AML versus AVG: het dilemma van iedere financiële instelling uitgelegd

AML en de AVG: het voorstel van de EDPB voor een evenwichtige aanpak

Op 20 juli 2021 heeft de Europese Commissie een voorstel aangenomen voor een wetgevingspakket ter bestrijding van witwassen en terrorismefinanciering (Anti-Money Laundering, AML), dat grote gevolgen heeft voor financiële instellingen. Dit pakket heeft als doel het bestaande Europese AML-rechtskader te harmoniseren en de bestrijding van witwassen en terrorismefinanciering effectiever te maken.

In mei 2022 uitte de European Data Protection Board (EDPB) zorgen over de voorgestelde wetgeving. Het voorgestelde AML-pakket bevat onder meer een verordening ter voorkoming van witwassen en terrorismefinanciering binnen de financiële sector (de voorgestelde verordening). Deze lijkt op verschillende punten op gespannen voet te staan met de AVG en brengt daardoor uitdagingen met zich mee voor financiële instellingen op het gebied van gegevensbescherming en AVG-compliance.

Aan de ene kant verplicht de voorgestelde regelgeving financiële instellingen om in het kader van de bestrijding van witwassen en terrorismefinanciering grote hoeveelheden (bijzondere) persoonsgegevens te verzamelen. Aan de andere kant verplicht de AVG diezelfde instellingen om niet meer persoonsgegevens te verzamelen dan noodzakelijk.

In deze blog bespreken we wat de gevolgen van het advies van de EDPB zijn en welke stappen u als financiële instelling kunt nemen om te voldoen aan deze ogenschijnlijk tegenstrijdige wettelijke verplichtingen.

Zorgen van de EDPB: welke bijzondere persoonsgegevens zijn werkelijk noodzakelijk?

De zorgen van de EDPB hebben voornamelijk betrekking op het onderdeel over gegevensbescherming in hoofdstuk VI van de voorgestelde verordening. Dit hoofdstuk bevat specifieke verplichtingen voor financiële instellingen om de identiteit van klanten te verifiëren, achtergrondonderzoek uit te voeren en verdachte transacties te monitoren.

Om aan deze verplichtingen te voldoen, moeten financiële instellingen aanzienlijke hoeveelheden persoonsgegevens verzamelen en verwerken. Artikel 55, lid 1, van de voorgestelde verordening bepaalt dat financiële instellingen bijzondere categorieën van persoonsgegevens en persoonsgegevens betreffende strafrechtelijke veroordelingen mogen verwerken wanneer dit strikt noodzakelijk is voor het voorkomen van witwassen en terrorismefinanciering.

Volgens de EDPB wordt in dit artikel echter onvoldoende verduidelijkt wat onder ‘strikt noodzakelijk’ moet worden verstaan. Ook wordt niet nader bepaald welke bijzondere categorieën van persoonsgegevens mogen worden verwerkt.

Volgens de EDPB staat dit op gespannen voet met het beginsel van minimale gegevensverwerking uit de AVG. De EDPB adviseert daarom om per activiteit – bijvoorbeeld identificatie, screening en rapportage aan de Financial Intelligence Unit (FIU) – vast te leggen welke categorieën persoonsgegevens mogen worden verwerkt.

Door het gebrek aan concrete afbakening bestaat het risico dat financiële instellingen bijzondere persoonsgegevens verwerken die niet noodzakelijk relevant zijn voor het beoogde doel. De EDPB noemt bijvoorbeeld gegevens over iemands lidmaatschap van een vakbond, gezondheidsgegevens, genetische gegevens en biometrische gegevens als gegevens die niet zonder meer noodzakelijk zijn voor de nagestreefde doeleinden.

Daarnaast is de EDPB van mening dat de verwerking van gegevens waaruit iemands etnische afkomst of seksuele gerichtheid blijkt, volledig zou moeten worden verboden. De EDPB roept de wetgever daarom op expliciet vast te leggen welke bijzondere categorieën van persoonsgegevens strikt noodzakelijk kunnen zijn voor de bestrijding van witwassen en terrorismefinanciering.

