Informatieprotocol FEC 2019

De verwerking van persoonsgegevens door het Financieel Expertise Centrum (FEC)

De FEC-partners als bedoeld in artikel 1 van het Convenant FEC 2014

Gelet op:

• Het bepaalde in de Algemene verordening gegevensbescherming (AVG) en de overige voor de FEC-partners relevante wetten met betrekking tot het verwerken van persoonsgegevens;

• De wettelijke taken van de FEC-partners;

• Het Convenant FEC 2014 (Staatscourant 2014 nr. 2351).

Algemene overwegingen:

• Het gezamenlijke doel van de FEC-partners is het versterken van de integriteit van de financiële sector;

• De FEC-partners zijn met het oog daarop een samenwerkingsverband zonder rechtspersoonlijkheid, het FEC, aangegaan;

• De missie van het FEC is om de versterking van de integriteit te realiseren door de onderlinge samenwerking tussen FEC-partners te stimuleren, te coördineren en te vergroten door het uitwisselen van informatie en het delen van inzicht, kennis en vaardigheden;

• De taken van het FEC zijn: 1) het creëren van structurele informatie-uitwisseling tussen FEC-partners, 2) het realiseren van een kenniscentrum, van, voor en door de FEC-partners op de voor het FEC relevante kennisgebieden en 3) het uitvoeren van projecten met het oog op concrete, operationeel bruikbare, resultaten.

Overwegingen ten aanzien van de FEC-eenheid:

• De FEC-eenheid is belast met de uitvoering van deze taken;

• De FEC-eenheid is een entiteit van de FEC-partners, die werkzaamheden verricht voor de FEC-partners en bemand wordt door medewerkers van de FEC-partners;

• De medewerkers bij de FEC-eenheid handelen onder het gezag van de FEC-partners en hebben toegang tot persoonsgegevens;

• De FEC-eenheid verzamelt en verspreidt – met het oog op de uitvoering van haar taken binnen de bestaande wettelijke kaders informatie – van en naar de betrokken deelnemers aan de FEC-samenwerking en kan ten behoeve van de deelnemers aan de FEC-samenwerking daarover adviseren; Daarnaast verzorgt de FEC-eenheid de bestuurlijke informatievoorziening;

• De FEC-eenheid verwerkt in opdracht van de FEC-partners in dat kader mede (bijzondere) persoonsgegevens in de zin van de AVG;

• De FEC-partners vinden het noodzakelijk dat bij de vervulling van de taken van de FEC-eenheid de eisen die uit de AVG (of uit andere relevante wetgeving) met betrekking tot het verwerken van persoonsgegevens voortvloeien, worden nageleefd en er zo voor betrokkenen sprake is van een transparante verwerking.

Overwegingen ten aanzien van het FEC programma bestrijding van terrorismefinanciering:

• De FEC partners werken conform artikel 1, derde lid, van het Convenant FEC 2014 al met FEC-participanten op het gebied van bestrijding van terrorismefinanciering (TF) samen om de integriteit van de financiële sector te versterken;

• Daar waar in dit document vermeld staat ‘FEC-partners’, moet in het geval van samenwerking met FEC-participanten gelezen worden: ‘FEC-partners en/of FEC-participanten’;

• De FEC-raad heeft besloten om de samenwerking op het gebied van bestrijding van terrorismefinanciering structureel in te bedden en in te richten als een programma dat een vast onderdeel van het FEC is;

• Het FEC TF Analyseteam is belast met de analyse van de tussen FEC-partners en -participanten uitgewisselde informatie op het gebied van bestrijding van TF ten behoeve van de samenwerking op het gebied van bestrijding van terrorismefinanciering;

• Het FEC-TF analyseteam is een entiteit van de FEC-partners, die werkzaamheden verricht voor de FEC-partners en bemand wordt door medewerkers van de FEC-partners;

• De medewerkers bij het FEC-TF analyseteam handelen onder het gezag van de FEC-partners en hebben toegang tot persoonsgegevens;

• Het FEC TF analyseteam verzamelt, ordent, rangschikt, verrijkt, analyseert en registreert informatie in een signalendatabase binnen de bestaande wettelijke kaders met het oog op de uitvoering van haar taken;

• De werkzaamheden van het FEC-TF analyseteam vinden plaats onder beheer en verantwoordelijkheid van het FEC-samenwerkingsverband onder aansturing van de landelijk officier van justitie TF van het Openbaar Ministerie, in zijn rol als gemandateerd programmaleider TF en worden gefaciliteerd en ondersteund vanuit de FEC-eenheid;

• Het FEC TF analyseteam verwerkt in opdracht van de FEC-partners in dat kader mede (bijzondere) persoonsgegevens in de zin van de AVG;

• De FEC-partners vinden het noodzakelijk dat bij de vervulling van de taken van het FEC TF analyseteam de eisen die uit de AVG of uit andere relevante wetgeving met betrekking tot het verwerken van persoonsgegevens voortvloeien, worden nageleefd en er zo voor betrokkenen sprake is van een transparante verwerking.

Komen het volgende overeen:

Paragraaf 1 Algemene bepalingen

Artikel 1 Definities en afkortingen

In dit protocol wordt verstaan onder:

a. AVG:

Algemene verordening gegevensbescherming;

b. Beheerder:

medewerker van een afzonderlijke FEC-partner die verantwoordelijk is voor het in overeenstemming met het beginsel van doelbinding verzamelen en verwerken van persoonsgegevens binnen de eigen organisatie;

c. Bestand:

elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd of gedecentraliseerd is dan wel op functionele of geografische gronden is verspreid (artikel 4 lid 6 AVG);

d. Betrokkene:

een geïdentificeerde of identificeerbare natuurlijke persoon op wie een persoonsgegeven betrekking heeft (artikel 4 lid 1 AVG);

e. Bijzondere categorieën van persoonsgegevens:

persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid (artikel 9 lid 1 AVG);

f. AP:

Autoriteit Persoonsgegevens;

g. Centrale persoonsgegevensverwerking:

geïntegreerde verwerking van persoonsgegevens door de FEC-eenheid of het FEC TF analyseteam waaraan meer dan één FEC-partner deelneemt of heeft deelgenomen en waarbij een apart gezamenlijk bestand wordt gecreëerd;

h. Convenant FEC 2014:

Convenant houdende afspraken over de samenwerking in het kader van het Financieel Expertise Centrum (Staatscourant 2014 nr. 2351));

i. Dataroom:

bijeenkomst met experts van de FEC-partner(s) om een signaal te analyseren en eventuele vervolgafspraken te maken;

j. FEC-eenheid:

entiteit van de FEC-partners, die werkzaamheden verricht voor de FEC-partners en bemand wordt door medewerkers van de FEC-partners. De FEC-eenheid kan persoonsgegevens verwerken;

k. FEC-participant:

de organisaties zoals bedoeld in artikel 1, derde lid, van het Convenant FEC 2014;

l. FEC-partner:

de organisaties zoals genoemd in artikel 1, lid 1 van het Convenant FEC 2014;

m. FEC-raad:

de vertegenwoordigers van de FEC-partners op bestuurlijk niveau;

n. FEC-samenwerking:

iedere samenwerking tussen de FEC-partners met de FEC-eenheid en/of het TF analyseteam onder auspiciën van de FEC-raad;

o. FEC TF analyseteam:

een structurele dataroom waarin de door de FEC-partners en -participanten uitgewisselde informatie op het gebied van bestrijding van TF verder wordt verwerkt (onder meer ordenen, rangschikken, verrijken, analyseren, registeren in signalendatabase); Het FEC TF analyseteam is daarmee een entiteit van de FEC-partners, die werkzaamheden verricht voor de FEC-partners en bemand wordt door medewerkers van de FEC-partners;

p. FEC-verband:

het samenwerkingsverband op nationaal niveau waarvan de formele afspraken met betrekking tot de coördinatie, de samenwerking en informatie-uitwisseling zijn neergelegd in het Convenant FEC 2014 en dit protocol;

q. FEC-waarnemer:

de waarnemers zoals genoemd in artikel 4, lid 3 en 4 van het Convenant FEC 2014;

r. Gezamenlijke verwerkingsverantwoordelijke:

de gezamenlijke verwerkingsverantwoordelijke in de zin van artikel 26 AVG en daarmee voor de toepassing van dit Informatieprotocol het FEC-samenwerkingsverband als geheel, de FEC-partners gezamenlijk als collectief;

s. Ontvanger:

degene aan wie de persoonsgegevens worden verstrekt (artikel 4 lid 9 AVG);

t. Persoonsgegeven:

alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‘de betrokkene’) (artikel 4 lid 1 AVG);

u. Regisseur:

de persoon als bedoeld in artikel 10 van dit protocol en het contactpunt als bedoeld in artikel 26 lid 1 AVG;

v. Signaal:

een melding van een in het licht van de FEC doelstelling relevante gebeurtenis of gedraging door een FEC-partner ter behandeling in het FEC-informatieplatform;

w. Strafrechtelijke persoonsgegevens:

persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen (artikel 10 AVG);

x. UAVG:

Uitvoeringswet Algemene verordening gegevensbescherming;

y. Verwerkingsverantwoordelijke:

de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt (artikel 4 lid 7 AVG en artikel 26 AVG);

z. Verwerking:

een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens (artikel 4 lid 2 AVG);

aa. AVG-taken:

de verplichtingen van de verwerkingsverantwoordelijke voor de persoonsgegevensverwerking door de FEC-eenheid zoals bedoeld in de artikelen 5, 6, 7, 12, t/m 22, 30, 33/34 en 35 AVG, behoudens uitzonderingen.

Paragraaf 2 Inleidende bepalingen

Artikel 2 Doel FEC

• 1. Het gezamenlijke doel van de FEC-partners is het versterken van de integriteit van de financiële sector door onderlinge samenwerking tussen de partners te stimuleren, te coördineren en te vergroten door het uitwisselen van informatie en het delen van kennis, inzicht en vaardigheden.

• 2. De beoogde versterking van de integriteit van de financiële sector wordt gerealiseerd door middel van preventieve, bestuursrechtelijke¹ en strafrechtelijke aanpak van bedreigingen van de integriteit van de financiële sector. Daartoe wordt door de FEC-partners, binnen de bestaande wettelijke kaders, in FEC-verband informatie gedeeld die noodzakelijk is voor onder andere:

  • a. het realiseren van een gecombineerde en onderling samenhangende inzet, onder meer door een analyse van de huidige situaties door middel van scans en inventarisaties van de beschikbare kennis en ervaring;

  • b. het terugdringen van negatieve invloeden op de financiële sector;

  • c. het opwerpen van drempels en het afbreken van gelegenheidsstructuren;

  • d. het daar waar nodig versterken dan wel versnellen van reeds ingezette maatregelen en het ontwikkelen van nieuwe werkwijzen of maatregelen die kunnen bijdragen aan de versterking van de integriteit van de financiële sector.

• 3. De doelstellingen van de FEC-samenwerking worden ieder jaar nader geconcretiseerd in een jaarplan FEC. Dit jaarplan is openbaar en staat op de website van het FEC, www.fec-partners.nl.

Artikel 3.1 Doeleinden verwerking persoonsgegevens door de FEC-eenheid

De FEC-eenheid draagt zorg voor de uitvoering van de in artikel 3 van het Convenant FEC 2014 en in de toelichting bij het Convenant genoemde taken. Om deze taken succesvol te kunnen uitvoeren is uitwisseling van persoonsgegevens noodzakelijk. Daarom worden door de FEC-eenheid voor de volgende doeleinden persoonsgegevens verwerkt:

• I. Het creëren van structurele informatie-uitwisseling tussen FEC-partners:

  • Het binnen de bestaande wettelijke kaders uitwisselen van (persoons)gegevens over (actuele) ontwikkelingen, bedreigingen voor de integriteit of over casusposities waarvoor een besluit over handhaving gewenst is om een essentiële bijdrage te leveren aan een behoorlijke vervulling van de wettelijke taken van elk der FEC-partners;

  • Het opstellen van strategische, tactische en operationele analyses ten behoeve van FEC-partners om trends en ontwikkelingen te signaleren en om activiteiten van de FEC-partners beter op elkaar aan te laten sluiten.

• II. Het realiseren van een kenniscentrum van, voor en door de FEC-partners op de voor het FEC relevante kennisgebieden:

  • Het binnen de bestaande wettelijke kaders verzamelen, opslaan en analyseren van (persoons)gegevens met het oog op het zo vroeg mogelijk signaleren van en het ontwikkelen van kennis over activiteiten, handelingen, trends, typologieën en gelegenheidsstructuren die de integriteit van de financiële sector negatief raken, zodat deze kennis kan worden gedeeld met de FEC-partners;

  • Het inventariseren van thema’s die leidraad vormen bij werkzaamheden van het FEC.

• III. Het uitvoeren van projecten met het oog op, concrete, operationeel bruikbare, resultaten:

  • Het binnen de bestaande wettelijke kaders verzamelen, opslaan en analyseren van (persoons)gegevens met het oog op het initiëren, coördineren en de dagelijkse uitvoering van FEC-projecten;

Daarnaast worden door de FEC-eenheid in het kader van de beheertaken (persoons)gegevens verwerkt.

• IV. Beheeraangelegenheden van de FEC-eenheid:

  • Het voeren van een secretariaat en de uitvoering van de planning en controlcyclus;

  • Het vastleggen van persoonsgegevens van medewerkers van FEC-partners en derden (publiek of privaat) die op verzoek van het FEC als samenwerkingsverband werkzaamheden verrichten ter uitvoering van het Convenant FEC 2014 voor organisatorische en beheersdoeleinden.

Artikel 3.2 Doeleinden verwerking persoonsgegevens binnen het FEC TF analyseteam

Als verbijzondering voor het programma bestrijding van terrorismefinanciering, is het FEC TF analyseteam samengesteld en ingericht als structurele dataroom zoals gedefinieerd in artikel 1 sub i en sub o.

Om met het oog op, concrete, operationeel bruikbare resultaten op het gebied van bestrijding van terrorismefinanciering, de samenwerking gericht te versterken, worden binnen het FEC TF analyseteam voor de volgende doeleinden persoonsgegevens verwerkt:

• I. Het versterken van de integriteit van de financiele sector doordat:

  • De financiële netwerken van bij de FEC-partners en -participanten bekende personen die in verband kunnen worden gebracht met terrorisme en andere in het kader van terrorismefinanciering relevante personen en entiteiten zijn op basis van FEC-signalen in kaart gebracht. Daardoor kan onder meer inzicht worden verkregen in de wijze waarop en door wie deze personen worden gefinancierd;

  • In alle gevallen waarin het verkregen inzicht daartoe aanleiding geeft, kan een interventiestrategie worden opgesteld;

  • De verworven kennis leidt tot het opstellen van getoetste typologieën en het verankeren van ‘lessons learned’ bij betrokken partners.

• II. Beheeraangelegenheden van het FEC TF analyseteam:

  • Het voeren van een secretariaat en de uitvoering van de planning en controlcyclus;

  • Het vastleggen van persoonsgegevens van medewerkers van FEC-partners en derden (publiek of privaat) die op verzoek van het FEC als samenwerkingsverband werkzaamheden verrichten ter uitvoering van het Convenant FEC 2014 voor organisatorische en beheersdoeleinden.

Artikel 4 Gazo-principe (geen actie zonder overleg)

Gedurende de verwerking van persoonsgegevens binnen de FEC-samenwerking geldt het gazo-principe. Dit houdt in dat er door de FEC-eenheid, het FEC TF analyseteam en door de FEC-partner(s) en -participanten gedurende de FEC-samenwerking geen gebruik mag worden gemaakt van de ingebrachte persoonsgegevens zonder overleg met en instemming van de FEC-partner(s) waarvan de persoonsgegevens oorspronkelijk afkomstig zijn.

Paragraaf 3 Verstrekking aan de FEC-eenheid en/of binnen het FEC-TF analyseteam

Artikel 5 De herkomst van persoonsgegevens

• 1. De FEC-partners verbinden zich met betrekking tot het verstrekken van persoonsgegevens aan de FEC-eenheid en/of binnen het FEC TF analyseteam voor zover dit ingevolge de genoemde wetten is toegelaten, tot het volgende:

  • a. De Autoriteit Financiële Markten verstrekt relevante toezichtinformatie. Hierbij gelden de regimes van de volgende financiële toezichtwetten: Wet op het financieel toezicht, Wet toezicht effectenverkeer 1995, Pensioenwet, Wet verplicht beroepspensioenregeling, Wet ter voorkoming van witwassen en financieren van terrorisme, Sanctiewet 1977, Wet toezicht accountantsorganisaties, Wet toezicht financiële verslaggeving en Wet handhaving consumentenbescherming;

  • b. De Nederlandsche Bank verstrekt relevante toezichtinformatie. Hierbij gelden de regimes van de volgende toezichtwetten: Wet op het financieel toezicht, Pensioenwet, Wet verplichte beroepspensioenregeling, Wet verplichte deelneming in een bedrijfstakpensioenfonds, Wet toezicht trustkantoren, Wet ter voorkoming van witwassen en financieren van terrorisme, Sanctiewet 1977, Payment service directive 2 en Zorgverzekeringswet;

  • c. De Belastingdienst verstrekt relevante fiscale informatie. Hierbij gelden de regimes van de volgende wetten: Algemene wet inzake rijksbelastingen en Invorderingswet;

  • d. De Financial Intelligence Unit Nederland verstrekt relevante eigen onderzoeksinformatie. Relevante informatie die is opgenomen in het databestand ‘Verdachte transacties’ heeft de FIU overgedragen aan de politie en kan door de politie worden verstrekt. Hierbij gelden de regimes van de Wet politiegegevens en het Besluit politiegegevens. Voor overige informatie geldt de Wet ter voorkoming van witwassen en financieren van terrorisme en internationale afspraken;

  • e. De Fiscale Inlichtingen en Opsporingsdienst verstrekt relevante politiegegevens, voor zover deze ook ten behoeve van de eigen politietaak zijn verwerkt. Hierbij geldt het regime Wet politiegegevens;

  • f. De Politie verstrekt relevante politiegegevens en persoonsgegevens, voor zover deze ook ten behoeve van de eigen politietaak zijn verwerkt. Hierbij gelden de regimes van de Wet politiegegevens respectievelijk AVG;

  • g. Het Openbaar Ministerie verstrekt relevante strafvorderlijke gegevens en justitiële gegevens voor zover die onderdeel uitmaken van een strafdossier. Hierbij geldt het regime van de Wet justitiële en strafvorderlijke gegevens.

• 2. Op incidentele basis kunnen relevante persoonsgegevens van andere organisaties, zoals bedoeld in artikel 1 sub 3 van het Convenant FEC 2014, aan de FEC-eenheid worden verstrekt. Hierbij geldt het wettelijke regime van de desbetreffende organisatie. Waar relevant worden nadere afspraken met deze organisaties vastgelegd in een addendum bij het FEC Informatieprotocol 2019. De FEC-participanten die in het FEC samenwerken op het gebeid van de bestreiding van terrorismefinanciering conformeren zich middels een addendum aan het Informatieprotocol FEC 2019.

• 3. De FEC-waarnemers verstrekken geen persoonsgegevens aan de FEC-eenheid.

Artikel 6 Juridische toets en randvoorwaarden

• 1. De FEC-partners verstrekken binnen de bestaande wettelijke kaders persoonsgegevens aan de FEC-eenheid.

• 2. Bij een verstrekking van persoonsgegevens aan de FEC-eenheid, geeft de verstrekkende FEC-partner aan voor welk doel de persoonsgegevens worden verwerkt en aan welke FEC-partner(s) de persoonsgegevens niet kunnen worden doorverstrekt.

Paragraaf 4 Verwerking van persoonsgegevens door de FEC-eenheid en/of binnen het FEC-TF analyseteam

Artikel 7 Regime AVG

• 1. Gegevensverwerking ten behoeve van de FEC-samenwerking vindt plaats door middel van een centrale gegevensverwerking door de FEC-eenheid.

• 2. Gegevensverwerking ten behoeve van de FEC-samenwerking op het gebied van de bestrijding van TF vindt plaats door middel van een centrale gegevensverwerking door de FEC-eenheid en bij het FEC TF analyseteam.

• 3. Op deze centrale verwerking van persoonsgegevens door de FEC-eenheid en/of het FEC TF analyseteam is de AVG van toepassing.

Artikel 8 Grondslagen, doelomschrijving en verenigbaar gebruik (verdere) verwerking (bijzondere/strafrechtelijke) persoonsgegevens

• 1. Door de FEC-eenheid en binnen het FEC TF analyseteam worden persoonsgegevens, inclusief strafrechtelijke (en mogelijk bijzondere categorieën van) persoonsgegevens, verwerkt.

• 2. Elke verwerking van persoonsgegevens door de FEC-eenheid en/of binnen het FEC TF analyseteam dient noodzakelijk te zijn voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke(n) is opgedragen (artikel 6 lid 1 onder e AVG) jo. artikel 33 lid 1 sub a en b UAVG.

• 3. Persoonsgegevens worden door de FEC-eenheid en/of binnen het FEC TF analyseteam slechts verwerkt voor zover noodzakelijk om de doelstellingen omschreven in artikel 3 van dit protocol te bereiken.

• 4. Persoonsgegevens worden niet verwerkt op een wijze die onverenigbaar is met de doelen waarvoor ze zijn verkregen.

Artikel 9 Verwerkingsverantwoordelijke AVG

• 1. Voor de verwerking van persoonsgegevens door de FEC-eenheid en/of binnen het FEC TF analyseteam zijn de FEC-partners Gezamenlijke verwerkingsverantwoordelijken. Gezamenlijk bepalen zij, middels dit Informatieprotocol en besluitvorming in de FEC-raad, doeleinden en middelen van de verwerking. In dit Informatieprotocol stellen zij op transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van de verplichtingen uit hoofde van de AVG vast (artikel 26 AVG).

• 2. De gezamenlijke verwerkingsverantwoordelijken dragen zorg voor de uitvoering van de verplichtingen die voortvloeien uit de AVG.

Artikel 10 Regisseur

• 1. Het Hoofd FEC-eenheid is aangewezen als regisseur.

• 2. De regisseur heeft tot taak te waarborgen dat de Gezamenlijke verwerkingsverantwoordelijke op een zorgvuldige wijze uitvoering geven aan de verplichtingen die voortvloeien uit de AVG zoals in dit protocol beschreven.

• 3. De regisseur is als contactpunt voor betrokkenen aangewezen en voert de coördinatie bij de uitvoering van verplichtingen die voortvloeien uit de AVG voor de Gezamenlijke verwerkingsverantwoordelijke (zoals het uitvoeren van Gegevensbeschermingseffectbeoordelingen, het binnen het samenwerkingsverband en aan AP en betrokkene(n) melden van datalekken en het uitvoeren van verzoeken inzake de rechten van betrokkenen).

Artikel 11 Register van de verwerkingsactiviteiten

• 1. De regisseur houdt ten behoeve van de Gezamenlijke verwerkingsverantwoordelijke een actueel register van de verwerkingsactiviteiten bij die onder verantwoordelijkheid van de Gezamenlijke verwerkingsverantwoordelijke plaatsvinden.

• 2. De FEC-partners verwijzen elk in hun eigen register van verwerkingsactiviteiten naar het gezamenlijke register van gezamenlijke verwerkingsactiviteiten.

Artikel 12 Bewaartermijnen

De persoonsgegevens, die door de FEC-eenheid en/of binnen het FEC TF analyseteam worden verwerkt, worden niet langer bewaard dan noodzakelijk is voor het doel waarvoor ze worden verwerkt. In Bijlage B bij het Informatieprotocol FEC 2019 worden bewaartermijnen en verwijderings- en vernietigingstermijnen nader bepaald.

Artikel 13 Beveiliging

De FEC-Partners zijn als Gezamenlijke verwerkingsverantwoordelijke voor de centrale persoonsgegevensverwerking door de FEC-eenheid en binnen het FEC TF analyseteam verplicht om passende technische en organisatorische maatregelen te treffen ter beveiliging van persoonsgegevens tegen verlies of tegen enige vorm van onrechtmatige verwerking.

Artikel 14 Geheimhouding

De medewerkers bij de FEC-eenheid en het FEC TF analyseteam zijn verplicht tot geheimhouding van de in het kader van het Convenant FEC 2014 ontvangen persoonsgegevens, gegevens over de FEC-organisatie en over al hetgeen waarvan redelijkerwijs is aan te nemen dat bekendmaking en/of ander gebruik daarvan de belangen van de FEC-partner(s) en/of betrokkenen zou schaden, behoudens voor zover de uitvoering van de taak met het oog waarop de gegevens zijn verkregen tot het ter kennis brengen daarvan noodzaakt.

Artikel 15 Doelafwijkend verwerken

Verwerking van persoonsgegevens door de FEC-eenheid en/of binnen het FEC TF analyseteam voor een ander doel dan het doel waarvoor ze (oorspronkelijk) zijn verkregen, vindt niet plaats zonder instemming van de FEC-partner(s) waarvan de persoonsgegevens (oorspronkelijk) afkomstig zijn.

Paragraaf 5 Verstrekking van persoonsgegevens door de FEC-eenheid

Artikel 16 Toets voorafgaand aan de verstrekking van persoonsgegevens

Nadat de persoonsgegevens voor één van de taken als bedoeld in artikel 3, van het Convenant FEC 2014 zijn verwerkt, gaat de FEC-eenheid alleen over tot verstrekking van persoonsgegevens, wanneer de FEC-partner(s) waarvan de persoonsgegevens oorspronkelijk afkomstig zijn, heeft getoetst of de beoogde verstrekking:

• in overeenstemming is met het (oorspronkelijke) doel waarvoor de persoonsgegevens zijn verzameld; en

• niet om andere reden op bezwaren stuit.

Artikel 17 Ontvangers persoonsgegevens

• 1. Persoonsgegevens worden door de FEC-eenheid verstrekt (door middel van doorzending) aan FEC-partner(s).

• 2. Voor bepaalde activiteiten kan de FEC-eenheid persoonsgegevens verstrekken aan andere organisaties die deelnemen aan deze activiteiten, zoals bedoeld in artikel 1, sub 3, van het Convenant FEC 2014.

• 3. De via de FEC-eenheid ontvangen persoonsgegevens mogen alleen (verder) worden verwerkt als de wijze van de beoogde verwerking niet onverenigbaar is met het doel waarvoor de persoonsgegevens (oorspronkelijk) zijn verzameld.

• 4. De FEC-partners treffen passende maatregelen om deze doelbinding uit het vorige lid na ontvangst te borgen. Daartoe stellen zij een beheerder aan.

Paragraaf 6 Verwerking van persoonsgegevens na verstrekking door middel van doorzending door de FEC-eenheid

Artikel 18 Doorverstrekking persoonsgegevens aan derden

Doorverstrekking door de ontvangende FEC-partner(s) van persoonsgegevens aan een derde, niet zijnde een FEC-partner of de FEC-eenheid, (of FEC-participant, of FEC TF analyseteam als het de bestrijding van TF betreft,) vindt alleen plaats met instemming van de FEC-partner(s) waarvan de persoonsgegevens oorspronkelijk afkomstig zijn.

Artikel 19 Verwerking of doorverstrekking persoonsgegevens voor ander doel

Verwerking of doorverstrekking door de ontvangende FEC-partner(s) van persoonsgegevens voor een ander doel dan het doel waarvoor de ontvangende FEC-partner ze oorspronkelijk heeft ontvangen, vindt alleen plaats met instemming van de FEC-partner(s) waarvan de persoonsgegevens oorspronkelijk afkomstig zijn.

Paragraaf 7 De betrokkene

Artikel 20 Informatieplicht en rechten betrokkene

• 1. De verwerkingsverantwoordelijke is als gevolg van het bepaalde in Hoofdstuk III van de AVG verplicht om de betrokkene op eigen initiatief op de hoogte te stellen van de persoonsgegevensverwerking (informatieplicht), tenzij er sprake is van een situatie als bedoeld in artikel 23 AVG.

• 2. De betrokkene kan een verzoek tot uitoefening van diens rechten ten aanzien van de op hem betrekking hebbende gegevens ingevolge Hoofdstuk III van de AVG richten aan de regisseur bij de FEC-eenheid: Financieel Expertise Centrum, Postbus 98, 1000 AB Amsterdam of fec@fec-partners.nl.

• 3. De verwerkingsverantwoordelijke beslist binnen vier weken overeenkomstig het bepaalde in Hoofdstuk III van de AVG op het verzoek. Bij de behandeling van verzoeken om inzage wordt rekening gehouden met de belangen van de deelnemende FEC-partner(s) en/of -participant(en) en de belangen van betrokkene. De beslissing op het verzoek is een besluit in de zin van de Algemene wet bestuursrecht.

Paragraaf 8 Slotbepalingen

Artikel 21 Evaluatie persoonsgegevensverwerking

De werking van de afspraken in dit protocol en de verwerking van persoonsgegevens in FEC-verband wordt driejaarlijks geëvalueerd.

Artikel 22 Overeenkomstige toepassing Informatieprotocol FEC 2019

• 1. De bepalingen uit dit protocol zijn van overeenkomstige toepassing op andere gegevens dan persoonsgegevens die binnen de FEC-samenwerking worden verwerkt, met uitzondering van de artikelen 7, 8, 9, 10, 11, 12, en 20 van dit protocol.

• 2. Indien andere organisaties als bedoeld in artikel 1 sub 3 van het Convenant FEC 2014 of de FEC-waarnemers deelnemen aan activiteiten van het FEC-samenwerkingsverband, is dit protocol onverkort op hen van toepassing.

Artikel 23 Inwerkingtreding

Dit Informatieprotocol FEC 2019 treedt in werking met ingang van 1 januari 2019. Hierbij vervalt het Informatieprotocol FEC 2018.

Artikel 24 Citeertitel

Dit protocol wordt aangehaald als: Informatieprotocol FEC 2019.

Het Informatieprotocol FEC 2019, met de toelichting wordt als bijlage 1 gevoegd bij het Convenant FEC 2014 en maakt daarvan onderdeel uit.

JURIDISCHE ANALYSE – BIJLAGE A BIJ INFORMATIEPROTOCOL FEC 2019

1. INLEIDING

In de Algemene Verordening Gegevensbescherming (AVG) en de Europese Richtlijn Gegevensbescherming opsporing & vervolging (EU 2016/680) zijn de regels voor de omgang met persoonsgegevens neergelegd. Deze verordening en richtlijn bieden een algemeen toetsingskader voor de afweging omtrent de rechtmatigheid van verwerkingen in concrete situaties.

Voor wat betreft de FEC-samenwerking komen de AVG en de Richtlijn op verschillende manieren in beeld. Ten eerste (AVG en Richtlijn) als toetsingskader voor verstrekkingen van bepaalde FEC-partners in concrete situaties. Ten tweede (AVG) als kader voor de verwerking van persoonsgegevens door de FEC-eenheid en binnen het FEC TF analyseteam, beide vallen onder de FEC-samenwerking.

De AVG is van toepassing op de verwerking van persoonsgegevens door de FEC-eenheid die ten behoeve van de FEC-samenwerking persoonsgegevens verwerkt, omdat sprake is van een geheel of gedeeltelijke geautomatiseerde verwerking van persoonsgegevens of van een niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn op daarin te worden opgenomen². Eveneens is de AVG om dezelfde redenen van toepassing op de verwerking van persoonsgegevens binnen het FEC TF analyseteam.

De verschillende sectorale wetten die van toepassing zijn op de FEC-partners bepalen of het mogelijk is om (persoons)gegevens ten behoeve van het samenwerkingsverband te verstrekken.

Verstrekking ten behoeve van het samenwerkingsverband vindt plaats door een verstrekking aan een centrale entiteit, te weten de FEC-eenheid die deze gegevens, afhankelijk van het doel van de verstrekking, verwerkt en doorverstrekt aan andere FEC-partners. In het kader van de bestrijding van TF worden deze gegevens door FEC-partners verstrekt aan de FEC-eenheid en vervolgens verwerkt binnen het FEC TF analyseteam. Wanneer de gegevens weer worden doorverstrekt aan de FEC-partners, gebeurt dat via de FEC-eenheid.

In deze juridische analyse wordt in hoofdstuk 2 eerst de AVG nader toegelicht. Daarna volgt in hoofdstuk 3 een overzicht van de verschillende sectorale wetgeving waar de FEC-partners mee te maken hebben. Daarbij wordt aandacht besteed aan:

• taken;

• bevoegdheden in verband met het verstrekken van gegevens;

• bevoegdheden ten aanzien van de afzonderlijke FEC-partners;

• bevoegdheden ten aanzien van het FEC als samenwerkingsverband;

• bijzonderheden.

