België eist walletadressen en transactiehashes op bij domeinbedrijven
Een Belgische antipiraterijdienst wil achter de anonieme exploitanten van websites komen via hun betalingen. Vier domeinregistrars moeten daarom klantgegevens afstaan die kunnen lopen van bankrekeningen tot cryptowalletadressen en transactiehashes.
Daar blijft het niet bij.
Ook IP-adressen, apparaatgegevens en maximaal twaalf maanden aan bewaarde verbindingslogs vallen binnen de bevelen.
Vijf besluiten in één week gepubliceerd
De maatregelen staan in vijf besluiten van de FOD Economie.
Ze zijn gedateerd op 19 augustus 2026 en werden op 26 augustus openbaar gemaakt op de officiële pagina van de Belgische antipiraterijdienst.
Vier besluiten richten zich op domeinregistrars.
Het vijfde gaat naar een domeinregistry, de partij die de registratiegegevens binnen een domeinextensie beheert.
De procedures draaien om auteursrechtelijke inbreuken. Uit de motivering blijkt bovendien dat de bescherming van de sporteconomie een rol speelt.
Veel namen en domeinen zijn in de gepubliceerde stukken afgeschermd.
Walletadres en transactiehash worden expliciet gevraagd
De cryptopassage is opvallend precies.
In het officiële besluit 260819-BAPO-D-FR-020 staat welke betaalgegevens de registrar moet overdragen wanneer die beschikbaar zijn.
Bij cryptobetalingen gaat het onder meer om:
- gebruikte walletadressen;
- het soort crypto-asset;
- bijbehorende transactie-identificaties of hash-ID's.
Ook exacte datum, tijdzone, bedrag en gebruikte valuta moeten worden aangeleverd.
Een hash is de unieke identificatie van een transactie op een blockchain.
Daarmee kan een specifieke betaling op een openbaar netwerk worden teruggevonden.
Een wallet wordt zo veel minder anoniem
Een wallet bevat op een publiek netwerk meestal geen naam of woonadres.
Dat maakt zo'n adres pseudoniem.
Maar pseudoniem is iets anders dan anoniem.
Wanneer een domeinbedrijf weet dat klant X op een bepaald tijdstip vanuit wallet Y heeft betaald, ontstaat een koppeling tussen accountgegevens en een publiek transactiespoor.
Daarna kan dezelfde wallet mogelijk opnieuw op de blockchain worden gevolgd.
Banken en PayPal zitten in hetzelfde informatiepakket
Crypto krijgt daarbij geen aparte uitzonderingspositie.
De bevelen vragen ook om volledige IBAN-nummers en de namen van rekeninghouders.
Bij betaalkaarten kunnen onder meer de eerste zes en laatste vier cijfers worden gevraagd, plus de opgegeven kaarthouder, uitgevende bank, land en kaarttype.
Ook gebruikte PayPal-accounts of vergelijkbare betaalmethoden vallen eronder.
België probeert dus meerdere financiële sporen naast elkaar te leggen.
Crypto is daar één onderdeel van.
Ook andere domeinen van dezelfde klant komen in beeld
De informatievraag stopt niet bij één website.
De registrar moet ook andere domeinnamen doorgeven die bij dezelfde klant zijn geregistreerd.
Dat kan onderzoekers helpen verschillende sites aan dezelfde exploitant te koppelen.
Juist bij piraterij kan dat belangrijk zijn.
Wanneer een domein wordt geblokkeerd, kan een dienst snel verdergaan via een nieuwe naam.
Een klantaccount kan dan meer vertellen dan één losse URL.
Tot twaalf maanden aan verbindingslogs
Ook technisch gaat het bevel diep.
De registrars moeten IP-adressen verstrekken die bij het aanmaken van het account zijn gebruikt.
Wanneer opgeslagen, kunnen daar ook het gebruikte apparaat, besturingssysteem, browser en de user agent bijkomen.
Verder wordt gevraagd om alle bewaarde logs en verbindingsgegevens over het klantaccount van de afgelopen twaalf maanden.
Per toegang kan dat een IP-adres en een timestamp tot op de seconde omvatten.
Alleen bestaande gegevens vallen onder het bevel.
De bedrijven hoeven onder de DSA dus niet achteraf informatie te creëren die zij nooit hebben verzameld.
Artikel 10 DSA stelt de spelregels
De besluiten verwijzen naar artikel 10 van de Europese Digital Services Act.
Dat artikel gaat over bevelen aan tussenpersonen om informatie over specifieke gebruikers te verstrekken.
De tekst van artikel 10 stelt onder meer eisen aan de juridische basis, identificatie van de gebruiker en proportionaliteit.
Belangrijk is artikel 10.2(b).
Een bevel mag alleen informatie verlangen die al voor de dienstverlening is verzameld en binnen de controle van de tussenpersoon valt.
De DSA is hier dus niet simpelweg een Europees sleepnet waarmee iedere willekeurige klant kan worden doorgelicht.
Het gaat om specifieke gebruikers en specifieke bevelen.
De Belgische bevoegdheid komt uit eigen recht
Daar zit nog een juridisch verschil.
