AP is kritisch op wetsvoorstel over delen van hypotheekgegevens met DNB

Een wetsvoorstel waarmee De Nederlandsche Bank de bevoegdheid krijgt om gegevens te verzamelen van hypotheekbezitters in Nederland moet scherper worden afgebakend. Dat vindt de Nederlandse privacytoezichthouder Autoriteit Persoonsgegevens.

DNB heeft gegevens van hypotheekbezitters in Nederland nodig om zijn taken uit te kunnen voeren. Maar daarvoor heeft het wel de bevoegdheid nodig. Dat moet geregeld worden met de Wet rapportage hypotheekmarkt DNB. Ook worden hypotheekverstrekkers, zoals banken, beleggers en verzekeraars, met deze wet verplicht om periodiek gegevens over klanten te delen met DNB.

Wat de AP betreft moet het wetsvoorstel op sommige punten nog aangepast worden. Zo maakt de conceptwettekst niet duidelijk dat er een verplichting is tot het pseudonimiseren van de verstrekte gegevens. Door data te pseudonimiseren is die moeilijker te herleiden naar individuele personen, zodat de privacy van burgers beschermd blijft. Volgens de AP is dat een essentiële waarborg en moet de eis van pseudonimisering in de wettekst komen te staan.

De toezichthouder merkt verder op dat DNB de hypotheekgegevens volgens het wetsvoorstel ook kan doorgeven aan DNB-afdelingen met andere taken, zoals toezichtsafdelingen. Daardoor kunnen gegevens voor een ander doel gebruikt worden dan in het wetsvoorstel staat, wat volgens de privacywetgeving niet mag. Ook daarop moet het wetsvoorstel dus worden aangepast, stelt de AP.

Daarnaast moet de bewaartermijn worden aangepast. Deze is nu vijftien jaar, maar de AP vindt dat niet goed onderbouwd wordt waarom deze zo lang is. "Het uitgangspunt moet altijd zijn dat persoonsgegevens zo kort mogelijk worden bewaard."

De AP richt het advies aan de minister Eelco Heinen van Financiën, die verantwoordelijk is voor De Nederlandsche Bank en de nieuwe wet. Het gaat om een advies. Adviezen van de AP zijn niet bindend, maar wel belangrijk. Als het kabinet zich niet aan het advies houdt, kan de AP besluiten tot een onderzoek over te gaan. Daaruit kan een boete voortkomen, of andere sancties, naast de verplichting om AVG-overtredingen te stoppen en aan te pakken.

Reacties (38)

[Littlemarc]

De DNB houdt nu al toezicht op de risico’s van deze portefeuilles.

Ze controleren de gerapporteerde waarden voor de verplichtingen en baten van alle partijen met een DNB-vergunning. Veel werk wordt ook gedaan door diverse accountantskantoren.

Ik zie ook niet waarom de DNB details moet hebben over alle hypotheekbezitters. Enige reden waarom de DNB misschien deze gegevens zou willen hebben is als ze op micro niveau simulaties willen draaien om te kijken wat er gebeurt met de spreads in stress scenario’s. Het gekke is dat ze dit ook gewoon kunnen laten doen via een DNB stress test. Ik vermoed dat ze eigenlijk willen grasduinen en vandaar de vage wet. Ver zullen ze niet komen omdat wat ze willen gewoon tegen de AVG is (ze moeten het doel kunnen onderbouwen en vage terminologie zoals liquiditeit en solvabiliteit van de hypotheekmarkt voldoet gewoon niet. Het moet veel concreter).

[Reactie gewijzigd door Littlemarc op 13 december 2024 00:48]

[deadinspace]

Ook worden hypotheekverstrekkers, zoals banken ...

Banken zijn geen hypotheekverstrekkers, banken zijn hypotheeknemers. Mensen die een huis kopen zijn de hypotheekverstrekkers.

Als je een huis koopt, dan doe je dat (meestal) met een lening van de bank. Dat is een hypothecaire lening, wat betekent dat je in ruil voor de lening de bank recht van hypotheek geeft op het huis. Recht van hypotheek wil zeggen dat de geldverstrekker eerste recht van verkoop heeft op het onderpand. Zie ook deze quote rechtstreeks van het aangehaalde Wikidia artikel:

De geldgever is de hypotheeknemer (hij verkrijgt het eerste recht van verkoop) of hypotheekhouder. De eigenaar van het onderpand (meestal de geldnemer) heet hypotheekgever.

En ja ik weet dat iedereen dit fout zegt in de dagelijkse spreektaal. Maar dit is een artikel over wetten en regels op een technische site, dan vind ik wel dat daar de correcte termen gebruikt mogen worden.