Vervolgens wordt in hoofdstuk 4 aandacht besteed aan de juridische aspecten rond handhaven in een duaal stelsel. Tot slot bevat hoofdstuk 5 een overzicht van mogelijke consequenties wanneer binnen het FEC als samenwerkingsverband op onrechtmatige wijze persoonsgegevens worden verwerkt.

2. ALGEMENE VERORDENING GEGEVENSBESCHERMING

2.1 Inleiding

In dit hoofdstuk wordt alleen in gegaan op het normenkader van de AVG zoals dat gaat gelden op het moment dat de verwerking van persoonsgegevens ten behoeve van het FEC-samenwerkingsverband onder het regime van de AVG gaat vallen. In is voor het proces rond structurele informatie-uitwisseling in het FEC-informatieplatform beschreven hoe invulling is gegeven aan de verschillende rechten, plichten en materiële normen uit de AVG en de gevolgen hiervan voor het proces.

2.2 De reikwijdte van de AVG

De AVG is alleen van toepassing wanneer sprake is van een geheel of gedeeltelijke geautomatiseerde verwerking van persoonsgegevens of van een niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn op daarin te worden opgenomen. Op dit moment wordt door de FEC-eenheid en de FEC-partners gebruikgemaakt van een geautomatiseerde communicatietool. Ook vindt een (deels) handmatige verwerking van persoonsgegevens plaats. De handmatige verwerkingen zijn gestructureerd en volgens bepaalde criteria toegankelijk. Er kan aldus worden geconcludeerd dat het regime van de AVG van toepassing is op de manier waarop door de FEC-eenheid persoonsgegevens worden verwerkt. Binnen het FEC TF analyseteam worden geautomatiseerd gegevens verwerkt, o.a. in het systeem ibase en netwerktools (zoals analist notebook). Het regime van de AVG is ook op die verwerkingen van toepassing.

2.3 Begrippen persoonsgegevens, bijzondere persoonsgegevens, verwerking van persoonsgegevens, verder verwerken van persoonsgegevens

De AVG definieert een persoonsgegeven als ‘alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon'³. Bijzondere persoonsgegevens zijn ‘persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid’ (artikel 9 lid 1 van de AVG).

Het begrip verwerken heeft een ruime strekking. Het omvat iedere mogelijke technische verwerkingshandeling of gebruikshandeling met betrekking tot een persoonsgegeven. In artikel 4 lid 2 van de AVG staat wat onder een verwerking moet worden verstaan: ‘een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens’.

Met het verder verwerken van persoonsgegevens wordt gedoeld op het gebruik van persoonsgegevens voor een ander doel dan dat waarvoor deze al eerder zijn verwerkt.

2.4 Actoren en hun rechten en plichten

2.4.1 De betrokkene

De betrokkene is degene op wie een persoonsgegeven betrekking heeft. De AVG kent de betrokkene een aantal concrete rechten toe. Een ieder moet in beginsel kunnen nagaan waar gegevens over hem zijn vastgelegd en op welke wijze deze gegevens worden verwerkt. Ook dient elke betrokkene over mogelijkheden te beschikken om de gegevensverwerking die in zijn ogen onrechtmatig is, juridisch aan te vechten en zo nodig ter beoordeling aan de rechter voor te leggen.

De betrokkene heeft op grond van Hoofdstuk III van de AVG concreet de volgende rechten:

• Recht van inzage (artikel 15 AVG);

• Recht op rectificatie en wissing (artikel 16 AVG);

• Recht van gegevenswissing (artikel 17 AVG);

• Recht op beperking van de verwerking (artikel 18 AVG);

• Recht op overdraagbaarheid van gegevens (artikel 20 AVG, in de praktijk niet van toepassing op verwerkingen in FEC-verband) en

• Recht van bezwaar (artikel 21 AVG).

De verwerkingsverantwoordelijke moet de betrokkene binnen een maand na ontvangst van het verzoek schriftelijk informeren of er over die persoon persoonsgegevens zijn verwerkt. De verwerkingsverantwoordelijke kan de verplichtingen en rechten, bedoeld in de artikelen 12 tot en met 21 en artikel 34 van de verordening, buiten toepassing laten voor zover zulks noodzakelijk en evenredig is ter waarborging van:

• a. de nationale veiligheid;

• b. landsverdediging;

• c. de openbare veiligheid;

• d. de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid;

• e. andere belangrijke doelstellingen van algemeen belang van de Europese Unie of van Nederland, met name een belangrijk economisch of financieel belang van de Europese Unie of van Nederland, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden, volksgezondheid en sociale zekerheid;

• f. de bescherming van de onafhankelijkheid van de rechter en gerechtelijke procedures;

• g. de voorkoming, het onderzoek, de opsporing en de vervolging van schendingen van de beroepscodes voor gereglementeerde beroepen;

• h. een taak op het gebied van toezicht, inspectie of regelgeving die verband houdt, al is het incidenteel, met de uitoefening van het openbaar gezag in de gevallen, bedoeld in de onderdelen a, b, c, d, e en g;

• i. de bescherming van de betrokkene of van de rechten en vrijheden van anderen; of

• j. de inning van civielrechtelijke vorderingen.

2.4.2 De verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke wordt in artikel 4 lid 7 AVG gedefinieerd als ‘de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt’. Het is degene die in juridische zin bevoegd is doel en middelen van de gegevensverwerking vast te stellen. Dit laat onverlet dat de verwerkingsverantwoordelijke door middel van mandaat of volmacht de zeggenschap in feitelijke zin door anderen kan laten uitoefenen.

Bij samenwerkingsverbanden waar verschillende personen en instellingen participeren in een gemeenschappelijk informatiesysteem kan de verwerkingsverantwoordelijkheid door meerdere organen of personen worden uitgeoefend.

Wie in een dergelijke situatie als verwerkingsverantwoordelijke geldt, hangt in de eerste plaats af van de wijze waarop binnen het samenwerkingsverband de bevoegdheden van de deelnemers zijn geregeld.

Voor de verwerking van persoonsgegevens door de FEC-eenheid, dat plaatsvindt onder het regime van de AVG hebben de FEC-partners gezamenlijk doeleinden en middelen van de verwerking bepaald en zijn de FEC-partners gezamenlijke verwerkingsverantwoordelijke. Elk van de verantwoordelijken is aansprakelijk voor het geheel van de gegevensverwerkingen. Hetzelfde geldt voor de verwerkingen die binnen het FEC TF analyseteam plaatsvinden.

2.4.3 Verplichtingen van de verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke draagt zorg voor de naleving van de verplichtingen in de AVG. Belangrijke verplichtingen in het kader van de FEC-samenwerking zijn:

• Register van verwerkingsactiviteiten: Elke verwerkingsverantwoordelijke en, in voorkomend geval, de vertegenwoordiger van de verwerkingsverantwoordelijke dient een register bij te houden van de verwerkingsactiviteiten die onder hun verantwoordelijkheid plaatsvinden (artikel 30 AVG). Voor de FEC-samenwerking wordt aan deze verplichting voldaan doordat de regisseur een actueel register bijhoudt van de verwerkingsactiviteiten die in FEC-verband plaatsvinden en onder de gezamenlijke verantwoordelijkheid vallen. Daarnaast beschikt iedere FEC-partner over een eigen register van verwerkingsactiviteiten, waarin ieder voor de verwerkingsactiviteiten in FEC-verband verwijst naar het register dat de regisseur bijhoudt.

• Informatieverplichting: Eén van de belangrijkste pijlers van de AVG is transparantie voor betrokkenen bij de verwerking van hun persoonsgegevens. Dit wordt onder andere gewaarborgd door de in de AVG vastgelegde informatieplicht. De verordening verplicht de verwerkingsverantwoordelijke in beginsel de betrokkene te informeren als er persoonsgegevens worden verwerkt. De informatieplicht geldt voor alle verwerkingen van persoonsgegevens. De gedachte achter de informatieplicht is dat betrokkene in staat wordt gesteld te weten te komen welke gegevens over hem worden verwerkt ten einde daar desgewenst daartegen actie te ondernemen c.q. zijn bovengenoemde rechten uit te oefenen. De plicht tot informatieverstrekking geldt voorafgaand aan de verwerking. Voor de FEC-samenwerking wordt aan deze informatieplicht voldaan door plaatsing van het Informatieprotocol FEC 2018 en de toelichting op de website van het FEC-samenwerkingsverband, www.fec-partners.nl, op de website van de FEC-partners en door publicatie in de Staatscourant.

2.4.4 De ontvanger

De ontvanger is degene aan wie de persoonsgegevens worden verstrekt en omvat daarmee zowel personen binnen als buiten de organisatie van de verwerkingsverantwoordelijke. Voor de FEC-samenwerking is bepaald dat alleen de FEC-partners persoonsgegevens mogen ontvangen.

2.4.5 De FEC-participant

Op grond van artikel 1, lid 3, Convenant FEC 2014 kunnen andere organisaties (FEC-participanten) tot het FEC toetreden of deelnemen aan bepaalde activiteiten van het FEC. Op incidentele basis kunnen relevante persoonsgegevens van FEC-participanten in FEC-verband worden verwerkt en/of kunnen de FEC-participanten als ontvanger gelden. Waar relevant worden nadere afspraken met deze organisaties vastgelegd in een addendum bij het FEC Informatieprotocol 2019.

Op het gebied van bestrijding van terrorismefinanciering werken FEC-partners structureel samen met FEC-participanten. Deze FEC-participanten confirmeren zich middels een addendum bij het FEC Informatieprotocol 2019 aan de afspraken zoals vastgelegd in het FEC-Informatieprotocol 2019.

2.5 Materieel normenkader AVG

In de AVG staan voorschriften die betrekking hebben op de toelaatbaarheid en de kwaliteit van de gegevensverwerking. Vanuit het gezichtspunt van de verwerkingsverantwoordelijke kunnen achtereenvolgens de volgende stappen worden onderscheiden:

• 1. Algemene zorgvuldigheidseis: persoonsgegevens moeten in overeenstemming met de verordening worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is. (artikel 5 AVG).

  De algemene zorgvuldigheidseis geldt voor alle fasen van het proces van gegevensverwerking ten behoeve van de FEC-samenwerking. Het is een leidend beginsel bij de toepassing van de gehele AVG en vindt zijn uitwerking in verschillende andere bepalingen, zoals de informatieplicht aan betrokkene. Daarnaast is de algemene zorgvuldigheidseis niet alleen van toepassing op de AVG, maar ook op andere wetgeving waarin bepalingen ten aanzien van gegevensverwerking zijn opgenomen.

  Bij de invulling van het begrip ‘zorgvuldig’ kan in voorkomende gevallen worden aangesloten bij de zorgvuldigheidsnorm uit artikel 1:162 BW, evenals het zorgvuldigheidsbeginsel als algemeen beginsel van behoorlijk bestuur. Bij de interpretatie van de term ‘behoorlijk’ kan inspiratie worden geput uit de maatstaven die in het kader van de toepassing van de behoorlijkheidnormen krachtens de Wet Nationale ombudsman zijn ontwikkeld.

• 2. Doel verzameling gegevens: persoonsgegevens moeten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld (artikel 5 AVG).

  Welbepaald en uitdrukkelijk omschreven houdt in dat de doelstelling niet zo vaag of ruim mag zijn geformuleerd dat zij geen duidelijk kader kan bieden voor de vraag in hoeverre de verwerking in een concreet geval voor het omschreven doel nodig is.

  In het Informatieprotocol FEC 2018 (artikel 3) zijn de doelstellingen voor de persoonsgegevensverwerking door de FEC-eenheid nader omschreven. Daarbij is voor de samenwerking op het gebied van de bestrijding van TF en de verwerking binnen het FEC TF analyseteam expliciet een specificering van de doelomschrijving aangebracht.

• 3. Grondslag verwerking persoonsgegevens: persoonsgegevens mogen slechts worden verwerkt op basis van één van de in de verordening genoemde gronden (artikel 6 lid 1, onderdeel a–f AVG).

  De AVG geeft in artikel 6 een limitatief aantal gronden op basis waarvan persoonsgegevens mogen worden verwerkt. De voor de FEC-samenwerking relevante grondslag is: de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen (artikel 6 lid 1 onder e AVG).

  Bij elke verwerking moet voldaan zijn aan de beginselen van proportionaliteit en subsidiariteit ⁴. Het doel waarvoor de gegevens worden verwerkt is bepalend voor de hoeveelheid en de soort van de gegevens die mogen worden verwerkt. De gegevens dienen met het oog op dat doel toereikend en ter zake dienend te zijn en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.

  Wat dit concreet betekent is zelfs op basis van jurisprudentie van het Europees Hof van de rechten voor de mens (EHRM) niet eenvoudig te bepalen. Zo speelt in bepaalde zaken van het EHRM de aard van de gegevens een rol⁵, de status van de betrokken persoon⁶, de reikwijdte van de aangevochten maatregel⁷ of de mate waarin de betrokkenen controle op de gegevensverwerking kan uitoefenen⁸. Daarnaast moeten de gegevens juist en actueel zijn. Daartoe moeten door de desbetreffende verwerkingsverantwoordelijken de nodige maatregelen worden getroffen.

• 3A. De verwerking van bijzondere persoonsgegevens

  Voor de verwerking van bijzondere persoonsgegevens en strafrechtelijke persoonsgegevens, geldt in de AVG en de Uitvoeringswet AVG een strenger regime. De rechtmatigheid van de verwerking van deze gegevens dient te worden beoordeeld aan de hand van artikel 6 AVG in samenhang met de artikelen 9 en 10 AVG. Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen mogen op grond van artikel 6, lid 1 AVG, alleen worden verwerkt onder toezicht van de overheid of indien de verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden (artikel 10 AVG), of indien ze worden verwerkt voorzover dat krachtens artikel 32 of 33 van de Uitvoeringswet AVG (UAVG) is toegestaan. Zo mogen strafrechtelijke persoonsgegevens worden verwerkt wanneer deze zijn verkregen krachtens de Wpg of de Wjsg, of wanneer de verwerking geschiedt door en ten behoeve van publiekrechtelijke samenwerkingsverbanden van verwerkingsverantwoordelijken of groepen van verwerkingsverantwoordelijke indien dat noodzakelijk is voor de uitvoering van de taak van deze verwerkingsverantwoordelijken en bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad. (artikel 33 lid 1 onder b UAVG).

  Wanneer voldaan is aan een van de voorwaarden zoals bepaald in artikel 9 tweede lid, AVG kunnen door de FEC-eenheid bijzondere persoonsgegevens worden verwerkt. Per FEC-project, waarin mogelijk bijzondere persoonsgegevens worden verwerkt, wordt een Gegevensbeschermingseffectbeoordeling uitgevoerd. Daarin wordt expliciet aangegeven op basis van welke grondslag de benodigde bijzondere persoonsgegevens verwerkt kunnen worden en op welke wijze aan de voorwaarden van artikel 9, tweede lid, AVG is voldaan.

• 4. Doelbinding gebruik gegevens

  persoonsgegevens mogen niet worden verder verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen (artikel 5 lid 1 onder b AVG). Wanneer de wens bestaat persoonsgegevens verder te verwerken op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verzameld, kan dit alleen zolang voldaan wordt aan de voorwaarden zoals bepaald in artikel 23 AVG.

  Artikel 6 AVG geeft limitatief de gronden voor de gegevensverwerking. Bij de verstrekking van die gegevens (wat op zich weer een verwerking is) moet ook naar artikel 5 lid 1 onder b jo. 6 ld 4 AVG worden gekeken. Dat gaat over verenigbaar gebruik. Dit betekent dat verdere verwerking alleen mogelijk is als sprake is van verenigbaar gebruik. Daarbij gelden wel enkele randvoorwaarden.

  De verwerkingsverantwoordelijke houdt bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met:

  • a. ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking;

  • b. het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft;

  • c. de aard van de persoonsgegevens, met name of bijzondere categorieën van persoonsgegevens worden verwerkt, overeenkomstig artikel 9, en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt, overeenkomstig artikel 10;

  • d. de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen;

  • e. het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering.

• 5. Kwaliteit gegevens

  persoonsgegevens mogen slechts worden verwerkt voor zover zij toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (artikel 5 lid 1 onder c AVG).

  De FEC-partners zijn zelf verantwoordelijk voor de kwaliteit van de verstrekte gegevens.

• 6. Beveiliging gegevens

  Artikel 5 lid 1 onder f AVG verplicht de verantwoordelijke tot het nemen van passende technische en organisatorische maatregelen, zodat persoonsgegevens op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging. Ter beveiliging moeten technische en organisatorische maatregelen worden genomen.

  De FEC-partners, de FEC-eenheid en het FEC TF analyseteam geven hier onder andere invulling aan door persoonsgebonden maatregelen:

  • Een strikt autorisatiesysteem;

  • Screening van medewerkers en veiligheidsonderzoeken door de AIVD.⁹

  Persoonsgegevens gerelateerde maatregelen zijn:

  • Een beveiligingsbeleid inclusief classificatiesysteem.

  • Een beveiligde communicatietool (ShareFile).¹⁰

2.6 Bewaartermijnen

Persoonsgegevens mogen niet langer worden bewaard dan noodzakelijk is voor de verwezenlijking van de doeleinden waarvoor ze zijn verzameld. De AVG geeft geen concrete tijdsindicatie. In de procesbeschrijving wordt per werkproces en de daarbij behorende doelomschrijving aangegeven hoelang de FEC-eenheid de persoonsgegevens mag bewaren.

3. BEVOEGDHEDEN EN VERPLICHTINGEN FEC-PARTNERS

3.1 Inleiding

Hoofdstuk 3 geeft een overzicht van de wettelijke verstrekking regimes van de FEC-partners. Daarbij wordt aandacht besteed aan de taken, de bevoegdheden in verband met het uitwisselen van informatie, bevoegdheden ten aanzien van de verschillende FEC-partners, bevoegdheden ten aanzien van het FEC als samenwerkingsverband en eventuele bijzonderheden.

3.2 Bevoegdheden en verplichtingen van De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM)

3.2.1 Taken, inclusief integriteittoezicht

Voor de toezichthouders geldt voor het uitwisselen van informatie de verschillende regimes die zijn neergelegd in de verschillende toezichtwetten.¹¹ Ook de specifieke taakstellingen worden aan deze verschillende wetten ontleend. Zo staat onder andere in artikel 1:24 Wet op het financieel toezicht (Wft) dat DNB tot taak heeft het prudentieel toezicht op financiële ondernemingen uit te oefenen en te beslissen omtrent de toelating van financiële ondernemingen tot financiële markten. De AFM heeft volgens artikel 1:25 Wft tot taak het gedragstoezicht op financiële markten uit te oefenen en te beslissen omtrent de toelating van financiële ondernemingen tot die markten.

Integriteittoezicht is geen zelfstandige in de Wft opgenomen doelstelling. De Memorie van Toelichting (MvT) bij de Wft stelt wel in het algemeen deel over het functioneel toezichtsmodel:

‘Handhaving van integriteit is onmisbaar voor het bereiken van verschillende toezichtdoelstellingen. De integriteit van financiële instellingen en de instrumenten tot handhaving daarvan zijn derhalve van belang voor zowel het prudentieel toezicht als voor het gedragstoezicht. Integriteit behoort derhalve niet te worden gezien als een zelfstandige toezichtdoelstelling.

Ook hier geldt dat in de bijzondere delen van de Wft de taakverdeling tot uitdrukking wordt gebracht, met het voortouw bij de vergunningverlenende toezichthouder.’

Alhoewel dus niet zelfstandig benoemd, kan integriteittoezicht als een impliciete taak van de toezichthouders worden gezien en vervult het een belangrijke beweegreden bij het benutten van de mogelijkheden om informatie uit te wisselen in FEC-verband.

3.2.2 Bevoegdheden in verband met het verstrekken van gegevens

Geen specifieke bepalingen over samenwerkingsverbanden

Er bestaat binnen de financiële toezichtwetgeving, in tegenstelling tot bij de meeste andere partners, geen bepaling inzake het delen van informatie met samenwerkingsverbanden zoals het FEC. De toezichthouders moeten bij de beoordeling of aan het FEC gegevens verstrekt mogen worden concreet beoordelen of aan de afzonderlijke partners dan wel participanten vertrouwelijke informatie verstrekt mag worden voor het gevraagde doel. Daarom wordt hierna ingegaan op de wettelijke mogelijkheden voor de toezichthouders om aan afzonderlijke partners dan wel participanten informatie te verstrekken.

Hierbij geldt dat de wettelijke mogelijkheden strekken tot implementatie van Europese richtlijnen op het gebied van financieel toezicht¹². Deze richtlijnen vereisen in beginsel vertrouwelijkheid van gegevens. Voorts is van belang dat de vertrouwelijkheid van gegevens onmisbaar is voor een goed functionerend toezicht.

Kader Wet op het financieel toezicht (Wft, afdeling 1.5.1)

De geheimhoudingsplicht is voor de Wft neergelegd in artikel 1:89, eerste lid, van de Wft. Geheimhouding is regel. In de artikelen 1:90 tot en met 1:93c Wft worden vervolgens situaties beschreven waarin een uitzondering op de geheimhoudingsplicht mogelijk is. De geheimhoudingsplicht en de uitzonderingen op die plicht geven het gesloten geheimhoudingsregime van de toezichthouders weer. De bepalingen omtrent de geheimhouding in de Wft zijn onder meer gebaseerd op afdeling 2 van de richtlijn 2006/48/EG van 14 juni 2006 betreffende de toegang tot en de uitoefening van de werkzaamheden van kredietinstellingen.

Artikel 1:89 Wft luidt als volgt:

• 1. Het is een ieder die uit hoofde van de toepassing van deze wet of van ingevolge deze wet genomen besluiten enige taak vervult of heeft vervuld, verboden van vertrouwelijke gegevens of inlichtingen die ingevolge deze wet dan wel ingevolge afdeling 5.2 van de Algemene wet bestuursrecht zijn verstrekt of verkregen of van een persoon of instantie als bedoeld in artikel 1:90, eerste lid, onderscheidenlijk 1:91, eerste lid, zijn ontvangen, verder of anders gebruik te maken of daaraan verder of anders bekendheid te geven dan voor de uitvoering van zijn taak of door deze wet wordt geëist.

• 2. In afwijking van het eerste lid kan de toezichthouder met gebruikmaking van vertrouwelijke gegevens of inlichtingen verkregen bij de uitvoering van zijn taak op grond van deze wet, mededelingen doen, indien deze niet kunnen worden herleid tot afzonderlijke personen.

In afwijking en ter optimalisering hiervan kunnen AFM en DNB, op grond van artikel 1:93, eerste lid, Wft, vertrouwelijke gegevens of inlichtingen die zijn verkregen bij de vervulling van de hun ingevolge de Wft opgedragen taak, verstrekken aan met name genoemde FEC-partners, het Bureau Financieel Toezicht (BFT) en de AIVD, voor zover de gegevens of inlichtingen dienstig zijn voor de uitoefening van de wettelijke taken van die partners en overige genoemde diensten.¹³ Dit wordt in paragraaf 3.2.3 verder toegelicht.

In geval van persoonsgegevens is ook AVG van toepassing en dienen de gegevens niet dienstig, edoch noodzakelijk te zijn.;

Kader Wet ter voorkoming van witwassen en het financieren van terrorisme (Wwft)

AFM en DNB kunnen informatie die zij hebben vergaard als Wwft-toezichthouder, delen met elkaar, het Bureau Financieel Toezicht (BFT) en Belastingdienst/ Bureau Toezicht Wwft (BTW), mits aan een aantal voorwaarden is voldaan (artikel 22 Wwft). Onder meer dient verstrekking te passen in het kader van toezicht op de Wwft.

Indien AFM en DNB bij de uitoefening van hun taak feiten ontdekken die kunnen duiden op witwassen of financieren van terrorisme, lichten zij, zo nodig in afwijking van de toepasselijke wettelijke geheimhoudingsbepalingen, de FIU-Nederland in (artikel 25 Wwft).

Kader Wet toezicht trustkantoren

Voor de Wtt geldt een vergelijkbaar regime als hierboven. Een tweetal belangrijke uitzonderingen op dat regime zijn de volgende. Ten eerste is het op grond van artikel 13 van de Wtt mogelijk dat DNB aan andere Nederlandse en buitenlandse overheidsinstanties vertrouwelijke informatie verstrekt. Dit is echter niet altijd het geval gelet op de in artikel 14 van de Wtt genoemde uitzonderingen.

Ten tweede is het DNB op grond van artikel 13, eerste lid, onder b, van de Wtt niet toegestaan om aan derden cliëntinformatie te verstrekken. Verstrekking van cliëntinformatie is alleen mogelijk als die informatie wordt gevorderd, bijvoorbeeld op grond van het Wetboek van Strafvordering (artikel 12, derde lid, van de Wtt) of indien de informatie krachtens andere wetgeving, zoals belastingwetgeving, moet worden verstrekt. Indien op grond van het wetboek van Strafvordering bij DNB informatie wordt gevorderd, is DNB gehouden die informatie te geven, tenzij sprake is van een beperkt verschoningsrecht.

Kader Wet handhaving consumentenbescherming

De AFM kan ook informatie uitwisselen binnen het FEC die zij heeft verkregen op basis van de Wet handhaving consumentenbescherming (Whc). De Whc kent geen geheimhoudingsbepaling zoals de Wft. De geheimhoudingsbepaling uit de Awb is van toepassing, namelijk artikel 2:5 Awb. De informatie, die de AFM heeft verkregen uit hoofde van haar toezicht op de naleving van de Whc, kan de AFM uitwisselen binnen het FEC, indien (i) de AFM daartoe verplicht is uit hoofde van wetgeving die van toepassing is op de AFM en de FEC-partners waaraan zij binnen FEC-verband informatie verstrekt en/of (ii) dit voortvloeit uit de taak van de AFM en daarvoor ook noodzakelijk is. Dit laatste betekent dat verstrekking van informatie een noodzakelijke bijdrage levert aan het Whc-toezicht door de AFM.

Kader Wet toezicht accountantsorganisaties

Op grond van de Wet toezicht accountantsorganisaties (Wta) verleent de AFM vergunningen aan accountantsorganisaties om wettelijke controles te mogen uitvoeren en houdt de AFM doorlopend toezicht op alle vergunninghouders. Het toezicht richt zich zowel op OOB-kantoren als op niet-OOB-kantoren. De OOB kantoren controleren de jaarrekeningen van organisaties van openbaar belang, zoals beursgenoteerde ondernemingen, banken en verzekeraars. De niet-OOB kantoren verrichten wettelijke controles bij andere organisaties, dus ook bij organisaties die niet direct deel uitmaken van de financiële sector.

Toezichtinformatie over niet-OOB kantoren kan relevant zijn voor FEC doeleinden. Hoewel veel niet-OOB’s zelf niet direct deel uitmaken van de financiële sector, kan toezichtinformatie over deze kantoren van belang zijn bij het versterken van de integriteit van de financiële sector. Uiteraard zal dit van geval tot geval moeten worden beoordeeld of informatie valt binnen de doelstelling van het FEC.

Vervolgens zal (ook in het geval van informatie met betrekking tot OOB kantoren) van geval tot geval beoordeeld moeten worden of dergelijke toezichtinformatie aan de desbetreffende FEC-partners verstrekt mag worden. De Wta kent een gesloten geheimhoudingsstelsel, met een gelijksoortig kader als dat van de Wft. Dit is neergelegd in artikel 63a Wta.

Kader overige toezichtwetgeving

Vertrouwelijkheidsregimes, met daarin de mogelijkheid om onder voorwaarden vertrouwelijke informatie te verstrekken aan andere toezichthoudende instanties, zijn ook in enkele andere toezichtwetten opgenomen, zoals de Pensioenwet (art. 204), de Wet verplicht beroepspensioenregeling (art. 198), Sanctiewet 1977 (artt. 10g en 10h) en de Zorgverzekeringswet (art. 93).

Kader informatie niet toezicht-informatie

DNB heeft op grond van de artikelen 3 en 4 van de Bankwet 1998 nog andere taken dan de financiële toezichttaken. Het betreft onder andere de taak van DNB ten aanzien van de Wet financiële betrekkingen buitenland 1994 (Wfbb). Op basis van deze wet worden aan DNB inlichtingen en gegevens verstrekt die van belang zijn voor de samenstelling van de betalingsbalans van Nederland. De Wfbb kent een geheimhoudingsbepaling die enigszins lijkt op die uit de Wft (artikel 8 Wfbb). Daarnaast kent DNB een taak op het gebied van betalingsverkeer. De kaders die hierbij voor DNB de ruimte bepalen, zijn niet (uitsluitend) wettelijk van aard, maar contractueel.

Zowel het Convenant FEC 2014 als het Informatieprotocol FEC 2019 beperken zich niet tot enkel relevante toezichtinformatie. Ook informatie binnen DNB niet zijnde toezichtinformatie kan via het FEC gedeeld worden, voor zover het bijdraagt aan de taak en de doelstellingen van het FEC en er geen specifieke geheimhoudingsbepalingen of contractuele verplichtingen uitwisseling van de informatie beperken. Of informatie niet zijnde toezicht informatie door DNB kan worden uitgewisseld met de FEC-partners zal per geval worden bekeken.

Kader WWFT

Uit artikel 22, lid 1, WWFT volgt eenzelfde geheimhoudingsbepaling als die in de Wft. In afwijking hiervan kan AFM informatie die zij heeft vergaard als WWFT-toezichthouder delen met DNB, het BFT en Belastingdienst Toezicht WWFT, mits aan een aantal randvoorwaarden is voldaan (artikel 22 WWFT). Verder is verstrekken van op grond van het WWFT-toezicht verkregen gegevens en inlichtingen aan opsporingsautoriteiten mogelijk. Bovendien licht AFM, zo nodig in afwijking van de wettelijke geheimhoudingsbepalingen, de FIU in indien zij bij de uitoefening van de WWFT-taak feiten ontdekt die kunnen duiden op witwassen of financieren van terrorisme(artikel 25 WWFT).

Vertrouwelijke gegevens

Een onder toezicht staande financiële onderneming is verplicht vertrouwelijke gegevens ter beschikking te stellen aan de toezichthouder. Onder vertrouwelijke gegevens moet volgens Europese richtlijnen in elk geval worden verstaan gegevens die de persoonlijke levenssfeer betreffen alsmede de bedrijfsgegevens die aan de toezichthouder zijn medegedeeld. De wetsgeschiedenis laat open dat ook andere gegevens vertrouwelijk kunnen zijn. Indien men informatie als vertrouwelijk wil aanmerken doet de herkomst er niet toe. Of de informatie is verkregen met gebruikmaking van een inlichtingenbevoegdheid, is verstrekt door de financiële onderneming zelf of is ontvangen van een buitenlandse toezichthouder, in alle gevallen is de toezichthouder gehouden tot geheimhouding. Feitelijk gezien blijft de vraag of informatie vertrouwelijk is dan ook beperkt tot de vraag of de gegevens openbaar zijn.

Bij vertrouwelijke gegevens gaat het in elk geval (maar niet uitsluitend) over gegevens die van invloed kunnen zijn op de concurrentiepositie van de betreffende onderneming of een disproportionele inbreuk kunnen maken op de persoonlijke levenssfeer van betrokkenen. Denk hierbij aan:

• persoonlijke omstandigheden;

• niet gepubliceerde bedrijfsgegevens;

• voorgenomen toezichtmaatregelen ten aanzien van een onderneming.

Openbare gegevens

Wanneer sprake is van openbare gegevens wordt de informatie in beginsel op verzoek verstrekt. Als richtlijn geldt dat informatie openbaar is, indien die kennelijk door de betrokkene zelf aan een onbepaalde groep derden (zonder geheimhoudingsplicht) openlijk kenbaar is gemaakt, of gegevens die via openbaar toegankelijke registers raadpleegbaar zijn. Voorbeelden van openbare gegevens zijn: gegevens op een website, openbaar raadpleegbare registers zoals het handelsregister KvK, gepubliceerde gegevens uit een jaarverslag, een gepubliceerde bijsluiter, prospectus of brochure.

