@Anoniem op 24-11-2025 om 12:27 uur.
Uit jouw bijdrage lijkt kennis van zaken te spreken, hoewel ik tevens het gebruik van AI proef. Hoe dan ook, dank voor het overzicht. Als ik even uitga van de correctheid daarvan, zonder die te checken, dan heb ik toch enkele kanttekeningen. Samengevat gaat het dan om twee kernpunten:
a) de doelbewuste
verwatering van privacy-bescherming hoe "lager" je in de keten komt van:
internationale verdragen (bijv. EVRM) -> Europese wetgeving (bijv. AVG) en jurisprudentie (bijv. HvJ-EU) -> nationale wetgeving (bijv. Wwft, UAVG) -> nationale jurisprudentie (bijv. van de Hoge Raad en de Afd. bestuursrechtspraak RvS) -> internationale adviezen (bijv. v. EDPB) -> nationaal uitvoeringsbeleid (bijv. v.d. AP);
b) de in toenemende mate
onethische, anti-rechtsstatelijke inhoud van wetten en wetsinterpretaties, waardoor er uiteindelijk een pseudo-rechtsstaat ontstaat waarin keurig in (kleine lettertjes van) wetten en jurisprudentie is vastgelegd dat burgers eigenlijk GEEN (effectueerbaar) recht hebben op wat dan ook, zodra de staat (een overheid) zo'n recht niet wil honoreren. Ik heb dit zelf in de sectoren ruimtelijke ordening, ambtenarenrecht en privacy-recht moeten constateren.
Laat ik als voorbeeld
het begrip "noodzaak" nemen, zoals relevant voor het privacy-recht, ook in deze casus met betrekking tot het dwingen van bankklanten om hun biometrische gegevens (gezichtsscan, foto) te laten verwerken door de bank.
1. WetgevingIn de hoogste wet op dit gebied, namelijk artikel 8 van het EVRM (een internationaal verdrag), staat dat een inbreuk in het privéleven van mensen zonder hun toestemming alleen is gerechtvaardigd, en dan nog alleen door de overheid, indien dit "noodzakelijk is in een democratische samenleving".
In de AVG (Europese wetgeving) wordt dit al vager gemaakt. Er wordt daar geen "noodzaak in een democratische samenleving genoemd" maar "noodzaak voor het vervullen van een publieke taak" (art. 6.1.e) en "noodzaak op grond van een wettelijke verplichting (art. 6.1.c). Dit is tot dusverre telkens door Nederlandse rechters, en ik vermoed ook bijna alle andere rechters, aangegrepen om NIET meer te toetsen aan het criterium in het EVRM, maar eenvoudig aan te nemen dat als er aan de AVG is voldaan, er ook aan het EVRM zou zijn voldaan.
Als we vervolgens afdalen naar nationaal niveau, dan is er in artikel 29 UAVG doodleuk een uitzondering opgenomen die in strijd is met artikel 9 AVG (bijzondere persoonsgegevens). Want de in de UAVG opgenomen uitzondering op het verwerkingsverbod in geval van "een noodzaak voor authenticatie- en beveiligingsdoeleinden", is veel te ruim. Immers, er kunnen ook "authenticatie- en beveiligingsdoeleinden" worden gesteld die NIET noodzakelijk zijn in een democratische samenleving, en sterker nog, die in strijd kunnen zijn met de basisvoorwaarden voor een functionerende democratische rechtsstaat.
Dit wordt door regering en rechters met de mantel der eigenliefde toegedekt, er wordt stilzwijgend gepretendeerd dat de Nederlandse wetgever hier rechtmatig zou hebben gehandeld.
Vervolgens is ook nog eens in 2024 de door jou genoemde uitzondering in artikel 34a Wwft ingevoerd, een soort vrijbrief om artikel 9 AVG te negeren. Hiermee wordt stilletjes ruimte geschapen voor de postvatting van het onjuiste idee dat alle gegevensverwerking die met een retorisch beroep op de Wwft wordt afgedwongen, dus(!) in overeenstemming zou zijn met de AVG en dus ook in overeenstemming zou zijn met artikel 8 EVRM.
Zo wordt de privacy-bescherming al bij wet uitgekleed nog voordat rechters of toezichthouders eraan te pas komen.
2. JurisprudentieJe noemt de volgende jurisprudentie:
De conclusie van de Advocaat-Generaal (A-G) bij de Hoge Raad (juni 2025) in een ICS-zaak bevestigt dat video-selfies voor verificatie geen verboden biometrische verwerking zijn, zolang ze niet leiden tot geautomatiseerde matching buiten de Wwft-context.
De rechtbank (bijv. in 2023-zaken) oordeelt dat instellingen zoals ICS een selfie en ID-scan mogen eisen voor online identificatie, zonder dat dit strijdig is met privacyregels.
