Raad van State waarschuwt: cryptodata raakt dieper in Europees witwasnet
Meer transactiedata, meer klantonderzoek en meer partijen die gevoelige financiële gegevens kunnen verwerken. De Raad van State waarschuwt dat Nederland bij het nieuwe Europese antiwitwasstelsel scherp moet bewaken waar persoonsgegevens terechtkomen en hoe risicoprofielen uitpakken.
Voor cryptogebruikers is die waarschuwing direct relevant. Europese regels behandelen cryptodienstverleners steeds nadrukkelijker als financiële poortwachters, terwijl overdrachten van en naar eigen wallets al traceerbaarheidsregels kennen.
Het advies van de Raad van State werd op 17 augustus gepubliceerd. De Afdeling wil dat privacy, discriminatie en financiële uitsluiting expliciet worden gemonitord wanneer het nieuwe stelsel wordt ingevoerd.
Europa trekt de antiwitwasregels naar zich toe
Het Nederlandse voorstel voert Richtlijn (EU) 2024/1640 uit en regelt de uitvoering van Verordening (EU) 2024/1624.
Dat verandert de machtsverdeling.
Een groter deel van de regels komt rechtstreeks uit Europa. Nederland krijgt daardoor minder ruimte om zijn eigen systeem anders in te richten. Ook AMLA, de nieuwe Europese antiwitwasautoriteit, krijgt een stevige rol bij toezicht, technische normen en richtsnoeren.
De Europese antiwitwasverordening gaat grotendeels gelden vanaf 10 juli 2027. Ook moeten lidstaten de nieuwe richtlijn tegen die datum hebben omgezet.
De huidige Nederlandse Wwft wordt volgens het wetsvoorstel vervangen door het nieuwe stelsel.
Crypto valt midden in dat systeem
Dit is geen pakket dat alleen banken raakt.
De Europese verordening rekent aanbieders van cryptoactivadiensten expliciet tot de financiële instellingen die onder de antiwitwasregels vallen. Dat sluit aan op MiCA, waaronder exchanges, bewaarpartijen en andere cryptodienstverleners vergunningplichtig zijn.
In Nederland hebben zulke partijen sinds 30 december 2024 een vergunning of notificatie van de AFM of een andere Europese toezichthouder nodig. Voor voormalige DNB-geregistreerde aanbieders liep de Nederlandse overgangstermijn tot 30 juni 2025.
Daarmee schuift een gereguleerde crypto-exchange steeds verder richting dezelfde poortwachtersrol als een bank.
Klant kennen. Risico beoordelen. Transacties volgen. En ingrijpen wanneer een patroon aanleiding geeft tot nader onderzoek.
Eigen wallet verdwijnt niet uit beeld
Voor cryptobeleggers zit het gevoeligste punt bij transacties tussen gereguleerde platforms en self-custody.
Een wallet die iemand zelf beheert, valt niet ineens onder een vergunningsplicht omdat er crypto op staat.
Maar zodra een cryptodienstverlener bij de overdracht betrokken is, gelden Europese traceerbaarheidsregels.
Verordening 2023/1113 verplicht cryptodienstverleners informatie over verzender en ontvanger mee te nemen of vast te leggen. Bij transacties van meer dan €1.000 naar of vanuit een self-hosted adres moet de aanbieder passende maatregelen nemen om te beoordelen of dat adres daadwerkelijk door zijn klant wordt beheerd.
Dat systeem geldt al sinds 30 december 2024.
Een eigen wallet is niet automatisch verdacht. Maar zodra die wallet een gereguleerde exchange raakt, staat de transactie niet meer los van het klantdossier.
De nieuwe antiwitwasverordening gaat daarop voortbouwen.
Nieuwe regels noemen self-hosted adressen expliciet
Vanaf 2027 moeten cryptodienstverleners onder de nieuwe verordening specifiek de witwas- en terrorismefinancieringsrisico's beoordelen van transacties naar en vanuit self-hosted adressen.
Daarvoor moeten interne procedures en controles bestaan. De maatregelen moeten vervolgens aansluiten op het gevonden risico.
Dat betekent niet dat iedere gebruiker met meerdere wallets automatisch in verscherpt onderzoek terechtkomt.
Het systeem is juist risicogebaseerd.
De Raad van State wijst erop dat klanten met een hoger vastgesteld risico intensiever onderzoek krijgen, terwijl bij lagere risico's lichter onderzoek mogelijk is.
De discussie zit dus in hoe dat risico wordt berekend.
Juist daar ziet de Raad van State een probleem
Op papier klinkt risicogestuurd toezicht logisch.
In de praktijk werkt het huidige systeem volgens de Raad van State nog onvoldoende goed. De Afdeling verwijst onder meer naar problemen met effectiviteit, doelmatigheid en zware gevolgen voor sommige groepen klanten.
Meer Europese regels lossen dat niet vanzelf op.
De Raad waarschuwt zelfs voor een systeem waarin instellingen vooral bang worden voor sancties en daardoor te defensief handelen. Als banken en andere poortwachters ieder restrisico proberen uit te sluiten, kan dat opnieuw leiden tot overdreven controles of het weren van klanten.
Voor crypto is die spanning herkenbaar.
Een transactie met een eigen wallet kan volkomen legitiem zijn. De aanbieder ziet alleen wel een publiek blockchainspoor dat door software kan worden beoordeeld op adressen, tegenpartijen en eerdere transacties.