Medewerkers werkzaam bij het FEC TF analyseteam vanuit de opsporingspartners en Belastingdienst kunnen op grond van de eigen taken en bevoegdheden, onder bepaalde voorwaarden open bronnen raadplegen. Het FEC TF analyseteam verricht de werkzaamheden in beginsel met de informatie die ter beschikking is gesteld door de FEC-partners en -participanten. Indien noodzakelijk kunnen open bronnen worden geraadpleegd. Daarvoor is toestemming nodig van de programmaleiding. Een eventuele raadpleging zal op een zodanige wijze geschieden dat de inbreuk op de persoonlijke levenssfeer van natuurlijke personen zo beperkt mogelijk is. De voorwaarden en uitgangspunten waaronder de medewerkers bij het FEC TF analyseteam open bronnen kunnen raadplegen, zijn vastgelegd in werkinstructies.

Toestemming betrokkene

Wanneer de oorspronkelijke verstrekker van vertrouwelijke informatie instemt met het gebruik van de informatie voor andere doeleinden kan deze informatie in sommige gevallen op verzoek worden verstrekt. De toezichthouder moet dan wel waarborgen dat de informatie niet voor een ander doel wordt gebruikt dan waarvoor de toestemming door de oorspronkelijke verstrekker is gegeven.

3.2.3 Bevoegdheden ten aanzien van de afzonderlijke FEC-partners

Voor zover de gegevens of inlichtingen dienstig zijn voor de uitoefening van de wettelijke taken van de Belastingdienst, de FIOD, de politie, de FIU-Nederland en het Openbaar Ministerie, mogen AFM en DNB informatie verstrekken aan deze organisaties (artikel 1:93, lid 1, Wft, zoals dit is gewijzigd per 1 januari 2014).

Hierbij dient voldaan te zijn aan de voorwaarden die volgen uit artikel 1:93, tweede lid, Wft. Deze voorwaarden komen erop neer dat het doel voldoende concreet moet zijn, moet passen in het kader van toezicht op de financiële markt, de verstrekking moet zich verdragen met de wet of openbare orde, de geheimhouding moet voldoende zijn gewaarborgd, de verstrekking mag niet in strijd komen met de belangen die de Wft beoogt te beschermen en er moet voldoende zijn geborgd dat de vertrouwelijke informatie niet zal worden gebruikt voor een ander doel dan waarvoor zij is verstrekt.

Informatie-uitwisseling tussen de financiële toezichthouders

De meeste financiële toezichtwetten voorzien in een informatie-uitwisseling tussen de toezichthouders¹⁴. Ter invulling van deze samenwerking is een Convenant tussen DNB en de AFM gesloten¹⁵. Voordat de informatie mag worden uitgewisseld moet aan een aantal waarborgen zijn voldaan.

Het verzoek moet voldoende concreet zijn, moet passen in het kader van toezicht op de financiële markt respectievelijk het toezicht op de pensioenwetgeving¹⁶, de verstrekking moet zich verdragen met de wet of openbare orde, de geheimhouding moet voldoende zijn gewaarborgd, de verstrekking mag niet in strijd komen met de belangen die de betreffende toezichtwet beoogt te beschermen en er moet voldoende zijn geborgd dat de vertrouwelijke informatie niet zal worden gebruikt voor een ander doel dan waarvoor zij is verstrekt.

De politie, FIOD en OM

Zowel op eigen initiatief als op verzoek mag de toezichthouder informatie verstrekken aan een instantie die is belast met de uitoefening van strafvorderlijke bevoegdheden (art. 1:92, lid 1 Wft, art. 207, lid 1 Pw, art. 201 Wvb, art. 12, lid 2 Wgt, art. 12, lid 3 Wtt) voor zover de gegevens noodzakelijk zijn voor het doel.

Deze mogelijkheid tot informatieverstrekking op eigen initiatief is niet beperkt tot gevallen waarbij sprake is van een redelijk vermoeden zoals bedoeld in artikel 27 van het Wetboek van Strafvordering en laat de mogelijkheid tot het doen van aangifte onverlet. Wel moet de toezichthouder de zorgvuldigheidseisen in acht nemen en er moet een redelijke aanleiding zijn om de informatie te delen (art. 5:13 Awb).

Bij het verstrekken van de informatie hoeft de toezichthouder niet eerst zelf vast te stellen of er sprake is van een redelijk vermoeden van een strafbaar feit. Dat is een taak voor het OM. Ook moeten de belangen van opsporing en vervolging groter zijn dan de belangen van de toezichthouder om de informatie geheim te houden.

In verband met zorgvuldigheidscriteria achten de toezichthouders het wenselijk dat een informatieverzoek door FIOD, politie of OM schriftelijk, voldoende concreet en gemotiveerd wordt ingediend.

Artikel 1:92 Wft luidt als volgt:

• 1. De toezichthouder kan, in afwijking van artikel 1:89, eerste lid, vertrouwelijke gegevens of inlichtingen verkregen bij de uitvoering van de hem ingevolge deze wet opgedragen taak, verstrekken aan een instantie die is belast met de uitoefening van strafvorderlijke bevoegdheden of aan een deskundige die door een dergelijke instantie met een opdracht is belast, voor zover de verlangde gegevens of inlichtingen noodzakelijk zijn voor de uitvoering van die opdracht.

• 2. Indien de instantie, bedoeld in het eerste lid, het voornemen heeft toepassing te geven aan de bevoegdheid tot het bij de toezichthouder vorderen van de uitlevering van een voor inbeslagneming vatbaar voorwerp of aan de bevoegdheid tot het vorderen van de inzage of een afschrift van bescheiden als bedoeld in artikel 96a, 105 of 126a van het Wetboek van Strafvordering, of artikel 18 of 19 van de Wet op de economische delicten, en de vordering betreft vertrouwelijke gegevens of inlichtingen als bedoeld in artikel 1:89, eerste lid, stelt die instantie voorafgaand aan de uitoefening van haar bevoegdheid de toezichthouder in de gelegenheid zijn zienswijze hierover kenbaar te maken.

Vorderingen van strafvorderlijke instanties

Strafvorderlijke instanties zoals de (bijzondere) opsporingsdiensten en het OM kunnen een vordering (bijvoorbeeld een vordering ex artikel 126nd Sv tot uitlevering van stukken) aan de toezichthouders richten. De wetgever heeft in artikel 1:92, lid 2 Wft bepaald dat in dergelijke gevallen de toezichthouder in de gelegenheid wordt gesteld zijn zienswijze naar voren te brengen.

Samenwerking in het tripartiteoverleg (tpo)

Het tpo is een overleg op basis van een convenant¹⁷ tussen de financiële toezichthouders, de FIOD en het OM waarin in verband met het una via-beginsel (verplicht) wordt afgestemd over het te volgen handhavingtraject. Omdat de toezichthouder informatie op de minst vergaande en belastende manier moet verstrekken kan er voor worden gekozen om informatie in te brengen in het tpo in plaats van in FEC-verband. Na afstemming in het tpo kan er vervolgens voor worden gekozen om de informatie alsnog in te brengen in FEC-verband.

Verschoningsrecht in een strafrechtelijke procedure

Er bestaat geen algemeen verschoningsrecht voor de toezichthouder. De medewerkers van de financiële toezichthouders, die als toezichthouder zijn aangewezen, hebben een beperkt verschoningsrecht. De strafrechter zal het beroep op dat verschoningsrecht honoreren als het belang van de handhaving van de vertrouwelijkheid van bepaalde inlichtingen belangrijker is dan de strafrechtelijke waarheidsvinding. De medewerker maakt dus eerst zelf een afweging, daarna beoordeelt de strafrechter de juistheid van die afweging. Het is uiteindelijk aan de strafrechter om vast te stellen of er terecht een beroep wordt gedaan op het verschoningsrecht.

Belastingdienst

De Belastingdienst heeft de mogelijkheid om op grond van artikel 55 AWR andere bestuursorganen om inlichtingen te vragen.

DNB en AFM kunnen toezichtvertrouwelijke informatie die zij hebben verkregen uit hoofde van de Wft aan de Belastingdienst verstrekken op grond van artikel 1:93 Wft. DNB en AFM kunnen gegevens of inlichtingen die zij hebben verkregen uit hoofde van de Wwft verstrekken aan de andere Wwft toezichthouders: Belastingdienst / Bureau Toezicht Wwft en Bureau Financieel Toezicht (BFT) (artikel 22 lid 2) tenzij een van de in artikel 22 lid 2 Wwft genoemde uitzonderingen toepassing vindt. DNB kan toezichtvertrouwelijke informatie die zij hebben verkregen uit hoofde van de Wtt aan de Belastingdienst verstrekken op grond van artikel 13 Wtt.

FIU-Nederland

Indien DNB en AFM bij de uitoefening van hun taak feiten ontdekken die kunnen duiden op witwassen of financieren van terrorisme, lichten zij, zo nodig in afwijking van de toepasselijke wettelijke geheimhoudingsbepalingen, de FIU-Nederland in (artikel 25 Wwft).

DNB en AFM kunnen toezichtvertrouwelijke informatie die zij hebben verkregen uit hoofde van de Wft aan FIU-Nederland verstrekken op grond van artikel 1:93 Wft.

FEC-participanten

De AFM kan op grond van de Wft geen vertrouwelijke informatie verstrekken aan de IND, Belastingdienst/Toeslagen, de Belastingdienst/Douane, Kmar tenzij het noodzakelijk is in het kader van haar taakuitoefening. Deze ruimte is zeer beperkt en zal bij uitzondering plaatsvinden gelet op het feit dat de wetgever reeds de uitzonderingen op de geheimhoudingsplicht limitatief heeft geformuleerd in de Wft.

3.3 Bevoegdheden en verplichtingen van de Belastingdienst

3.3.1 Taken

De Belastingdienst kent meerdere organisatieonderdelen: Particulieren, Midden- en Kleinbedrijf, Grote ondernemingen, Klantinformatie en Services, Informatievoorziening, Centrale Administratieve Processen, FIOD, Douane en Toeslagen. Gezamenlijk zijn zij onder meer belast met de goede uitvoering van de Algemene wet inzake rijksbelastingen (AWR), de Algemene douanewet (ADW), de Algemene wet inkomensafhankelijke regelingen, de Wet belastingen op milieugrondslag, de Wet waardering onroerende zaken, het Besluit voorkoming dubbele belasting en de Invorderingswet.

De organisatieonderdelen van de Belastingdienst zijn verantwoordelijk voor een groot aantal verschillende taken. Het meest bekend is het heffen en innen van belastingen en premies. De Belastingdienst int echter niet alleen, maar keert ook uit.

Zo verzorgt de Belastingdienst bijvoorbeeld de uitbetaling van voorlopige teruggaven en van toeslagen die huishoudens kunnen krijgen voor de kosten van kinderopvang, huur of zorg. De kerntaken van de Belastingdienst zijn:

• De heffing, controle en inning van rijksbelastingen, bijdragen zorgverzekeringswet, premies volksverzekeringen en premies werknemersverzekeringen.

• De controle op de naleving van wetgeving betreffende in-, uit- en doorvoer van goederen, en van wetgeving op economisch, gezondheids-, milieu- en veiligheidsterrein, economische ordening en financiële integriteit.

• De toekenning van en controle op inkomensafhankelijke toeslagen.

• De opsporing op al de hiervóór genoemde terreinen.

3.3.2 Bevoegdheden in verband met het verstrekken van gegevens

Voor de Belastingdienst geldt een geheimhoudingsplicht die is neergelegd in artikel 67 lid 1 AWR. Op grond van dit artikel is het een ieder verboden hetgeen hem uit of in verband met enige werkzaamheid bij de uitvoering van de belastingwet over de persoon of zaken van een ander blijkt of wordt meegedeeld, verder bekend te maken dan noodzakelijk is voor de uitvoering van de belastingwet of voor de invordering van enige rijksbelasting. De geheimhoudingsplicht geldt niet indien:

• a. enig wettelijk voorschrift tot de bekendmaking verplicht;

• b. bij regeling van Onze Minister is bepaald dat bekendmaking noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak van een bestuursorgaan;

• c. bekendmaking plaatsvindt aan degene op wie de gegevens betrekking hebben voor zover deze gegevens door of namens hem zijn verstrekt.

In andere dan de hierboven bedoelde gevallen kan de Minister ontheffing verlenen van de geheimhoudingsplicht. Waar het gaat om de verstrekking van fiscale informatie welke noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak aan bestuursorganen zijn nadere voorschriften opgenomen in artikel 43c van de Uitvoeringsregeling AWR 1994.

3.3.3 Bevoegdheden ten aanzien van de afzonderlijke FEC-partners

Op basis van artikel 43c van de Uitvoeringsregeling AWR 1994 kunnen met name genoemde (soort) gegevens worden verstrekt aan:

• de directeur van de FIOD: gegevens die door de FIOD worden gebruikt in het kader van de strafrechtelijke handhaving van de rechtsorde ingevolge artikel 3 van de Wet op de BOD-en;

• de officier van justitie (artikel 43c lid 1 sub l): gegevens van belang voor het instellen van een vordering tot ontbinding van rechtspersonen, gegevens over vermogens in het kader van een strafrechtelijk financieel onderzoek en de ontnemingsvordering, gegevens over strafbare feiten waarvoor een ieder op grond van artikel 161 WvSv bevoegd is aangifte te doen en gegevens die van belang zijn voor de tenuitvoerlegging van rechtelijke beslissingen;

• DNB en AFM: gegevens die van belang kunnen zijn bij de uitvoering en de handhaving van de Wwft (artikel 43c, lid 1 sub t); gegevens en inlichtingen die van belang kunnen zijn voor de uitvoering van de betrouwbaarheidstoetsingen als bedoeld in artikel 14 van het Besluit Gedragstoezicht financiële ondernemingen worden bilateraal en niet via het FEC gedeeld.

• de politie: alleen in genoemde specifieke gevallen zoals bij samenwerkingsverbanden in het kader van de integrale toepassing en handhaving van overheidsregelingen effectief en efficiënt te laten verlopen voor zover een convenant is gesloten met deze bestuursorganen (artikel 43c, lid 1 sub m);

• politie: ten behoeve van internationale rechtshulp in het kader van de aanpak van grensoverschrijdende zware criminaliteit (artikel 43c, lid 1 sub e onder 2 en voor uitvoering van de Politiewet 2012. Er kan dus geen informatie worden verstrekt ten behoeve van de algemene politietaak;

• FIU: gegevens over mogelijke ongebruikelijke transacties ten behoeve van de handhaving en uitvoering van de Wwft.

Tripartiteoverleg met de FIOD en het OM

In een maandelijks overleg met de FIOD en het OM wordt afgestemd welke fiscale vergrijpen zich lenen voor het strafrecht. In de Aanmeldings-, Transactie-, en Vervolgingsrichtlijnen van fiscale delicten, douane- en toeslagendelicten (AAFD-richtlijnen) ¹⁸ zijn hierover nadere afspraken gemaakt.

FEC-partners en participanten

• Voor de FEC-partners (alle bestuursorganen) is er een uitzondering gemaakt op de geheimhoudingsplicht van fiscale gegevens, waaronder persoonsgegevens (art. 67 AWR jo. art. 43c, eerste lid, onder u, UR AWR). FEC-participanten kunnen zich voor bepaalde activiteiten aansluiten bij het FEC. Mitsdien worden zij onder de reikwijdte van art. 43c, eerste lid, onder u, UR AWR gebracht;

• De Belastingdienst kan informatie uitwisselen met alle partners en participanten van het FEC mits dit uiteraard past binnen de doelbinding van het FEC: het versterken van de integriteit van de financiële sector.

• Voor het project TF verstrekt de Belastingdienst desgevraagd een specifiek overeengekomen set informatie aan het OM die van belang kan zijn voor TF. Andere FEC-partners en Participanten ontvangen deze informatie niet. Slechts fiscale informatie die relevant is voor interventies en als gevolg daarvan is opgenomen in het analyserapport komt ter beschikking van de overige FEC-partners en participanten.

• Het kan voorkomen dat in het kader van FEC-TF door het OM incidenteel aanvullende informatie wordt gevraagd aan de Belastingdienst. Deze verzoeken worden door de Belastingdienst individueel getoetst of voldaan wordt aan de doelbinding van het project en of het verzoek proportioneel is. Ook hier geldt dat andere FEC-partners en participanten deze informatie of delen daarvan pas ontvangen indien en voor zover dat verwerkt wordt in de analyserapporten.

• Mocht de Belastingdienst bij haar toezichthoudende taken op signalen stuiten dat mogelijk sprake kan zijn van (betrokkenheid bij) terrorismefinanciering dan brengt de Belastingdienst deze signalen onder de aandacht van het OM.

3.3.4 Bevoegdheden ten aanzien van het FEC als samenwerkingsverband (en de FEC-eenheid)

FEC-samenwerkingsverband

Op grond van artikel 67 lid 2 AWR jo. 43c lid 1 onder u van de Uitvoeringsregeling AWR 1994 is de Belastingdienst bevoegd om op verzoek¹⁹ gegevens te verstrekken aan het FEC-samenwerkingsverband.

De geheimhoudingsplicht geldt niet voor verstrekking aan de genoemde bestuursorganen voor zover het betreft de hierna genoemde gegevens ten behoeve van de hierna genoemde publiekrechtelijke taak: ‘de participanten van het samenwerkingsverband zonder rechtspersoonlijkheid Financieel Expertise Centrum (FEC), genoemd in artikel 1 van het Convenant houdende afspraken over de samenwerking in het kader van het Financieel Expertise Centrum (Stcrt. 2009, 71 )’.

Het betreft gegevens die noodzakelijk zijn ter uitvoering van de in het Convenant FEC 2014 opgenomen verplichtingen. Om ook actief, dus niet slechts op verzoek, tot gegevensverstrekking in FEC-verband te kunnen overgaan wordt uitgegaan van een doorlopend verzoek vanuit het FEC om relevante informatie.

FEC-eenheid

Op grond van de artikelen 67 AWR en 43c, eerste lid, sub u van de Uitvoeringsregeling AWR 1994 kunnen aan de partners van het FEC-samenwerkingsverband de gegevens worden verstrekt die noodzakelijk zijn voor de in het convenant FEC 2014 opgenomen verplichtingen. In artikel 3 van het convenant FEC 2014 zijn de taken van het FEC beschreven. In artikel 5 van het convenant staat dat de door de FEC-partners bemande FEC-eenheid zorg draagt voor de in artikel 3 genoemde taken en daartoe voorziet in drie specifiek genoemde taken. Aangezien deze activiteiten mede het verzamelen, analyseren en verspreiden van informatie inhouden, is het, gelet op de omschrijving in artikel 43c, eerste lid onder u van de Uitvoeringsregeling AWR 1994, de Belastingdienst toegestaan de FEC-eenheid gegevens te verstrekken.

3.3.5 Bijzonderheden

Belastingdienst/Bureau Toezicht Wwft

Belastingdienst/Bureau Toezicht Wwft (hierna: het bureau) is een los van de fiscale processen gepositioneerde, en landelijk werkende eenheid die is aangewezen als één van de vier toezichthouders op de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft)²⁰. Het bureau houdt toezicht op domicilieverleners, op makelaars en taxateurs in onroerende zaken en op beroeps- of bedrijfsmatige verkopers van zaken van grote waarde (limitatief opgesomd: voertuigen, schepen, kunstvoorwerpen, antiquiteiten, edelstenen, edele metalen, sieraden en juwelen). Aan de ingevolge de Wwft door het bureau ontvangen gegevens en inlichtingen mag geen verdere bekendheid worden gegeven dan voor de uitoefening van haar taak of door deze wet wordt vereist (artikel 22 Wwft).

Concreet betekent dit dat het bureau:

• 1. Aanwijzingen van witwassen kan melden aan FIU-Nederland (artikel 25 van de Wwft).

• 2. Gegevens of inlichtingen kan verstrekken aan de andere Wwft toezichthouders DNB, AFM en Bureau Financieel Toezicht (BFT) (artikel 22 lid 2) tenzij een van de in artikel 22 lid 2 Wwft genoemde uitzonderingen toepassing vindt.

• 3. Gegevens en inlichtingen kunnen niet worden gedeeld met FEC-partners die niet zijn aangewezen als toezichthouder voor de Wwft, tenzij dit noodzakelijk is voor de taakuitoefening van de Wwft-toezichthouder zelf.

3.4 Bevoegdheden en verplichtingen van de politie en de Fiscale Inlichtingen- en Opsporingsdienst (FIOD)

Deze twee opsporingsdiensten vallen allebei onder het regime van de Wet politiegegevens (Wpg). Daarom worden ze hier samen behandeld. Er zijn wel enkele verschillen.

3.4.1 Taken

De politie

De politie heeft op grond van artikel 3 van de Politiewet 2012 tot taak in ondergeschiktheid aan het bevoegde gezag en in overeenstemming met de geldende rechtsregels te zorgen voor daadwerkelijke handhaving van de rechtsorde en het verlenen van hulp aan hen die deze behoeven.

De verwerkingsverantwoordelijke voor de verwerking van politiegegevens door de politie is de korpschef, als bedoeld in artikel 1 onderdeel f Wpg.

De FIOD

Op grond van artikel 3 van de Wet op de bijzondere opsporingsdiensten (Wet op de BOD-en) is de FIOD onder gezag van de officier van justitie belast met:

• a. de strafrechtelijke handhaving van de rechtsorde op de beleidsterreinen waarvoor de Minister van Financiën verantwoordelijkheid draagt;

• b. de strafrechtelijke handhaving van de rechtsorde op een beleidsterrein waarvoor een andere Minister dan de onder a. bedoelde, verantwoordelijkheid draagt en die door die Minister in overeenstemming met de Minister van Financiën en de Minister van Justitie en Veiligheid aan de FIOD zijn opgedragen;

• c. opsporingshandelingen in verband met strafbare feiten die zijn geconstateerd in het kader van de taakuitoefening onder a. en b., en die met die taakuitoefening verband houden;

• d. het opsporen van andere strafbare feiten, indien de FIOD daarmee is belast door de officier van justitie.

Uit de Nota van toelichting behorend bij het Bpg BOD valt op te maken dat de politietaak voor de FIOD als bijzondere opsporingsdienst, moet worden opgevat als de wettelijke taak zoals genoemd in art. 3 Wet op de BOD-en. Hiermee vallen dus de in dit kader verwerkte gegevens onder de reikwijdte van de Wpg. Wanneer de FIOD persoonsgegevens verwerkt ten behoeve van een andere dan de politietaak, vindt de verwerking van persoonsgegevens plaats onder de reikwijdte van de AVG.

Hierbij valt bijvoorbeeld te denken aan de werkzaamheden in verband met de uitvoering van EG Verordening 1798, de intermediaire rol in het opvragen van tenaamstelling van bankrekeningnummers (conform afspraken tussen het Ministerie van Financiën en de Nederlandse Vereniging van Banken), of de activiteiten in het kader van de Herziening toezicht rechtspersonen.

Wanneer de FIOD persoonsgegevens die initieel afkomstig zijn van een toezichthouder verwerkt, worden deze gegevens aangeduid als politiegegevens over toezicht, zie art. 1 onder f Bpg BOD. De verantwoordelijkheid voor de verwerking van politiegegevens door de FIOD ligt bij de Minister van Financiën. De Minister heeft een mandaat aan de directeur van de FIOD verleend²¹.

3.4.2 Bevoegdheden in verband met het verstrekken van gegevens

Wet politiegegevens (Wpg)

De verwerking van persoonsgegevens in het kader van de politietaak valt onder het regime van de Wpg. Sinds de inwerkingtreding van het Bpg BOD op 17 juli 2009²² is de Wpg grotendeels ook van toepassing op de FIOD²³.

De Minister van Justitie en Veiligheid en de Minister van Financiën zijn zoals reeds aangegeven aangewezen als verantwoordelijke voor de verwerking van politiegegevens. Politiegegevens mogen voor de genoemde doeleinden uitsluitend worden verwerkt door degenen die daartoe door de verantwoordelijke zijn geautoriseerd.

De Wpg regelt in de artikelen 16 t/m 20 verstrekkingen aan derden voor onder andere de volgende doeleinden:

• Het voorkomen en opsporen van strafbare feiten.

• Het handhaven van de openbare orde.

• Het uitoefenen van toezicht op het naleven van regelgeving.

Daarbij dient sprake te zijn van een zwaarwegend algemeen belang. In geval van het FEC kan van een dergelijk zwaarwegend belang worden gesproken.

Soort gegevens van de politie en de FIOD

De wet maakt onderscheid tussen het verwerken van gegevens op grond van artikel 8 (uitvoering van de dagelijkse politietaak), artikel 9 (onderzoek in verband met de handhaving van de rechtsorde in een bepaald geval), artikel 10 (inzicht in de betrokkenheid van personen bij bepaalde ernstige bedreigingen van de rechtsorde) en artikel13 (ondersteunende taken).

Met de mogelijkheid tot het verstrekken van politiegegevens wordt een zwaarwegend algemeen belang gediend. Het criterium van het zwaarwegend algemeen belang, gekoppeld aan het vereiste van de noodzaak tot de verstrekking van gegevens noopt tot een zorgvuldige afweging van de gevallen waarin de verstrekking aan derden aan de orde kan zijn. Dit betreft in ieder geval de situatie waarin een beslissing moet worden genomen over de wijze van handhaving en wanneer dat nodig is ten behoeve van de uitvoering van wetgeving.

3.4.3 Bevoegdheden ten aanzien van de afzonderlijke FEC-partners

Gegevensuitwisseling binnen de politie, binnen het Wpg-domein

Politiegegevens mogen voor de genoemde doeleinden uitsluitend worden verwerkt door degenen die daartoe door de verantwoordelijke zijn geautoriseerd. Deze autorisatie is altijd verbonden aan de taak van de geautoriseerde persoon.

Zo voorziet de Wpg in een gesloten kring van geautoriseerde personen waarbinnen politiegegevens ten behoeve van de uitvoering van de politietaak mogen worden verstrekt. Zo’n interne verstrekking wordt door de wetgever ‘ter beschikking stellen’ genoemd.

Bijzondere weigeringsgrond voor de FIOD-gegevens richting politie

Vanwege de intensieve relatie en daarmee ook een grote stroom van informatie tussen de FIOD en de Belastingdienst is in artikel 4 van het Bpg BOD een weigeringsgrond opgenomen die stelt dat wanneer het noodzakelijk is voor de goede uitvoering van de taak, i.c. artikel 3, Wet op de BOD-en, het beschikbaar stellen van gegevens over toezicht aan ambtenaren van politie kan worden geweigerd of dat daar voorwaarden aan worden gesteld.

Gegevens van de politie naar de FIOD

De politie kan op grond van artikel 15 Wpg politiegegevens delen met de FIOD. Het gaat dan om gegevens die de FIOD nodig heeft voor de uitvoering van zijn taak.

Openbaar Ministerie (OM)

Vanwege de gezagsrelatie en de zeggenschap over de politie of andere personen of instanties die met de opsporing van strafbare feiten zijn belast moeten op grond van artikel 16, lid 1 onder c, onder 1 Wpg politiegegevens worden verstrekt aan de leden van het OM. Dat geldt ook voor de uitvoering van andere aan hen bij wet opgedragen taken.

Bovendien kunnen ten behoeve van de adviestaak van het OM artikel 8, 9, 10 (eerste lid, onderdelen a en c) en 13 Wpg politiegegevens aan het OM worden verstrekt ter doorverstrekking aan de Minister van Financiën, DNB en de AFM. Dit is bepaald in artikel 4:3, lid 2 Bpg

DNB en AFM

Op grond van artikel 4:3 Bpg mogen alleen ten behoeve van de betrouwbaarheidtoets, en ter beoordeling van de integere bedrijfsvoering door tussenkomst van het OM²⁴ artikel 8, 9, 10 (eerste lid, onderdelen a en c) en 13-Wpg politiegegevens aan toezichthouders worden verstrekt. De politiegegevens worden eerst ter beschikking gesteld aan het OM die ze vervolgens na toetsing en eventueel aangevuld met strafvorderlijke gegevens doorverstrekt aan de toezichthouders. Het is niet mogelijk om op basis van dit artikel voor andere toezichtdoeleinden gegevens te verstrekken.

Andere mogelijkheden om politiegegevens voor andere toezichtdoeleinden te verstrekken zijn via de incidentele verstrekking op grond van artikel 19 Wpg. Dit betreft verstrekkingen in individuele gevallen waarin de beslissing wordt genomen door de verantwoordelijke in overeenstemming met het bevoegd gezag, dan wel op grond van artikel 20 (structurele verstrekking) waarvoor ook de instemming van het bevoegd gezag nodig is.

In structurele gevallen kunnen ten behoeve van een samenwerkingsverband eveneens politiegegevens aan derden worden verstrekt ten behoeve van het houden van toezicht. De grondslag daarvoor vormt artikel 20 Wpg. De voorwaarden zijn dezelfde als die voor verstrekking op voet van artikel 19. Daarbij dient het samenwerkingsverband haar doelen, het zwaarwegend algemeen dat de verstrekking noodzakelijk maakt, de soorten te verstrekken gegevens en de aan de verstrekking verbonden voorwaarden schriftelijk in de beslissing vast te leggen. Het samenwerkingsverband op zich wordt vooraf en separaat vastgelegd in een convenant; in casu het convenant FEC 2014. In dit verband kunnen artikel 8- en 13-politiegegevens worden verstrekt. Alleen indien dit voor de taakuitvoering van de politie zelf dringend noodzakelijk is, kunnen ook artikel 9- en 10-politiegegevens worden verstrekt. Daarbij is overleg met de bevoegd functionaris – en feitelijk ook het bevoegd gezag – vereist (artikel 4:5 Bpg).

Verstrekking ten behoeve van toezicht en uitvoering door de FIOD

De FIOD kan op grond van artikel 6, lid 1 Bpg BOD bepaalde gegevens verstrekken aan een bestuursorgaan dat, of aan personen die bij of krachtens wetgeving is of zijn belast met het houden van toezicht op de naleving dan wel de uitvoering van wetgeving op het beleidsterrein van de verantwoordelijke (Minister van Financiën), voor zover dat noodzakelijk is voor de goede uitvoering van zijn of hun taak.

Dit houdt in dat er gegevens verstrekt kunnen worden aan Belastingdienst/Belastingen, Douane, Toeslagen en DNB en de AFM. In bijzondere gevallen kunnen de gegevens, na instemming van de officier van justitie worden verstrekt aan een bestuursorgaan of personen belast met toezicht of uitvoering op het beleidsterrein van een andere verantwoordelijke, voor zover dat noodzakelijk is voor een goede uitvoering van zijn of hun taak (artikel 6, lid 2 Bpg BOD).

Deze andere verantwoordelijken in de zin van het Bpg BOD zijn de Ministers van Infrastructuur en Milieu, Economische Zaken, Landbouw en Innovatie en de Minister van Sociale Zaken en Werkgelegenheid. De politiegegevens die kunnen worden verstrekt zijn de gegevens als bedoeld in artikel 8, 9, en 13 Wpg. Wanneer het gaat om artikel 9 Wpg politiegegevens is instemming van de bevoegde functionaris²⁵ nodig. Daarnaast geldt dat het OM bij de beslissing moet worden betrokken in verband met het gezag over de opsporing.

Belastingdienst

Zoals hierboven aangegeven kan de FIOD op grond van artikel 6, lid 1 Bpg BOD, gegevens verstrekken aan een bestuursorgaan dat, of aan personen die bij of krachtens wetgeving is of zijn belast met het houden van toezicht op de naleving dan wel de uitvoering van wetgeving op het beleidsterrein van de verantwoordelijke (Minister van Financiën), voor zover dat noodzakelijk is voor de goede uitvoering van zijn of hun taak. Dit houdt in dat er gegevens verstrekt kunnen worden aan de Belastingdienst. Dit is een spontane verstrekking. Op grond van artikel 55 AWR kan de Belastingdienst informatie verzoeken aan de FIOD.

De politie kan alleen politiegegevens, verwerkt op grond van de artikelen 8 en 13, eerste lid, verstrekken aan de Belastingdienst ten behoeve van de inschatting van veiligheidsrisico’s met betrekking tot het uitvoeren van toezicht (artikel 4:2 onder 3 Bpg). Daarnaast kan de politie overgaan tot een incidentele verstrekking aan de Belastingdienst op grond van artikel 19 Wpg. Een verplichting bestaat ten aanzien van het verstrekken van politiegegevens aan buitengewone opsporingsambtenaren als bedoeld in artikel 142 WvSv, voor zover zij deze nodig hebben voor de opsporing van strafbare feiten bij het onderzoek waarbij zij zijn betrokken (artikel 16, eerste lid, onderdeel b).