Deze jurisprudentie ondermijnt de toch al door de UAVG en Wwft uitgeholde bescherming van biometrische persoonsgegevens nog verder.
De genoemde conclusie van de A-G bij de Hoge Raad, althans zoals die door jou wordt weergegeven, is in strijd met artikel 8 EVRM en artikel 9 AVG. Hier wordt de wet niet geïnterpreteerd, maar deels terzijde geschoven. Dit terzijde schuiven wordt echter toch "wetsinterpretatie" genoemd. Dat is een leugen. Maar omdat een Advocaat-Generaal bij de Hoge Raad dat doet, kan iedereen op grond van de hoge juridische en maatschappelijke status van deze functionaris verder doen alsof z'n neus bloedt.
Dergelijke onredelijke wetsinterpretatie, oftewel pseudo-wetsinterpretatie ten nadele van de rechten van individuele burgers, is kenmerkend voor autoritair geregeerde landen. In Poetins Rusland kan bijvoorbeeld iemand die zich uitspreekt tegen de Russische oorlogsinspanning in Oekraïne, tot jarenlange gevangenisstraf worden veroordeeld voor het schaden van de "nationale veiligheid" of voor "het bevorderen van terrorisme". Het probleem daarbij is op zich niet een wet die het schaden van de nationale veiligheid of het bevorderen van terrorisme strafbaar stelt, maar wel de pseudo-interpretatie van die wet
alsof die regelgeving zou zijn die een dergelijke meningsuiting zou verbieden.
Nederlandse rechters die oordelen in zaken tussen de overheid en burgers, lijken steeds vaker af te zakken (d.w.z. zich te verlagen) tot dergelijke pseudo-interpretaties. Dit kan een "negatieve cultuurverandering" in de rechterlijke macht worden genoemd. Dit schaadt, zeker op de langere duur, het aanzien en de geloofwaardigheid van de rechtsstaat.
3. Adviezen (richtlijnen, standpunten) van EDPB en APOver het standpunt van toezichthouder AP schrijf je het volgende:
biometrische verwerking is [volgens de AP] toegestaan als deze noodzakelijk is voor authenticatie- of beveiligingsdoeleinden en er een substantieel belang is, zoals het bestrijden van ernstige georganiseerde misdaad (wat aansluit bij de Wwft-doelen). In haar richtlijn over identificatie bij financiële ondernemingen bevestigt de AP dat instellingen methoden zoals een app met kopie-ID en foto/video mogen gebruiken. Dit impliceert goedkeuring voor biometrische elementen, mits proportioneel en risicogebaseerd.
Zoals hier verwoord (en nogmaals: ik heb wegens tijdgebrek niet gecheckt of dit werkelijk overeenstemt met het standpunt van de AP), is dit een uitermate vaag standpunt. De AP maakt niet duidelijk onder welke specifieke voorwaarden er mag worden gehandeld in strijd met artikel 9 AVG. Daarmee zet de AP de deur in de handelingspraktijk wijd open voor willekeur van de banken wanneer zij in strijd wensen te handelen met artikel 9 AVG.
De AP voegt daar wel aan toe: "mits proportioneel en risicogebaseerd". Maar uit mijn eigen ervaringen met de AP weet ik reeds dat de AP in veel concrete gevallen simpelweg
aanneemt dat wat een verwerkingsverantwoordelijke wil, "proportioneel" zou zijn, en dat de AP weigert om serieus en kritisch onderzoek te doen wanneer een verwerkingsverantwoordelijke heeft beweerd dat er een "risico" bestaat en dat er op grond van dat risico een "noodzaak" bestaat om bepaalde persoonsgegevens te verwerken. Als gevolg van de manier waarop de AP zelf omgaat met het proportionaliteitscriterium en met een vereiste van "risicogebaseerdheid", zijn dit in de praktijk geen serieuze criteria, maar wassen neuzen die aan burgers geen bescherming bieden.
Je voegt daar nog aan toe:
Let op: Het opslaan van een gewone pasfoto op een ID-kopie telt niet als biometrische verwerking, omdat er geen 'technische extractie' van kenmerken (zoals een algoritme voor matching) plaatsvindt.
Dit is opnieuw zo'n pseudo-interpretatie waarmee een wettelijke vereiste feitelijk terzijde wordt geschoven. Een pasfoto valt, objectief gezien, gewoon onder de definitie van een persoonsgegeven. Immers, in de huidige samenleving met al haar databases, is uit een pasfoto de identiteit van een persoon herleidbaar. Dat is het criterium volgens de AVG. Het criterium volgens de AVG is niet of een persoonsgegeven in een concreet geval daadwerkelijk gebruikt wordt om een bepaald gegeven tot een persoon te herleiden. De mogelijkheid om dat te doen, is voldoende om te concluderen dat het om een persoonsgegeven gaat. Immers, artikel 4 (Definities), aanhef en onder 1) AVG luidt als volgt:
1) 'persoonsgegevens': alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon ("de betrokkene"); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van (...) een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische (...) identiteit van die natuurlijke persoon.
