Factsheet Incidentenwaarschuwingssysteem financiële instellingen. Waarom dit Waarschuwingssysteem?

Transcriptie

1 Factsheet Incidentenwaarschuwingssysteem financiële instellingen Waarom dit Waarschuwingssysteem? Financiële instellingen, waaronder in deze Factsheet verzekeraars, hypothecaire instellingen, financieringsondernemingen en banken worden verstaan, hebben er belang bij dat fraude en criminaliteit die tegen hen zijn gericht tijdig worden ontdekt en bestreden. Dat belang wordt algemeen erkend en heeft zijn weerslag gevonden in de Wet op het financieel toezicht (Wft) 1 waarin financiële instellingen uitdrukkelijk wordt opgedragen te beschikken over procedures en maatregelen om de risico s van cliënten te bepalen voor de integere uitoefening van haar bedrijf (de zogenaamde Customer Due Diligence). Het Incidentenwaarschuwingssysteem financiële instellingen (in het vervolg: Waarschuwingssysteem) is een van de maatregelen om aan deze wettelijke plicht vorm en inhoud te geven. Ver voor de Wft van kracht werd hadden de meeste financiële instellingen reeds de noodzakelijke maatregelen getroffen. Vanaf het begin van de jaren negentig hebben zij een afdeling Veiligheidszaken ingericht of een fraudecoördinator 2 aangesteld, waar alle incidenten die zich voordoen binnen de organisatie moeten worden gemeld en vastgelegd in een zogeheten Incidentenregister. Om een optimale bestrijding te bereiken werd in 1990 besloten om het gebruik van de gegevens niet te beperken tot de eigen organisatie, maar om elkaar te ondersteunen bij de aanpak van fraude en criminaliteit. Hiervoor werd een protocol geschreven en het Interbancaire Registratie en Informatie Systeem (IRIS) opgezet. Deze registratie is in 1997 vervangen door het huidige Waarschuwingssysteem dat tot doel heeft de veiligheid en integriteit van de financiële sector te waarborgen. Zowel onder het regime van de Wet persoonsregistraties als de Wet bescherming persoonsgegevens (WBP) is het aan het Waarschuwingssysteem ten grondslag liggende Protocol Incidentenwaarschuwingssysteem financiële instellingen (in het vervolg: Protocol) afgestemd met en goedgekeurd door de toezichthouder voor privacybescherming in Nederland (eerst de Registratiekamer en later het College bescherming persoonsgegevens, CBP). Vanaf 2004 nemen ook de hypothecaire instellingen daaraan deel. Hoe werkt het? Alle deelnemers aan het Waarschuwingssysteem beschikken over een Incidentenregister waarin onder strikte voorwaarden incidenten worden vastgelegd. Hoewel het begrip incident als zodanig niet is gedefinieerd in het Protocol wordt daaronder verstaan: een gebeurtenis, waaronder begrepen vermeende onoorbare gedragingen van een persoon of personen als gevolg waarvan de integriteit en veiligheid van een financiële instelling in het geding is. In het Incidentenregister worden karakteristieken van het incident vastgelegd en van de daarbij betrokken personen, evenals handelingen die naar aanleiding van het incident zijn genomen. De gegevens in het Incidentenregister worden door de veiligheidsafdelingen van de financiële instellingen geraadpleegd als dat noodzakelijk is voor de uitvoering van hun werkzaamheden. Daarbij kan gedacht worden aan trendanalyse, het ontwikkelen van fraudepreventiestrategieën, pre-employmentscreening, schadeverhaal en Customer Due Diligence. Aan het Incidentenregister zijn twee verwijzingsindices gekoppeld om gegevens uit het Incidentenregister voor anderen dan medewerkers van veiligheidsafdelingen toegankelijk te maken. Deze registers bevatten slechts identificerende gegevens van personen met een verhoogd