De Belastingdienst heeft de mogelijkheid om op grond van artikel 55 AWR andere overheidsinstanties om inlichtingen te vragen. Voor wat betreft de toepassing van deze bevoegdheid ten opzichte van de politie bestaat wel een verschil van opvatting; wat weer gevolgen heeft voor de uitvoeringspraktijk. De voormalige Raad van Korpschefs²⁶ i.o. is samen met de Directie Wetgeving van het Ministerie van JenV en de AP van oordeel dat Wpg een lex-specialis-verhouding heeft met de AWR²⁷. De Staatssecretaris van Financiën²⁸ en de Raad van State²⁹ zijn een andere mening toegedaan. Zolang hierover geen onherroepelijk rechterlijk oordeel is geveld, zal met dit verschil in opvatting rekening gehouden moeten worden.

FIU-Nederland

De Politie en FIOD kunnen sturingsinformatie bij de FIU-Nederland neerleggen om eventueel te toetsen aan de OT data om het belang voor het voorkomen en opsporen van misdrijven te duiden. Ook kan FIOD informatie deel uitmaken van een melding van de Belastingdienst, die een meldrecht heeft.

Een ongebruikelijke transactie kan een indicatie zijn voor witwassen of terrorisme financiering. Gemelde ongebruikelijke transacties worden vervolgens door de FIU-Nederland onderzocht en kunnen naar aanleiding van de uitkomsten van dat onderzoek als verdacht gekwalificeerd worden. De ongebruikelijke transacties die verdacht zijn verklaard (zijnde de verdachte transacties) vallen onder het regime van het Besluit politie gegevens (Bpg) en kunnen (binnen de vastgelegde autorisaties) worden gedeeld met politie en FIOD.

FEC-participanten

De FIOD mag, na het opstellen van een nieuw ‘artikel 20 Wpg besluit’ informatie verstrekken aan de FEC-participanten op het gebied van bestrijding van terrorismefinanciering, mits de FEC-participanten deel uitmaken van het FEC-samenwerkingsverband en zij de informatie nodig hebben voor de uitvoering van hun taak.

• Ten behoeve van het FEC samenwerkingsverband is door de FIOD een artikel 20 Wpg besluit opgemaakt. Verstrekking aan de FEC partners vindt plaats op grond van artikel 20 Wpg.

• Middels het addendum ontstaat een uitbreiding van het samenwerkingsverband. De verantwoordelijke voor de verwerking van politiegegevens moet hiervoor een nieuw besluit ex artikel 20 Wpg opstellen om in het kader van de bestrijding van terrorisme financiering gegevens aan de leden van het samenwerkingsverband te kunnen verstrekken op grond van het in artikel 20 Wpg en artikel 4:5, tweede lid, Bpg gestelde;

• Het bevoegd gezag (Openbaar Ministerie) dient in te stemmen met dit artikel 20 Wpg besluit;

• De FIOD mag informatie verstrekken aan de FEC-participanten die deel uit maken van het FEC-samenwerkingsverband op het gebied van bestrijding van terrorismefinanciering, mits dit past binnen de doelstelling van het FEC en binnen de doelstelling van het project en de participanten de gegevens nodig hebben voor de uitvoering van hun taak.

De politie mag na het opstellen van een nieuw ‘artikel 20 Wpg besluit’ informatie verstrekken aan de FEC-participanten binnen de FEC-samenwerking op het gebied van bestrijding van terrorismefinanciering, mits de participanten deel uitmaken van het FEC-samenwerkingsverband.

• De KMar valt onder het regime van de Wet politiegegevens (Wpg), waardoor het in beginsel de bedoeling is zoveel mogelijk gegevens met elkaar te delen (ter beschikking te stellen);

• Op grond van verschillende artikelen in het Bpg kunnen gegevens aan de IND worden verstrekt. Geen van de artikelen heeft echter raakvlakken met FEC-TF;

• Belastingdienst/Toeslagen, Belastingdienst/Douane en IND: In de Wpg / het Bpg zijn geen afzonderlijke bepalingen opgenomen voor Belastingdienst/Toeslagen, de Belastingdienst/Douane en de IND. De verstrekkingsmogelijkheden komen dan ook vrijwel overeen met die aan de Belastingdienst;

• Door een aanvulling van de Regeling tot het aanwijzen van wetgeving, genoemd in artikel 4:2, tweede lid, Bpg kunnen gegevens aan de Belastingdienst/Douane worden verstrekt die overeenkomstig de artikelen 8 en 13, eerste lid, worden verwerkt. De verstrekking geschiedt aan die ambtenaren van de Belastingdienst/Douane die bij of krachtens de wet zijn belast met het houden van toezicht op de naleving van de Algemene douanewet. In de Wpg is geen grond opgenomen voor het verstrekken van politiegegevens aan de Belastingdienst, behoudens de uitzondering op de bejegeningsgegevens als beschreven in artikel 4:2, derde lid BpG en de Nota van Toelichting;

• De verstrekking van informatie van de politie aan de afzonderlijke FEC-participanten is voor een aantal FEC-participanten niet expliciet beschreven in de Wpg / het Bpg. Middels het addendum ontstaat een nieuw samenwerkingsverband. De verantwoordelijke voor de verwerking van politiegegevens moet hiervoor een nieuw besluit ex artikel 20 Wpg opstellen om gegevens aan de leden van het samenwerkingsverband te kunnen verstrekken op grond van het in artikel 20 Wpg en artikel 4:5, tweede lid, Bpg gestelde. Dat betekent dan ook dat gegevens aan de IND, en de Belastingdienst/Douane en de Belastingdienst/Toeslagen kunnen worden verstrekt voor het doel van het samenwerkingsverband.

3.4.4 Bevoegdheden ten aanzien van het FEC als samenwerkingsverband

Structurele verstrekking aan een samenwerkingsverband

Artikel 20 Wpg jo. artikel 4:5 Bpg geeft de verantwoordelijke de mogelijkheid om onder bepaalde voorwaarden structureel politiegegevens te verstrekken aan een samenwerkingsverband. Op grond van artikel 20 Wpg moet door de verantwoordelijke een beslissing worden opgesteld die mede wordt ondertekend of waarmee is ingestemd door het bevoegde gezag.

Het bevoegde gezag is volgens de systematiek van de Wpg voor de politie de betreffende hoofdofficier van justitie en voor de FIOD is dat in de meeste gevallen de hoofdofficier van het Functioneel Parket³⁰.

Voor een optimale aansluiting op het FEC is er met instemming van de bevoegde gezagen een beslissing conform artikel 20 Wpg opgesteld door de politie en de FIOD.

In de artikel 20-Wpg beslissingen is opgenomen dat in specifieke gevallen conform bestaande afspraken afstemming plaatsvindt met het OM³¹. Deze afspraken zijn neergelegd in de Aanwijzing Wet politiegegevens van het College van Procureurs-Generaal³².

Artikel 20 Wpg (verstrekking aan derden structureel voor samenwerkingsverbanden) luidt als volgt:

• 1. De verantwoordelijke kan, voor zover dit met het oog op een zwaarwegend algemeen belang noodzakelijk is ten behoeve van een samenwerkingsverband van de politie met personen of instanties, in overeenstemming met het op grond van de Politiewet 2012 bevoegd gezag, beslissen tot het verstrekken van politiegegevens aan die personen en instanties voor de volgende doeleinden: het voorkomen en opsporen van strafbare feiten;

  • a. het handhaven van de openbare orde;

  • b. het verlenen van hulp aan hen die deze behoeven;

  • c. het uitoefenen van toezicht op het naleven van regelgeving.

• 2. In de beslissing, bedoeld in het eerste lid, wordt vastgelegd ten behoeve van welk zwaarwegend algemeen belang de verstrekking noodzakelijk is, ten behoeve van welk samenwerkingsverband de politiegegevens worden verstrekt, alsmede het doel waartoe dit is opgericht, welke gegevens worden verstrekt, de voorwaarden onder welke de gegevens worden verstrekt en aan welke personen of instanties de gegevens worden verstrekt.

De geheimhoudingsbepaling van artikel 7 Wpg

Met betrekking tot de politiegegevens doet zich een bijzondere situatie voor die van belang is voor de gegevensverwerking binnen het FEC. In artikel 7 van de Wpg is bepaald dat de geheimhoudingsplicht blijft rusten op de politiegegevens, ook wanneer deze zijn verstrekt aan instanties buiten de organisatie van de politie. De geheimhoudingsplicht geldt niet alleen voor personen die belast zijn met de verwerking van politiegegevens of die de gegevens direct van de politie hebben verkregen, onder andere de medewerkers van de FEC-eenheid. Deze bepaling geldt ook voor de eventuele tweede en volgende ontvangers, die de gegevens ‘doorverstrekt’ hebben gekregen.

Het tweede lid van artikel 7 Wpg creëert weer een uitzondering op de geheimhoudingsplicht voor de ontvanger van de gegevens in het FEC als samenwerkingsverband. Als bij of krachtens wettelijk voorschrift een verplichting geldt of als uit ‘zijn taak’ de noodzaak daartoe voortvloeit, dan is het mogelijk om de politiegegevens verder te verstrekken. Met ‘zijn taak’ wordt bedoeld de taak van het FEC.

3.4.5 Bijzonderheden

Gegevens als bedoeld in artikel 9 lid 3 en 4 Wpg (meervoudig bruikbare gegevens)

Een belangrijk onderwerp is het delen van wat voorheen heette rest- of herbruikbare informatie. Restinformatie is geen wettelijke term en is sinds de invoering van de Wpg ook achterhaald. Eigenlijk wordt hier thans mee bedoeld: gegevens ten aanzien waarvan er geen ofwel niet langer bezwaren bestaan om deze voor de andere doeleinden van de Wpg ter beschikking te stellen, voor zover dat noodzakelijk is voor die doelen. Met dit doelafwijkend verwerken hoeft niet meer – zoals met de tijdelijke registers – gewacht te worden tot het moment van opheffing van het register. Dit kan nu al vanaf het moment dat de artikel 9-verwerking is ingesteld, mits aan de voorwaarden wordt voldaan en de bevoegd functionaris instemt. Bovendien geldt hier artikel 126dd Wetboek van Strafvordering.

Wet Mevis³³

Als er gegevens opgevraagd worden door de politie binnen het FEC, kan de politie deze gegevens niet zonder meer gebruiken in een opsporingsonderzoek: deze gegevens moeten middels een vordering ex. artikel 126nd Sv worden geformaliseerd bij de verstrekkende dienst. Dit volgt uit een uitspraak van de rechtbank Utrecht op 26 augustus 2011 waaruit blijkt dat de regels van het Wetboek van Strafvordering altijd blijven gelden, ook al is er een convenant afgesloten. De uitspraak refereert aan de wet 'Mevis': indien er sprake is van een strafrechtelijk onderzoek moet op grond van de wet 'Mevis' op basis van formele vorderingen informatieverstrekking plaatsvinden. Vrijwillige gegevensverstrekking is dan niet voldoende.

Verstrekking vanuit Wpg (politie en FIOD) of Wjsg (OM)

In de Aanwijzing Wet politiegegevens³⁴ en de Aanwijzing Wet justitiële en strafvorderlijke gegevens (Aanwijzing Wjsg)³⁵ wordt aangegeven op welke wijze afstemming over gegevensverstrekking aan derden plaatsvindt en wanneer de verantwoordelijkheid voor bepaalde informatie overgaat van een (bijzondere) opsporingsdienst naar het OM. Dit is het moment waarop het eindproces-verbaal wordt ingediend bij het OM. Vóór dit moment is het OM alleen bij een voorgenomen verstrekking van politiegegevens betrokken om de strafvorderlijke belangen te beoordelen. Na het indienen van het eindproces-verbaal beoordeelt het OM naast de strafvorderlijke belangen tevens de privacybelangen. Voorgaande en de vereisten van de artikelen 19 en 20 Wpg brengen mee dat afstemming tussen politie, FIOD en het OM nodig is voordat politiegegevens ten behoeve van het FEC als samenwerkingsverband verstrekt kunnen worden.

3.5 Bevoegdheden en verplichtingen Openbaar Ministerie (OM)

3.5.1 Taken

Het OM is belast met de strafrechtelijke handhaving van de rechtsorde. Het OM heeft het gezag over de opsporing van strafbare feiten en is verantwoordelijk voor het vervolgen daarvan, alsmede voor de tenuitvoerlegging van de opgelegde straffen (art. 124 Wet op de Rechterlijke Organisatie).

3.5.2 Bevoegdheden in verband met het verstrekken van gegevens

Het Openbaar Ministerie heeft de verantwoordelijkheid om een effectieve bijdrage te leveren aan een rechtvaardige en veilige samenleving. Het verstrekken van strafvorderlijke informatie aan anderen – binnen de geldende wettelijke kaders – kan daartoe een belangrijke bijdrage leveren. De verstrekking van gegevens van het OM aan de afzonderlijke partners binnen het FEC is mogelijk op grond van artikel 8a, artikel 39b, 39e en artikel 39f van de Wet justitiële en strafvorderlijke gegevens (Wjsg). Er bestaat doorgaans geen verplichting om aan derden strafvorderlijke gegevens te verstrekken, maar de WJSG schept wel de bevoegdheid daartoe. Voor het verstrekken van strafvorderlijke gegevens zijn middels aanwijzingen en instructies van het College van Procureurs-Generaal een aantal uitgangspunten opgesteld.

Het Openbaar Ministerie kan zowel actief (op eigen initiatief) als passief (op verzoek) informatie verstrekken voor buiten de strafrechtspleging gelegen doeleinden. Alvorens tot verstrekking wordt overgegaan wordt steeds een afweging gemaakt van het belang dat de ontvanger heeft bij het verkrijgen van de informatie ten opzichte van de belangen van opsporing en vervolging en het belang van de bescherming van de persoonlijke levenssfeer van de betrokkene(n). Bij deze belangenafweging dienen de beginselen van noodzakelijkheid, subsidiariteit en proportionaliteit te worden betrokken.

Artikel 39f Wjsg geeft verschillende grondslagen op grond waarvan informatie kan worden verstrekt. Deze grondslagen zijn:

• het voorkomen en opsporen van strafbare feiten;

• het handhaven van de orde en veiligheid;

• het uitoefenen van toezicht op naleving van regelgeving;

• het nemen van een bestuursrechtelijke beslissing;

• het beoordelen van de noodzaak tot het treffen van een rechtspositionele of tuchtrechtelijke maatregel;

• het verlenen van hulp aan slachtoffers en anderen die bij een strafbaar feit betrokken zijn.

Er is op grond van artikel 39g Wjsg slechts één uitzondering ten aanzien van bovenstaande grondslagen mogelijk en dat betreft bijzondere gevallen waarbij de Minister van Justitie en Veiligheid voor een bijzonder doel tot verstrekking overgaat.

Artikel 39b Wjsg spreekt over verstrekking van gegevens die noodzakelijk zijn voor de goede vervulling van een publiekrechtelijke taak van het OM (artikel 39b Wjsg). Dit sluit aan bij de taak van de officier van Justitie zoals bedoeld in artikel 124 Wet RO.

Voor de vraag of het OM informatie kan verstrekken wordt vervolgens de algemene beoordelingsstructuur gevolgd. Daarin komen onder andere de volgende vragen aan de orde:

• Is de verstrekking nodig voor een goede taakvervulling van het OM?

• Is de verstrekking noodzakelijk met het oog op een zwaarwegend algemeen belang?

• Is het doel in lid 1 van artikel 39f Wjsg genoemd?

• Is de ontvangen informatie noodzakelijk voor de ontvangers met het oog op een zwaarwegend algemeen belang?

• Is er sprake van een contra-indicatie³⁶?

Zwaarwegend algemeen belang

In de Memorie van Toelichting³⁷ bij artikel 39f Wjsg staat dat gelet op artikel 8, lid 2 EVRM, onder zwaarwegend algemeen belang moet worden verstaan³⁸:

• Het belang van de nationale veiligheid;

• De openbare veiligheid of het economisch welzijn van het land;

• Het voorkomen van wanordelijkheden en strafbare feiten;

• De bescherming van de gezondheid of de goede zeden; of

• De bescherming van rechten en vrijheden van anderen.

In de jurisprudentie worden aanvullende criteria genoemd. De verstrekking moet legitiem, noodzakelijk en voorzienbaar zijn.

De Aanwijzing Wet justitiële en strafvorderlijke gegevens

Het College van procureurs-generaal heeft een Aanwijzing Wjsg opgesteld. Deze aanwijzing is gepubliceerd³⁹. Dat er een rechtsgeldige werking van deze Aanwijzing uitgaat blijkt onder andere uit een uitspraak van de Nationale Ombudsman.⁴⁰

Contra-indicaties

Bij een contra-indicatie wordt in beginsel geen informatie verstrekt. Wanneer het OM in een dergelijk geval toch tot verstrekking wil overgaan wordt, conform de Aanwijzing Wjsg, de beslissing door de helpdesk privacy van het Parket Generaal genomen. Verder wordt de betrokkene (degene op wie de informatie betrekking heeft) gehoord tenzij zwaarwichtige redenen (zoals grote spoed) zich daartegen verzetten.

De volgende omstandigheden worden in ieder geval aangemerkt als contra-indicaties:

• sepot (tenzij de aard van de sepotcode zich niet tegen verstrekking verzet, bijvoorbeeld ander dan strafrechtelijk ingrijpen prevaleert);

• vrijspraak;

• zaak is nog niet beoordeeld;

• ontvanger is niet benoemd in de aanwijzing.

Uitzondering op het beginsel niet verstrekken bij sepot of vrijspraak

Er bestaan drie uitzonderingen op het beginsel ‘niet verstrekken bij sepot of vrijspraak’.

• 1. Het handelen dat is vastgelegd in een strafdossier past niet binnen een integere uitoefening van een overheidsfunctie;

• 2. Het verstrekken van informatie maakt het treffen van noodzakelijke organisatorische maatregelen door onderdelen van de (Rijks)overheid mogelijk;

• 3. Door middel van het verstrekken van informatie kan ernstig en acuut gevaar worden afgewend.

Moment van verstrekking

Het OM mag doorgaans pas tot verstrekking overgaan wanneer er sprake is van een veroordeling door de rechter. Indien het OM eerder tot verstrekking wenst over te gaan moet sprake zijn van een dringende noodzaak. De officier van justitie moet de zaak (marginaal) hebben beoordeeld en het moet in de lijn der verwachting liggen dat tot vervolging zal worden overgegaan. Het moment waarop verstrekking door het OM mogelijk is en het moment waarop de FEC-partner de bepaalde informatie graag wil ontvangen zorgt wel eens voor wrijving. Ieder heeft immers zijn eigen belangenafweging. In voorkomende gevallen overlegt de regisseur⁴¹ met de desbetreffende FEC-partners. Zo nodig wordt een FEC-raad belegd.

3.5.3 Bevoegdheden ten aanzien van de afzonderlijke FEC-partners

Politie en FIOD

De politie en de FIOD, of meer specifiek ambtenaren als bedoeld in de artikelen 141 en 142 Wetboek van Strafvordering, mogen strafvorderlijke gegevens ontvangen ten behoeve van het voorkomen en opsporen van strafbare feiten. Daarnaast mogen aan politieambtenaren als bedoeld in artikel 2 van de Politiewet 2012 strafvorderlijke gegevens worden verstrekt voor het handhaven van de openbare orde en de veiligheid. Zie artikel 39^e lid 1 onder d, e en f.

DNB, AFM en de Belastingdienst

Ten behoeve van het uitoefenen van toezicht op het naleven van regelgeving kunnen conform artikel 39f Wjsg strafvorderlijke gegevens worden verstrekt aan bestuursorganen waaronder DNB, de AFM en de Belastingdienst en overige toezichthouders als bedoeld in artikel 5:11 Awb. Bovendien geldt voor het OM op grond van artikel 55 AWR een verplichting om informatie te verstrekken aan de Belastingdienst.⁴²

In artikel 55 AWR is opgenomen dat bestuursorganen de inspecteur desgevraagd, ter uitvoering van de belastingwet, kosteloos en mondeling, schriftelijk of op andere wijze gegevens en inlichtingen verschaft. Het OM ziet een verzoek conform 55 AWR als een verplichte verstrekking. De lex-specialisverhouding met de Wjsg is in (lagere) jurisprudentie erkend⁴³ en heeft zijn weerslag gekregen in de Aanwijzing Wjsg van het College van Procureurs-Generaal.

Tripartiteoverleg met DNB en de AFM

De financiële toezichthouders, de FIOD en het OM hebben maandelijks casusoverleg over het te volgen handhavingstraject. Deze verplichte afstemming in verband met het una via-beginsel is gebaseerd op een convenant⁴⁴. In het convenant wordt aangegeven dat alleen conform de van toepassing zijnde wet- en regelgeving informatie mag worden uitgewisseld. De afspraak is dat men elkaar informeert zodra men op de hoogte raakt van feiten of omstandigheden dat een bepaalde toezichtwet is overtreden.

Tripartiteoverleg met de Belastingdienst

Net zoals bij de financiële toezichthouders bestaat er ook een maandelijks casusoverleg met de Belastingdienst en de FIOD. In de AADF-richtlijnen⁴⁵ zijn hierover nadere afspraken gemaakt. Ook hier is de afspraak dat men elkaar zo snel mogelijk informeert.

FIU-Nederland

De input van de FIU-Nederland bestaat uit meldingen van ongebruikelijke transacties die te maken (kunnen) hebben met witwassen of terrorismefinanciering. Het OM kan op basis van artikel 39f Wjsg beoordelen of het OM gegevens kan verstrekken: voor zover dit noodzakelijk is met het oog op een zwaarwegend algemeen belang kan het College van PG aan personen of instanties voor het voorkomen en opsporen van strafbare feiten strafvorderlijke gegevens verstrekken. De output van FIU-Nederland, het verdacht verklaren van transacties en deze beschikbaar stellen aan de opsporingsautoriteiten, dient een breder doel, te weten misdaadbestrijding, preventief of repressief (art. 13 onder a Wwft).

FEC-participanten

Het OM mag informatie verstrekken aan de FEC-participanten binnen de FEC- samenwerking op het gebied van bestrijding van TF nadat de privacy helpdesk het Addendum en onderliggende documenten heeft goedgekeurd. Voordat informatie wordt verstrekt wordt de algemene beoordelingsstructuur gevolgd.

3.5.4 Bevoegdheden ten aanzien van het FEC als samenwerkingsverband

Geheimhoudingsbepaling artikel 52 Wjsg

Artikel 52 van de Wjsg bepaalt dat een ieder die op grond van de Wjsg de beschikking krijgt over gegevens met betrekking tot een derde, verplicht is tot geheimhouding van die gegevens. Uitzondering op de geheimhoudingsplicht is mogelijk voor zover een bij of krachtens de Wjsg gegeven voorschrift dit toelaat of de uitvoering van de taak, met het oog waarop de gegevens zijn verstrekt, het ter kennis brengen daarvan toestaat.

Projectmatige aanpak

De privacyfunctionarissen van de deelnemende OM-onderdelen beoordelen desgevraagd of strafvorderlijke gegevens voor projectmatige aanpak kunnen worden ingebracht. Dit kan onder andere wanneer er weinig tot geen gevaar voor strafvorderlijke belangen te duchten valt. Voorwaarde is dat de officier van justitie instemt met het een verstrekking ten behoeve van het FEC-project. Ook kan de officier nadere voorwaarden stellen aan de wijze waarop de verstrekking en de verdere verwerking binnen het project plaatsvindt. Bijvoorbeeld analyse in een dataroom, verbod op het maken van kopieën en vertaling in een anonieme rapportage. Deze afspraken worden schriftelijk vastgelegd.

Verstrekking van justitiële gegevens

De AP heeft op verzoek van het College van procureurs-generaal in 2003 een advies uitgebracht over het verstrekken van justitiële gegevens door het OM aan samenwerkingsverbanden. Het OM mag justitiële gegevens aan samenwerkingsverbanden verstrekken. Het OM mag echter niet als doorgeefluik fungeren maar moet steeds een concrete afweging maken. Naar aard en omvang dient de verstrekking functioneel te zijn. Ook dienen er, met name ten aanzien van het verder gebruik door FEC-partners, toereikende maatregelen te worden getroffen. Deze zouden in de beoogde situatie ten dele uit de Wjsg en AVG in onderling verband voortvloeien. Vanuit deze benadering doet niet ter zake of het gaat om historische strafrechtelijke gegevens of gegevens die afkomstig zijn uit lopende strafzaken.

Verstrekking van vonnissen

De informatie die een Strafrechtelijke uitspraak bevat, is WJSG informatie. Op gerechtelijke strafgegevens die worden verwerkt door de gerechten is primair het regime van de WJSG van toepassing en zijn de gerechten aangemerkt als verwerkingsverantwoordelijke. Een strafvonnis of arrest valt echter (tevens) onder de bepaling van artikel 365 Sv die ook geldt voor de politierechter (art. 367 Sv), de kantonrechter (art. 398 Sv) en de rechter in hoger beroep (art. 415 Sv).

Het gerecht dat het vonnis of arrest heeft gewezen beslist op het verzoek tot verstrekking daarvan. Voor het OM heeft dat tot gevolg dat vonnissen niet integraal mogen worden verstrekt. Wel mag het resultaat van een strafzaak worden verstrekt. Onder het resultaat van een strafzaak wordt verstaan: de kwalificatie van het bewezen verklaarde en de opgelegde straf of maatregel (en eventueel de datum van de uitspraak), dan wel de mededeling dat er sprake is van een vrijspraak of niet-ontvankelijkheid van het Openbaar Ministerie. Het verstrekken van deze 'uitslag' mag op dezelfde voet als het verstrekken van informatie uit een strafdossier.

3.5.5 Bijzonderheden

Overgang van het regime van Wpg (politie en FIOD) naar Wjsg (OM)

In de Aanwijzing Wpg en de Aanwijzing Wsjg wordt aangegeven op welke wijze afstemming over gegevensverstrekking aan derden plaatsvindt en wanneer de verantwoordelijkheid voor bepaalde informatie overgaat van een (bijzondere) opsporingsdienst naar het OM. Dit is het moment waarop het eindproces-verbaal wordt ingediend bij het OM. Vóór dit moment is het OM alleen bij een voorgenomen verstrekking van politiegegevens betrokken om de strafvorderlijke belangen te beoordelen. Na het indienen van het eindproces-verbaal beoordeelt het OM naast de strafvorderlijke belangen tevens de privacybelangen.

Wet Mevis⁴⁶

Indien er sprake is van een strafrechtelijk onderzoek moet op grond van de wet ‘Mevis’ op basis van formele vorderingen informatieverstrekking plaatsvinden. Vrijwillige gegevensverstrekking is dan niet mogelijk. De stand van de jurisprudentie op dit gebied is thans dat de rechtbank Utrecht onlangs, in een niet onherroepelijk vonnis, heeft geconstateerd dat het opvragen van andere dan identificerende gegevens aangaande personen voor strafrechtelijke doeleinden is geregeld in artikel 126nd Wetboek van Strafvordering (Sv). Wanneer er onterecht geen gebruik is gemaakt van een vordering conform artikel 126 nd Sv is sprake van een vormverzuim. Ook al vond de informatieverstrekking plaats op basis van middels convenant gemaakte afspraken en op basis van een vrijwillige, wettelijk toegestane verstrekking door in casu de Belastingdienst.

Deelnemende organisaties als bedoeld in artikel 1 sub 3 van het Convenant FEC 2014

Wanneer andere organisaties op grond van artikel 1 sub 3 van het Convenant FEC 2014 toetreden tot het FEC of deelnemen aan bepaalde activiteiten van het FEC worden verstrekkingen door het OM niet gedekt door het Convenant FEC 2014. Deze verstrekkingen door het OM zijn niet standaard en moeten daarom individueel worden getoetst door de helpdesk privacy van het Parket Generaal.

Wet integriteitsbeoordelingen door het openbaar bestuur (Bibob)

In de Memorie van Toelichting bij artikel 39f Wjsg staat dat het OM geen strafvorderlijke gegevens mag verstrekken wanneer de Wet Bibob van toepassing is. Dit leidde tot ongewenste situaties. In november 2008 is in een brief van het Ministerie van Justitie en Veiligheid aan de Tweede Kamer afstand genomen van deze passage uit de Memorie van Toelichting en kan het OM de strafvorderlijke gegevens verstrekken ook wanneer er een Bibob-procedure loopt of kan gaan lopen.

3.6 Bevoegdheden en verplichtingen Financial Intelligence Unit Nederland (FIU-Nederland)

3.6.1 Taak

FIU-Nederland is op basis van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) het nationale, centrale en onafhankelijke meldpunt voor het melden van ongebruikelijke transacties die verband kunnen houden met witwassen en het financieren van terrorisme.

De FIU-Nederland is een orgaan van de Staat der Nederlanden en verzamelt, registreert, bewerkt en analyseert vervolgens de gegevens van deze ongebruikelijke transacties, om te bezien of ze van belang kunnen zijn voor het voorkomen en opsporen van misdrijven. Met deze financial intelligence levert ze op nationaal en internationaal niveau een belangrijke bijdrage aan de versterking van de kwaliteit van de bestrijding van witwassen en financiering van terrorisme en indirect de daaraan gerelateerde delicten.

FIU-Nederland beschikt over twee databestanden:

• 1. Het databestand ongebruikelijke transacties (OT). Het OT databestand bevat persoonsgegevens, en is geclassificeerd als Staatsgeheim – Geheim. Het OT bestand is slechts toegankelijk voor bepaalde, daartoe geautoriseerde medewerkers van de FIU-Nederland, in het kader van de taakstelling vermeld in artikel 13 Wwft. Op grond van een Landelijk Officier van Justitie (LOvJ) verzoek kan (via de LOvJ voor Witwassen) aan het hoofd van de FIU-Nederland worden gevraagd om bepaalde politiegegevens c.q. opsporingsgegevens te matchen met het OT bestand (artikel 2:13 lid 2 BPG). Levert de match een hit op dan wordt de gerelateerde OT data door het hoofd van de FIU-Nederland verdacht bepaald (verdachte transactie).

• 2. Het databestand verdachte transacties (VT). Het VT bestand bevat politiegegevens. De beheerder van het VT bestand is de korpschef van de politie. Het VT bestand is via het systeem blue view toegankelijk voor de opsporing.

3.6.2 Bevoegdheden in verband met het verstrekken van gegevens

FIU-Nederland mag:

• geen gegevens uit het OT bestand verstrekken aan FEC-partners en/of FEC-participanten.

• ongebruikelijke transacties verdacht verklaren. Gegevens die zijn ontvangen van opsporingspartners, van andere partners die een taak hebben bij het voorkomen en opsporen van misdrijven of een duurzaam samenwerkingsverband dat een opsporingsdoel dient worden vergeleken met gegevens in het OT bestand. FIU-Nederland is bevoegd om deze transacties verdacht te verklaren (waardoor de gegevens in het VT bestand worden opgenomen en kunnen worden gedeeld).

• gegevens uit het VT bestand verstrekken aan derden binnen de grenzen van het verstrekking regime van het Besluit politie gegevens (Bpg).

• gegevens van andere FIU’s verstrekken, mits daarvoor voorafgaande toestemming van de betreffende FIU is verkregen.

• zelfstandig gegevens uit het VT bestand verstrekken aan derden, indien daarvoor een Besluit conform artikel 18 Wpg is genomen.

• het materieel beheer over de VT data uitvoeren met instemming van de korpschef van politie en namens de korpschef van politie.

• eigen intelligence verstrekken aan FEC-partners.

3.6.3 Bevoegdheden ten aanzien van de afzonderlijke FEC-partners

Gegevensuitwisseling binnen het Wpg-domein (politie en FIOD)

FIU-Nederland stelt de gegevens die zijn aangemerkt als Verdachte transactie via het systeem Blue View beschikbaar aan alle personen binnen het Wpg domein die hiertoe zijn geautoriseerd. Deze autorisatie is altijd verbonden aan de taak van de geautoriseerde persoon. Zo voorziet de Wpg in een gesloten kring van geautoriseerde personen waarbinnen politiegegevens, waaronder de gegevens uit de database met verdachte transacties, ten behoeve van de uitvoering van de politietaak mogen worden verstrekt.