Het staat er gewoon. Maar de Nederlandse toezichthouder en de Nederlandse rechters negeren dat, omdat het hun niet goed uitkomt. Waarom komt het hun niet goed uit? Omdat zij ervoor kiezen om niet primair dienstbaar te zijn aan de wet, maar aan machthebbers die de bevolking willen onderwerpen aan meer surveillance, ook als dat in strijd is met de wet.
Vermoedelijk is dit ook de reden waarom de Europese Commissie nu de AVG op dit punt wil aanpassen, om dergelijke persoonsgegevens niet langer te hoeven beschouwen als persoonsgegevens, zodat ze voor de training van AI kunnen worden gebruikt, d.w.z. misbruikt.
Het doet denken aan president Bill Clinton toen hij ten tijde van een impeachment-procedure naar aanleiding van zijn relatie met stagiair Monica Lewinsky verklaarde: "I did not have sexual relations with that woman." Wat hij er niet bij vertelde, was dat hij orale seks in zijn eigen hoofd niet langer definieerde als onderdeel van een seksuele relatie. Want die herdefinitie kwam hem nu even beter uit.
Je schrijft ook:
In een zaak bij het Kifid (Klachteninstituut Financiële Dienstverlening, uitspraak 2024-0631) adviseert de AP expliciet dat biometrische verwerking in Wwft-context verenigbaar is met de AVG, mits noodzakelijk. Dit advies wijkt af van strengere Europese richtsnoeren (EDPB), maar prioriteert de Nederlandse implementatie.
Wat je hier eigenlijk schrijft, is dat de AP niet alleen lak heeft aan geldende Europese wetgeving, maar ook nog eens aan de EDPB (de gezamenlijke toezichthouders in de EU). Waarom? Omdat de AP het belangrijker vindt om het surveillance-programma van de Nederlandse overheid te ondersteunen dan om zich aan Europese wetgeving te houden. De AP is op deze manier niet een onafhankelijke toezichthouder die zich conform de wet inzet voor de bescherming van de privacy van burgers, maar een extra uitvoerder van een anti-rechtsstatelijk handelende Nederlandse overheid.
Typerend is ook de vage formulering "in Wwft-context". Het zou op zijn minst moeten zijn "voorzover vereist door de Wwft", of: "voorzover noodzakelijk op grond van de Wwft". Als "in Wwft-context" letterlijk is wat de AP heeft gezegd, dan heeft de AP daarmee ook de deur opengezet voor gegevensverwerking die niet gebaseerd is op de Wwft, maar bijvoorbeeld alleen op een subjectieve wens van één of andere bank om een abstract, miniem en mogelijk zelfs vooralsnog fictief risico op enige niet nader gespecificeerde vorm van witwassen "mogelijk wat kleiner te maken".
Weliswaar voegt de AP hier een kwalificatie toe, namelijk dat de gegevensverwerking verenigbaar is met de AVG, "mits noodzakelijk". Maar mijn eigen, langjarige ervaring met de AP is dat die simpelweg, zonder onderzoek te doen, aanneemt dat allerlei gegevensverwerking "noodzakelijk" zou zijn. Argumenten van burgers dat er geen sprake is van noodzakelijkheid, laat staan
aangetoonde noodzakelijkheid (zoals artikel 5.2 AVG vereist), worden door de AP in de praktijk zonder adequate argumentatie terzijde geschoven. De AP zegt dan bijvoorbeeld: "Het mag aannemelijk worden geacht dat de gegevensverwerking noodzakelijk is", of iets in die geest.
Hiermee reduceert de AP de wetgeving waarop haar eigen legitimiteit en geloofwaardigheid gebaseerd is, tot een dode letter op papier.
In deze omstandigheden is het belangrijk (ook voor topic starter Ronaldinho, als hij vast wil houden aan zijn recht op privacy) om goed het onderscheid in de gaten te houden tussen wat de Wwft expliciet voorschrijft, en wat een bank in een vage "Wwft-context" allemaal zelf voor controle-maatregelen zou kunnen bedenken, zonder de noodzaak daarvan op objectieve wijze aan te tonen.
Ik heb ook zo'n quasi-vriendelijk geformuleerde dreigbrief van de enkele maanden geleden gefuseerde ASN-bank gekregen. Net als @Ronaldinho en @majortom ben ik daar niet blij mee en wil een grens trekken, en daarmee ook een norm stellen.
M.J.