risico. Enerzijds is er een index van verwijzingsgegevens 3 van personen die uitsluitend raadpleegbaar is door de organisatie van deelnemer zelf (IVR). Dit IVR heeft het karakter van een bedrijfswaarschuwingslijst dan wel concernwaarschuwingslijst. Medewerkers van de organisatie van de deelnemer kunnen de waarschuwingslijst raadplegen als dat noodzakelijk is voor de uitvoering van hun werkzaamheden, bijvoorbeeld om de integriteit van een persoon te verifiëren voorafgaande aan het sluiten van een overeenkomst tot financiële dienstverlening. Anderzijds is er een index van verwijzingsgegevens van (rechts)personen die ook door de organisatie van de andere deelnemers (leden van de branchevereniging) kunnen worden geraadpleegd (EVR). De opnamecriteria voor het 1 Stb. 2006, In verband met de leesbaarheid wordt in het vervolg slechts de term afdeling Veiligheidszaken gebruikt. 3 Naam, voornamen, geboortedatum, geboorteplaats, adres, woonplaats. 1

2 interne en het externe verwijzingsregisters verschillen in zwaarte. Voor het externe verwijzingsregister gelden zwaardere opnamecriteria dan voor het interne verwijzingsregister. Het Incidentenregister van de deelnemer vormt tezamen met de daarvan afgeleide (interne en externe) verwijzingsregisters één geheel. De identificerende gegevens van de verwijzingsgegevens worden immers uit het Incidentenregister gehaald. Gebruikers van de gegevens (zoals commerciële afdelingen en personeelsafdelingen) kunnen slechts vaststellen of iemand in ene register voorkomt ( hit no hitsysteem). Om de gegevens uit de Incidentenregisters van de deelnemers daadwerkelijk toetsbaar te maken voor de organisatie van de deelnemer of voor andere deelnemers wordt gebruik gemaakt van een technische voorziening, een zogenaamde verwijzingsapplicatie (EVA). Het systeem is zo opgezet dat bij toetsing door een deelnemer eerst het interne verwijzingsregister wordt geraadpleegd. Indien dit geen positief resultaat oplevert, wordt het externe verwijzingsregister benaderd. Het systeem werkt op basis van hit-no hit. De toetser ziet in geval van een hit niet waarom iemand in het systeem is opgenomen. In geval van een hit dient de bevrager te allen tijde de eigen afdeling Veiligheidszaken te raadplegen. Door een ingebouwde signaleringsfunctie is het de veiligheidsafdeling al bekend dat iemand getoetst heeft met een hit als gevolg. Dit is gedaan om te voorkomen dat het systeem bevraagd wordt en dat een persoon geweigerd wordt, zonder dat bij een hit naar de achterliggende gegevens gevraagd wordt. Dan verwordt het systeem tot een zwarte lijst, wat nadrukkelijk niet de bedoeling is. Als de afdeling Veiligheidszaken benaderd wordt verschaft zij de achterliggende gegevens als zij zelf verantwoordelijk was voor opname van betrokkene in het systeem en alleen voor zover de gegevens relevant zijn voor de toetser. Wanneer niet de eigen afdeling Veiligheidszaken verantwoordelijk was voor de signalering maar een afdeling Veiligheidszaken van een andere deelnemer, raadpleegt de afdeling Veiligheidszaken van de toetser de afdeling Veiligheidszaken van de andere deelnemer (de zogenaamde primaire bron). Nadat gegevens zijn uitgewisseld uit het Incidentenregister vindt er door de afdeling Veiligheidszaken van de toetsende instantie een afweging plaats of wel of geen contract met de sollicitant of cliënt dient te worden aangegaan en zo ja, onder welke voorwaarden. Zo kan bijvoorbeeld worden besloten wel een rekening te openen, doch zonder kredietfaciliteiten. Teneinde uniformiteit in de werkwijze te garanderen geldt dat een deelnemer lid moet zijn van een van de