OM

De FIU-Nederland is hybride van aard en is deels politieel, waarbij ze te maken heeft met het bevoegd gezag voor de opsporing. De FIU-Nederland werkt voor het politiële deel nauw samen met het OM in het bijzonder met de Landelijk Officier van Justitie Witwassen (LOvJ) van het FP⁴⁷. De LOvJ neemt deel aan het MT van de FIU-Nederland. Via de LOvJ Witwassen worden zogenaamde LOvJ (opsporings)verzoeken ingediend bij de FIU-NL ter toetsing aan het databestand OT. LOvJ verzoeken kunnen een buitenlandbevraging inhouden (toets aan data/intelligence van een buitenlands FIU).

DNB, AFM en Belastingdienst

FIU-Nederland kan informatie ontvangen die DNB, AFM en de Belastingdienst/Bureau Toezicht Wwft als toezichthouder hebben ontvangen uit hoofde van de Wwft.

3.6.4 Bijzonderheden

De toegevoegde waarde van de FIU-Nederland zit met name in het verrijken van gegevens die ontvangen worden van de andere deelnemers aan het FEC-project en/of signaal. Via een opsporingsautoriteit kan matching van deze gegevens met het OT-bestand en overige financial intelligence plaatsvinden. Levert de match een hit op dan kan de OT-informatie verdacht worden bepaald. Deze informatie (van belang voor het voorkomen en opsporen van misdrijven) kan namens de korpschef van politie (vanwege het artikel 20 Wpg besluit van de politie) in het FEC worden ingebracht.

3.7 JURIDISCHE ANALYSE FEC-PARTICIPANTEN

3.7.1 KMar

De KMar concludeert naar aanleiding van de juridische analyse dat zij (onder voorwaarden) informatie mag verstrekken aan alle afzonderlijke deelnemers van het FEC-project TF en/of aan het FEC-samenwerkingsverband als geheel ten behoeve van het FEC-project TF. Ten aanzien van het FEC-samenwerkingsverband als geheel wordt opgemerkt dat dan een apart besluit artikel 20 Wpg moet worden opgesteld.

• De politietaken van de KMar zijn limitatief vastgelegd in artikel 4 Politiewet 2012;

• Op de verstrekking van gegevens van de KMar aan de afzonderlijke deelnemers aan de FEC-samenwerking is de Wet politiegegevens (Wpg) van toepassing. Daarnaast is het Besluit Politiegegevens BOD’en van belang;

• De KMar mag:

  • Altijd gegevens inzake TF uitwisselen met volgende organisaties: AIVD, Politie, OM, FIU-NL, NCTV en IND;

  • Onder voorwaarden gegevens inzake TF uitwisselen met de volgende organisaties: Belastingdienst, FIOD en Belastingdienst/Douane;

  • Gegevens inzake TF uitwisselen met AFM en DNB met tussenkomst van het OM (zie artikel 18 lid 1 Wpg jo. artikel 4:3 lid 2 Bpg).

• De KMar is bevoegd gegevens te verstrekken aan een structureel samenwerkingsverband; hiervoor is een besluit artikel 20 Wpg nodig. Hierin staat, in overeenstemming met het OM, onder meer vastgelegd ten behoeve van welk zwaarwegend algemeen belang de gegevensverstrekking noodzakelijk is, voor wel doel gegevens verstrekt worden, en onder welke voorwaarden er verstrekt wordt.

  Een artikel 20 Wpg beslissing wordt opgesteld namens de Minister van Defensie die in de Wpg als verantwoordelijke voor de verwerking van politiegegevens bij de KMar is aangemerkt. Daarnaast dient instemming aan het gezag te worden gevraagd;

• In het kader van deze beslissing mogen politiegegevens worden verstrekt die ingevolge de artikelen 8 en 13 van de Wpg worden verwerkt. Teneinde de doelstelling van het FEC-project TF te verwezenlijken kan het bovendien, voor zover dit dringend noodzakelijk is voor een goede uitvoering van de politietaak, voorkomen dat gegevens die worden verwerkt ingevolge de artikelen 9 en 10, eerste lid, onderdeel a van de Wpg worden verstrekt. In dat geval zal wel steeds overleg met de voor de betreffende gegevens aangewezen bevoegd functionaris plaats moeten vinden zoals omschreven in artikel 4:5 lid 2 en 2:10 Bpg;

De verstrekking van de politiegegevens die worden verwerkt overeenkomstig de artikelen 9 en 10, eerste lid, onderdeel a van de Wpg, vindt bovendien slechts plaats met instemming van de zaaksofficier van justitie respectievelijk de CTI-officier van justitie. Deze politiegegevens kunnen slechts worden verstrekt in geval van ernstig gevaar voor de openbare veiligheid, gewichtige economische of financiële belangen van openbare lichamen, voor de gezondheid of het leven van personen, en indien verstrekking in dit verband dringend noodzakelijk is voor de goede uitvoering van de politietaak.

Verstrekking van politiegegevens ingevolge deze beslissing, beperkt zich tot die gegevens die noodzakelijk zijn voor de in het FEC-project TF genoemde doelstellingen en voor zover een goede uitvoering van de politietaak zich niet daartegen verzet.

De door de Koninklijke Marechaussee verstrekte gegevens mogen door de ontvangende partij, de deelnemers aan het FEC-project TF, worden gebruikt voor de doelstelling zoals beschreven in het FEC-projectplan TF. Overeenkomstig de procedure zoals bepaald in het Informatieprotocol FEC 2011.

3.7.2 Immigratie- en Naturalisatiedienst (IND)

De IND is verantwoordelijk voor de uitvoering van het vreemdelingenbeleid. De IND beoordeelt alle aanvragen van vreemdelingen die in Nederland willen verblijven of Nederlander willen worden. De IND mag onder de in artikel 107 Vreemdelingenwet gestelde voorwaarden en informatie mag verstrekken aan de deelnemers van de FEC samenwerking op het gebied van bestrijding van terrorismefinanciering.

• Op grond van artikel 107 van de Vreemdelingenwet (Vw) verstrekt de IND andere bestuursorganen gegevens betreffende de verblijfsrechtelijke positie van de vreemdeling welke zij behoeven ter uitvoering van hun taak.

• Artikel 107 Vw stelt in samenhang met de evenzeer toepasselijke Wet bescherming persoonsgegevens (Wbp) twee voorwaarden aan de gegevensverstrekking.

  • 1. Het moet gaan om gegevens die het betreffende bestuursorgaan nodig heeft ter uitvoering van de taak van het bestuursorgaan.

  • 2. De gegevensverstrekking mag niet plaatsvinden indien de persoonlijke levenssfeer van betrokken vreemdeling onevenredig wordt geschaad.

3.7.3 Belastingdienst/Douane

De Belastingdienst/Douane concludeert naar aanleiding van de juridische analyse dat zij op basis van de AWR en door deelname als FEC-participant aan het FEC-project TF informatie mag verstrekken aan het FEC-samenwerkingsverband als geheel ten behoeve van het FEC-project TF. Daarnaast mag zij op basis van de CDW/ADW informatie verstrekken aan de afzonderlijke deelnemers van het FEC-project TF, indien deze deelnemers hier expliciet om vragen. Alleen voor informatieverstrekking aan de NCTV bestaat geen wettelijke grondslag.

Belastingdienst/Douane heeft met twee fiscale sferen te maken:

• Algemene Wet inzake Rijksbelastingen (AWR);

• Communautair Douanewetboek (CDW) en Algemene Douanewet (ADW).

Voor wat betreft de AWR kan in beginsel geheel aangesloten worden bij de door de Belastingdienst gehanteerde mogelijkheden, artikel ex 55 AWR en artikel 43c, eerste lid, letter u Uitvoeringsregeling AWR. Als de Belastingdienst/Douane toetreedt tot het samenwerkingsverband zonder rechtspersoonlijkheid (FEC) geldt voor haar hetzelfde als hetgeen voor de Belastingdienst/Belastingen van toepassing is. Voor de FEC-partners (alle bestuursorganen) is er een uitzondering gemaakt op de geheimhoudingsplicht van fiscale gegevens, waaronder persoonsgegevens (art. 67 AWR jo. art. 43c, eerste lid, onder u, UR AWR). FEC-participanten sluiten zich aan bij het FEC. Mitsdien worden zij onder de reikwijdte van art. 43c, eerste lid, onder u, UR AWR gebracht.

Voor wat betreft de CDW/ADW geldt de geheimhoudingsplicht van artikel 15 CDW. De Belastingdienst/Douane mag:

• Op grond van artikel 1:33, eerste lid, ADW gegevens ontvangen voor de uitvoering van de ADW en de daaraan geschakelde regelgeving;

• Op grond van artikel 1:33, derde lid ADW kan de inspecteur gegevens en inlichtingen verstrekken aan instanties die uitvoering geven aan het beleid van het Rijk voor zover deze noodzakelijk zijn voor de uitvoering van de ADW en de daaraan geschakelde regelgeving;

De Belastingdienst/Douane mag op grond van de CDW/ADW geen gegevens aan het FEC-samenwerkingsverband verstrekken;

De Belastingdienst/Douane mag ten aanzien van de CDW/ADW:

• Gegevens verstrekken aan de Politie, KMar, FIOD, OM, Belastingdienst en Inspectie SZW-DO;

• Gegevens verstrekken aan de AIVD op grond van de Wiv 2002;

• Gegevens verstrekken aan de FIU-Nederland via de Belastingdienst;

• Gegevens verstrekken aan DNB en AFM wanneer DNB/AFM hierom vragen bij de Belastingdienst/Douane.

Van de NCTV is geen wettelijke bevoegdheid bekend waarmee de NCTV informatie kan vragen aan de Belastingdienst/Douane.

3.7.4 Belastingdienst/Toeslagen

De Belastingdienst/Toeslagen geeft uitvoering aan inkomensafhankelijke regelingen, ofwel het toekennen, uitbetalen en terugvorderen van tegemoetkomingen. Het betreft de zorgtoeslag, huurtoeslag, kinderopvangtoeslag, en het kindgebonden budget.

Belastingdienst/Toeslagen mag op grond van de Algemene wet inkomensafhankelijke regelingen vertrouwelijke informatie verstrekken aan de Belastingdienst indien en voor zover het gaat om de heffing en invordering van rijksbelastingen, de FIOD indien en voor zover het gaat om de opsporing van toeslagenfraude, het OM waar het een vordering betreft en alle andere partners en participanten indien en voor zover de plicht daartoe uit hun wetgeving voortvloeit.

• Voor de Belastingdienst/Toeslagen geldt als regel een geheimhoudingsplicht die voortvloeit uit de Awb (artikel 2:5 Awb). ‘Een ieder die is betrokken bij de uitvoering van de zaak van Belastingdienst/Toeslagen en daarbij de beschikking krijgt over gegevens waarvan hij het vertrouwelijke karakter kent of redelijkerwijs moet vermoeden, en voor wie niet reeds uit hoofde van ambt, beroep of wettelijk voorschrift ter zake van die gegevens een geheimhoudingsplicht geldt, is verplicht tot geheimhouding van die gegevens, behoudens voor zover enig wettelijk voorschrift hem tot mededeling verplicht of uit zijn taak de noodzaak tot mededeling voortvloeit.’;

• In de Algemene wet inkomensafhankelijke regelingen is een aantal uitzonderingen op de geheimhoudingsplicht opgenomen. Deze zijn, grof gezegd, beperkt tot de inspecteur en de ontvanger (van de Belastingdienst) voor zover de informatie nodig is voor de uitvoering van de Algemene wet inkomensafhankelijke regelingen en voor de heffing en invordering van rijksbelastingen;

• Daarnaast kan de Minister van Financiën andere Ministers informatie verstrekken indien en voor zover zij deze nodig hebben voor beleidsvorming en beleidsevaluatie. Bij AMvB kan voorts worden bepaald dat Belastingdienst/Toeslagen informatie kan verstrekken indien en voor zover zijn dienstverlening voortvloeiende uit de uitvoering van de Algemene wet inkomensafhankelijke regelingen kan verbeteren;

• Belastingdienst/Toeslagen kan informatie aan de FIOD verstrekken, indien en voor zover het gaat om de opsporing van toeslagenfraude.

• De Belastingdienst/Toeslagen verstrekt informatie aan het OM, als daar een vordering aan ten grondslag ligt.

• Aan de overige partners en participanten kan Belastingdienst/Toeslagen niet verstrekken, tenzij er een plicht tot het verstrekken van informatie in de wetgeving van de partner c.q. participant is opgenomen.

• In het Uitvoeringsbesluit Algemene wet inkomensafhankelijke regelingen is bepaald welke instanties er verplicht zijn informatie aan de Belastingdienst/Toeslagen te verstrekken.

3.7.5 AIVD

Op grond van artikel 17 Wiv 2002 is de AIVD bevoegd om zich voor het verzamelen van gegevens te wenden tot de FEC-partners en -participanten. De AIVD heeft TF in haar takenpakket zitten.

3.7.6 Bureau Financieel Toezicht

BFT kan, bij constatering van meldenswaardige feiten, zelf een melding doen bij de FIU. Hierbij kan BFT een uitgebreide analyse verstrekken, die weer voor FIU (en daarmee indirect het FEC) van belang kan zijn. Daarnaast kan BFT aanwijzingen geven aan de onder toezicht gestelde over wanneer aan de FIU gemeld moet worden en over de inrichting van de bedrijfsprocessen. Dit draagt bij aan de preventieve werking van de Wwft.

3.8 BEVOEGDHEDEN EN VERPLICHTINGEN VAN HET MINISTIERIE VAN FINANCIEN EN HET MININISTERIE VAN JUSTITIE EN VEILIGHEID

Het Ministerie van Justitie en Veiligheid en het Ministerie van Financiën zijn als waarnemers bij de FEC-samenwerking betrokken. Zij nemen conform artikel 4, sub 3, van het Convenant FEC 2014 niet deel aan operationele beraadslagingen van de FEC-raad. Zij nemen ook niet deel aan andere operationele beraadslagingen binnen de FEC-samenwerking.

3.9 OVERIGE GEHEIMHOUDINGSBEPALINGEN DIE VAN TOEPASSING KUNNEN ZIJN OP DE FEC-PARTIJEN

In aanvulling op de specifieke geheimhoudingsbepalingen, die voor de FEC-partijen gelden, zijn ook van toepassing:

• Artikel 2:5 Algemene Wet Bestuursrecht, algemene geheimhouding medewerkers.

• Artikel 125a lid 3 Ambtenarenwet, algemene geheimhouding ambtenaren.

4 HANDHAVEN IN EEN DUAAL STELSEL

Bij een specifiek onderdeel van de versterking, de handhaving van de integriteit van de financiële sector is sprake van verschillende handhaving sferen te weten bestuursrechtelijke handhaving ⁴⁸ en strafrechtelijke handhaving.

In de financiële toezichtwetgeving maar ook in fiscale wetgeving worden veel overtredingen met zowel een bestuursrechtelijke als strafrechtelijke sanctie bedreigd⁴⁹. Deze twee handhavingstrajecten kunnen naast elkaar bestaan⁵⁰. Er zijn echter drie belangrijke onderwerpen waar rekening mee moet worden gehouden.

• Het verbod van détournement de pouvoir.

• Nemo tenetur beginsel en het zwijgrecht.

• Het una via beginsel (ontvankelijkheidvraag).

Hoewel als uitgangspunt geldt dat rechtshandhavingsactiviteiten buiten de FEC-samenwerking plaatsvinden, kan niet altijd worden voorkomen dat soms informatie-uitwisseling plaatsvindt terwijl ten aanzien van een of meer betrokkenen reeds een bestuursrechtelijk of strafrechtelijk onderzoek is gestart. Het is van belang dat in deze gevallen voldoende aandacht wordt besteed aan genoemde beginselen, alsmede aan de (on)mogelijkheden die deze beginselen met zich meebrengen voor de follow-up. In de procesbeschrijving informatie-uitwisseling FEC wordt hierin voorzien.

4.1 Verbod détournement de pouvoir

4.1.1 Gebruik van bevoegdheden

Een belangrijk uitgangspunt is dat bevoegdheden niet anders mogen worden ingezet dan voor het doel waarvoor ze zijn verkregen. Toezichtbevoegdheden zijn bestuursrechtelijke bevoegdheden die liggen buiten het terrein van de strafvordering met de strekking om de naleving van bestuurlijke voorschriften te controleren met het oog op de handhaving daarvan.

Artikel 1:6 Awb bepaalt dat de toezichtbevoegdheden niet mogen worden aangewend (uitsluitend) voor de opsporing, de vervolging van strafbare feiten of voor de tenuitvoerlegging van strafrechtelijke beslissingen. Ambtenaren die zowel met toezicht als met opsporing zijn belast – dubbele pet – dienen in hun verslaglegging (proces-verbaal) duidelijk te markeren welke bevoegdheden zij in welk verband (toezicht of opsporing) hebben toegepast.

Indien toezichtbevoegheden (uitsluitend) worden aangewend ten behoeve van de opsporing is er sprake van détourment de pouvoir, ook wel aangeduid als ‘onzuiverheid van oogmerk’, dat kan leiden tot het kwalificeren van het aldus verkregen bewijsmateriaal als onrechtmatig.

4.1.2 Bestuursrechtelijke bevoegdheden:

De Awb kent de volgende toezichtbevoegdheden:

• Betreden elke plaats.

• Vorderen van inlichtingen.

• Vorderen van inzage in zakelijke gegevens en bescheiden.

• Het nemen van monsters.

• Het maken van kopieën.

• Het onderzoeken van vervoersmiddelen.

Artikel 5:20 Awb verplicht tot medewerking⁵¹. Het opzettelijk niet verlenen van de gevorderde medewerking kan leiden tot overtreding van artikel 184 Sr of een bestuurlijke boete op basis van artikel 5 Besluit bestuurlijke boetes financiële sector. Bijzondere wetgeving zoals de AWR en de Wft bevatten ook toezichtbevoegdheden.

4.1.3 Strafrechtelijk bevoegdheden

Wanneer sprake is van een verdenking ex artikel 27 Sv mogen de bevoegdheden uit het Wetboek van Strafvordering worden ingezet⁵². Dat is anders bij de bevoegdheden uit de WED. Deze bevoegdheden mogen worden ingezet wanneer er een aanwijzing (gering vermoeden) is van een overtreding⁵³. Dus voordat sprake is van een verdenking. Bevoegdheden in de WED zijn opsporingsbevoegdheden. In de AWR zijn ook opsporingsbevoegdheden opgenomen.

4.1.4 Van toezicht naar strafvordering

De resultaten (informatie en andere bevindingen) van de toepassing van toezichtbevoegdheden kunnen worden overgebracht naar de opsporing, mits die toepassing, nader strafvorderlijk beoordeeld, niet heeft geleid tot een inbreuk op of het buiten toepassing laten van strafrechtelijke, aan de verdachte toegekende waarborgen zoals het nemo tenetur beginsel en het zwijgrecht. Dit kan spelen bij door de verdachte in het kader van de uitoefening de van toezichtbevoegdheid verplicht afgelegde mondelinge of schriftelijke verklaringen.

Mondelinge inlichtingen of schriftelijke verklaringen die door de betrokkene verplicht zijn afgelegd voordat sprake was van een verdenking tegen betrokkene, mogen onder omstandigheden niet als bewijs in de strafzaak worden meegenomen⁵⁴. Dit zou alsnog kunnen indien de afgelegde verklaringen door de verdachte, na gewezen te zijn op diens zwijgrecht, als alsnog gedaan in de strafzaak mogen worden beschouwd dan wel hij alsnog instemt met de inbreng van bedoeld schriftelijke stukken in de strafzaak. Deze informatie kan echter wel dienen als startinformatie voor een strafrechtelijk onderzoek en/of als informatie voor de toepassing van opsporingsbevoegdheden en/of dwangmiddelen.

Bij de uitvoering van toezicht dient steeds te worden bepaald of er wel of geen sprake is van een verdenking of een aanwijzing jegens de gecontroleerde (inlichtingenplichtige). Indien het laatste het geval dient er een keuze te worden gemaakt in het tpo:

• 1. Het uitsluitend blijven volgen van het toezichttraject,

• 2. dan wel het inslaan van het strafvorderlijke traject, of

• 3. het voorlopig blijven volgen van het toezichttraject.

Wanneer sprake is van een situatie als bedoeld in 2 en 3 dan verdient het de aanbeveling om de betrokkene te wijzen op zijn zwijgrecht (‘bestuurlijke cautie’), wil deze informatie in een latere strafzaak tegen hem kunnen worden gebruikt.

Ook in geval aan de latere verdachte een ‘bestuurlijke cautie’ is gegeven, dient hij in de strafzaak toch opnieuw te worden gehoord, waarbij hij kan verwijzen naar de eerder door hem ter voldoening van de toezichtplicht afgelegde verklaring, aanvullend of corrigerend kan verklaren, dan wel zich kan beroepen op zijn zwijgrecht.

Documenten, voorwerpen of ander materiaal, dat reeds bestaat onafhankelijk van de wil van de gecontroleerd (en later de verdachte) mag, ook als zij onder ‘dwang’ door de betrokkene zijn afgegeven, mogen als bewijs tegen hem worden gebruikt. Dat geldt met name ook bij de toepassing van de bepalingen van artikel 18 WED en artikel 81 AWR.

Dit lijdt echter uitzondering indien de toepassing van de bevoegdheid geschiedt bij wege van fishing expedition of onder extreme dwang (EHRM)⁵⁵.

4.1.5 Van strafvordering naar toezicht

Strafvorderlijke informatie kan worden verstrekt aan het bestuursorgaan met het oog op bestuursrechtelijke handhaving. Er is dan sprake van het verstrekken van strafvorderlijke informatie aan derden voor niet justitiële doeleinden. Op een dergelijke verstrekking is de Wjsg van toepassing alsmede de bijbehorende aanwijzing van het College van Procureurs-Generaal.

4.2 Nemo tenetur beginsel en het zwijgrecht

4.2.1 Nemo tenetur beginsel

Zodra sprake is van een criminal charge (art. 6 EVRM), wordt de verdachte (betrokkene) beschermd door het nemo tenetur beginsel. Dat wil zeggen dat op grond van een wettelijke plicht door betrokkene/verdachte schriftelijk of mondeling verstrekte inlichtingen niet te zijnen laste in de strafzaak tegen hem kunnen worden gebruikt. Van een criminal charge is sprake ‘indien de Staat jegens de verdachte een handeling heeft verricht waaraan deze de verwachting heeft ontleend – in redelijkheid kon ontlenen – dat tegen hem een strafvervolging zal worden ingesteld.’ Op grond van rechtspraak en literatuur is hiervan naar Nederlands recht onder andere sprake indien:

• De verdachte meent – kon menen – dat reeds voldoende bewijs voor het strafbare feit is verzameld;

• De verdachte, na confrontatie met het bewijsmateriaal, een volledige bekentenis aflegt;

• Een vordering GVO aan de verdachte is betekend;

• Verlenging van de inverzekeringstelling van de verdachte heeft plaatsgevonden;

• Inbeslagneming van stukken ten aanzien waarvan de verdachte weet dat deze voldoende bewijsmateriaal tegen hem bevatten, heeft plaatsgevonden.

4.2.2 Zwijgrecht

Zodra sprake is van een criminal charge ontstaat voor de betrokkene het recht om te zwijgen. Voor het bestuursrecht is dit wettelijk vastgelegd in artikel 5:10a Awb. De cautieplicht bestaat wanneer een betrokkene wordt gehoord met het oog op oplegging van een bestraffende sanctie. In het strafrecht wordt dit geregeld in artikel 29 lid 1 en 2 Sv.

4.3 Het una via beginsel

Het una via beginsel is bedoeld om gelijktijdige of achtereenvolgende toepassing van het sanctiestelsel uit te sluiten. Dit houdt in dat het (bestuurs)orgaan indien zowel een bestuursrechtelijke als een strafrechtelijke procedure openstaat voor één van beide moet kiezen en mag later niet op die keuze terugkomen of het een tweede keer proberen via de andere procedure. Samenloop van strafrecht en bestuursrecht is in dit geval geen vraagstuk van kwalificatie of straftoemeting maar van ontvankelijkheid⁵⁶.

Vervallen van bevoegdheid tot opleggen sanctie

De bevoegdheid van een toezichthouder tot het opleggen van een bestuurlijke sanctie vervalt indien ter zake van de overtreding strafvervolging is ingesteld én het onderzoek ter terechtzitting een aanvang heeft genomen, een strafbeschikking is uitgevaardigd, dan wel het recht tot strafvordering is vervallen ingevolge artikel 74 Wetboek van Strafrecht (artikel 5:44 Awb). Voor fiscale overtredingen was een vergelijkbaar artikel opgenomen in artikel 67o AWR.

Het recht tot strafvervolging vervalt indien ter zake van een overtreding een bestuurlijke sanctie⁵⁷ is opgelegd (artikel 243 lid 2 Wetboek van strafvordering). Voor fiscale overtredingen was een vergelijkbare bepaling opgenomen in artikel 69a AWR⁵⁸.

4.3.1 Afspraken

Om tot structurele afstemming te komen zijn zoals al vermeld afspraken gemaakt. Voor het fiscaalrechtelijke domein zijn deze afspraken vastgelegd in de Aanmeldings-, Transactie- en Vervolgingsrichtlijnen voor fiscale, douane- en toeslagendelicten⁵⁹. De afspraken zijn gemaakt tussen het College van procureurs-generaal en de Directeur-Generaal Belastingdienst van het Ministerie van Financiën. Voor de financieel economische wetgeving waarbij DNB en de AFM als toezichthouder zijn aangewezen geldt het Convenant ter voorkoming van ongeoorloofde samenloop van bestuurlijke en strafrechtelijke sancties⁶⁰. De partijen bij dit convenant zijn DNB, AFM, de Belastingdienst/FIOD en het OM.

Een besluit wordt genomen op basis van een afweging waarbij onder meer de complexiteit van de overtreding, de noodzaak tot inzet van strafrechtelijke (dwang)middelen, de samenloop met commune delicten, de verwijtbaarheid, maatschappelijke onrust en het te verwachten effect van bestuursrechtelijke dan wel strafrechtelijke afdoening worden beoordeeld.

5 MOGELIJKE CONSEQUENTIES ONRECHTMATIGE GEGEVENSVERWERKING

Wanneer gegevensverwerking ten behoeve van het FEC als samenwerkingsverband niet conform de wettelijke regels plaats vindt heeft dat consequenties. Niet alleen consequenties die rechtstreeks voortvloeien uit de AVG maar ook consequenties voor eventuele rechtszaken die uit de samenwerking voortkomen. Bovendien zijn er enkele andere instanties in Nederland die toezien dat persoonsgegevens op zorgvuldige en behoorlijke wijze worden verwerkt.

5.1 Consequenties uit de AVG

De AVG kan voor het FEC op twee manieren in beeld komen. Ten eerste als onderwerp van onderzoek wordt van de Autoriteit Persoonsgegevens of wanneer een betrokkene een beroep doet op een van zijn rechten als bedoeld in de AVG.

• I. Het FEC wordt onderwerp van onderzoek door de AP:

  Wanneer de Autoriteit Persoonsgegevens (AP) een onderzoek instelt naar het FEC dient de verwerkingsverantwoordelijke aan te kunnen tonen dat de beginselen inzake verwerking van persoonsgegevens als beschreven in artikel 5 lid 1 AVG worden nagekomen. De AP kan de volgende bevoegdheden ten aanzien van de verwerkingsverantwoordelijke uitoefenen:

  • Bestuursdwang ter handhaving van de bij of krachtens de AVG opgelegde verplichtingen: last onder dwangsom (artikel 84 AVG jo. 18 UAVG);

  • Bestuurlijke boete: Artikel 83 AVG jo 17 UAVG).

• II. Een betrokkene doet een beroep op zijn rechten als bedoeld om de AVG:

  Een betrokkene heeft op grond van de AVG concrete rechten zoals genoemd in hoofdstuk III AVG (en hoofdstuk VIII AVG). Voor de uitoefening van deze rechten kan de betrokkene zich richten tot de verwerkingsverantwoordelijke als bedoeld in de AVG. In het Informatieprotocol is opgenomen dat de FEC-partners gezamenlijk de verwerkingsverantwoordelijke zijn. De regisseur fungeert als loket en coördineert de afhandeling van verzoeken.

5.2 Consequenties voor rechtszaken die (mede) voortvloeien uit het FEC als samenwerkingsverband

5.2.1 Zaken voor de bestuursrechter of het College van Beroep voor het bedrijfsleven

In het bestuursrecht geldt een vrije bewijsleer. Wanneer echter blijkt dat door de FEC-eenheid, het FEC TF analyseteam, een FEC-partner, of een organisatie als bedoeld in artikel 1, sub 3, van het Convenant FEC 2014 op onrechtmatige wijze persoonsgegevens zijn verwerkt kan de rechter oordelen dat in strijd met het zorgvuldigheidsbeginsel en in strijd met de behoorlijke procesorde is gehandeld.

5.2.2 Zaken voor de strafrechter

Wanneer er tijdens het strafproces op onrechtmatige wijze verwerking van persoonsgegevens heeft plaatsgevonden kan dat consequenties hebben voor de strafzaak.

De rechter kan conform artikel 359a Sv besluiten dat tijdens het voorbereidend onderzoek vormen zijn verzuimd die niet meer kunnen worden hersteld. ‘Wanneer de rechtsgevolgen hiervan niet uit de wet blijken kan de rechter bepalen dat:

• De hoogte van de straf in verhouding tot de ernst van het verzuim, zal worden verlaagd, indien het door het verzuim veroorzaakte nadeel langs deze weg kan worden gecompenseerd;

• De resultaten van het onderzoek die door het verzuim zijn verkregen, niet mogen bijdragen aan het bewijs van het ten laste gelegde feit;

• het OM niet-ontvankelijk is, indien door het verzuim geen sprake kan zijn van een behandeling van de zaak die aan de beginselen van een behoorlijke procesorde voldoet.’

Artikel 359a Sv formuleert een bevoegdheid en niet een plicht, en biedt mede in het licht van de wetsgeschiedenis de rechter die een vormverzuim heeft vastgesteld, de mogelijkheid af te zien van het toepassen van de daar bedoelde rechtsgevolgen en te volstaan met het oordeel dat een onherstelbaar vormverzuim is begaan.⁶¹

Het OM verstrekt op grond van artikel 27 van de Wet bibob verplicht gegevens aan Bureau Bibob⁶². Overigens geldt deze verplichte verstrekking ook voor de Belastingdienst, de FIOD en de Politie.

5.3 Civielrechtelijke aansprakelijkheid

De keus om geen rechtspersoonlijkheid aan het FEC-samenwerkingsverband toe te kennen heeft de volgende consequenties:

• Het FEC is geen zelfstandige entiteit en kan niet als zodanig aansprakelijk worden gesteld door derden;

• De deelnemende partners zijn hoofdelijk aansprakelijk; Wanneer één van de FEC-partners wettelijk (BW) aansprakelijk wordt gesteld is regres bij andere FEC-partners mogelijk;

• In sommige gevallen zal contractuele aansprakelijkheid moeten worden vastgelegd. Bijvoorbeeld met derden die in contact (kunnen) komen met (persoons)gegevens die in FEC-verband worden verwerkt.

5.4 Verantwoording aan de Nationale ombudsman

De Nationale ombudsman kan naar aanleiding van een klacht van een burger onderzoek instellen naar de werkzaamheden van de FEC-partners in het kader van de FEC-samenwerking. De Nationale ombudsman onderzoekt dan of de FEC-partners zich behoorlijk hebben gedragen. Onder de behoorlijkheidseisen vallen de grondrechten, de materiële behoorlijkheid (evenredigheid, gelijkheid en rechtszekerheid), formele behoorlijkheid (motivering en fair play) en instructienormen van zorgvuldigheid (professionaliteit, informatieverstrekking en administratieve nauwkeurigheid). Een klacht bij de ombudsman is pas mogelijk nadat door de burger gebruik is gemaakt van de klachtenregeling van het desbetreffende bestuursorgaan en dit niets heeft opgeleverd. Voor de FEC-samenwerking is het denkbaar dat gebruik wordt gemaakt van de klachtenregeling van de meest geëigende FEC-partner. De Nationale ombudsman kan ook op eigen initiatief onderzoek instellen.

