Toon items op tag: Verzekeraars

Discussies over databescherming en privacy hebben vaak de praktijken van advertentiebedrijven zoals Google en Facebook als aanleiding. Ook zijn de activiteiten van geheime diensten en gelijksoortige instellingen (zoals NCTV) aanleiding voor aandacht en kritiek.

Grotendeels onder de radar is een ontwikkeling gaande naar algehele financiële surveillance, waarbij een aantal grote ondernemingen op basis van betaalgegevens burgers en organisaties in detail kan volgen. Het is een ontwikkeling die wordt aangemoedigd door de overheid en die zich door allerlei oorzaken verspreidt door de gehele samenleving, met grote databeschermingsrisico’s voor burgers.

Privacy First noemt dit financiële privacy en wil in de komende tijd meer aandacht aan dit onderwerp besteden, als wij daar de gelegenheid voor hebben. 

Wat is financiële privacy? 

Bij financiële privacy kan aan het volgende worden gedacht:

A. Betalingsverkeer

• Gedetailleerde financiële persoonsgegevens aanwezig bij banken en andere grote partijen. Het betalingsverkeer vindt grotendeels digitaal plaats, contante betaling verdwijnt. Daardoor beschikken degenen die bij dat betalingsverkeer betrokken zijn (banken, betaaldienstverleners en rekeninginformatiedienstverleners) over gedetailleerde informatie over al hun klanten, zowel consumenten als bedrijven en organisaties. Dit betekent dat banken c.s. zeer veel weten over hun klanten. De financiële gegevens worden door allerlei oorzaken steeds gedetailleerder en steeds meer bedrijven kunnen er over beschikken. Zo zal iDEAL 2.0 naar verwachting zorgen voor verdere verspreiding van financiële persoonsgegevens. In het verleden hebben banken geprobeerd de financiële gegevens van klanten te gelde te maken, op de manier waarop de Amerikaanse advertentiebedrijven dat doen, denk aan de ING-affaire. Daar is destijds een stokje voor gestoken, maar dit kan terugkomen. 
• Nieuwe PSD2-diensten. De Europese PSD2-regelgeving moest mogelijk maken dat er nieuwe diensten worden ontwikkeld rondom de financiële gegevens van klanten van betaalinstellingen, onder andere rekeninginformatiediensten. Aan databescherming is onvoldoende gedacht, zodat burgers risico lopen. Privacy First is al langer bezig met de campagne PSD2meniet.

• Contante betaling verdwijnt, waardoor de laatste mogelijkheid om niet van uur tot uur gevolgd te worden door banken verdwijnt. Het digitale geld dat door Europa wordt voorbereid, zal waarschijnlijk niet volledig anoniem zijn om misdaadbestrijding mogelijk te maken.