koepelorganisaties, over een Incidentenregister moet beschikken dat is aangemeld bij het College bescherming persoonsgegevens en het branchegebonden Protocol als uitgangspunt moet nemen voor het Incidentenregister en het Waarschuwingssysteem. Om een goede basis te hebben voor gegevensuitwisseling wordt met betrekking tot de doelstelling van het Incidentenregister een uniforme doelomschrijving gehanteerd die door alle deelnemers verplicht moet worden overgenomen. In de aanmelding van het Incidentenregister bij het CBP worden de deelnemers aan het Waarschuwingssysteem als ontvanger aangemerkt van gegevens uit de onderscheiden Incidentenregisters. Bescherming van persoonsgegevens De financiële instellingen onderkennen dat Incidentenregisters en het onderling kunnen uitwisselen van persoonsgegevens extra aandacht vragen voor de bescherming van de persoonlijke levenssfeer. Om die reden zijn de voorwaarden, waaronder persoonsgegevens worden uitgewisseld vastgelegd in het zogeheten Protocol Incidentenwaarschuwingssysteem financiële instellingen. Dat Protocol is beoordeeld en goedgekeurd door het College bescherming persoonsgegevens. Daarbij zijn de volgende onderdelen beoordeeld: Doelomschrijving. Voor het Incidentenregister is een doelstelling vastgesteld die door alle deelnemers moet worden overgenomen. 4 In het Protocol is uitdrukkelijk vastgelegd wanneer gegevens uit het Incidentenregister mogen worden opgenomen in het interne, resp. het externe verwijzingsregister. 5 De rechtmatige grondslag van de verwerking. Deze is gevonden in artikel 8, onder f, WBP: het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens 4 Voor de volledige tekst verwijzen we naar Bijlage I. 5 Voor de letterlijke teksten van de criteria verwijzen we naar Bijlage II. 2

3 worden verstrekt. Dit is conform de memorie van toelichting, waar fraudebestrijding uitdrukkelijk als voorbeeld wordt genoemd van een gerechtvaardigd belang. 6 Verenigbaar gebruik. Het gebruik van de gegevens in het Incidentenregister beperkt zich tot de aangegeven doelstellingen. In het kader van deze doelstelling kunnen gegevens met andere afdelingen Veiligheidszaken van deelnemers worden uitgewisseld.verder gebruik vindt niet plaats. Bewaartermijnen. De gegevens in het Incidentenregister, het interne verwijzingsregister en het externe verwijzingsregister worden maximaal acht jaar bewaard. Strafrechtelijke gegevens. Bij strafrechtelijke gegevens gaat het, getuige de Memorie van Toelichting WBP 7, zowel om veroordelingen, als om min of meer gegronde verdenkingen, dat wil zeggen concrete aanwijzingen jegens een bepaalde persoon. Voor zover sprake is van verwerking van dergelijke gegevens binnen één onderneming geldt weliswaar het verzwaarde regime van artikel 22 WBP, maar is verwerking voor interne doeleinden toegestaan binnen de voorwaarden van het tweede en derde lid WBP. Verwerking binnen in een groep verbonden ondernemingen is eveneens toegestaan (artikel 22, vierde lid, sub b, WBP). Voorafgaand onderzoek. Met betrekking tot de persoonsgegevens die in het Incidentenregister en daarmee ook de twee verwijzingsregisters worden vastgelegd, kan sprake zijn van verwerking van strafrechtelijke gegevens ten behoeve van derden. Op grond van artikel 22, vijfde lid, onder c, is voor deze verwerking een voorafgaand onderzoek aangevraagd bij het College bescherming persoonsgegevens (CBP). Het College besloot ex artikel 32, derde lid, tot nader onderzoek over te gaan. Op 31 juli heeft het CBP schriftelijk verklaard de verwerking van persoonsgegevens in het kader van het Incidentenregister, als omschreven in het Protocol, in beginsel rechtmatig te vinden. 