[eboellie]

"Elke partij die een hypothecaire lening kan en mag aanbieden wordt een hypotheekverstrekker genoemd." Tot die tijd, hebben alle 1000 sites en zichzelf benoemde hypootheekverstrekkers het dus fout met hun beschreven definitie?
https://duckduckgo.com/?q...verstrekker&t=ffab&ia=web

Hoe kom jij aan die andere wijsheid: "banken zijn geen hypotheekverstrekkers, banken zijn hypotheeknemers"? Kun je me een betrouwbare link geven?

Zijn banken niet zowel hypotheekverstrekkers als hypotheeknemers? Wikipedia: Hypotheeknemer

[Reactie gewijzigd door eboellie op 13 december 2024 14:22]

[deadinspace]

"Elke partij die een hypothecaire lening kan en mag aanbieden wordt een hypotheekverstrekker genoemd." Tot die tijd, hebben alle 1000 sites en zichzelf benoemde hypootheekverstrekkers het dus fout met hun beschreven definitie?

Ja.

Hoe kom jij aan die andere wijsheid: "banken zijn geen hypotheekverstrekkers, banken zijn hypotheeknemers"? Kun je me een betrouwbare link geven?

Wikipedia: Hypothecaire lening:

De geldgever, meestal een financiële instelling, is de hypotheeknemer (hij verkrijgt het recht van hypotheek: eerste recht van verkoop). De bank is dus 'hypotheekhouder'. Deze termen worden vaak ten onrechte omgekeerd gebruikt.

hypotheker.nl: Hypotheekgever en hypotheeknemer:

Je zou denken dat de woorden hypotheekgever en hypotheeknemer direct duidelijk maken wat ze inhouden. Toch is de omschrijving ervan waarschijnlijk precies omgekeerd aan datgene wat je vooraf in je hoofd had. Een hypotheekgever is namelijk degene die de woning als onderpand aanbiedt (dat ben jij dus als huiseigenaar of geldnemer).

Algemeen Nederlands Woordenboek: hypotheekverstrekker:

In het dagelijks gebruik wordt met een hypotheek nemen meestal het aangaan van een hypothecaire lening bedoeld; in juridische zin is de hypotheekgever echter degene die zijn onroerend goed in onderpand geeft en de hypotheeknemer de instelling die in ruil voor dat onderpand een lening verstrekt.

univé: Hypotheekgever en hypotheeknemer:

Laten we maar meteen met de deur in huis vallen: de hypotheekgever is niet de geldverstrekker die jou een hypotheeklening geeft.

Ik kan doorgaan, maar je snapt het punt

Zijn banken niet zowel hypotheekverstrekkers als hypotheeknemers?

Nee.

De bank is hypotheeknemer, geldverstrekker.
Jij bent hypotheekverstrekker, geldnemer.

Staat ook letterlijk in je Wikipedia-link:

Een hypotheeknemer is een geldverstrekker, bijvoorbeeld een bank, die geld uitleent aan een hypotheekgever, ...

[Reactie gewijzigd door deadinspace op 13 december 2024 15:24]

[eboellie]

Ik was er al bang voor:

je haalt hypotheeknemer en hypotheekverstrekker door elkaar.

Jouw aller eerste zin.

[Reactie gewijzigd door eboellie op 14 december 2024 12:47]

[adje123]

DNB heeft gegevens van hypotheekbezitters in Nederland nodig om zijn taken uit te kunnen voeren.

Welke taken zijn dit dan?

[wildhagen]

"Deze gegevens heeft DNB nodig om betrouwbare en actuele statistieken over de financiële sector en risicobeoordelingen op het gebied van de financiële stabiliteit te maken. De precieze gegevensset die moet worden gerapporteerd zal worden vastgelegd bij algemene maatregel van bestuur", aldus een uitleg bij het wetsvoorstel.

Het wetsvoorstel kan je hier inzien: Wet rapportage hypotheekmarkt DNB

Zie https://www.security.nl/p...hypotheekgegevens+met+DNB

[Reactie gewijzigd door wildhagen op 12 december 2024 14:49]

[The Zep Man]

TL;DR:

Deze gegevens heeft DNB nodig om betrouwbare en actuele statistieken over de financiële sector en risicobeoordelingen op het gebied van de financiële stabiliteit te maken.

Dat is een legitiem doel dat bij DNB past. Het commentaar van AP is terecht. Immers worden zulke rapportages gemaakt met geaggregeerde gegevens waarvoor tijdens aggregatie veel bijbehorende gegevens irrelevant zullen zijn. De eerste stap is dus dat aanleverende banken de gegevens voldoende pseudonimiseren. De tweede stap is dat DNB hier statistieken van gaat maken.

Terug naar de tekentafel, least data principle toepassen, en weer door.

[Reactie gewijzigd door The Zep Man op 12 december 2024 15:05]

[locke960]

Ik vraag me af waarom de DNB daar alle details van alle hypotheken voor nodig heeft.
Ik zou verwachten dat het voldoende is als de hypotheekverstrekkers zelf de gegevens over hun hypotheken aggregeren en aan de DNB sturen.