Knelpunten bij de verwerking van gegevens over strafrechtelijke beschuldigingen

De voorgestelde verordening bepaalt daarnaast dat financiële instellingen niet alleen persoonsgegevens over strafrechtelijke veroordelingen mogen verwerken, maar ook gegevens over strafrechtelijke ‘beschuldigingen’.

De EDPB pleit er daarom voor dat financiële instellingen procedures invoeren waarmee onderscheid kan worden gemaakt tussen beschuldigingen, onderzoeken, gerechtelijke procedures en daadwerkelijke veroordelingen. Daarbij moet rekening worden gehouden met het recht op een eerlijk proces, het recht op verdediging en het vermoeden van onschuld.

Daarnaast adviseert de EDPB om de risicogebaseerde aanpak binnen het Customer Due Diligence-proces (CDD) verder uit te werken in het voorgestelde AML-pakket.

Dit betekent bijvoorbeeld dat over Politically Exposed Persons (PEP’s) meer persoonsgegevens kunnen worden verzameld dan over personen die geen PEP zijn. Vanwege hun functie kunnen PEP’s in het algemeen een hoger risico vormen vanuit het perspectief van witwassen. Het is daarom redelijk dat niet-PEP’s aan minder ingrijpende screeningsprocedures worden onderworpen en dat over hen minder persoonsgegevens worden verzameld.

Gevolgen van het advies van de EDPB

De belangrijkste boodschap van de EDPB is dat zij de voorgestelde verordening verwelkomt, maar tegelijkertijd serieuze zorgen heeft over de wisselwerking tussen de voorgestelde regelgeving en de naleving van de AVG.

Daarbij ligt de nadruk vooral op het concreet vastleggen van welke soorten (bijzondere) persoonsgegevens voor AML-doeleinden mogen worden verzameld.

Hoewel de zorgen van de EDPB valide zijn, is het de vraag in hoeverre de wetgever het advies zal volgen. De EDPB stelt bijvoorbeeld dat de verwerking van persoonsgegevens waaruit iemands etnische afkomst blijkt, zou moeten worden verboden.

Dit kan in de praktijk tot problemen leiden. Financiële instellingen kunnen bijvoorbeeld kopieën van identiteitsbewijzen verzamelen voor de identificatie van klanten. De foto op een identiteitsbewijs kan informatie prijsgeven over iemands ras of etnische afkomst. Het is daarom niet direct duidelijk hoe het standpunt van de EDPB zich verhoudt tot bestaande Know Your Customer-procedures (KYC) voor identiteitsverificatie.

Vergelijkbare problemen kunnen ontstaan bij de verwerking van gegevens waaruit iemands seksuele gerichtheid kan blijken. Volgens de EDPB zou de verwerking daarvan niet toegestaan moeten zijn.

AML-verplichtingen schrijven echter voor dat verdachte transacties moeten worden gemonitord. Aangezien iemands aankoop- en transactiegeschiedenis informatie kan prijsgeven over diens seksuele gerichtheid, kunnen financiële instellingen in bepaalde situaties transacties verwerken waaruit dergelijke informatie indirect kan worden afgeleid. Ook wanneer deze transacties niet individueel worden onderzocht, verwerkt de financiële instelling nog steeds gegevens over de transactiegeschiedenis van de betreffende persoon.

Daarnaast wordt de wetgever opgeroepen om de verwerking van strafrechtelijke beschuldigingen tegen personen opnieuw te beoordelen. Deze verwerking kan een hoog risico opleveren, mede omdat niet duidelijk is afgebakend uit welke bronnen informatie over dergelijke beschuldigingen mag worden verzameld.

Het gebruik van strafrechtelijke beschuldigingen binnen het Customer Due Diligence-proces kan aanzienlijke gevolgen hebben, zoals de weigering om een zakelijke relatie aan te gaan. Dit is met name problematisch wanneer een beschuldiging later niet kan worden onderbouwd of onjuist blijkt te zijn.

Zelfs wanneer het gebruik van dergelijke beschuldigingen in de definitieve regelgeving wordt toegestaan, moeten financiële instellingen daarom terughoudend zijn met het gebruik ervan voor CDD-doeleinden. Een beschuldiging heeft immers niet hetzelfde gewicht als een definitieve strafrechtelijke veroordeling en kan achteraf onjuist blijken of worden ingetrokken.