5.5 De Algemene Rekenkamer

De Algemene Rekenkamer heeft als opdracht te controleren of de inkomsten en uitgaven van de overheid (het Rijk) kloppen, of het vastgestelde beleid wordt uitgevoerd en of het werkt zoals het beoogd was. De Rekenkamer toetst of beloofde verbeteringen in effectiviteit en efficiëntie van beleid daadwerkelijk uitkomen. Het is aan de regering en/of het parlement om consequenties aan de conclusies van de Rekenkamer te verbinden en er politieke uitspraken over te doen. De Algemene Rekenkamer heeft zich de afgelopen jaren kritisch tot zeer kritisch uitgelaten over de informatiehuishouding bij de overheid. Problemen worden nog te vaak afgedaan als incidenten. De Rekenkamer verwacht dat de overheid een visie ontwikkelt. De inspectie stelt vast dat overheidsorganisaties vaak geen overzicht hebben van de plaatsen waar zij hun digitale bedrijfsvoering- en verantwoordingsinformatie bewaren. Er zal op hoog bestuurlijk niveau actiever gestuurd moeten worden op de informatiehuishouding.

PROCESBESCHRIJVING INFORMATIE-UITWISSELING FEC – BIJLAGE B BIJ INFORMATIEPROTOCOL FEC 2019

Definities en afkortingen

In aanvulling op artikel 1 van het Informatieprotocol FEC 2019, wordt in deze procesbeschrijving verstaan onder:

a. Analyserapport:

rapport waarin de bevindingen van het analyseteam zijn opgenomen naar aanleiding van een TF signaal;

b. ShareFile:

een communicatietool waarmee op een veilige manier via internet vertrouwelijke informatie, zoals persoonsgegevens, versleuteld kunnen worden uitgewisseld tussen de FEC-partner(s) en de FEC-eenheid;

c. Dataroom:

bijeenkomst met experts van de FEC-partner(s) om een signaal te analyseren en eventuele vervolgafspraken te maken;

d. Expert:

specialist van de afzonderlijke FEC-partner(s) die inhoudelijk op de hoogte is van een specifiek signaal en die wordt uitgenodigd om aan een dataroom deel te nemen;

e. FEC-dossier:

dossier in ShareFile, samengesteld op basis van informatie van de FEC-partner(s), ten behoeve van gezamenlijke analyse;

f. FEC-informatieplatform:

onderdeel van de FEC-eenheid, dat zorg draagt voor structurele informatie-uitwisseling tussen de FEC-partner(s), middels de Informatiegroep FEC, via een standaard proces en dat zorg draagt voor de uitvoering van de analysetaken zoals genoemd in het convenant FEC 2014;

g. GAZO-principe:

het principe zoals bedoeld in artikel 4 van het Informatieprotocol FEC 2019;

h. IBase:

het relationele databasesysteem waarmee het FEC TF analyseteam beveiligd en afgeschermd vertrouwelijke informatie die tussen FEC-partners en/of -participanten is uitgewisseld en via de FEC-eenheid bij het analyseteam terecht is gekomen, ordent, rangschikt en toegankelijk maakt voor geautoriseerden ten behoeve van analyse en onderzoek in het kader van de samenwerking op het gebied van bestrijding van terrorismefinanciering;

i. Informatiegroep FEC:

bestaat uit vaste medewerkers van elke FEC-partner, die als afgevaardigden van die FEC-partner, betrokken zijn bij uitwisseling van informatie in het kader van het FEC-samenwerkingsverband. De deelnemers melden namens hun organisatie signalen aan bij het FEC-informatieplatform via ShareFile en verzorgen namens hun organisatie de reactie op een ingebracht signaal. De deelnemers nemen desgewenst deel aan de inhoudelijke bespreking van signalen in de datarooms;

j. Informatieprotocol FEC 2019:

protocol met afspraken rond informatie-uitwisseling ten behoeve van de FEC-samenwerking;

k. Parallelonderzoek:

één of meer van de FEC-partners brengen informatie in het FEC-informatieplatform en (gaan) starten op basis van diezelfde informatie ook een eigen afzonderlijk onderzoek, waarbij gebruik wordt gemaakt van de eigen wettelijke bevoegdheden;

l. Regisseur:

het hoofd FEC-eenheid is in het Informatieprotocol FEC 2019 aangewezen als regisseur. De regisseur waarborgt namens de verwerkingsverantwoordelijke, dat taken en verplichtingen die voortvloeien uit de AVG, zorgvuldig worden uitgevoerd;

m. Signalenoverleg:

periodiek overleg waarbij de Informatiegroep FEC samen komt om de voortgang en resultaten op zowel lopende als afgehandelde signalen te bespreken;

n. TF signaal:

Een signaal met betrekking tot TF dat is gemeld door een FEC-partner, of participant.

1 INLEIDING

Binnen de FEC-samenwerking is sprake van meerdere werkprocessen. Deze werkprocessen zijn allen gerelateerd aan de drie verschillende taken zoals omschreven in het convenant FEC 2014.

Deze procesbeschrijving bevat een beschrijving van de volgende werkprocessen:

• Structurele informatie-uitwisseling binnen het FEC-informatieplatform (Hoofdstuk 2);

• Kenniscentrum (Hoofdstuk 3);

• Projectmatige aanpak (Hoofdstuk 4);

• Werkzaamheden van de regisseur (Hoofdstuk 5).

Voordat met een activiteit ten behoeve van de FEC-samenwerking wordt gestart, wordt door de FEC-partners en de FEC-eenheid bepaald ten behoeve van welke taak en binnen welk werkproces de activiteit zal plaatsvinden.

2 STRUCTURELE INFORMATIE-UITWISSELING BINNEN HET FEC-INFORMATIEPLATFORM

2.1 Inleiding

De eerste taak van het FEC is het creëren van structurele informatie-uitwisseling tussen de partners. Het convenant FEC 2014 schrijft voor dat daartoe door de FEC-eenheid wordt voorzien in een informatieplatform. In het FEC-informatieplatform wordt binnen de bestaande wettelijke kaders informatie uitgewisseld. Het gaat hierbij om informatie die ziet op (actuele) ontwikkelingen, bedreigingen voor de integriteit van de financiële sector of om casusposities van een FEC-partner waarvoor een besluit tot handhaving of andersoortige interventie gewenst is.

Het FEC-informatieplatform fungeert als spil en werkt hierin samen met de Informatiegroep FEC. In de Informatiegroep FEC zitten medewerkers van elk der FEC-partners, die informatie die relevant is voor de FEC-samenwerking, naar het FEC-informatieplatform brengen. Informatie die in het FEC-informatieplatform gebracht wordt kan zowel specifiek als meer algemeen van aard zijn. De informatie betreft o.a. onderwerpen die in het jaarplan FEC door de FEC-partners als gezamenlijk onderwerp zijn geformuleerd. Binnen het FEC-informatieplatform brengen en halen de FEC-partners de voor elkaar relevante informatie.

De uitwisseling van informatie in het FEC-informatieplatform is een doorlopend proces dat door de medewerkers van de FEC-eenheid wordt ondersteund. Het monitoren van het proces rondom structurele informatie-uitwisseling en het bewaken van doorlooptijden door de medewerkers van de FEC-eenheid gebeurt in de hiervoor ontwikkelde FEC-database. Hierin wordt een overzicht van alle lopende signalen en de status bijgehouden.

Naast structurele informatie-uitwisseling spreekt de toelichting bij het convenant FEC 2014 ook over het opstellen van strategische, tactische en operationele analyses. In de praktijk betekent dit dat binnen het FEC-informatieplatform een analyse plaatsvindt van de signalen die zijn ingebracht. In de FEC signalenrapportage wordt op periodieke basis gerapporteerd over de signalen en behaalde resultaten.

Belangrijk uitgangspunt binnen het werkproces rond structurele informatie-uitwisseling is onder andere de informatiestromen ‘op maat’, gebaseerd op de wettelijke kaders van de FEC-partner(s).

Specifiek ten behoeve van de samenwerking op het gebied van de bestrijding van TF vindt analyse plaats, van de door FEC-partners en -participanten uitgewisselde informatie, door het FEC TF analyseteam in de vorm van een structurele dataroom. Via de FEC-eenheid wordt informatie ingebracht in het FEC TF analyseteam. Analyserapporten worden vervolgens via de FEC-eenheid verstrekt aan de relevante FEC-partners en -participanten.

2.2 Procesbeschrijving structurele informatie-uitwisseling

De essentie van de FEC-samenwerking is dat de FEC-partners gezamenlijk meer onderkennen dan de afzonderlijke FEC-partner. Het samenbrengen van informatie en expertise moet de meerwaarde brengen waarvoor het FEC is bedoeld. In beginsel ontvangen alle FEC-partners een aangemeld signaal.

Indien andere organisaties als bedoeld in artikel 1 sub 3 van het Convenant FEC 2014 (zoals in het kader van de bestrijding van TF), of de FEC-waarnemers deelnemen aan activiteiten van het FEC-samenwerkingsverband, is onderstaand proces onverkort op hen van toepassing en kan daar waar FEC-partner staat ook FEC-participant, of -waarnemer worden gelezen.

Het proces rond structurele informatie-uitwisseling is uitgewerkt in 3 fasen:

• 1. het opbouwen van een gezamenlijke informatiepositie (Informatiefase)

• 2. de gezamenlijke analyse in FEC-verband (Expertise- en analysefase)

• 3. het daarop volgende (rechts)handhavingstraject door één of meer FEC-partners (Rechtshandhavingsfase).

Het GAZO-principe wordt in het Informatieprotocol geïntroduceerd in artikel 4. Iedere FEC-partner heeft een inspanningsverplichting ervoor zorg te dragen dat binnen zijn organisatie zodanige waarborgen worden getroffen dat aan het GAZO-principe kan worden voldaan. Het GAZO-principe is van toepassing op álle informatie-uitwisseling die via het FEC plaatsvindt. Het wordt hier toegelicht omdat het betrekking heeft op alle fasen van de structurele informatie-uitwisseling.

Het verstrekken van informatie naar aanleiding van een signaal, betekent niet dat aan het GAZO-principe is voldaan. Wanneer een FEC-partner ontvangen informatie⁶³ daadwerkelijk wil gaan gebruiken in de rechtshandhavingsfase, wordt (via ShareFile) aan de inbrengende FEC-partner een GAZO-verzoek gedaan.⁶⁴ De ontvangen informatie kan niet worden gedeeld met anderen buiten de eigen organisatie, tenzij de inbrengende FEC-partner expliciet akkoord geeft op een GAZO-verzoek dat hierover is ingediend door de ontvanger van de informatie (artikel 18 van het Informatieprotocol FEC 2019). De datum van de reactie van de inbrengende FEC-partner op het GAZO-verzoek wordt opgenomen in de FEC-database én in de eigen systemen van de betrokken FEC-partners om de GAZO-procedure te borgen en documenteren.

Schematisch ziet het proces rond structurele informatie-uitwisseling er als volgt uit:

2.2.1 De Informatiefase

Stap 1: Aanmelden signaal bij FEC-informatieplatform

Een FEC-partner brengt informatie in de vorm van een signaal via ShareFile in bij het FEC-informatieplatform. Een signaal is een melding van een gebeurtenis of gedraging door een FEC-partner ter behandeling in het FEC-informatieplatform. Er kan sprake zijn van diverse soorten signalen, zoals een informatieverzoek en een informatieoverdracht.

Een signaal wordt alleen ingebracht wanneer dat wettelijk gezien is toegestaan. De volgende randvoorwaarden, zoals genoemd in het Informatieprotocol FEC 2019, gelden voor de inbrengende FEC-partner:

• aangeven voor welk doel het signaal en de daarmee gepaard gaande persoonsgegevens worden verstrekt;

• aangeven aan welke FEC-partners het signaal en de daarmee gepaard gaande persoonsgegevens niet kunnen worden doorverstrekt.

Hoewel niet expliciet genoemd in het Informatieprotocol FEC 2019 wordt bij de aanmelding van een signaal door de inbrengende FEC-partner tevens:

• Expliciet vermeld wat de aard van het signaal is, bijvoorbeeld of het een informatieverzoek of informatieoverdracht betreft;

• Expliciet vermeld aan welke partners wat gevraagd wordt;

• Nagegaan of handhavingsstermijnen niet zijn verlopen;

• Aangegeven of er een parallel-onderzoek loopt;

• Aangegeven of sprake is van een urgente situatie.

Indien van toepassing geeft de inbrengende FEC-partner aan of:

• Er een specifieke termijn is dat de ingebrachte informatie mag worden bewaard, alvorens deze moet worden verwijderd;

• Er een restrictie zit op interne verspreiding van de informatie bij de ontvangende FEC-partner.

Stap 2: Uitzetten signaal via ShareFile

Het FEC-informatieplatform zet het signaal via ShareFile uit bij alle FEC-partners, tenzij de inbrengende FEC-partner een (aantal) FEC-partner(s) heeft uitgesloten; bijvoorbeeld als dit wettelijk gezien niet is toegestaan. Namens de FEC-partners ontvangen de leden van de Informatiegroep FEC het aangemelde signaal. De leden van de Informatiegroep FEC fungeren in dit kader als loket voor hun organisatie.

Stap 3: Reacties op aangemeld signaal

De FEC-partners raadplegen de informatiesystemen van hun eigen organisatie. Indien noodzakelijk raadplegen de FEC-partners ook medewerkers van de eigen organisatie. Deze medewerkers worden door de betreffende FEC-partner(s) vooraf geïnformeerd over de afspraken in het Informatieprotocol FEC 2019.

De afzonderlijke leden van de Informatiegroep FEC informeren, binnen de afgesproken termijn van 4 weken, de inbrengende FEC-partner via ShareFile over eventueel beschikbare relevante informatie. Het uitgangspunt is dat de FEC-partners altijd een reactie geven op het signaal, ook als er geen relevante informatie beschikbaar is.

Stap 4: Samenstellen FEC-dossier

Het FEC-dossier is een afzonderlijke map in ShareFile en bevat het signaal en de reacties van de afzonderlijke FEC-partners.

2.2.2 De Expertise- en analysefase

Stap 5: Analyse in de dataroom

De bespreking van een signaal kan plaatsvinden in een zogenaamde dataroom. Indien nodig wordt een dataroom georganiseerd. Een dataroom wordt in ieder geval georganiseerd wanneer één of meer FEC-partners daarom vraagt. Voor een dataroom worden experts van de FEC-partners uitgenodigd. De leden van de Informatiegroep FEC geven aan wie de expert(s) binnen zijn organisatie is/zijn. Desgewenst nemen de leden van de Informatiegroep FEC zelf ook deel aan de dataroom.

Tijdens de dataroom wordt het signaal door de deelnemers toegelicht, geanalyseerd en worden tussen de FEC-partners afspraken gemaakt over eventuele vervolgstappen.

Het FEC-informatieplatform stelt een verslag op van een dataroom. Het verslag bevat een kernachtige omschrijving van de in de dataroom gemaakte afspraken en overeengekomen acties. Het verslag wordt aan het FEC-dossier toegevoegd. Indien wenselijk kan het FEC-informatieplatform meerdere datarooms over hetzelfde signaal organiseren.

De resultaten van de bespreking in een dataroom worden, wanneer wettelijk toegestaan, al dan niet anoniem, teruggekoppeld aan de Informatiegroep FEC.

Stap 5A: Analyse in het kader van bestrijding TF

In het kader van de samenwerking op het gebied van de bestrijding van TF worden zowel het TF signaal als de reacties op het TF signaal via het informatieplatform verstrekt aan de FEC-eenheid, FEC-partner(s), en/of -participant(en) en verder verwerkt binnen het FEC TF-analyseteam (onder meer ordenen, rangschikken, verrijken, analyseren, registeren in FEC-database). De analyse in het FEC TF analyseteam vindt plaats in een structurele dataroom. Aanvullend op en voortkomend uit deze analysedataroom, worden voor specifieke signalen waarop interventie nodig is interventiedatarooms belegd, vergelijkbaar met de reguliere datarooms.

Stap 6: Afsluiten van signaal

Als de relevante informatie is uitgewisseld dan wordt het signaal afgesloten. De FEC-partner die het signaal inbracht besluit daartoe en maakt dit in het signalenoverleg kenbaar.

Het FEC-informatieplatform legt de afsluiting van het signaal vast in de FEC-database. Daarbij worden de eventuele vervolgstappen benoemd. Dat zijn onder andere de (handhaving)resultaten:

• 1. Strafrechtelijke handhaving

• 2. Bestuursrechtelijke handhaving

• 3. Fiscale handhaving

• 4. Combinatie van I, II en III

• 5. Geen follow-up gewenst

• 6. Overige acties/interventies/maatregelen

Met het afsluiten van het signaal eindigt de rol van het FEC-informatieplatform.

Stap 7: Bewaartermijn

Als het signaal is afgesloten start de bewaartermijn die van toepassing is. Voor verwerkingen door de FEC-eenheid wordt een bewaartermijn van 1 jaar gehanteerd, waarna de gegevens volgens een vastgelegde procedure worden verwijderd.

Operationele informatie en (persoons) gegevens die worden verwerkt binnen het FEC TF analyseteam worden nog 2 jaar bewaard nadat een signaal is afgesloten en informatie m.b.t. signalen (TF-subjecten) wordt vernietigd na 5 jaar.

De afzonderlijke FEC-partners hanteren voor het bewaren en het vernietigen van de gegevens de bewaar- en vernietigingstermijnen zoals die voor de eigen organisatie zijn vastgelegd in hun selectielijsten op grond van de Archiefwet. Deze lijsten zijn in te zien op de website van het Nationaal Archief (www.nationaalarchief.nl/archiveren). In deze selectielijsten staat wanneer gegevens vernietigd moeten worden en welke documenten permanent bewaard moeten blijven.

2.2.3 De Rechtshandhavingsfase

Het FEC-informatieplatform heeft in de rechtshandhavingsfase geen expliciete taak. Wel kan het FEC-informatieplatform desgewenst een faciliterende rol vervullen door bijvoorbeeld op verzoek van FEC-partners overleg te organiseren. De FEC-samenwerking heeft geen gezamenlijke verantwoordelijkheid wat betreft de (persoons)gegevensverwerking. Deze verantwoordelijkheid ligt in deze fase geheel bij de afzonderlijke FEC-partners. Alle activiteiten in de rechtshandhavingsfase vinden plaats op basis van eigen bevoegdheden van de FEC-partners met de daarbij behorende waarborgen.

Stap 8: Borging doelbinding en instemmingsvereiste bij doorverstrekking aan derden of verwerking of doorverstrekking voor een ander doel.

Om de doelbinding te borgen, wordt er bij iedere FEC-partner een beheerder (FEC-beheerder) van de uitgewisselde FEC-informatie aangesteld. Deze FEC-beheerder is na het afsluiten van een signaal verantwoordelijk voor de borging van de doelbinding en het nakomen van de instemmingsvereisten zoals bedoeld in artikel 17 en 18 van het Informatieprotocol FEC 2019 binnen de eigen organisatie.

Het instemmingsvereiste geldt bij:

• een voorgenomen verstrekking door een FEC-partner aan een derde (niet zijnde een FEC-partner); en

• gebruik of doorverstrekking van informatie uit een signaal of reactie door een FEC-partner voor een ander doel dan waarvoor de informatie is verstrekt.

Stap 9: Terugkoppeling (rechtshandhaving)resultaat

De FEC-partner(s) koppelen het (rechtshandhaving)resultaat terug aan het FEC-informatieplatform. De resultaten worden gedeeld met de leden van de Informatiegroep FEC en opgenomen in de FEC signalenrapportage.

Stap 10: Rapporteren resultaten aan de FEC-raad

De FEC-eenheid informeert de FEC-raad over de resultaten van de signalen, die binnen het FEC-informatieplatform zijn behandeld. Deze terugkoppeling vindt op geaggregeerd niveau plaats door middel van de FEC signalenrapportage.

2.3 Parallelonderzoek

De FEC-samenwerking vindt vooral plaats om tot kwalificatie van een gedraging te komen. Hiermee wordt bedoeld dat er veelal nog geen sprake is van een redelijk vermoeden in de zin van artikel 27 Wetboek van Strafvordering of in het geval van toezicht van de overtuiging dat sprake is van een daadwerkelijke overtreding.

Belangrijk uitgangspunt binnen de FEC-samenwerking is dat de FEC-partners in de Informatiefase en in de Expertise- en analysefase gegevens op vrijwillige basis met elkaar delen. Na aanmelding van een signaal kan blijken dat er bij één of meer van de FEC-partners een parallelonderzoek loopt. Dat wil zeggen dat op basis van dezelfde informatie, al dan niet uit dezelfde bronnen, als vermeld in het aangemelde signaal door één of meer FEC-partners al een eigen afzonderlijk onderzoek is gestart. Wanneer blijkt dat door één of meer FEC-partners al een onderzoek is gestart, worden geen verdere activiteiten binnen het FEC-informatieplatform meer verricht. Er wordt direct over gegaan naar de rechtshandhavingsfase.

2.4 Analyse van de signalen

De toelichting bij het Convenant FEC 2014 bepaalt dat binnen het FEC-informatieplatform strategische, tactische en operationele analyses worden uitgevoerd. Het FEC-informatieplatform geeft hier invulling aan door het op kwartaalbasis en jaarlijks opstellen van een analyse van de ingebrachte signalen. Aanvullend wordt specifiek in het kader van de bestrijding van TF hieraan invulling gegeven door structureel netwerkanalyses te maken en analyserapporten op te stellen waarin de ingebrachte informatie gerangschikt en geordend is. Deze strategische en tactische analyses dragen bij aan het signaleren van trends en ontwikkelingen en kan leiden tot concrete projectvoorstellen aan de FEC-raad.

2.5 Procesaspecten voortvloeiend uit de AVG

Binnen het proces rond structurele informatie-uitwisseling in het FEC-informatieplatform moet voldoende aandacht zijn voor verschillende rechten, plichten en materiële normen uit de AVG en de gevolgen hiervan voor het proces. Hieraan is als volgt invulling gegeven:

• Aan de rechten als bedoeld in Hoofstuk III van de AVG is invulling gegeven door de mogelijkheid te bieden om een verzoek tot uitoefening van deze rechten te richten aan de FEC-eenheid. De FEC-eenheid geleidt het verzoek door naar de verwerkingsverantwoordelijke. De verwerkingsverantwoordelijke neemt binnen vier weken een beslissing.

• Aan de informatieplicht is voldaan door plaatsing van het convenant FEC 2014 en het Informatieprotocol FEC 2019 en de toelichting op de website van het FEC, www.fec-partners.nl, op de websites van de FEC-partners en publicatie in de Staatscourant.

• Aan de verplichting een register bij te houden van verwerkingsactiviteiten is voldaan doordat de regisseur een actueel register bijhoudt van de verwerkingsactiviteiten die in FEC-verband plaatsvinden en onder de gezamenlijke verantwoordelijkheid vallen. Daarnaast beschikt iedere FEC-partner over een eigen register van verwerkingsactiviteiten, waarin ieder voor de verwerkingsactiviteiten in FEC-verband verwijst naar het register dat de regisseur bijhoudt.

• Aan de algemene zorgvuldigheidseis wordt onder andere voldaan door de FEC-partner(s) door een zorgvuldige uitvoering van de juridische toets.

• Aan het vereiste dat het doel van de persoonsgegevensverwerking voldoende concreet wordt benoemd (artikel 5 lid 1 onder b AVG) is voldaan door het opstellen van het Informatieprotocol FEC 2019, inclusief de toelichting en 2 bijlagen.

• Nadat het doel van de verwerking is vastgesteld mogen de persoonsgegevens niet verder worden verwerkt als dit gebeurt op een wijze die onverenigbaar is met het doel waarvoor de gegevens zijn verkregen. Hieraan wordt invulling gegeven door binnen het FEC-informatieplatform de persoonsgegevens alleen ten behoeve van dat concrete doel te verwerken. Voor verwerking voor een ander doel, geldt het instemmingsvereiste zoals bedoeld in artikel 17 en 18 van het Informatieprotocol FEC 2019.

• De persoonsgegevens mogen, gelet op het doel van de desbetreffende verwerking, slechts worden verwerkt als de gegevens toereikend en ter zake dienend zijn en beperkt tot wat noodzakelijk is (artikel 5 lid 1 onder c AVG). In het proces is dit als volgt vorm gegeven. In de Informatiefase (zie paragraaf 2.2.1) wordt een globale omschrijving gegeven van de gebeurtenis of gedraging (waarop het signaal ziet); voldoende voor de andere FEC-partner(s) om na te gaan of zij relevante informatie voorhanden hebben. Er kan niet worden volstaan met enkel de vermelding van de persoons- of de bedrijfsgegevens. De gebeurtenis of gedraging moet in een context, met raakvlak tot het doel van het FEC, worden geplaatst. Alleen op deze manier kunnen de andere FEC-partners een zorgvuldige afweging maken of zij in dat concrete geval, voor dat concrete doel informatie willen en kunnen verstrekken. In de Expertise- en analysefase (zie paragraaf 2.2.2) is sprake van meer gedetailleerde informatie-uitwisseling. Ook hier geldt dat slechts datgene wat minimaal noodzakelijk is met elkaar wordt gedeeld. De gegevens moeten juist zijn en zo nodig worden geactualiseerd, hiervoor geldt een inspanningsverplichting voor de deelnemende FEC-partner(s).

• Voor de geheimhouding geldt dat alle medewerkers die betrokken zijn bij de FEC-samenwerking tot geheimhouding zijn gehouden uit hoofde van ambt, beroep of wettelijk voorschrift en/of een geheimhoudingsverklaring hebben getekend voor de eigen organisatie.

3 INFORMATIE-UITWISSELING BINNEN HET KENNISCENTRUM

3.1 Inleiding

Het FEC heeft als tweede taak het realiseren van een kenniscentrum van, voor en door de partners op de voor het FEC relevante kennisgebieden. De FEC-eenheid draagt zorg voor de uitvoering van deze taak en voorziet daarin in een helpdesk voor inhoudelijke assistentie van de partners en organiseert kennisbevorderende evenementen, opleidingen, stages en detacheringen.

3.2 Informatie-uitwisseling binnen het kenniscentrum

Hoewel de focus ligt op het uitwisselen van kennis valt niet uit te sluiten dat tijdens de activiteiten (vertrouwelijke) informatie, waaronder mogelijk persoonsgegevens, tussen FEC-partners wordt uitgewisseld. Wanneer sprake is van een dergelijke uitwisseling is het Informatieprotocol FEC 2019 van toepassing.

4 INFORMATIE-UITWISSELING BINNEN FEC-PROJECTEN

4.1 Inleiding

De derde taak van het FEC is het uitvoeren van projecten met het oog op concrete, operationeel bruikbare resultaten.

4.2 Informatie-uitwisseling binnen een project

Indien bij de inhoudelijke uitvoering van een project (vertrouwelijke) informatie wordt uitgewisseld is altijd sprake van maatwerk. Afhankelijk van het doel van het project moet worden bezien óf, en zo ja, welke (vertrouwelijke) informatie moet worden uitgewisseld. Verwerking van persoonsgegevens ten behoeve van een project wordt gezien als een centrale persoonsgegevensverwerking door de FEC-eenheid.⁶⁵ Het Informatieprotocol FEC 2019 inclusief bijlagen is onverkort van toepassing.

Voorafgaand aan de verwerking wordt:

• 1. Nagegaan of informatie-uitwisseling noodzakelijk is;

• 2. Nagegaan of uitwisseling anoniem kan plaatsvinden;

• 3. Nagegaan of uitwisseling van vertrouwelijke informatie noodzakelijk is;

• 4. Nagegaan of uitwisseling van persoonsgegevens noodzakelijk is;

• 5. Een projectplan opgesteld waarin de werkwijze en afspraken worden vormgegeven.

De projectleider draagt samen met de privacy-experts van de deelnemende FEC-partner(s) en de FEC-eenheid zorg voor een zorgvuldige afweging op bovenstaande punten. De projectleider draagt zorg voor schriftelijke vastlegging van de overwegingen en moet deze aan de regisseur aanbieden.

4.3 Procesaspecten voortvloeiend uit de AVG

Bij de uitvoering van een FEC-project moet voldoende aandacht zijn voor verschillende rechten, plichten en materiële normen uit de AVG en de gevolgen hiervan voor het FEC-project.

Hieraan wordt als volgt invulling gegeven:

• Aan de rechten als bedoeld in Hoofstuk III van de AVG is invulling gegeven door de mogelijkheid te bieden om een verzoek tot uitoefening van deze rechten te richten aan de FEC-eenheid. De FEC-eenheid geleidt het verzoek door naar de verwerkingsverantwoordelijke. De verwerkingsverantwoordelijke neemt binnen vier weken een beslissing.

• Aan de informatieplicht wordt telkens voldaan door plaatsing van relevante informatie over het FEC-project op de website van het FEC, www.fec-partners.nl, op de websites van de FEC-partners en publicatie in de Staatscourant.

• Aan de verplichting een register bij te houden van verwerkingsactiviteiten is voldaan doordat de regisseur een actueel register bijhoudt van de verwerkingsactiviteiten die in FEC-verband plaatsvinden en onder de gezamenlijke verantwoordelijkheid vallen.

• Elk project waarin persoonsgegevens worden verwerkt, wordt als afzonderlijke verwerkingsactiviteit in het register opgenomen. Daarnaast beschikt iedere FEC-partner over een eigen register van verwerkingsactiviteiten, waarin ieder voor de verwerkingsactiviteiten in FEC-verband verwijst naar het register dat de regisseur bijhoudt.

• Aan de algemene zorgvuldigheidseis wordt onder andere telkens voldaan door een zorgvuldige uitvoering van de juridische toets of verstrekking van persoonsgegevens in het kader van het FEC-project wettelijk gezien is toegestaan en door de toets of een grondslag als bedoeld in artikel 6 lid 1 AVG kan worden benoemd voor de verwerking van persoonsgegevens.

• Aan het vereiste dat het doel van de persoonsgegevensverwerking voldoende concreet wordt benoemd wordt telkens voldaan door het opstellen van een projectplan waarin dit doel concreet wordt benoemd.

• Nadat het doel van de verwerking van persoonsgegevens binnen een FEC-project is vastgesteld mogen de persoonsgegevens niet verder worden verwerkt als dit gebeurt op een wijze die onverenigbaar is met het doel waarvoor de gegevens zijn verkregen. Dit is de verantwoordelijkheid van de FEC-partners. De projectleider en de regisseur zien hierop toe.

• De persoonsgegevens mogen, gelet op het doel van de desbetreffende verwerking, slechts worden verwerkt als de gegevens toereikend en terzake dienend zijn en beperkt tot wat noodzakelijk is. De beoordeling hoe hier invulling aan moet worden gegeven ligt bij de FEC-partners.

• Voor de geheimhouding geldt dat alle medewerkers die betrokken zijn bij de FEC-samenwerking, tot geheimhouding zijn gehouden uit hoofde van ambt, beroep of wettelijk voorschrift en/of een geheimhoudingsverklaring hebben getekend voor de eigen organisatie.

• Voor de beveiliging van de persoonsgegevens gelden de beveiligingsmaatregelen van de verschillende FEC-partners en van de FEC-eenheid. Indien gewenst kunnen in het kader van het FEC-project specifieke beveiligingsmaatregelen worden getroffen.

• Persoonsgegevens mogen niet langer worden bewaard dan noodzakelijk. In geval van een FEC-project wordt dit telkens afzonderlijk vooraf bepaald en opgenomen in het projectplan. De persoonsgegevens worden in ieder geval gedurende de looptijd van een project bewaard.

• De regisseur ziet erop toe dat het FEC-project voldoet aan de eisen die vanuit de AVG worden gesteld om de rechten van betrokkenen te beschermen en voldoet, namens de verwerkingsverantwoordelijke aan de plichten en materiële normen uit de AVG.

5 WERKZAAMHEDEN REGISSEUR

5.1 Inleiding

De rol van regisseur is in artikel 10 van het Informatieprotocol FEC 2019 neergelegd bij het hoofd FEC-eenheid.

De regisseur ziet er, namens de verwerkingsverantwoordelijke, op toe dat de informatie-uitwisseling binnen de FEC-samenwerking geschiedt binnen de mogelijkheden die hiervoor zijn opgenomen in de Algemene verordening gegevensbescherming (AVG) en de relevante wetten die zijn genoemd in het Informatieprotocol FEC 2019. De regisseur wordt hierin inhoudelijk ondersteund door de FEC-privacy medewerker van de FEC-eenheid.