Artikel 10 DSA beschrijft hoe zulke informatiebevelen aan tussenpersonen moeten werken.
De eigenlijke bevoegdheid in deze zaken komt uit het Belgische recht en een beschikking van de Franstalige Ondernemingsrechtbank van Brussel.
Sinds juni 2024 bestaat in België een speciale procedure voor duidelijke en omvangrijke online auteursrechtinbreuken.
De gespecialiseerde dienst binnen de FOD Economie kan door de rechtbank worden belast met de praktische uitvoering.
Dat gebeurde hier.
Klant mag niet worden gewaarschuwd
Normaal bevat de DSA waarborgen rond kennisgeving aan de gebruiker.
In deze zaak heeft de rechtbank echter geheimhouding opgelegd.
De betrokken tussenpersonen mogen hun klanten niet informeren over het bestaan van de procedure of over wat daarmee samenhangt.
Volgens het besluit valt de zaak onder een uitzondering die verband houdt met het voorkomen en opsporen van strafbare feiten en het daarmee verbonden onderzoek.
De FOD schrijft daarom expliciet dat de gebruikers niet mogen worden geïnformeerd.
Ook derden mogen niets horen
De geheimhouding gaat breder dan alleen de betrokken klant.
De tussenpersoon mag ook geen rechtstreeks of indirect verbonden partij of andere derde informeren over het bestaan van de procedure.
Dat beperkt ook wat een registrar publiek over de zaak kan zeggen.
Daardoor is op dit moment niet duidelijk in hoeverre alle betrokken ondernemingen de gevraagde gegevens al daadwerkelijk hebben geleverd.
Het bevel om informatie te verstrekken is openbaar.
De uitvoering grotendeels niet.
Gegevens kunnen naar de aanvrager
Een ander zwaar onderdeel staat eveneens letterlijk in de beschikking.
De Belgische dienst mag de verkregen informatie doorgeven aan de aanvragende partij.
Die kan de gegevens vervolgens gebruiken om verder op te treden tegen de verantwoordelijke exploitanten.
De naam van die partij is in de openbare stukken afgeschermd.
De rechtbank oordeelde dat de informatie nodig kan zijn om de personen achter de vermeende piraterij te identificeren.
Dat betekent dat niet alleen een overheidsinstantie toegang kan krijgen tot de verzamelde persoonsgegevens.
Ook de rechthebbende achter de procedure kan ze volgens het bevel ontvangen.
De registry krijgt een smaller bevel
Het vijfde besluit wijkt af van de vier registrarzaken.
Een registry beschikt meestal over andere gegevens dan een bedrijf dat rechtstreeks met de klant afrekent.
Daarom worden daar vooral gegevens gevraagd over de domeinhouder, de verantwoordelijke registrar, gebruikte nameservers en beschikbare wijzigingshistorie.
Cryptobetalingen en uitgebreide klantlogs staan niet in diezelfde vorm centraal.
Dat verschil laat zien dat de bevelen worden afgestemd op de informatie die een tussenpersoon daadwerkelijk kan hebben.
Crypto maakt het spoor daarna juist langer
Voor gebruikers van crypto zit hier een bredere les.
Een betaling met Bitcoin kan buiten een bank worden uitgevoerd.
Maar wanneer die betaling wordt gedaan aan een normale online dienst, kan die dienst gegevens opslaan over de klant en de transactie.
Zodra een walletadres aan een identiteit wordt gekoppeld, kan historische activiteit op een openbaar netwerk alsnog relevant worden.
Een latere transfer naar een gereguleerde exchange kan opnieuw een aanknopingspunt opleveren.
De blockchain vergeet immers niet vanzelf.
Dit is geen algemene Belgische cryptoregistratie
De reikwijdte moet wel scherp blijven.
België eist hier niet van alle domeinbedrijven dat zij standaard alle wallets van iedere klant aan de overheid doorgeven.
De vijf besluiten gaan over afgebakende procedures rond specifieke online diensten.
Ook vraagt het bevel alleen om gegevens die de betreffende tussenpersoon al bezit.
Een domeinbedrijf dat nooit een walletadres of hash heeft opgeslagen, kan die informatie onder deze DSA-regel niet ineens uit het niets produceren.
Dat maakt de maatregel gericht.
De hoeveelheid gevraagde data blijft desondanks fors.
Van domeinnaam naar volledig financieel spoor
Daar zit de echte verschuiving.
Een antipiraterijzaak draaide vroeger vooral om het blokkeren van toegang tot een domeinnaam.
In deze Belgische besluiten gaat de overheid een laag dieper.
Naam. Adres. Bankrekening. Betaalkaart. Crypto-wallet. Hash. IP-adres. Apparaat. Loginlogs.
Los zijn het losse gegevenspunten.
Samen kunnen ze een veel scherper profiel van de persoon achter een website opleveren.
Voor crypto is vooral dat laatste relevant: een walletadres hoeft maar één keer betrouwbaar aan een klant te worden gekoppeld om een jarenlang openbaar transactiespoor ineens een naam te geven.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