B. Privatisering van misdaadbestrijding en dienstverlening aan de overheid

• Misdaadbestrijdingstaken van banken en andere financiële instellingen (‘witwasbestrijding’): deze taken leiden er toe dat extra persoonsgegevens van burgers worden verzameld, dat betreft niet alleen het identificeren van natuurlijke personen, maar ook het verzamelen van gegevens over en van natuurlijke personen betrokken bij organisaties. Dit kan gaan over bestuurders en vertegenwoordigers van rechtspersonen en de ‘uiteindelijk belanghebbenden’. Er moeten vertrouwelijke gegevens door klanten met de financiële instellingen worden uitgewisseld, dit gebeurt vaak op een onveilige manier.
  Let op: het gaat hier niet alleen om misdaad die de klant of de financiële instelling kan benadelen. De instelling moet actief nagaan of de eigen klant misdaadgeld onder zich heeft en moet vermoedens van misdaad (‘ongebruikelijke transacties’) melden bij een onderdeel van de politie: FIU-Nederland.
  Europa is bezig met een pakket aan regelgeving, ook wel het ‘AML package’ genoemd, wat de misdaadbestrijdingstaken van bedrijven ingrijpend zal wijzigen. Als gevolg van nieuwe regelgeving zullen steeds meer financiële gegevens door ondernemingen met de overheid worden uitgewisseld.
• Identificatie, inclusief biometrische gegevens. Banken en andere financiële instellingen moeten hun klanten identificeren, allereerst om (privaatrechtelijk) te weten met wie zij een overeenkomst aangaan, ten tweede omdat de witwasbestrijdingsregels dit voorschrijven. Rondom de identificatie is het nodige te doen, onder andere omdat banken bestaande cliënten willen ‘heridentificeren’ en soms ook biometrische gegevens verlangen.
• UBO-register. Onderdeel van de misdaadbestrijdingstaken van banken en andere aangewezen ondernemingen, is dat zij de uiteindelijk belanghebbenden van hun klanten moeten vaststellen en de juistheid van de registratie van hun klanten bij het UBO-register moeten verifiëren. Privacy First heeft over het UBO-register geprocedeerd en is nu in afwachting van de uitkomst van gelijksoortige zaken die in behandeling zijn bij het Europese Hof van Justitie.
• Zwarte lijsten. In de financiële sector worden in het kader van de misdaadbestrijdingstaken en ter bescherming van de eigen financiële belangen zwarte lijsten aangelegd van ‘verdachte’ en veroordeelde klanten. Deze lijsten staan bekend onder de namen ‘IVR’ (intern verwijzingsregister) en ‘EVR’ (extern verwijzingsregister). De regels voor deze registers staat in ‘PIFI’, het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen.
  Verzekeraars hebben een compleet overzicht van alle claims die verzekerden bij hen hebben ingediend. In toenemende mate willen ook andere ondernemingen met misdaadbestrijdingstaken zwarte lijsten aanleggen.
• Gegevensleveringen aan de overheid (renseignering). Financiële instellingen, werkgevers en in de toekomst ook platforms zijn verplicht om gegevens te leveren aan de overheid. Dit wordt ook wel ‘renseignering’ genoemd. In het kader van de renseigneringsplicht worden vele vertrouwelijke gegevens verzameld bij de klanten. Een bijzonder voorbeeld is de verplichting van financiële instellingen om gegevens van klanten te verzamelen ten behoeve van de belastingheffing door andere landen. Zeer bekend is FATCA, de Amerikaanse wet op grond waarvan financiële instellingen in de hele wereld gratis diensten moeten verlenen aan de Amerikaanse belastingdienst, wat niet alleen fiscale inwoners van de VS en personen met bezittingen in of opbrengsten uit de VS omvat, maar ook iedereen die de Amerikaanse nationaliteit heeft (ook al ontbreken verdere banden met het land, zogeheten "accidental Americans"). Nederland heeft met de VS een FATCA-verdrag gesloten en neemt verder deel aan de ‘Common Reporting Standard’ (CRS), waarover verdragen met de EU-landen en andere landen zijn afgesloten. [1]

C. Overig

• Handelaren in financiële (persoons)gegevens: ten behoeve van financiële instellingen zijn een aantal zeer grote partijen actief, die bij het publiek minder bekend zijn. Zij verzamelen financiële en andere gegevens over zowel consumenten als over organisaties en de bij organisaties betrokken natuurlijke personen. Die gegevens worden verkocht aan onder andere financiële instellingen, als kredietinformatie en als witwasbestrijdingsinformatie. Hoewel deze handelaren zich aan de AVG moeten houden, doen zij dat meestal niet, zodat de mensen van wie gegevens verkocht worden niet op de hoogte zijn van de aanwezigheid van hun gegevens bij die handelaren en ook niet kunnen controleren of de gegevens rechtmatig zijn verkregen en juist zijn. Hun AVG-rechten kunnen zij niet uitoefenen. Dergelijke handelaren zouden volgens Privacy First vergunningplichtig moeten zijn, zoals financiële instellingen dat zijn, met een krachtige toezichthouder en strenge toetsing van de leidinggevenden.
• Bureau Kredietregistratie (BKR): dit is een door de overheid erkende en door de financiële sector opgerichte stichting die ten behoeve van die sector gegevens registreert.
  

Wat gaat Privacy First doen?