Buiten de in artikel 10 van het Informatieprotocol FEC 2019 opgenomen verantwoordelijkheden ziet de regisseur er eveneens op toe dat het FEC, indien noodzakelijk, voldoet aan de eisen die worden gesteld aan de informatieverwerking vanuit de Wet Openbaarheid van bestuur (Wob) en Archiefwet 1995. Het FEC valt niet zelfstandig onder de Wob en Archiefwet 1995. Doordat de FEC-partners en -waarnemers wel onder deze wetten vallen, kan het zijn dat eisen en bepalingen uit deze regelgeving van toepassing zijn op informatie die wordt verwerkt binnen (de gezamenlijke verantwoordelijkheid van) het FEC. De regisseur ziet erop toe dat hiervoor de juiste procedures zijn opgesteld en worden gevolgd door de FEC-eenheid opdat de FEC-partners en -waarnemers afzonderlijk kunnen voldoen aan betreffende wet- en regelgeving.

5.2 De rol van de regisseur

Voor de rol van de regisseur kunnen de volgende werkzaamheden worden onderscheiden:

• 1. Regie structurele informatie-uitwisseling;

• 2. Regie projecten en kenniscentrum;

• 3. Verantwoording;

• 4. Zorgdragen voor externe vragen;

• 5. Veiligheid en compliance.

De regisseur voert zijn/haar rol als volgt uit:

• Toetsen/vragen of de werkprocessen worden gevolgd;

• Controle door het stellen van aanvullende vragen;

• Het geven van advies over het verloop van het proces;

• Het geven van een aanwijzing over het verloop van het proces.

De regisseur heeft in beginsel contact met de FEC-adviseurs van het FEC-informatieplatform van de FEC-eenheid en projectleiders of trekkers van een activiteit of project voor het FEC.

Hieronder worden de werkzaamheden van de regisseur puntsgewijs uitgewerkt:

1. Regie structurele informatie-uitwisseling

In het wekelijks overleg met de FEC-adviseurs van het FEC-informatieplatform monitort de regisseur of de regels rondom structurele informatie-uitwisseling worden gevolgd. De FEC-adviseurs hebben een poortwachtersfunctie in het FEC-informatieplatform waarbij zij toetsen of de inbrengende FEC-partner het signaal correct heeft ingebracht.

De regisseur toetst, in het wekelijkse overleg procesmatig de ingebrachte signalen, de geplande en gevoerde datarooms en de GAZO-verzoeken met de FEC-adviseurs. Daarnaast kunnen actuele zaken worden besproken.

De regisseur bemoeit zich in beginsel niet inhoudelijk met de signalen, maar stuurt op het proces en op de voorwaarden en spelregels die het Informatieprotocol FEC 2019 stelt. De regisseur toetst (via de FEC-adviseurs) wél of de informatie van voldoende kwaliteit is, aan wie informatie wordt gevraagd en met wie informatie wordt gedeeld.

De inhoud van het signaal wordt ingebracht door de FEC-partner en valt onder verantwoordelijkheid van de inbrengende FEC-partner, die hierop ook een toets doet voordat hij/zij verstrekt.

Bij het overleg van de Informatiegroep FEC schuift naast de FEC-adviseurs zo mogelijk ook de FEC-privacy medewerker aan om erop toe te zien dat vragen over de voorwaarden en spelregels rond structurele informatievoorziening worden beantwoord.

De FEC-privacy medewerker van de FEC-eenheid draagt zorg voor de benodigde beleidsdocumenten omtrent het bewaren en verwijderen van informatie, waaronder persoonsgegevens.

De regisseur ziet erop toe dat persoonsgegevens binnen de FEC-eenheid niet langer worden bewaard dan de afgesproken bewaartermijn en dat deze daarna veilig worden verwijderd.

2. Regie projecten en kenniscentrum

Aan het begin van een FEC-project of -activiteit toetst de regisseur bij de FEC-projectleider of trekker en via het projectplan of het mogelijk dan wel waarschijnlijk is dat persoonsgegevens worden verwerkt. Zo ja, dan wordt het project opgenomen in het verwerkingsregister. Wanneer het mogelijk dan wel waarschijnlijk is dat persoonsgegevens worden verwerkt, wordt eveneens getoetst of het noodzakelijk is om een gegevensbeschermingseffectbeoordeling uit te voeren.

Wanneer er persoonsgegevens worden verwerkt, dan toetst de regisseur gedurende het FEC-project of -activiteit of de projectleiders of trekkers van een FEC-project of -activiteit de werkwijze uitvoeren conform de afspraken die hierover zijn gemaakt in het Informatieprotocol en het projectplan.

De regisseur ziet erop toe dat duidelijk is waar de informatie betreffende het FEC-project of -activiteit wordt bewaard, wie ertoe zijn geautoriseerd en dat er afspraken zijn gemaakt over hoe lang de informatie wordt bewaard.

3. Verantwoording

De regisseur rapporteert in haar rol als hoofd FEC-eenheid aan de voorzitter van de FEC-raad. Tijdens deze contactmomenten, kan zij in haar hoedanigheid van regisseur ook punten agenderen. De voorzitter kan hier eveneens zelfstandig om verzoeken.

De regisseur informeert zo nodig de verwerkingsverantwoordelijke, zijnde de FEC-partners gezamenlijk, vertegenwoordigd door (de leden van) de FEC-raad. De verwerkingsverantwoordelijke kan hier eveneens zelfstandig om verzoeken.

In de volgende gevallen informeert de regisseur altijd de verwerkingsverantwoordelijke(n):

• Behandeling van een bij de FEC-eenheid ontvangen AVG inzage- of Wob verzoek;

• Incident(en) bij structurele informatie-uitwisseling met verhoogd risico voor de FEC-samenwerking;

• Veiligheidsissues met betrekking tot informatieverwerking en -uitwisseling zoals een datalek;

• vragen van de AP.

Onder verantwoordelijkheid van de regisseur voert de FEC-privacy medewerker iedere drie jaar een evaluatie uit van het Informatieprotocol FEC 2019, als onderdeel van de evaluatie van het Convenant FEC 2014. In de evaluatie van het Informatieprotocol FEC 2019 wordt getoetst of de informatie-uitwisseling binnen de afspraken van het Informatieprotocol FEC 2019 plaatsvindt en of het Informatieprotocol actueel is.

Ten behoeve van de verwerkingsverantwoordelijke, zijnde de FEC-partners gezamenlijk, houdt de regisseur een actueel register bij van de verwerkingsactiviteiten die onder de gezamenlijke verantwoordelijkheid plaatsvinden.

4. Beantwoording van externe vragen

Er zijn verschillende soorten externe vragen:

• A. AVG verzoeken⁶⁶,

• B. Wob-verzoeken en

• C. Informatievragen.

A. AVG verzoeken

Het proces rondom een verzoek van betrokkene tot uitoefening van diens rechten zoals bedoeld in artikel 20 Informatieprotocol FEC 2019 verloopt als volgt:

• De FEC-eenheid⁶⁷ ontvangt een verzoek van een betrokkene;

• De regisseur, zoals bedoeld in artikel 9 Informatieprotocol FEC 2019, neemt het verzoek namens de verwerkingsverantwoordelijke(n) in behandeling en stelt de voorzitter van de FEC-raad hiervan op de hoogte en de desbetreffende verwerkingsverantwoordelijke (n);

• De regisseur stuurt namens de verwerkingsverantwoordelijke een ontvangstbevestiging van het verzoek aan betrokkene waarin wordt aangegeven dat de verwerkingsverantwoordelijke zo mogelijk het verzoek binnen de gestelde wettelijke termijn afdoet;

• De regisseur doorzoekt naar aanleiding van het verzoek de persoonsgegevensverwerkingen van de FEC-eenheid en/of binnen het FEC TF analyseteam.

Geen persoonsgegevens aanwezig:

• Indien blijkt dat er geen persoonsgegevens over betrokkene in de persoonsgegevensverwerkingen van de FEC-eenheid, en/of binnen het FEC TF analyseteam zijn opgenomen, dan meldt de regisseur dit op anonieme basis aan de voorzitter van de FEC-raad en aan de desbetreffende verwerkingsverantwoordelijke(n);

• De regisseur deelt namens de verwerkingsverantwoordelijke(n) aan betrokkene mee dat er geen persoonsgegevens over hem/haar worden verwerkt door de FEC-eenheid en/of binnen het FEC TF analyseteam.

Wel persoonsgegevens aanwezig:

• Indien blijkt dat er wel persoonsgegevens over betrokkene in de persoonsgegevensverwerkingen van de FEC-eenheid, en/of het FEC TF analyseteam zijn opgenomen, dan neemt de regisseur onverwijld contact op met de FEC-partner(s) en/of -participanten waarvan de persoonsgegevens afkomstig zijn en meldt dit aan de voorzitter van de FEC-raad;

• Betreffende FEC-partner(s) bepaalt (bepalen) zelfstandig op basis van hun eigen bevoegdheden en wettelijk kader of het verzoek van betrokkene over zijn/haar persoonsgegevens, die bij de FEC-eenheid, en/of het FEC TF analyseteam aanwezig zijn, kan worden ingewilligd en stelt hiervan betrokkene zelfstandig op de hoogte en meldt dit aan de regisseur;

• De regisseur informeert de FEC-raad op anonieme basis over het verzoek van betrokkene tot uitoefening van zijn/haar rechten en de genomen beslissing hierop;

• Betrokkene kan, op basis van de Algemene wet bestuursrecht (Awb), bezwaar en beroep instellen tegen de beslissing van de betreffende FEC-partner(s) afzonderlijk, indien deze zijn/haar verzoek weigert op grond van de artikelen 41 UAVG. De verwerkingsverantwoordelijke informeert de regisseur over het ontvangen bezwaar zodra het persoonsgegevens betreffen die bij de FEC-eenheid, en/of het FEC TF analyseteam zijn opgenomen.

Zodra een FEC-partner, -participant of waarnemer afzonderlijk een AVG inzage-verzoek ontvangt betreffende een FEC-aangelegenheid, dan geldt in beginsel de volgende procedure:

• Het betreffende AVG inzage-verzoek wordt doorgeleid naar de regisseur;

• De regisseur informeert de specifiek betrokken FEC-partners en -waarnemers over het AVG inzage-verzoek;

• De regisseur zorgt indien noodzakelijk voor (inhoudelijke) afstemming met de specifiek betrokken FEC-partner, -participant, of waarnemer (in overleg met juridische zaken van desbetreffende organisatie);

• Het AVG inzage-verzoek wordt, binnen de gestelde wettelijke termijnen gemotiveerd afgedaan, door de partner of waarnemer die het AVG inzage-verzoek heeft ontvangen.

B. Wob-verzoeken

Het FEC heeft geen rechtspersoonlijkheid en aan het FEC en haar organen zijn geen afzonderlijke (wettelijke) taken en bevoegdheden toegekend; binnen het FEC werken de FEC-partners en -waarnemers samen op basis van hun eigen bestaande wettelijke taken en bevoegdheden. Het samenwerkingsverband FEC kan dus niet worden aangemerkt als bestuursorgaan in de zin van de Awb. Hieruit kan geconcludeerd worden dat het FEC, en dus de FEC-raad, het FEC TF analyseteam en de FEC-eenheid, geen bestuursorgaan in de zin van de Awb is en daarom niet zelfstandig onderworpen is aan het openbaarheidsregime van de Wob.

In beginsel vallen alle FEC-partners en -waarnemers afzonderlijk, in meer of mindere mate, onder de werking van de Wob, ‘voor zover zij belast zijn met werkzaamheden die voortvloeien uit, dan wel verband houden met, haar taken en bevoegdheden ingevolge het Convenant FEC 2014’.

Dit houdt in dat informatie en gegevens van het FEC, die feitelijk aanwezig is/zijn bij de FEC-partners en -waarnemers, in aanmerking kan komen voor Wob-verzoeken.

De regisseur ziet erop toe dat de bij de FEC-eenheid⁶⁸ binnengekomen Wob-verzoek(en) worden uitgezet bij FEC-partner(s), -participanten en/of -waarnemers en dat de verzoeker(s) hierover worden geïnformeerd⁶⁹.

Het proces rondom een Wob-verzoek verloopt als volgt:

Zodra een FEC-partner of waarnemer afzonderlijk een Wob-verzoek ontvangt betreffende een FEC-aangelegenheid, dan geldt in beginsel de volgende procedure:

• Het betreffende Wob-verzoek wordt doorgeleid naar de regisseur;

• De regisseur informeert de specifiek betrokken FEC-partners en -waarnemers over het Wob-verzoek;

• De regisseur zorgt indien noodzakelijk voor (inhoudelijke) afstemming met de specifiek betrokken FEC-partner of waarnemer (in overleg met juridische zaken);

• Het Wob-verzoek wordt, binnen de gestelde wettelijke termijnen gemotiveerd afgedaan, door de partner of waarnemer die het heeft ontvangen.

Zodra de FEC-eenheid zelfstandig een Wob-verzoek ontvangt betreffende een FEC-aangelegenheid, dan geldt in beginsel de volgende procedure:

• Het betreffende Wob-verzoek wordt doorgeleid naar de meest gerede FEC-partner of waarnemer en de regisseur stelt de verzoeker hiervan in kennis;

• De regisseur informeert alle FEC-partners en -waarnemers over het Wob-verzoek;

• De regisseur zorgt voor (inhoudelijke) afstemming met de specifiek betrokken FEC-partner, -participant of waarnemer (in overleg met juridische zaken van desbetreffende organisatie);

• Het Wob-verzoek wordt, uiterlijk binnen 4 weken gerekend vanaf de dag na die waarop het verzoek is ontvangen, door de partner of waarnemer die het na doorgeleiding heeft ontvangen, gemotiveerd afgedaan.

C. Informatievragen

Het FEC is een kenniscentrum. Er is hiervoor een mailadres (fec@fec-partners.nl) beschikbaar dat via de website van het FEC (http://www.fec-partners.nl) extern is gecommuniceerd. Dit mailadres kan worden gebruikt voor algemene externe vragen. De regisseur stuurt een ontvangstbevestiging aan de vraagsteller en ziet erop toe dat de vragen worden uitgezet bij FEC-partners, -participanten, -waarnemers of medewerkers van de FEC-eenheid en/of het FEC TF analyseteam.

5. Beveiliging en compliance

De verwerkingsverantwoordelijke is gezien artikel 5 jo. 24 AVG en het Informatieprotocol FEC 2019 verplicht om passende maatregelen te treffen ter beveiliging van persoonsgegevens.

De FEC-eenheid is gehuisvest bij één van de FEC-partners of -waarnemers. Voor de verwerking van persoonsgegevens en de beveiliging hiervan wordt gebruik gemaakt van de systemen en beveiliging van de organisatie waar de FEC-eenheid op dit moment is gehuisvest.

Het FEC TF analyseteam is gehuisvest bij één van de FEC-partners of -waarnemers. Voor de verwerking van persoonsgegevens en de beveiliging hiervan wordt gebruik gemaakt van de systemen en beveiliging van de organisatie waar het FEC TF analyseteam op dit moment is gehuisvest.

De informatie-uitwisseling tussen de FEC-partners gebeurt via het beveiligde systeem ShareFile. De voortgangsbewaking van de structurele informatie-uitwisseling door de FEC-adviseurs wordt verzorgd via de ‘signalendatabase’.

Het TF-analyseteam wordt aangestuurd door de landelijk officier van justitie TF van het Openbaar Ministerie in zijn rol als gemandateerd programmaleider TF. De informatie staat op een FIOD samenwerkingsgebied dat voldoet aan het beveiligingsniveau ‘Departementaal vertrouwelijk’ en aan de informatiebeveiligingseisen die het Platform BOD-en heeft gesteld. De gebruikte analysetools en informatiesystemen worden beheerd door de FIOD.

In situaties dat er een veiligheidsincident speelt, informeert de regisseur de voorzitter van de FEC-raad, de betreffende verwerkingsverantwoordelijke en/of de FEC-raad. Indien noodzakelijk informeert de regisseur de AP en betrokkene(n).

Alle FEC-partners hebben maatregelen genomen om datalekken zo veel mogelijk te voorkomen. Als zich toch een datalek voordoet, nemen de FEC-partners zo snel mogelijk maatregelen om de gevolgen te beperken. Een datalek wordt gemeld bij de Autoriteit persoonsgegevens. Bij een datalek met mogelijk ernstige nadelige gevolgen wordt ook gemeld aan degenen van wie persoonsgegevens zijn gelekt. De regisseur is als contactpunt voor betrokkenen aangewezen en voert de coördinatie van de afhandeling van de melding. Desbetreffende FEC-partners bepalen in onderling overleg via een vastgestelde procedure of en wie de AP en eventueel betrokkenen informeert.

De hostende verwerkingsverantwoordelijke voert periodiek controles uit op de informatiesystemen bij wijzigingen in de inrichting van de techniek of de organisatie.

TOELICHTING INFORMATIEPROTOCOL FEC 2019

1. ALGEMEEN

1.1 Doel van het Informatieprotocol FEC 2019

Het Informatieprotocol FEC 2019 vervangt het Informatieprotocol FEC 2018. Het doel van het Informatieprotocol FEC 2019 is drieledig. Het Informatieprotocol formaliseert afspraken tussen de FEC-partners over de wijze waarop persoonsgegevens c.q. informatie met elkaar wordt gedeeld. Het protocol draagt bij aan een zorgvuldige verwerking van persoonsgegevens binnen de FEC-samenwerking. Dat wil zeggen dat persoonsgegevens in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze worden verwerkt. En het Informatieprotocol draagt bij aan een transparant FEC, transparantie richting de betrokkene, wiens persoonsgegevens worden verwerkt, en naar de buitenwereld.

1.2 Aard en reikwijdte van het Informatieprotocol FEC 2019

In het Convenant FEC 2014 is opgenomen dat voor een effectieve en efficiënte FEC-samenwerking het van belang is dat de FEC-partners zich committeren aan het FEC. Met inachtneming van de wet- en regelgeving stellen zij voldoende informatie, expertise en personele capaciteit ter beschikking aan het FEC. Onder FEC-samenwerking wordt verstaan: iedere samenwerking tussen de FEC-partners met de FEC-eenheid en/of het FEC TF analyseteam (dat in feite een structurele dataroom is) onder auspiciën van de FEC-raad.

Het protocol richt zich in eerste instantie uitdrukkelijk op de verwerking van persoonsgegevens door de FEC-eenheid. De focus op de verwerking van persoonsgegevens vloeit voort uit de bescherming van de belangen van betrokkenen waarover binnen de FEC-samenwerking persoonsgegevens worden verwerkt. De focus op de FEC-eenheid vloeit voort uit het feit dat het Convenant FEC 2014 de zorg voor de uitvoering van de FEC-taken opdraagt aan de FEC-eenheid in samenwerking met de FEC-partners. Ter uitvoering van deze taken vindt binnen de FEC-eenheid centrale gegevensverwerking plaats. De medewerkers bij de FEC-eenheid zijn allen tewerkgesteld of gedetacheerd vanuit de FEC-partners en zijn onder rechtstreeks gezag van de FEC-partners gemachtigd om in het kader van de FEC-samenwerking persoonsgegevens te verwerken (in de zin van artikel 29 AVG). Het Informatieprotocol bevat daarom bepalingen over de door de FEC-partners bepaalde doeleinden en middelen voor verwerking van persoonsgegevens door de FEC-eenheid en binnen het FEC TF analyseteam, toepasselijke bepalingen uit de AVG in relatie tot verwerking van persoonsgegevens door de FEC-eenheid en binnen het FEC TF analyseteam, bepalingen over het verstrekken van persoonsgegevens door de FEC-partners aan de FEC-eenheid en bepalingen over het doorverstrekken van persoonsgegevens door de FEC-eenheid aan de FEC-partners (oftewel verstrekking van FEC-partner tot FEC-partner via de FEC-eenheid en in het geval van TF via de FEC-eenheid en het FEC TF analyseteam).

De FEC-raad heeft besloten om de samenwerking op het gebied van bestrijding van terrorismefinanciering vanwege het specifieke karakter en buitengewone belang een permanent karakter te geven in de vorm van een vast programma binnen het FEC. Een belangrijk uitgangspunt voor de structurele inrichting van het programma TF is dat er gewerkt wordt met een FEC TF-analyseteam onder aansturing van de landelijk Officier van Justitie-TF als programmaleider. De programmaleider is verantwoordelijk voor operationele uitvoering, coördinatie en prioritering. De programmaleider legt verantwoording af aan de FEC-raad.

Hoewel de focus ligt op de verwerking van persoonsgegevens bepaalt het Informatieprotocol FEC 2019 dat het merendeel van de bepalingen ook ziet op de verwerking van andere gegevens dan persoonsgegevens. Uitwisseling van andere gegevens, dan persoonsgegevens, is nodig om het doel van het FEC, zoals beschreven in artikel 2 van het Convenant FEC 2014, te bereiken.

1.3 Juridisch kader

Het gaat bij informatie-uitwisseling binnen de FEC-samenwerking veelal om het uitwisselen van persoonsgegevens. Het ontvangen, (verder) verwerken en (door)verstrekken van informatie, waaronder persoonsgegevens tussen bestuursorganen, al dan niet via een samenwerkingsverband, is onderworpen aan een aantal regels. Deze regels vloeien voort uit internationale verordeningen, richtlijnen en verdragen en de Grondwet en hebben hun uitwerking gevonden in een breed scala aan (sectorale) wetten, lagere wetgeving en aanwijzingen. Dit geheel aan wet- en regelgeving vormt het juridische kader waarbinnen de uitwisseling van informatie kan plaatsvinden. Voor de FEC-samenwerking zijn de AVG en afzonderlijke wettelijke regimes van de FEC-partners relevant. Deze wetten bepalen het kader waarbinnen kan worden samengewerkt.

2. ARTIKELSGEWIJS

Paragraaf 2 Inleidende bepalingen

Paragraaf 2 bevat inleidende bepalingen die zien op de algemene doelomschrijving van het FEC, op de doeleinden van de verwerking van persoonsgegevens door de FEC-eenheid en op het gazo-principe.

Artikel 2 Doel FEC

Het FEC is tot stand gekomen vanuit de overtuiging van de FEC-partners dat door samenwerking een gezamenlijk belang wordt gediend, namelijk de versterking van de integriteit van de financiële sector. De FEC-samenwerking levert een essentiële bijdrage aan dit belang en daarmee tevens aan een goede invulling van de wettelijke taken van de afzonderlijke FEC-partners.

Het gezamenlijke doel van de FEC-partners is het versterken van de integriteit van de financiële sector door de onderlinge samenwerking tussen de partners te stimuleren, te coördineren en te vergroten door het uitwisselen van informatie en het delen van kennis, inzicht en vaardigheden (artikel 2 Convenant FEC 2014). Het FEC is daarmee een noodzakelijk platform voor samenwerking waarmee tegen bedreigingen voor de integriteit van de financiële sector adequater preventief kan worden opgetreden en repressief kan worden gehandhaafd. Een gezamenlijke aanpak maakt het tevens mogelijk om probleemgericht op te treden en een breed effect te hebben.

Uitgangspunt is dat de FEC-partners vanuit hun eigen wettelijke taakstellingen en binnen de daarvoor geldende wettelijke kaders met elkaar samenwerken. Dit betekent dat de concrete invulling van de samenwerking c.q. taken in beginsel geen vaste vorm kent, maar telkens afhankelijk is van de wettelijke mogelijkheden in het concrete geval. Het wettelijke kader is leidend ter bepaling welke FEC-partners betrokken zijn bij structurele informatie-uitwisseling of andere vorm van samenwerking in FEC-verband.

Binnen het gezamenlijk doel van de FEC-partners is een nadere specificering aangebracht voor de samenwerking op het gebied van de bestrijding van TF. Dit doel is vastgelegd in artikel 3.2 van het FEC Informatieprotocol 2019. Eventuele verdere specificering vindt plaats in het jaarplan van het FEC dat is te vinden op de website van het FEC www.fec-partners.nl.

Artikel 3.1 Doeleinden verwerking persoonsgegevens door de FEC-eenheid

De FEC-eenheid is belast met de uitvoering van de taken van het FEC. Deze taken zijn opgenomen in het Convenant FEC 2014 en worden uitgewerkt in de toelichting bij het Convenant. Artikel 3.1 van het Informatieprotocol FEC 2019 bevat een opsomming van deze taken en beschrijft vervolgens voor welke doelen, gerelateerd aan deze taken, een centrale verwerking van persoonsgegevens binnen de FEC-eenheid plaatsvindt. Deze doelen zijn conform de eisen van de AVG welbepaald en uitdrukkelijk omschreven. De rechtvaardiging van de doelen vloeit voort uit het zwaarwegend algemeen belang dat noodzaakt tot samenwerking en daarmee de noodzaak tot een centrale gegevensverwerking.

Artikel 3.2 Doeleinden verwerking persoonsgegevens binnen het FEC TF analyseteam

Artikel 3.2 bevat een opsomming van de doeleinden waarvoor binnen het FEC TF analyseteam een gezamenlijke verwerking van persoonsgegevens plaatsvindt. Deze worden waar nodig nader gespecificeerd in het FEC jaarplan dat wordt gepubliceerd op de website van het FEC. Deze doelen zijn conform de eisen van de AVG welbepaald en uitdrukkelijk omschreven. De rechtvaardiging van de doelen vloeit voort uit het zwaarwegend algemeen belang dat noodzaakt tot samenwerking en daarmee de noodzaak tot een centrale gegevensverwerking.

Artikel 4 Afstemming (Gazo-principe)

Een belangrijke voorwaarde voor de FEC-samenwerking betreft het GAZO-principe: geen actie zonder overleg. De FEC-partners hebben gezamenlijk afgesproken dat ontvangers van persoonsgegevens geen actie met deze gegevens ondernemen voordat hierover overleg is geweest en instemming is verkregen van de FEC-partners, of -participanten waarvan de persoonsgegevens oorspronkelijk afkomstig zijn. FEC-partners moeten erop kunnen vertrouwen dat geen enkele ontvanger van de persoonsgegevens ongevraagd gebruik maakt van persoonsgegevens die zijn ingebracht. Dit ongevraagde gebruik kan namelijk leiden tot onaanvaardbare risico’s waaronder publiciteitsrisico’s, risico’s voor een bestuursrechtelijk of strafrechtelijk onderzoek danwel risico’s voor de staatsveiligheid. Het GAZO-principe is daarom onverkort van toepassing op alle activiteiten die in het kader van de FEC-samenwerking plaatsvinden.

Paragraaf 3 Verstrekking aan de FEC-eenheid

Paragraaf 3 bevat bepalingen voor verstrekking van persoonsgegevens. Allereerst wordt ingegaan op de herkomst van persoonsgegevens. Daarna wordt ingegaan op het toetsmoment voorafgaand aan de verstrekking van persoonsgegevens ten behoeve van de FEC-samenwerking en aan de randvoorwaarden die daarbij gelden.

Artikel 5 De herkomst van persoonsgegevens

De beschikbaarheid van persoonsgegevens is essentieel voor het succes dat de FEC-partners met de samenwerking beogen. In beginsel worden binnen de FEC-samenwerking alleen persoonsgegevens verwerkt die afkomstig zijn van de FEC-partners. Iedere FEC-partner heeft een eigen wettelijk kader wat gaat over het verstrekken van persoonsgegevens. Verstrekking ten behoeve van de FEC-samenwerking houdt in dat, afhankelijk van de aard en het doel, persoonsgegevens aan de FEC-eenheid worden verstrekt.

Met instemming van de FEC-raad kunnen andere organisaties deelnemen aan bepaalde activiteiten van het FEC. Deze organisaties worden aangeduid als ‘FEC-participant’.

De FEC-waarnemers, het Ministerie van Veiligheid en Justitie en het Ministerie van Financiën hebben aangegeven geen persoonsgegevens aan de FEC-eenheid te verstrekken.

Artikel 6 Juridische toets en randvoorwaarden

FEC-partners verstrekken, afhankelijk van het doel, persoonsgegevens aan de FEC-eenheid. Bij het verstrekken van de persoonsgegevens toetst de desbetreffende FEC-partner of hij op grond van de voor hem toepasselijke wet- en regelgeving persoonsgegevens mag verstrekken.

Ook gelden enkele voorwaarden bij verstrekking van persoonsgegevens. Bij elke verstrekking wordt aangegeven voor welk doel of taak de persoonsgegevens worden verstrekt. Belangrijk is dat op deze manier de andere FEC-partners concreet kunnen beoordelen of zij over relevante aanvullende informatie beschikken en die ten behoeve van de FEC-samenwerking kunnen verstrekken.

De FEC-doelstelling, het versterken van de integriteit van de financiële sector en de taken zoals omschreven in het Convenant FEC 2014 bieden een ruim beoordelingskader. Er is vaak een precisering nodig. Door aan te geven voor welk doel of welke taak de persoonsgegevens worden verstrekt wordt hieraan voldaan.

Naast duiding van het doel of de taak wordt tevens expliciet aangegeven voor wie de persoonsgegevens zijn bestemd. Dit is een belangrijke randvoorwaarde. In beginsel wordt de informatie met alle FEC-partners gedeeld, maar de wettelijke verstrekkingregimes van de partners maken het niet altijd mogelijk om aan alle FEC-partners informatie te verstrekken. Daarom vindt binnen de FEC-samenwerking op maat informatie-uitwisseling plaats. De FEC-eenheid verstrekt ten behoeve van activiteiten alleen informatie aan FEC-partners wanneer de oorspronkelijk verstrekkende FEC-partner heeft aangegeven dat dit is toegestaan. Dit betekent dat niet altijd alle FEC-partners aan activiteiten deelnemen.

Paragraaf 4 Verwerking van persoonsgegevens door de FEC-eenheid

Paragraaf 4 bevat bepalingen die zien op verschillende aspecten uit de AVG die van toepassing zijn indien sprake is van centrale persoonsgegevensverwerking door de FEC-eenheid, of binnen het FEC TF analyseteam. Dit houdt in dat verschillende (deel)verwerkingen van persoonsgegevens waaraan meer dan één FEC-partner deelneemt zijn geïntegreerd en er een apart gezamenlijk bestand wordt gecreëerd waarvoor de verantwoordelijkheid niet valt toe te delen aan de afzonderlijke partner(s). Dit is bijvoorbeeld het geval bij de analyses en de analyserapporten die worden uitgevoerd en opgesteld binnen het FEC TF analyseteam. Daarnaast bevat paragraaf 4 een bepaling die gaat over het instemmingsvereiste bij doelafwijkend verwerken.

Artikel 7 Regime AVG

Op de verwerking van persoonsgegevens door de FEC-eenheid en/of binnen het FEC TF analyseteam is het regime van de AVG van toepassing. Bij de verwerking van persoonsgegevens door de FEC-eenheid en/of binnen het FEC TF analyseteam is sprake van geheel of gedeeltelijk geautomatiseerde persoonsgegevensverwerking of van een niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen⁷⁰. Het feit dat de AVG van toepassing is brengt verschillende verplichtingen met zich mee. Bovendien moet de verwerking van persoonsgegevens door de FEC-eenheid en/of binnen het FEC TF analyseteam voldoen aan de beginselen inzake verwerking van persoonsgegevens (Hoofdstuk II AVG). Deze beginselen zijn terug te vinden in het Informatieprotocol FEC 2019.

Artikel 8 Grondslagen, doelomschrijving en verenigbaar gebruik (verdere) verwerking (bijzondere) persoonsgegevens

Grondslag verwerking persoonsgegevens

Het samenbrengen van persoonsgegevens van de FEC-partners bij de FEC-eenheid en/of binnen het FEC TF analyseteam waardoor een gegevensset ontstaat, is een verwerking van persoonsgegevens. Elke bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via (gedeeltelijk) geautomatiseerde procedés is een verwerking, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.

Een verwerking (waaronder verstrekking) van persoonsgegevens moet gebaseerd kunnen worden op één van de zes in artikel 6 AVG genoemde grondslagen. De verwerkingen door de FEC-eenheid en/of binnen het FEC TF analyseteam zijn gebaseerd op de grondslag genoemd in artikel 6 lid 1 onder e AVG. De verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.

De verwerking (inclusief de verstrekkingen aan de FEC-partners) van de persoonsgegevens door de FEC-eenheid en/of binnen het FEC TF analyseteam dient een zwaarwegend belang en is noodzakelijk ter ondersteuning van de reguliere werkzaamheden en/of taken van de FEC-partners. Zonder de persoonsgegevensuitwisseling binnen het FEC-verband is een geïntegreerde, effectieve en efficiënte aanpak van het versterken van de integriteit van de financiële sector niet mogelijk.