Verfijn uw risicogebaseerde aanpak

Een risicogebaseerde aanpak vormt een essentieel onderdeel van het voorgestelde AML-pakket en speelt ook binnen de AVG een belangrijke rol. In dat opzicht hanteren beide regelgevingskaders een vergelijkbare benadering.

De EDPB adviseert echter om de risicogebaseerde aanpak binnen het voorgestelde AML-pakket verder uit te werken, specifiek vanuit het perspectief van gegevensbescherming.

Wanneer het risico op witwassen hoger is, kan het gerechtvaardigd zijn om uitgebreidere screenings en achtergrondcontroles uit te voeren. Hierdoor zullen mogelijk meer persoonsgegevens, waaronder bijzondere persoonsgegevens, worden verzameld.

Wanneer het risico op witwassen lager is, zouden daarentegen minder ingrijpende screenings moeten worden uitgevoerd en minder persoonsgegevens moeten worden verzameld.

Deze benadering vertoont overeenkomsten met de risicogebaseerde aanpak van de AVG. Verwerkingsactiviteiten die grotere privacyrisico’s met zich meebrengen, vereisen immers strengere technische en organisatorische maatregelen.

Waar AML-regelgeving en de AVG op het eerste gezicht tegenstrijdig lijken, moet daarom worden gestreefd naar een dynamische en evenwichtige toepassing van beide kaders: het risico op witwassen moet effectief worden verminderd, terwijl tegelijkertijd aan de AVG wordt voldaan.

Hoe voldoet u zowel aan de voorgestelde AML-verplichtingen als aan de AVG?

Het voorgaande roept de vraag op wat uw financiële instelling kan doen om zich voor te bereiden op en te voldoen aan zowel de voorgestelde AML-verplichtingen als de AVG.

Het antwoord ligt onder meer in het integreren van de belangrijkste AVG-beginselen in uw Customer Due Diligence-processen. Denk daarbij aan:

• rechtmatigheid;
• transparantie;
• doelbinding;
• minimale gegevensverwerking;
• opslagbeperking;
• vertrouwelijkheid.

Dit vereist dat uw organisatie beoordeelt welke soorten persoonsgegevens worden verzameld, waarom deze gegevens worden verzameld en of deze verwerking daadwerkelijk noodzakelijk is voor het betreffende doel.

Binnen de financiële sector kan bijvoorbeeld gezichtsherkenning, en daarmee de verwerking van biometrische gegevens, worden gebruikt om klanten te identificeren. De vraag is echter of het gebruik hiervan daadwerkelijk noodzakelijk is en of de identiteit van klanten ook op een betrouwbare, maar minder ingrijpende manier kan worden vastgesteld. Denk bijvoorbeeld aan verificatie door een medewerker in plaats van door middel van AI.

Daarnaast moet uw organisatie bepalen hoelang persoonsgegevens worden bewaard en hoe wordt gewaarborgd dat deze gegevens na afloop van de toepasselijke bewaartermijn daadwerkelijk worden verwijderd.

Relevante vragen zijn bijvoorbeeld: welke IT-systemen worden gebruikt om CDD-gegevens te verzamelen? Wie heeft toegang tot deze informatie? Welke beveiligingsmaatregelen zijn getroffen? In welk land worden de gegevens opgeslagen en hoelang worden zij bewaard?

Hoe kunt u privacyrisico’s beheersen?

Een goede eerste stap is het in kaart brengen van het proces waarmee CDD-gegevens worden verzameld en het identificeren van de privacyrisico’s die met de betreffende verwerkingsactiviteiten samenhangen.

Een Data Protection Impact Assessment (DPIA) is hiervoor een nuttig instrument. Hiermee krijgt uw organisatie inzicht in de privacy- en AVG-compliancerisico’s van de verwerking.

Maatregelen die vervolgens worden genomen om de geïdentificeerde risico’s te beperken, moeten integraal onderdeel worden van uw CDD-procedures en -protocollen. Op deze manier kan uw organisatie aantoonbaar en verantwoord voldoen aan de toepasselijke privacywetgeving.

Wilt u meer weten over het uitvoeren van een DPIA of over het AVG-compliant inrichten van uw CDD-processen? Neem dan contact op met DPO Consultancy via info@dpoconsultancy.com.