Financiële privacy is een breed en ingewikkeld terrein, wat het lastig maakt om er iets mee te doen. Privacy First is de afgelopen jaren al op een aantal deelonderwerpen actief geweest:

• PSD2
• UBO-register
• behoud van contant geld en anonieme betaalmiddelen.

We willen meer gaan doen. Wilt u meedoen of heeft u ideeën: laat het ons weten!

[1] Zie o.a. https://ellentimmer.com/2015/12/23/gegevensuitwisseling/.

"Privacyvoorvechters hebben geen goed woord over voor de plannen van Achmea om verzekeringskortingen te geven in ruil voor persoonlijke gegevens. "Privacy-discriminatie" wordt genoemd, en het plan zou een "gevaarlijke ontwikkeling" zijn.

Privacy als ruilmiddel

De plannen van Achmea, maar ook intiatieven als die van ING om klantgegevens te verkopen, zorgen ervoor dat 'privacy een ruilmiddel wordt', stellen zowel Reinout Barth van PrivacyBarometer als Vincent Böhre van de stichting Privacy First.

Privacydiscriminatie

"Een dergelijk plan is privacydiscriminatie", zegt Böhre. "Het zorgt ervoor dat iemands privacy niet meer vanzelfsprekend is, maar iets dat is af te kopen. Daardoor betalen rijke mensen en mensen die geven om hun privacy méér voor een verzekering dan wie het niet uitmaakt."

Die conclusie ondersteunt ook Barth van PrivacyBarometer. "Privacy gaat zo geld kosten, terwijl het toch een recht blijft. Wil je dat echt een voorrecht maken voor mensen die het wel willen of kunnen betalen?"

Ook digitale burgerrechtenorganisatie Bits Of Freedom schrijft dat in een blogpost. "Privacy is niet dood, maar het wordt wel voor de rijken." BoF doelt daarmee niet op de korting, maar op het feit dat Achmea de gegevens voor 'een groter doel' verzamelt.

Vrijwillig of niet?

Dat klanten de keuze wel zelf kunnen maken, vinden zowel Barth als Böhre positief. "Dat is gelijk ook het enige positieve aan het plan", zegt die eerste. Böhre beaamt dat: "Dat het opt-in is, is goed. Maar dat moet het wel altijd blijven."

(...)

'Function creep'

Alle organisaties waarschuwen bovendien voor 'function creep', een term die betekent dat er iets anders met de gegevens gebeurt dan aanvankelijk de bedoeling was.

Zo kunnen alle gegevens door de politie of opsporingsdiensten worden opgevraagd. Barth (PrivacyBarometer): "Je neemt een kastje in je auto omdat je daarmee korting krijgt, maar later blijkt dat de politie die gegevens ook wel handig vindt voor opsporingsdoeleinden."

Veranderingen in de voorwaarden

Bovendien kan er in de toekomst van alles veranderen in de voorwaarden van de verzekeraar. Die kan bijvoorbeeld in een keer beslissen dat die gegevens nu ook door mogen worden verkocht, bijvoorbeeld aan adverteerders.

"Daar heb je dan niet voor getekend, maar die gegevens blijven jaren bewaard zodat ze alsnog gebruikt mogen worden."

(...)

Big data

De privacyvoorvechters zijn niet fel tegen 'big data', maar niet in de huidige vorm. Barth: "Big data is waardevol als je het niet toepast op de individuele gebruiker. Adviseer de overheid dan bijvoorbeeld welke gebieden onveilig zijn."

Niet persé slecht

Ook Böhre is niet persé tegen het plan van Achmea. Daar moeten echter wel waarborgen aan zitten. "Je moet de data uiteraard versleuteld opslaan", zegt hij. "Privacy by design, dus zorgen dat de anonimiteit wordt meegenomen in het ontwerp van het systeem. En je zult moeten zorgen dat iedere medewerker die bij de data kan grondig wordt gescreend.""

Bron: http://www.pcmweb.nl/nieuws/privacy-organisaties-fel-tegen-omstreden-plannen-achmea.html,
4 oktober 2015.