Een overzicht van de voorwaarden voor het verkrijgen van een vergunning voor het cross-sectoraal delen van persoonsgegevens van fraudeurs.
28/10/21 Vorige week heeft de Autoriteit Persoonsgegevens (AP) in een persbericht bekendgemaakt dat zij de vergunningsaanvraag van Vereniging (VODIOM) heeft afgewezen. De vergunningsaanvraag betreft het bijhouden van een zwarte lijst met mogelijke fraudeurs en het delen van deze lijst met bedrijven uit verschillende sectoren. In dit blog ga ik in op de redenen voor de afwijzing en onder welke voorwaarden organisaties wel een zwarte lijst mogen opstellen, beheren en cross-sectoraal mogen delen.
In juli van dit jaar is deze vergunningsaanvraag gedaan bij de AP met als doeleinde het cross-sectoraal delen van informatie over fraudeurs. Voorzitter van MKB-Nederland Jacco Vonhof heeft deze aanvraag ingediend om “het opereren van professionele groepen van criminelen tegen te gaan die ‘over sectoren heen’ misdrijven plegen. Van het openen van valse webshops tot gebruikmaking van KvK-nummers, websites en logo’s van bedrijven of branches.” Dergelijke vormen van fraude kosten Nederlandse ondernemers jaarlijks miljarden. Daarom hebben MKB-Nederland en VNO-NCW de wens een anti-fraude-register op te zetten, zoals CIFAS heeft gedaan in het Verenigd Koninkrijk (voor meer informatie, zie ons onderzoek). CIFAS heeft als anti-fraude organisatie in het Verenigd Koninkrijk ervoor gezorgd dat jaarlijks ruim 1,5 miljard wordt bespaard door aangesloten organisaties. Om een dergelijk register in Nederland op te zetten heeft MKB-Nederland de vereniging Veilig Ondernemen Door Informatie Op Maat (VODIOM) opgericht, bestaande uit veel verschillende organisaties uit verschillende sectoren.
In dezelfde maand als de vergunningsaanvraag heeft de AP de Handreiking cross-sectorale gegevensdeling tussen private partijen gepubliceerd. Hierin wordt, onder meer, uitgelegd wanneer een zwarte lijst vergunningsplichtig is. Dit is het geval wanneer organisaties geen beroep kunnen doen op een van de wettelijke uitzonderingsgronden en “als er op de zwarte lijst strafrechtelijke gegevens staan en/of gegevens over een door de rechter opgelegd verbod vanwege onrechtmatig of hinderlijk gedrag. En een organisatie deze zwarte lijst wil delen met andere organisaties. […] Zonder vergunning mag de organisatie de zwarte lijst niet delen.” VODIOM wil informatie over (vermoedelijke) fraudeurs cross-sectoraal delen en klaarblijkelijk zijn de uitzonderingsgronden uit de artikelen 32 en 33 UAVG niet van toepassing. Daarom heeft deze vereniging voor het delen van deze strafrechtelijke persoonsgegevens een vergunning nodig van de AP.
Daarnaast staat in de handreiking het uitgangspunt dat het cross-sectoraal delen tussen private partijen van gegevens op een zwarte lijst niet is toegestaan en dat een “uiterst zorgvuldig en zeer goed doordacht protocol” hieraan ten grondslag moet liggen. Verder geeft de AP in de handreiking ook aan dat de kans klein is dat de AP een vergunning verleent om fraudegegevens te laten delen met andere branches of sectoren (cross-sectoraal delen).
In een dergelijk protocol moeten de volgende onderwerpen zijn meegenomen:
Naast een protocol is een proportionaliteitstoets noodzakelijk bij cross-sectorale zwarte lijsten. Deze toets dient de noodzaak van het delen van strafrechtelijke persoonsgegevens aan te tonen. Hierin moeten de belangen van de opsteller(s) van de zwarte lijst worden gewogen tegen de gevolgen voor de personen op de lijst.
Omdat het opstellen van een zwarte lijst wordt gezien als een hoog risico gegevensverwerking dient ook een DPIA opgesteld te worden. Uit een eerder besluit over een vergunningsaanvraag in 2019 blijkt dat de DPIA ook overhandigd dient te worden aan de AP bij de aanvraag.
In het persbericht van de AP is geen uitgebreide beoordeling opgenomen voor het afwijzen van de vergunningsaanvraag. Het protocol lijkt in ieder geval niet de reden te zijn van de afwijzing. Een mogelijke reden is dat de AP artikel 33 UAVG niet wil inzetten voor het nemen van beslissingen in dergelijke zaken, maar dat zij dergelijke keuzes wil laten afhangen van democratische besluitvorming.
Wel staat in het bericht dat mensen die op zo’n lijst staan te maken krijgen met stigmatisering en dat private organisaties niet zomaar zo’n register mogen beheren en delen. AP-vicevoorzitter Monique Verdier stelt dat fraude een groot probleem is en dat de AP ook vergunning afgeeft voor het delen van zwarte lijsten, mits “de privacy goed gewaarborgd is.” Zo is dat bijvoorbeeld recent, in april 2021, nog gebeurd voor het incidenten-waarschuwingssysteem financiële instellingen. Het is van belang op te merken dat binnen dat systeem niet sectoraal overstijgend wordt gedeeld, maar alleen gegevens worden gedeeld tussen financiële instellingen onderling.
Verder wordt in het AP-bericht benoemd dat het aanpakken en opsporen van fraude een overheidstaak is die is belegd bij politie en justitie. Bedrijven die te maken krijgen met fraude kunnen aangifte doen bij de politie of advies krijgen van de Fraudehelpdesk.
Volgens MKB-Nederland wordt vanwege capaciteitstekort bij de politie niet of nauwelijks werk gemaakt van aangiften van fraude. “Het is kwalijk dat we niet de kans krijgen daar zelf preventief iets aan te doen.” De AP is ook bewust van het capaciteitsprobleem bij de politie om deze problemen op te lossen, maar geeft aan dat het overhevelen van deze problemen naar private organisaties niet de oplossing van het probleem is. Nu richt MKB-Nederland zich op het nieuwe kabinet en de Tweede Kamer om zo een wetswijziging te bewerkstelligen.
Heeft uw organisatie de wens om (cross)-sectoraal strafrechtelijke gegevens te delen en heeft u hulp nodig bij het opstellen van een protocol en/of een DPIA? Of heeft u ondersteuning nodig bij het beoordelen van de noodzaak en de proportionaliteit? Bij Considerati hebben we jarenlange ervaring met het ondersteunen van organisaties bij het opzetten van zwarte lijsten en het (cross)-sectoraal delen van gegevens. Neem vooral contact met ons op via het formulier hieronder.
Wilt u meer weten? Neem dan contact met ons op.