producten.
• Techbedrijven moeten hun verantwoordelijkheid nemen. Er moet geen tracking plaatsvinden op basis van bijzondere persoonsgegevens. Punt.
• Strengere en snellere handhaving is nodig, ondanks dat de AP een beweging wil maken naar een helpende, ondersteunende organisatie en boetetrajecten als zwaar en tijdrovend ervaart. De AP heeft de bevoegdheden en die moeten ook stevig worden ingezet.
• Meer transparantie over cookies en bewustwording blijft een aandachtspunt. Als in een cookiebanner staat dat aankopen van koffie worden gedeeld met partners, dan geldt dat ook voor zwangerschapstesten en medicatie. Dat besef moet indalen. Verder moeten mensen kunnen zien in welk profiel zij zijn ingedeeld en welke labels aan hen zijn toegekend. Zonder inzicht geen effectieve uitoefening van rechten.
• Tot slot moeten we serieus blijven nadenken over een verbod op tracking van gevoelige persoonsgegevens en praktische implementatie ervan. Zeker als het gaat om gezondheid en seksualiteit.

Conclusie

We kunnen niet langer doen alsof dit een technisch detail is. Het doorspelen van gevoelige gezondheidsdata aan advertentieplatforms is een fundamentele aantasting van de persoonlijke levenssfeer.

Consumenten beschermen tegen dit soort datadoorgifte is geen individuele verantwoordelijkheid maar een collectieve opdracht. Voor webwinkels en drogisterijen. Voor techplatforms. Voor de toezichthouder. En uiteindelijk voor de wetgever. Gevoelige gezondheidsdata horen niet thuis in advertentieprofielen. Dat zou geen discussie meer mogen zijn.

Bekijk HIER de televisiereportage en lees HIER het bijbehorende artikel bij Radar.  

[1] https://autoriteitpersoonsgegevens.nl/documenten/besluit-boete-as-watson-kruidvat

[2] https://autoriteitpersoonsgegevens.nl/documenten/besluit-op-bezwaar-as-watson-kruidvat

[3] https://www.americanprogress.org/article/stopping-the-abuse-of-tech-in-surveilling-and-criminalizing-abortion/

[4] https://www.bbc.com/news/articles/c1dz0g2ykpeo

[5] https://www.reuters.com/article/technology/two-people-may-have-committed-suicide-after-ashley-madison-hack-police-idUSKCN0QT1O6/

Privacy First heeft aan de consultatie deelgenomen, zie deze pagina waar naar een Engelstalige pdf met ons commentaar kan worden doorgeklikt.

In ons commentaar leggen we uit dat bij internationale financiële uitwisseling aandacht moet worden besteed aan de grondrechten van burgers. Als op Europees niveau de EU-regels inzake administratieve samenwerking op belastinggebied worden verduidelijkt, vereenvoudigd en verbeterd, kan ook worden gezorgd voor een betere bescherming van de financiële mensenrechten van EU-burgers.

Privacy First heeft er in de consultatiereactie op gewezen dat de internationale uitwisseling van persoonsgegevens voor belasting- en andere overheidsdoeleinden aanzienlijke schade aan burgers kan toebrengen. Dergelijke schade doet zich reeds voor, bijvoorbeeld in de praktijken van de EU-lidstaten met betrekking tot FATCA en de FATCA-verdragen, en door misbruik door derde landen (waaronder de VS) van sanctiewetgeving en antiwitwaswetgeving als alibi om politieke tegenstanders aan te pakken.

Momenteel ontbreekt het zowel in de DAC als in de nieuwe antiwitwaswetgeving van de EU aan mechanismen om EU-ingezetenen te beschermen tegen praktijken van derde landen die de grondrechten van burgers schenden. Het kan daarom niet als vanzelfsprekend worden beschouwd dat de internationale uitwisseling van persoonlijke financiële gegevens zal plaatsvinden in overeenstemming met de grondrechten en met de nodige zorgvuldigheid.

De herziening van de DAC is een goede gelegenheid om financiële mensenrechten in het Europees financieel recht op te nemen. Privacy First verzoekt de Europese Commissie en de andere betrokken Europese autoriteiten om dit te doen in het kader van de herziening van de DAC en heeft daartoe enkele suggesties gedaan. Hieronder onze voornaamste voorstellen:

• Het algemene kader voor uitwisseling onder CRS en FATCA wordt onderdeel van DAC, met passende waarborgen.
• In DAC wordt een expliciet verbod op uitwisseling van financiële persoonsgegevens opgenomen als die uitwisseling tot schending van grondrechten zou leiden.
• De uitwisseling met landen buiten de EU wordt strikt gereguleerd, met duidelijke standaarden op het gebied van grondrechten en rechtsbescherming.
• Uitwisseling met derde landen vindt alleen plaats als die derde landen grondig zijn geaudit door deskundigen op naleving van het Europees Handvest, de AVG en andere relevante regels.
• Personen die een bijzonder risico lopen worden in staat gesteld om uitwisseling met een derde land te laten blokkeren.
• Iedere persoon wiens gegevens aan een ander land wordt verstrekt, wordt daarover door de autoriteiten geïnformeerd.
• Alleen onder strenge voorwaarden worden bedrijven verplicht om persoonsgegevens aan de autoriteiten te leveren (‘renseignering’ of ’third-party reporting’), dit ter voorkoming van gegevensbeschermingsrisico’s.
• In DAC wordt een noodrem opgenomen, die het mogelijk maakt om alle uitwisseling met een derde land of renseignering stop te zetten op grond van bijzondere omstandigheden.

Wordt vervolgd.