9 Op 4 oktober 2004 is deze instemming herhaald naar aanleiding van aanpassingen in verband met de toetreding van de hypothecaire financiers. Informatieplicht. De betrokkene moet worden geïnformeerd dat zijn gegevens worden opgenomen in het Incidentenregister en eventueel in de verwijzingsindices. Daarbij wordt steeds van keer tot keer een afweging gemaakt of openbaarmaking niet in strijd is met het belang van voorkoming, opsporing, vervolging van strafbare feiten (artikel 43, aanhef en onder b WBP) of met het belang van de verantwoordelijke of anderen, zoals tipgevers (artikel 43, aanhef en onder e WBP). De rechten van betrokkene. Op de verwerking van persoonsgegevens in het kader van het Waarschuwingssysteem zijn de rechten van de betrokkene geheel van toepassing. De betrokkene heeft het recht op inzage in de eigen gegevens, recht op correctie en recht op het (relatieve) verzet. Slechts op grond van in de WBP genoemde uitzonderingen is het mogelijk deze rechten buiten toepassing te verklaren. Het Gerechtshof te Amsterdam heeft op 18 januari 2007 beschikt dat het Protocol valt te beschouwen als een regeling die voldoende waarborgen biedt voor een verwerking van persoonsgegevens zoals de WBP die voorschrijft. 10 Samenvatting 1. Deelnemers aan het Waarschuwingssysteem moeten beschikken over een Incidentenregister, waarin gegevens kunnen worden opgenomen gericht op activiteiten voor 6 Kamerstukken II, 1997/98, , nr. 3, blz Kamerstukken II, 1997/98, , nr. 3, blz Kenmerk: z De verklaring van rechtmatigheid verschilt in belangrijke mate met een gedragscode ex artikel 25 WBP. Bij goedkeuring van een dergelijke gedragscode, zoals bij de Gedragscode Verwerking Persoonsgegevens Financiële Instellingen, verklaart het CBP dat de code een juiste uitwerking vormt van de WBP of van andere wettelijke bepalingen. Bij een verklaring van rechtmatigheid wordt uitdrukkelijk aangegeven dat de verwerking in overeenstemming is met wet- en regelgeving op het gebied van de bescherming van persoonsgegevens. 10 Gerechtshof te Amsterdam, beschikking van 18 januari 2007, kenmerk ^06/

4 het onderkennen, onderzoeken en bestrijden van gedragingen die kunnen leiden tot benadeling van de financiële sector en tot oneigenlijk gebruik van producten, diensten en voorzieningen en/of pogingen tot strafbare of laakbare gedragingen. Uit de doelstelling valt af te leiden dat het bij opname in het Incidentenregister niet alleen gaat om bewezen fraude en criminaliteit, maar ook om (ernstige) vermoedens. De vastlegging in het Incidentenregisters is niet beperkt tot strafrechtelijke gegevens, maar omvat ook andere gedragingen die in het maatschappelijk verkeer als onoorbaar kunnen worden aangemerkt. Bij strafrechtelijke gegevens gaat het niet alleen om veroordelingen, maar ook om verdenkingen oftewel concrete aanwijzingen jegens een persoon. 2. Voor deelname aan het Waarschuwingssysteem is het noodzakelijk dat het Incidentenregister is aangemeld bij het CBP. Verder dient een deelnemer schriftelijk te verklaren zich te houden aan de voorwaarden van het Protocol en de werkinstructies en zich te onderwerpen aan het toezicht van de Begeleidingscommissie. Daarnaast is een bezwaar- en beroepsprocedure van toepassing. 3. De gegevens in het Incidentenregister zijn slechts toegankelijk voor medewerkers van de afdeling Veiligheidszaken en kunnen voor zover relevant- op basis van reciprociteit beschikbaar worden gesteld aan afdelingen Veiligheidszaken van andere deelnemers. 