Als dat niet kan, dan moet dat wel een bijzonder gecompliceerde en gedetailleerde analyse zijn.

[bilgy_no1]

Precies. DNB wil iets, maar dat maakt het niet per se noodzakelijk.

DNB moet toezicht houden op het bankenstelsel. Die banken verstrekken hypotheken en moeten daarvoor bepaalde regels toepassen. De controle daarop geschiedt door accountants die de cijfers van de bank auditen. Er hoeft dus helemaal niets van de hypotheekgegevens naar DNB.

[Arjant2]

Sorry maar een accountant audit dit soort gegevens niet op deze manier. Een accountant geeft een oordeel over de jaarcijfers van een bank/verzekeraar etc. Die geven geen oordeel over de hypotheken zelf. DNB voert hele andere (risico)analyses uit, dat is dan ook de taak van DNB als toezichthouder, dat is geen taak van een accountant.

[bilgy_no1]

Ik weet niet of je ooit door accountants bent ge-audit, maar dat gaat heel diep.

De risico-analyses die DNB doorvoert zijn gebaseerd op cijfers die banken aanleveren. Daarvoor hoeft DNB echt niet de gegevens van de individuele hypotheken te hebben.

[Arjant2]

Ik ben 7 jaar zo een controlerend accountant geweest en werk nu bij een bedrijf dat onder toezicht staat van DNB. Dus ik denk dat ik prima weet waar ik het over heb

[Arjant2]

Ik probeer het nog 1 keer.
Een accountantsverklaring heeft als doel achteraf een oordeel te geven over een financiele verantwoording.
DNB heeft oa als (wettelijke) taak de financiele stabiliteit van banken te bewaken en de risicos voor het gehele financiele systeem beheersbaar te houden. Dit is niet een taak van een accountant en een accountantscontrole is hier niet geschikt voor.
Jij beweert dat dit de taak is van een accountant en niet van DNB. Feitelijk onjuist.
Welke informatie DNB wel of niet nodig heeft voor het uitoefenen van haar taak daar zijn vast onderbouwingen voor. Maar het argument dat de accountant dit doet is onjuist en staat volledig los van DNB.

[Reactie gewijzigd door Arjant2 op 13 december 2024 00:41]

[bilgy_no1]

Nee, ik beweer niet dat toezicht houden hetzelfde is als de financiële controle.

Ik beweer dat toezichthouden niet vereist dat de de toezichthouder altijd alle basisgegevens van de administratie nodig heeft.

De toezichthouder zal uitgaan van bepaalde rapportages. Er moet dan vertrouwen zijn dat die rapportages materieel correct zijn. Dat is waar de accountant, met de jaarlijkse audit en eventueel vaker voor specifieke redenen of projecten, in het spel komt.

[WillySis]

Het doel is legitiem (al kan je er over discussiëren of het wel noodzakelijk is), echter de gegevens kunnen i.p.v. gespeudomineerd net zo goed geatomiseerd worden. Met de huidige informatie die op internet te vinden is en databases die her en der te koop zijn, geven pseudoniemen niet heel veel bescherming. Voor het doel waarvoor de gegevens nodig maakt het eigenlijk geen verschil.

[The Zep Man]

Het doel is legitiem (al kan je er over discussiëren of het wel noodzakelijk is), echter de gegevens kunnen i.p.v. gespeudomineerd net zo goed geatomiseerd [sic] worden.

DNB haalt deze gegevens op uit meerdere bronnen, zodat die zelf binnen de houdbaarheidsdatum van deze gegevens analyses kan uitvoeren. Voor een goede analyse is het dus nodig om tot het niveau van een individuele verzekering iets te zeggen. Anonimiseren is hierom lastig en misschien zelfs onmogelijk.

[AceAceAce]

Typo? Geanonimiseerd bedoel je?

[Kroesss]

"DNB heeft gegevens van hypotheekbezitters in Nederland nodig om zijn taken uit te kunnen voeren."

Ik mis volgens mij in het artikel welke taken ze uit moeten voeren waarbij ze dergelijke gegevens nodig hebben. Dat zou voor mij wel belangrijke context zijn bij dit nieuws.

[Zer0]

Een van de taken van de DNB is erop toe te zien dat financiële instellingen, waaronder banken, verzekeringsmaatschappijen en pensioenfondsen, voldoende vermogen hebben om aan hun verplichtingen te voldoen en een solide en integere bedrijfsvoering hebben.
Hypotheken kunnen daar een onderdeel van zijn, in de kredietcrisis van 2007 speelden die een belangrijke rol.