De blockchain maakt geldstromen zichtbaar.
Het risicomodel bepaalt vervolgens wat daarvan verdacht wordt gevonden.
Raad van State vreest dat overzicht over data verdwijnt
De zwaarste privacywaarschuwing gaat over schaal.
De nieuwe Europese regels creëren volgens de Raad uitgebreide mogelijkheden en verplichtingen om vertrouwelijke bedrijfsgegevens en persoonsgegevens te verwerken en te delen. Daarbij kunnen ook bijzondere persoonsgegevens worden betrokken.
De Afdeling ziet het risico dat op den duur onduidelijk wordt waar gegevens staan, wie toegang heeft en waarvoor ze nog mogen worden gebruikt.
Daar kan misbruik voor nodig zijn, maar dat hoeft niet.
Data kan bijvoorbeeld langer worden bewaard dan toegestaan of later voor een ander doel worden gebruikt dan waarvoor zij oorspronkelijk is verzameld. De Raad wil daarom dat de regering de rechtmatigheid en proportionaliteit van gegevensverwerking expliciet laat volgen en evalueren.
Voor een cryptoklant kan zo'n dossier rijk zijn.
Een exchange kent mogelijk identiteit, bankrekening, stortingen, opnames en gebruikte adressen. Combineer dat met openbare transactiedata en financiële bewegingen kunnen veel verder worden teruggekeken dan alleen de laatste overschrijving.
Profilering kan ook verkeerde mensen raken
Daar stopt de kritiek niet.
De Raad van State wijst op het risico van discriminatie bij geautomatiseerde verwerking en profilering. Ogenschijnlijk neutrale criteria kunnen samen één groep veel vaker selecteren voor onderzoek.
De Afdeling verwijst naar eerdere signalen van discriminatie in het financiële systeem. Een weigering of beëindiging van dienstverlening kan volgens haar grote gevolgen hebben, zeker wanneer iemand daardoor geen toegang meer heeft tot basale financiële diensten.
Dit is voor crypto een belangrijk onderscheid.
Risicogebaseerd betekent niet dat een instelling volledige groepen gebruikers zonder individuele beoordeling als ongewenst hoort te behandelen.
De nieuwe Europese verordening bevat daarom ook regels tegen discriminerende uitkomsten. De Raad vindt alleen nog onvoldoende duidelijk hoe effectief toezicht daarop in Nederland wordt ingericht.
FIU-Nederland levert nog een juridisch probleem op
Dan zit er nog een gat in het Nederlandse wetsvoorstel zelf.
De Raad van State vindt onduidelijk welk wettelijk regime precies geldt voor de verwerking van gegevens door FIU-Nederland. Die instantie ontvangt en analyseert meldingen van financiële poortwachters en kan informatie doorspelen aan opsporingsdiensten.
Daarnaast ontbreekt volgens de Afdeling een uitdrukkelijke juridische basis voor de verwerking van bijzondere persoonsgegevens en gegevens van strafrechtelijke aard.
Op beide punten moet het voorstel worden aangepast.
Dat is geen oordeel dat het hele Europese antiwitwaspakket onrechtmatig is.
Het is wel stevige kritiek op de Nederlandse uitwerking voordat die naar de Tweede Kamer gaat.
Een belangrijke drempel verandert
Opvallend is ook dat het meldingssysteem zelf verandert.
Onder het voorstel verschuift de drempel van het melden van ongebruikelijke transacties naar transacties waarvan een verdenking bestaat. De Raad noemt dat een impuls richting een beter risicogestuurd systeem.
In theorie kan dat juist minder nutteloze meldingen opleveren.
De vraag is of instellingen genoeg ruimte krijgen om werkelijk risico's af te wegen zonder uit angst voor boetes alsnog zo breed mogelijk te controleren.
Dat is precies waarom de Raad monitoring wil.
Voor cryptogebruikers wordt identiteit steeds sterker aan transacties gekoppeld
De ontwikkeling is daarmee groter dan alleen een nieuwe Nederlandse wet.
MiCA regelt wie cryptodiensten mag aanbieden. Europese transferregels maken betalingen via zulke partijen beter herleidbaar. Het nieuwe antiwitwaspakket brengt klantonderzoek, toezicht en gegevensdeling verder onder één Europees model.
Een peer-to-peer-transactie zonder cryptodienstverlener ertussen valt niet automatisch onder de Travel Rule. EUR-Lex noemt transfers tussen twee personen die voor eigen rekening handelen zonder betrokken CASP expliciet buiten die regeling.
Maar zodra geld een gereguleerde exchange binnenkomt of verlaat, verandert de situatie.
Dan ontmoet het openbare cryptospoor het identiteitsdossier van een financiële poortwachter.
Daarom raakt het advies van de Raad van State cryptobeleggers harder dan de titel van het wetsvoorstel doet vermoeden.
Europa wil financiële criminaliteit beter opsporen. De Nederlandse adviesraad zegt niet dat dit doel verkeerd is. Hij waarschuwt wel dat een systeem met steeds meer data en steeds fijnere risicoprofielen ook nieuwe fouten kan produceren.
De strijd gaat daardoor niet alleen over hoeveel transacties Europa kan volgen. De moeilijkere vraag is wie voorkomt dat een steeds completer financieel dataspoor uiteindelijk tegen de verkeerde burger wordt gebruikt.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