4. Aan het Incidentenregister kunnen twee deelverzamelingen zijn verbonden, het interne (IVR) en het externe verwijzingsregister (EVR). Opname in deze registers geschiedt onder strikte voorwaarden, waarbij de gegevens zich beperken tot de noodzakelijke gegevens om een persoon te kunnen identificeren. 5. Toegang tot het externe verwijzingsregister hebben slechts geautoriseerde afdelingen van de deelnemers, waarbij het resultaat van de toegang de melding van hit of no hit is. 6. Bij een hit worden verder geen gegevens beschikbaar gesteld, doch volkomen geautomatiseerd doorverwezen naar de afdeling Veiligheidszaken, die vervolgens adviseert over de verdere afhandeling. 7. Voor het Waarschuwingssysteem is van het CBP een verklaring van rechtmatigheid ontvangen. Daarmee heeft het CBP verklaard dat het Incidentenregister en de bijbehorende verwijzingsregisters geheel conform wet- en regelgeving op het gebied van de bescherming van persoonsgegevens zijn. Nadere informatie Voor meer informatie kunt u zich wenden tot: Nederlandse Vereniging van Banken Verbond van Verzekeraars Vereniging van Financieringsondernemingen in Nederland Stichting Fraudebestrijding Hypotheken 4

5 Bijlage I: Doelstelling Incidentenregister Het geheel aan verwerkingen heeft tot doel het ondersteunen van activiteiten gericht op het waarborgen van de veiligheid en de integriteit van de financiële sector, daaronder mede begrepen (het geheel van) activiteiten die gericht zijn: op het onderkennen, voorkomen, onderzoeken en bestrijden van gedragingen die kunnen leiden tot benadeling van financiële instellingen; op het onderkennen, voorkomen, onderzoeken en bestrijden van oneigenlijk gebruik van producten, diensten en voorzieningen en/of (pogingen tot) strafbare of laakbare gedragingen en/of overtreding van (wettelijke) voorschriften, gericht tegen de branche waar de financiële instelling deel van uitmaakt, de economische eenheid (groep) waartoe de financiële instelling behoort, de financiële instelling zelf, haar cliënten en medewerkers. Indien ook informatie met anderen wordt uitgewisseld moet aan deze doelstelling worden toegevoegd: op het gebruik van en de deelname aan waarschuwingssystemen. Bijlage II: Criteria voor opname in IVR, resp. EVR: Gegevens kunnen in het IVR worden opgenomen indien sprake is van: (redelijk vermoeden van) opzettelijke benadeling van de deelnemer, oneigenlijk gebruik van producten, diensten en voorzieningen en/of poging daartoe; (redelijk vermoeden van) het plegen van strafbare of laakbare gedragingen en/of overtreding van (wettelijke) voorschriften dan wel pogingen daartoe, gericht tegen de deelnemer, de organisatie van de deelnemer, haar cliënten en medewerkers. Voor opname in EVR gelden de volgende voorwaarden: a. De activiteiten van de (rechts)persoon kunnen een bedreiging vormen voor de continuïteit en de integriteit van financiële instellingen, de financiële belangen van cliënten en/of de financiële belangen van de (organisatie van de) deelnemer. b. Er dient een proportionaliteitsafweging plaats te vinden, waarbij de betreffende functionaris vaststelt, dat het belang van opname in het verwijzingsregister prevaleert boven de mogelijk nadelige gevolgen voor betrokkene als gevolg van de opname van zijn gegevens. c. De betreffende (rechts)persoon moet betrokken zijn bij een benadeling van enige financiële instelling (of poging daartoe) of bij onoorbaar gebruik (of poging daartoe) van het financieel stelsel van zodanige aard: i. dat aangifte bij een opsporingsinstantie is gedaan of kan worden gedaan of ii. de relatie of overeenkomst is opgezegd of het besluit daartoe is genomen of iii. is geweigerd om een relatie of overeenkomst aan te gaan. 5