Het noodzakelijkheidscriterium in artikel 6 lid 1 onder e, jo. 5 lid 1 onder c AVG houdt in dat voldaan moet zijn aan de beginselen van proportionaliteit en subsidiariteit. Het proportionaliteitsbeginsel houdt in dat de inbreuk op de belangen van de betrokkene niet onevenredig mag zijn in verhouding tot het te dienen doel. De persoonsgegevens dienen met het oog op dat doel toereikend en ter zake dienend te zijn en beperkt tot wat noodzakelijk is. Het subsidiariteitsbeginsel houdt in dat het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een andere, voor betrokkene minder ingrijpende wijze, kan worden bereikt. Dat wil zeggen dat er geen onevenredige inbreuken mogen worden gemaakt op de persoonlijke levenssfeer van betrokkenen en dat het doel wordt nagestreefd met de minst bezwarende maatregelen. Binnen de FEC-samenwerking wordt door de FEC-medewerkers bij de structurele informatie-uitwisseling, onder meer invulling gegeven aan het noodzakelijkheidscriterium door telkens na te gaan voor wie welke persoonsgegevens daadwerkelijk relevant zouden kunnen zijn. Indien blijkt dat een FEC-partner geen relevante betrokkenheid (meer) heeft wordt niet (langer) deelgenomen aan de betreffende verwerkingshandelingen.

Grondslag verwerking bijzondere persoonsgegevens

Gelet op de taakstelling van het FEC en de FEC-partners worden door de FEC-eenheid en/of binnen het FEC TF analyseteam strafrechtelijke en mogelijk bijzondere persoonsgegevens verwerkt. Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen mogen alleen worden verwerkt onder toezicht van de overheid of indien de verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden (artikel 10 AVG), of indien ze worden verwerkt voor zover dat krachtens artikel 32 of 33 van de Uitvoeringswet AVG (UAVG) is toegestaan. Zo mogen strafrechtelijke persoonsgegevens worden verwerkt wanneer deze zijn verkregen krachtens de Wpg of de Wjsg, of wanneer de verwerking geschiedt door en ten behoeve van publiekrechtelijke samenwerkingsverbanden van verwerkingsverantwoordelijken of groepen van verwerkingsverantwoordelijke indien dat noodzakelijk is voor de uitvoering van de taak van deze verwerkingsverantwoordelijken en bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad (artikel 33 lid 1 onder b UAVG).

Voor het FEC hebben de door de politie gemandateerde vertegenwoordiger (namens de Minister van Justitie en Veiligheid die daartoe wordt bijgestaan door de korpschef) en de directeur van de FIOD een beslissing ex artikel 20 Wet politiegegevens genomen om politiegegevens te verstrekken aan de FEC-eenheid. Die persoonsgegevens zijn daarmee door de FEC-eenheid verkregen krachtens de Wet politiegegevens. Hetzelfde geldt voor strafvorderlijke persoonsgegevens die worden ingebracht door het OM. Het OM kan slechts strafvorderlijke gegevens inbrengen wanneer is voldaan aan de vereisten uit de Aanwijzing Wjsg. Met de ondertekening van het Convenant FEC 2014 en instemming van het College van procureurs-generaal met het Informatieprotocol 2014 is hieraan invulling gegeven. Dit betekent dat strafvorderlijke gegevens die door het OM aan de FEC-eenheid worden verstrekt, op rechtmatige wijze in de centrale persoonsgegevensverwerking ten behoeve van de FEC-samenwerking kunnen worden verwerkt.

Wanneer voldaan is aan een van de voorwaarden zoals bepaald in artikel 9 tweede lid, AVG kunnen door de FEC-eenheid en/of binnen het FEC TF analyseteam bijzondere persoonsgegevens worden verwerkt. Per FEC-project of programma, waarin mogelijk bijzondere persoonsgegevens worden verwerkt, wordt een Gegevensbeschermingseffectbeoordeling uitgevoerd. Daarin wordt expliciet aangegeven op basis van welke grondslag de benodigde bijzondere persoonsgegevens verwerkt kunnen worden en op welke wijze aan de voorwaarden van artikel 9, tweede lid, AVG is voldaan.

Doelbinding

De persoonsgegevens die afkomstig zijn van de FEC-partners worden door de FEC-eenheid en/of binnen het FEC TF analyseteam verder verwerkt. Hierbij moet zijn voldaan aan het bepaalde in artikel 5 lid 1 onder b jo. 6 lid 4 AVG: persoonsgegevens mogen niet verder worden verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen. Zie ook de toelichting bij artikel 15 van dit protocol.

Artikel 9 Verwerkingsverantwoordelijke AVG

De Verwerkingsverantwoordelijke voor de persoonsgegevensverwerking wordt in artikel 4 lid 7 AVG gedefinieerd als ‘een natuurlijk persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt’.

Voor de centrale verwerking van persoonsgegevens door de FEC-eenheid en/of binnen het FEC TF analyseteam zijn de FEC-partners gezamenlijke verwerkingsverantwoordelijken (artikel 26 AVG). Iedere FEC-partner afzonderlijk is in beginsel aansprakelijk voor het geheel van de persoonsgegevensverwerkingen door de FEC-eenheid en/of binnen het FEC TF analyseteam. Dit is alleen anders, indien een FEC-partner op geen enkele wijze bij de gegevensverwerking betrokken is (geweest), bijvoorbeeld als met deze FEC-partner geen informatie is uitgewisseld. De regisseur van de FEC-eenheid is als contactpunt voor de betrokkenen aangewezen.

Artikel 10 Regisseur

Om te waarborgen dat op zorgvuldige wijze invulling wordt gegeven aan de diverse verplichtingen die de AVG voor de verwerkingsverantwoordelijke met zich mee brengt, is een regisseur aangewezen. De regisseur is het hoofd FEC-eenheid. Het hoofd FEC-eenheid heeft zicht op de werkprocessen en kan sturen op een zorgvuldige en rechtmatige verwerking van persoonsgegevens door de FEC-eenheid en/of binnen het FEC TF analyseteam. Ten aanzien van de informatie-uitwisseling en verwerkingen in het kader van de bestrijding van TF is de FEC TF programmaleiding eerste aanspreekpunt.

Artikel 11 Register van de verwerkingsactiviteiten

Elke verwerkingsverantwoordelijke en, in voorkomend geval, de vertegenwoordiger van de verwerkingsverantwoordelijke dient een register bij te houden van de verwerkingsactiviteiten die onder hun verantwoordelijkheid plaatsvinden (artikel 30 AVG). De regisseur is in dezen de vertegenwoordiger van het FEC-samenwerkingsverband, de Gezamenlijke verwerkingsverantwoordelijke. De regisseur houdt een actueel register bij van de verwerkingsactiviteiten die in FEC-verband plaatsvinden en onder de gezamenlijke verantwoordelijkheid vallen. Daarnaast beschikt ieder van de Gezamenlijke verantwoordelijke, oftewel iedere FEC-partner, over een eigen register van verwerkingsactiviteiten, waarin ieder voor de verwerkingsactiviteiten in FEC-verband verwijst naar het register dat de regisseur bijhoudt.

Artikel 12 Bewaartermijnen

De FEC-partners, FEC-eenheid en FEC TF analyseteam bewaren persoonsgegevens niet langer dan noodzakelijk is voor het doel van de gegevensverwerking. Dit komt er in de praktijk op neer dat gegevens bij de FEC-eenheid doorgaans niet langer bewaard zullen blijven dan 2 jaar nadat een signaal/dossier is afgesloten en dat deze daarna veilig worden verwijderd. Operationele informatie en (persoons) gegevens die worden verwerkt binnen het FEC TF analyseteam worden 2 jaar bewaard nadat een signaal is afgesloten en informatie m.b.t. signalen (TF-subjecten) wordt vernietigd na 5 jaar.

De afzonderlijke FEC-partners hanteren voor het bewaren en het vernietigen van gegevens de termijnen die zijn vastgelegd in selectielijsten die zijn opgesteld op basis van de Archiefwet. In deze selectielijsten staat wanneer gegevens vernietigd moeten worden en welke documenten permanent bewaard moeten blijven.

Wanneer er een wettelijke plicht tot bewaring bestaat (bijvoorbeeld op basis van de Archiefwet) of er andere dringende redenen zijn om deze gegevens te bewaren, worden de gegevens niet vernietigd. Dit kan het geval zijn wanneer dit voor historische, statistische of wetenschappelijke doeleinden nodig is.

Artikel 13 Beveiliging

Artikel 5 lid 1 onder f AVG verplicht de verantwoordelijke tot het nemen van passende technische en organisatorische maatregelen, zodat persoonsgegevens op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging.

De persoonsgegevens die (fysiek) bij de FEC-eenheid en/of het FEC TF analyseteam aanwezig zijn, moeten worden beveiligd door logische en fysieke maatregelen in en rondom de informatie zoals identiteits-en toegangsbeheer, encryptie bij opslag en verzending, vastlegging van gegevensgebruik en back-up van gegevens. Veilig omgaan met persoonsgegevens betekent ook dat gegevens veilig moeten worden vernietigd.

Organisatorische maatregelen zijn maatregelen voor de inrichting van de organisatie en deling van verantwoordelijkheden en bevoegdheden, instructies, trainingen en calamiteitenplannen. De FEC-eenheid en/of het FEC TF analyseteam geeft hier onder andere invulling aan door de volgende maatregelen:

• Een strikt autorisatiesysteem.

• Screening van medewerkers.

• Een (informatie)beveiligingsbeleid inclusief classificatiesysteem.

• Een beveiligde communicatietool (sharefile).

• Een procedure datalekken die past bij het samenwerkingsverband.

Artikel 14 Geheimhouding

Geheimhouding van de persoonsgegevens vormt een belangrijke voorwaarde voor de FEC-samenwerking. Er staan soms grote belangen op het spel. Daarom geldt de geheimhouding van persoonsgegevens voor alle activiteiten die in het kader van de FEC-samenwerking plaats vinden. Alleen wanneer dat uitdrukkelijk is bepaald mag gebruik worden gemaakt van de persoonsgegevens. Alle medewerkers die betrokken zijn bij de FEC-samenwerking zijn tot geheimhouding gehouden uit hoofde van ambt, beroep of wettelijk voorschrift en/of hebben een geheimhoudingsverklaring getekend voor de eigen organisatie.

Artikel 15 Doelafwijkend verwerken

Artikel 15 borgt dat persoonsgegevens alleen kunnen worden verwerkt voor doeleinden waarvoor de verstrekker impliciet (lid 1) of expliciet (lid 2) heeft ingestemd.

Wanneer de wens bestaat persoonsgegevens verder te verwerken op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verzameld, kan dit alleen zolang voldaan wordt aan de voorwaarden zoals bepaald in artikel 6, lid 1, juncto 23 AVG en 10 AVG jo. 32 en 33 UAVG.

Paragraaf 5 Verstrekking van persoonsgegevens door de FEC-eenheid

Paragraaf 5 bevat bepalingen die zien op (door)verstrekking van persoonsgegevens door de FEC-eenheid nadat ten behoeve van de FEC-samenwerking in het kader van de taken als genoemd in artikel 3 van het Convenant FEC 2014 een verwerking heeft plaatsgevonden.

Artikel 16 Toets voorafgaand aan de verstrekking van persoonsgegevens

Vóórdat persoonsgegevens via de FEC-eenheid worden verstrekt, of worden verwerkt binnen het FEC TF analyseteam moeten de FEC-partners, waarvan de persoonsgegevens oorspronkelijk afkomstig zijn, toetsen of de beoogde verwerking in overeenstemming is met het oorspronkelijke doel waarvoor de persoonsgegevens zijn verzameld. Deze toets vindt plaats door de oorspronkelijke inbrenger omdat deze het beste kan beoordelen of aan het doelbindingsvereiste wordt voldaan. Op grond van artikel 5 lid 1 onder b AVG mogen persoonsgegevens namelijk niet verder worden verwerkt op een wijze die onverenigbaar is met de doelen waarvoor ze (oorspronkelijk) zijn verkregen.

In artikel 6 lid 4 AVG staat waarmee in ieder geval rekening moet worden gehouden. Het betreft:

• a) ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking;

• b) het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft;

• c) de aard van de persoonsgegevens, met name of bijzondere categorieën van persoonsgegevens worden verwerkt, overeenkomstig artikel 9, en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt, overeenkomstig artikel 10;

• d) de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen;

• e) het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering.

Naast de beoordeling van de doelbinding heeft de oorspronkelijke inbrenger de mogelijkheid om een beleidsmatige toets uit te voeren. Daarbij wordt beoordeeld of de beoogde verstrekking om andere redenen op bezwaren stuit.

Artikel 17 Ontvangers persoonsgegevens

De ontvangers van persoonsgegevens die via de FEC-eenheid worden doorverstrekt zijn in beginsel alleen de FEC-partners. Voor bepaalde activiteiten kan de FEC-eenheid ook persoonsgegevens verstrekken aan derden, zoals bedoeld in artikel 1 sub 3 van het Convenant FEC 2014. De systematiek van de AVG brengt mee dat het doelbindingsvereiste (wederom) op deze verstrekking van toepassing is. Dit houdt in dat alleen ten behoeve van integriteitskwesties die de financiële sector raken informatie aan FEC-partners kan worden verstrekt. Dit wordt (marginaal) getoetst door de FEC-eenheid. Bovendien moeten de FEC-partners kunnen borgen dat de verkregen persoonsgegevens in hun organisatie daadwerkelijk alleen maar voor dit FEC-doel worden verwerkt. De FEC-partners treffen passende maatregelen om deze doelbinding te borgen. Er wordt in ieder geval een functionaris aangesteld die verantwoordelijk is voor het beheer van deze persoonsgegevens (FEC-beheerder).

Paragraaf 6 Verwerking van gegevens na verstrekking door de FEC-eenheid

Paragraaf 6 bevat bepalingen die gaan over het instemmingsvereiste bij doorverstrekking van persoonsgegevens aan derden en bij verwerking of doorverstrekking voor een ander doel.

Artikel 18 Doorverstrekking persoonsgegevens aan derden

Het kan gebeuren dat de ontvangende FEC-partner(s) ter uitvoering van zijn eigen taken (persoons)gegevens, die zijn ontvangen van de FEC-eenheid, aan een derde, niet zijnde een FEC-partner, wil (of moet) doorverstrekken. Deze FEC-partner(s) moet deze doorverstrekking toetsen aan de voor hem geldende regelgeving.

Bovendien vindt een verstrekking aan een derde alleen plaats met instemming van de FEC-partner(s) waarvan de persoonsgegevens oorspronkelijk afkomstig zijn, tenzij er sprake is van een wettelijke plicht tot verstrekking.

Artikel 19 Verwerking of doorverstrekking persoonsgegevens voor ander doel

Indien een FEC-partner van oordeel is dat ten behoeve van de uitvoering van zijn taak verwerking of doorverstrekking van de persoonsgegevens voor een ander doel, dan waarvoor de persoonsgegevens zijn verstrekt, noodzakelijk is, is om dezelfde redenen als genoemd in artikel 15 en 18 van dit protocol, instemming nodig van de FEC-partner(s) waarvan de persoonsgegevens oorspronkelijk afkomstig zijn.

Paragraaf 7 De betrokkene

Paragraaf 7 bevat de informatieplicht van de verwerkingsverantwoordelijke en de rechten van de betrokkene volgens de AVG.

Artikel 20 Informatieplicht en rechten betrokkene

Informatieplicht

Artikel 12 AVG omvat de verplichting passende maatregelen te nemen opdat de betrokkene de in de artikelen 13 en 14 AVG bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 AVG bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt. Dit is een belangrijk instrument om het persoonsgegevensverkeer transparanter te maken.

Informeren van betrokkene is niet nodig voor zover het informeren de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen. (artikel 14 lid 5 onder b AVG). Daartegenover staat dat de verwerkingsverantwoordelijke dan wel passende maatregelen neemt om de rechten, de vrijheden en de gerechtvaardigde belangen van de betrokkene te beschermen.

Voor de FEC-samenwerking is aan de informatieplicht voldaan door plaatsing van het Informatieprotocol FEC 2019 en de toelichting op de website van het FEC en op de websites van de FEC-partners. Tevens vindt publicatie van het Informatieprotocol in de Staatscourant plaats.

Rechten van betrokkene

Degene over wie persoonsgegevens worden verwerkt, heeft recht op inzage in zijn persoonsgegevens en informatie over het gebruik dat daarvan door de FEC-eenheid, het FEC TF analyseteam en de FEC-partners wordt gemaakt⁷¹. Het verzoek tot inzage kan worden gericht aan de FEC-partners en aan de FEC-eenheid. De verwerkingsverantwoordelijke beslist; dit zijn de FEC-partners gezamenlijk.

Bij een verzoek tot inzage deelt de verwerkingsverantwoordelijke binnen een maand mee of er over de betrokkene persoonsgegevens worden verwerkt, de verwerkingsdoeleinden, de betrokken categorieën van persoonsgegevens; de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, de bewaartermijn, welke rechten betrokkene heeft (voor zover van toepassing: rectificatie, wissing, beperking, bezwaar, klacht bij AP), wat de bron van de gegevens is en of er sprake is van geautomatiseerde besluitvorming.

Paragraaf 8 Slotbepalingen

Paragraaf 8 bevat enkele bepalingen van procedurele aard.

Artikel 21 Evaluatie persoonsgegevensverwerking

De werking van dit protocol en de persoonsgegevensverwerkingen die op basis van dit protocol hebben plaatsgevonden worden driejaarlijks door de FEC-eenheid geëvalueerd, als onderdeel van de evaluatie van het Convenant FEC door de FEC-waarnemers. De evaluatie omvat onder andere hoe vaak betrokkenen gebruik hebben gemaakt van hun rechten. Ook wordt onderzocht of de in het protocol genoemde rollen, zoals verwerkingsverantwoordelijke en beheerder, door de FEC-partner(s) zijn ingevuld en of het protocol in voldoende mate is geborgd in de eigen organisaties van de FEC-partner(s).

De driejaarlijkse evaluatie van het Informatieprotocol FEC 2019 wordt gevoegd bij de driejaarlijkse evaluatie door de FEC-waarnemers over de uitvoering van het Convenant FEC 2014, zoals benoemd in artikel 7 sub 2 van het Convenant FEC 2014.

Artikel 22 Overeenkomstige toepassing Informatieprotocol FEC 2019

Hoewel de focus ligt op de verwerking van persoonsgegevens bepaalt artikel 22 dat het merendeel van de bepalingen ook ziet op de verwerking van andere gegevens dan persoonsgegevens. Uitwisseling van deze gegevens is ook nodig om het doel van het FEC te bereiken. Om te verduidelijken dat de rechten en plichten uit de AVG niet van toepassing zijn op de verwerkingen van andere gegevens dan persoonsgegevens worden de artikelen uit het Informatieprotocol FEC 2019 die daarover gaan niet van overeenkomstige toepassing verklaard.

Artikel 1 sub 3 van het Convenant FEC 2014 maakt het mogelijk dat andere organisaties met toestemming van de FEC-raad deelnemen aan activiteiten binnen de FEC-samenwerking. In artikel 22 wordt bepaald dat in dat geval alle bepalingen van het Informatieprotocol FEC 2019 onverkort op deze organisaties van toepassing zijn.

Tot slot gelden de bepalingen uit het Informatieprotocol FEC 2019 ook voor FEC-waarnemers, indien zij, overeenkomstig het bepaalde in de toelichting bij het Convenant FEC 2014, deelnemen aan activiteiten van het FEC en voor FEC-participanten die conform artikel 1, derde lid, van het Convenant FEC 2014 deelnemen aan activiteiten van het FEC.

---

1 Onder bestuurlijke aanpak wordt ook fiscale aanpak verstaan.

2 Een bestand is conform artikel 4 lid 6 van de AVG: elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd of gedecentraliseerd is dan wel op functionele of geografische gronden is verspreid.

3 Artikel 4 lid 1 van de AVG.

4 Proportionaliteitsbeginsel houdt in dat de inbreuk op de belangen ban de betrokkene niet onevenredig mag zijn in verhouding tot het te dienen doel. Het subsidiariteitsbeginsel houdt in dat het doel waarvoor de gegevens worden verwerkt in redelijkheid niet op een andere, voor de betrokkene minder ingrijpende wijze, kan worden bereikt.

5 EHRM 25 februari 1997, NJ 1999, 516.

6 EHRM 25 oktober 2005, nr. 2428/05.

7 EHRM 4 december 2008, nr. 30562/04.

8 EHRM 26 maart 1987, A-116.

9 Dit zijn veiligheidsonderzoeken in het kader van de vervulling van krachtens de Wet Veiligheidsonderzoeken aangewezen vertrouwensfuncties.

10 Dit is een door de FEC-partners geaccordeerde tool waarmee via internet vertrouwelijke informatie kan worden gedeeld.

11 Wet op het financieel toezicht (Wft), Wet ter voorkoming van witwassen en financiering van terrorisme (Wwft), Wet toezicht trustkantoren (Wtt), Pensioenwet (Pw), Wet verplichte beroepspensioenfondsen (Wvb), Wet verplichte deelneming in een bedrijfstak pensioenfonds 2000 (AVGf 2000), Sanctiewet 1977, Wet toezicht accountantsorganisaties (Wta), Wet financiële verslaggeving (Wfv), Wet handhaving consumentenbescherming (Whc).

12 Relevante Europese richtlijnen zijn onder meer de Herziene richtlijn banken (2006/48/EG), de Richtlijn financiële conglomeraten (2002/87/EG), de Herziene richtlijn kapitaaltoereikendheid (2006/49/EG), de Pensioenrichtlijn (2008/41/EG), de Richtlijn betaaldiensten in de interne markt (2007/64/EG), de Richtlijn betreffende markten voor financiële instrumenten (MiFID) (2004/39/EG), de Transparantierichtlijn (2004/109/EG) en de Richtlijn marktmisbruik (2003/6/EG)

13 Artikel 1:93, lid 1, onderdeel f, Wft (laatstelijk gewijzigd bij de Wijzigingswet financiële markten 2014) noemt de Algemene Inlichtingen- en Veiligheidsdienst, de Belastingdienst, de Fiscale Inlichtingen- en Opsporingsdienst, de politie, het Bureau Financieel Toezicht, de Financiële Inlichtingen Eenheid en het Openbaar Ministerie.

14 Zie bijvoorbeeld artikel 1:90 Wft.

15 Convenant van 31 mei 2011 tussen de Stichting Autoriteit Financiële Markten en De Nederlandsche Bank NV inzake samenwerking en coördinatie op het gebied van toezicht, regelgeving en beleid, (inter)nationaal overleg en andere taken met een gemeenschappelijk belang met betrekking tot de uitvoering van de Wta, Wft, Pw en de Wvb en Verordening ratingsbureaus (Stcrt. 2011, 10191).

16 Op grond van de Sanctiewet 1977 kan geen informatie worden verstrekt aangezien het beoogde gebruik niet past in het kader van het toezicht op de financiële markt respectievelijk de pensioenwetgeving.

17 Convenant ter voorkoming van ongeoorloofde samenloop van bestuurlijke en strafrechtelijke sancties (Stcrt 2009, nr. 9).

18 Wijziging van de Aanmeldings-, Transactie-, en Vervolgingsrichtlijnen voor fiscale delicten, douane- en toeslagendelicten, Staatscourant 5 juli 2011, nr 11782, en rectificatie Richtlijnen aanmelding en afhandeling fiscale delicten, Staatscourant 20 juli 2011, nr 11782.

19 Dit staat uitdrukkelijk in artikel 43c lid 2 van de Uitvoeringsregeling AWR.

20 Artikel 1 sub 1 onder d Besluit Aanwijzing toezichthouders Wet ter voorkoming van witwassen en financieren van terrorisme

21 Mandaatbesluit Wet Politiegegevens FIOD-ECD, Stcrt. 2010, 2085. In het Mandaatbesluit wordt nog gesproken over ‘de voorzitter van het managementteam van de FIOD-ECD’. In de loop van 2011 is de benaming gewijzigd in ‘directeur’. Daarnaast is in 2010 de naam Belastingdienst/FIOD-ECD gewijzigd in Belastingdienst/FIOD.

22 Stb. 2009, 305.

23 Waar in het vervolg de verantwoordelijke voor de verwerking van politiegegevens bij de FIOD wordt genoemd, dient de gemandateerde verantwoordelijke, i.c. de directeur van de FIOD, te worden gelezen.

24 Uit de MvT blijkt dat de adviserende taak van het OM wordt uitgevoerd door de Landelijk officier witwassen bij het Functioneel Parket.

25 De bevoegde functionaris is een functionaris die door de verantwoordelijke is geautoriseerd om artikel 9 politiegegevens te verstrekken.

26 Per 1 januari 2013 is de Politiewet 2012 in werking getreden. De raad van korpschefs bestaat als zodanig niet meer.

27 Dit standpunt is in 2010 ingenomen door de Raad van Korpschefs i.o, conform het standpunt van de toenmalige registratiekamer d.d. 29 april 1997.

28 Brief aan de Tweede Kamer van 12 april 1996, Kamerstukken II, 1995/1996. 23 470, nr. 14.

29 Zie Brief van de Minister van Economische Zaken van 3 december 2004 aan de Tweede Kamer, Kamerstukken II, 2004/2005, 28 244, nr. 87.

30 Uit artikel 3 van de Wet op de bijzondere opsporingsdiensten volgt dat iedere officier van justitie als bevoegd gezag van de FIOD kan gelden.

31 Hiervan is sprake bij een voorgenomen verstrekking van artikel 9 en 10-Wpg gegevens.

32 Stcrt. 2008, nr 142

33 Wet van 16 juli 2005 tot wijziging van het Wetboek van Strafvordering en enkele andere wetten in verband met de regeling van bevoegdheden tot het vorderen van gegevens, Staatsblad 2005, 390.

34 Stcrt 2008, nr. 142.

35 Stcrt 2010, nr. 11804.

36 Een contra-indicatie is een reden om niet te verstrekken.

37 Kamerstukken II, 2002–2003, 28 886, nr.3, p.5.

38 De uitspraak van de voorzieningenrechter, sector civiel recht van de rechtbank ’s Gravenhage in kort geding op 26 juni 2009, zaaknummer 337607/KG ZA 09-616 geeft een mooi overzicht. Het betrof het verstrekken van telefoontaps met daarin gesprekken over kartelafspraken aan de NMA.

39 Aanwijzing verstrekking van strafvorderlijke gegevens voor buiten de strafrechtspleging gelegen doeleinden (2010A016), Stcrt 2010, 11804.

40 Zie de uitspraak van de Nationale ombudsman, beslissing van 21 oktober 2010, rapportnummer 2010/137 waarin het niet volgen van de voorgeschreven procedure in de Aanwijzing Wjsg wordt aangemerkt als een te lichtvaardige verstrekking van privacygevoelige gegevens. De Nationale ombudsman acht de verstrekking in strijd met de behoorlijkheidsvereiste dat grondrechten moeten worden gerespecteerd en acht de gedraging onbehoorlijk.

41 De regisseur is het hoofd FEC-eenheid.

42 Dit is in jurisprudentie bepaald en ook zo opgenomen in de Aanwijzing Wjsg.

43 Tussenuitspraak rechtbank Arnhem, 2 april 2008 (2006/06276).

44 Convenant ter voorkoming van ongeoorloofde samenloop van bestuurlijke en strafrechtelijke sancties (Stcrt 2009, nr. 9). NB wordt momenteel herzien en binnenkort AVG-proof opnieuw getekend

45 Wijziging van de Aanmeldings-, Transactie-, en Vervolgingsrichtlijnen voor fiscale delicten, douane- en toeslagendelicten, stcrt. 2011, 11782.

46 Wet van 16 juli 2005 tot wijziging van het Wetboek van Strafvordering en enkele andere wetten in verband met de regeling van bevoegdheden tot het vorderen van gegevens, Staatsblad 2005, 390.

47 Samenwerking met het OM komt ook tot uitdrukking in de aanwijzing witwassen.

48 Onder bestuursrechtelijke handhaving wordt ook fiscaalrechtelijke handhaving verstaan.

49 Het betreft met name de verbodsbepalingen uit de Wft, WHC, Wta, Wfbb 1994, Wgt, Wtt, Wvb, de PW en Wwft. De meeste van deze verbodsbepalingen zijn strafbaar gesteld in de WED. De fiscale feiten zijn strafbaar gesteld in hoofdstuk IX van de AWR.

50 Zie ook de Kabinetsnota over de uitgangspunten bij de keuze van een sanctiestelsel, 31 oktober 2008.

51 Dit geldt niet voor geheimhouders/verschoningsgerechtigde ex artikel 218 Sv.

52 Strafvorderlijke bevoegdheden zijn de bijzondere opsporingsbevoegdheden zoals genoemd in de artt. 126 g tot en met 126 ni Sv. (Stelselmatige observatie, infiltratie, pseudo koop of dienstverlening, stelselmatige inwinning van informatie, bevoegdheden in een besloten plaats, opnemen van vertrouwelijke communicatie met een technisch hulpmiddel, onderzoek van communicatie door middel van geautomatiseerde werken, vorderen van gegevens.)

53 De wet definieert niet wat een aanwijzing is. Dat is bepaald in jurisprudentie, onder andere in HR 9 maart 1993, NJ 1993, 633.

54 Dit heeft te maken met de reflexwerking ofwel de terugwerkende kracht van het nemo tenetur beginsel.

55 Relevante Europese jurisprudentie: onder andere Saunders (NJ 1997, 699) en Funke (NJ 1993, 485).

56 Dat ligt anders wanneer er sprake is van een feitencomplex waarbij de gedragingen zowel een overtreding van commune strafbare feiten als een overtreding van bijv. financiële toezichtwetgeving opleveren. Dan komen de leerstukken van een en meerdaadse samenloop aan de orde en de vraag of er sprake is van een lex specialis-verhouding. Zie de zogenaamde Mercurius-uitspraak van de HR (LJN, BE9819).

57 Een bestuurlijke sanctie is een door een bestuursorgaan wegens een overtreding opgelegde verplichting of onthouden aanspraak. Het is daarmee de overall-term voor zowel de herstelsanctie (last onder dwangsom, last onder bestuursdwang en intrekken begunstigende beschikking) als de bestraffende sanctie (bestuurlijke boete).

58 De artikelen 67o en 69a AWR zijn per 01-07-2009 vervallen. De artikelen 5:44 Awb en 243 Sv zijn in verband met de invoering van de fiscale strafbeschikking van toepassing verklaard. De invoering van deze fiscale strafbeschikking wordt medio 2011 verwacht.

59 Stcrt 2009, nr. 20351.

60 Stcrt. 2009, 9.

61 NJ 2004, 376.

62 Het Bureau Bibob voert op verzoek van bestuursorganen integriteitscreeningen uit.

63 Het gebruik van de kennis dat een FEC-partner geen informatie over een signaal heeft, behoeft géén GAZO verzoek.

64 Wanneer het GAZO-verzoek mondeling in een dataroom wordt gedaan, dan dient dat verzoek ook nog schriftelijk via ShareFile gedaan te worden.

65 Verwerking door de FEC-eenheid betekent niet dat de persoonsgegevens altijd fysiek bij de FEC-eenheid aanwezig moeten zijn. Het centrale ziet op het bijeen brengen van de gegevens met het oog op het samenstellen van een concreet gezamenlijk product, niet op de locatie waar de FEC-eenheid is gehuisvest.

66 Verzoek van een betrokkene t.b.v. het uitoefenen van zijn rechten als bedoeld in Hoofdstuk III AVG:

– Recht op inzage in de eigen persoonsgegevens;

– Recht op rectificatie of aanvulling in het geval de persoonsgegevens onjuist of onvolledig zijn;

– Recht op verwijdering van de eigen persoonsgegevens;

– Recht op beperking van de verwerking van de eigen persoonsgegevens;

– Recht op bezwaar vanwege met de voor betrokkene specifieke situatie verband houdend redenen.

67 Wanneer het FEC TF analyseteam een AVG verzoek ontvangt, zal het deze doorgeleiden naar (de regisseur van) de FEC-eenheid.

68 Wanneer het FEC TF analyseteam een WOB verzoek ontvangt, zal het deze doorgeleiden naar (de regisseur van) de FEC-eenheid.

69 Onderstaande procedure is optioneel aangezien er geen rechtsplicht voor het FEC bestaat om het Wob-verzoek door te geleiden

70 Een bestand is conform artikel 4 lid 6 van de AVG: elk gestructureerd geheel van persoonsgegevens, die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd of gedecentraliseerd is dan wel op functionele of geografische gronden is verspreid.

71 Artikel 15 AVG.