[bilgy_no1]

Ho even. De banken worden door hun accountants helemaal doorgelicht op zaken als solvabiliteit en compliance. Dus ook voor het volgen van de regels bij hun hypotheekportefeuille.

Gaat DNB dat allemaal nog eens dubbel doen? Dat is echt niet de taak van DNB. Pas als een bank cijfers rapporteert die buiten de normen vallen moet er verscherpt toezicht komen. Dan nog hoeven die individuele gegevens niet naar
DNB.

[Arjant2]

Dit is dus pertinent niet waar.
Primaire taak van toezicht op banken en verzekeraars ligt bij DNB niet bij accountants.

En een accountant die een jaar later eens naar de cijfers komt kijken is natuurlijk veel te laat. DNB monitort banken op een maandelijkse basis.

[Reactie gewijzigd door Arjant2 op 12 december 2024 23:00]

[bilgy_no1]

Toezicht houden is iets anders dan een volledig boekenonderzoek doen.

[Arjant2]

Een accountantscontrole houdt zich niet bezig met de taken van DNB. Hoewel er raakvlakken zijn houdt een accountant zich bezig met het achteraf controleren van een jaarrekening.
Het is niet de taak van een accountant om toezicht te houden op de hypotheek verstrekking en de risicos die daarbij van toepassing zijn. Dat is de taak van DNB.

[bilgy_no1]

De accountant doet meer dan dat. Die controleren ook op compliance met IFRS en andere policies. Daar hoort ook bij dat de auditors steekproefsgewijs kijken of hypotheekdossiers kloppen en of de juiste procedures zijn gevolgd.

De kwartaalrapportage wordt volgens dezelfde principes opgesteld en het zou me niet verbazen als ook daarbij externe accountants al worden betrokken om de workload voor de jaarrekening te verspreiden (ook al wordt de kwartaalrapportage niet formeel ge-audit).

Banken moeten ongetwijfeld rapporten aanleveren bij DNB. Maar dat is wat anders dan dat DNB individuele dossiers moet gaan controleren.

[Arjant2]

Nogmaals.
Een accountant controleert een financiele verantwoording, in dit geval jaarlijks.
DNB is in Nederland wettelijk belast met het toezicht op banken, primair ligt daar dus de wettelijke verantwoordelijkheid, ook als vergunningverstrekker.
Een accountant werkt niet voor de overheid maar voor het maatschappelijk verkeer.
Zoals ik eerder schreef zitten er overlappingen in controles (en ja ik weet hoe accountants werken en aan welke standaarden ze zich houden en hoe ze hun controles inrichten) maar het doel van beide is anders.

[jpfx]

Ok, maar dan zou zeggen dat de openstaande hypotheken voldoende ziy zijn? Daar is gedetailleerde info over de individuele hypotheek nemer niet nodig, of mis ik daar iets.

[Robbaman]

Wat ik niet helemaal snap is dat het nieuwe wetsvoorstel iets regelt, maar dat binnen dat NIEUWE voorstel iets kan wat "gegevens voor een ander doel gebruikt worden dan in het wetsvoorstel staat, wat volgens de privacywetgeving niet mag."

Maar als het volgens een andere wet al niet mag, dan hoeft deze wet het toch niet NOG een keer te zeggen.

De wet die bepaalt dat ik belasting moet betalen zegt immers ook niet nog een keer expliciet dat ik het geld om te betalen niet mag stelen... dat stond al in een andere wet.

[Faalkoning]

Waar ik denk dat ze op doelen is dat dit wetsvoorstel het heeft over het delen van Data voor het maken van Statistieken terwijl er ook in zou moeten staan dat dit mag voor het toezicht houden op de financiële markt.

Er staat namelijk in de AVG dat informatie alleen verwerkt mag worden vanwege o.a. dat de wet dat zegt.

[ronaldvr]

En dat 'pseudonimiseren' moet dan ook wel goed gebeuren:
“Anonymized” data really isn’t—and here’s why not

in 2000, she showed that 87 percent of all Americans could be uniquely identified using only three bits of information: ZIP code, birthdate, and sex.

Such work by computer scientists over the last fifteen years has shown a serious flaw in the basic idea behind "personal information": almost all information can be "personal" when combined with enough other relevant bits of data.

That's the claim advanced by Ohm in his lengthy new paper on "the surprising failure of anonymization."

[CAPSLOCK2000]

Wat de AP betreft moet het wetsvoorstel op sommige punten nog aangepast worden. Zo maakt de conceptwettekst niet duidelijk dat er een verplichting is tot het pseudonimiseren van de verstrekte gegevens. Door data te pseudonimiseren zijn ze moeilijker te herleiden naar individuele personen, zodat de privacy van burgers beschermd blijft. Volgens de AP is dat een essentiële waarborg en moet de eis van pseudonimisering in de wettekst komen te staan.

De toezichthouder merkt verder op dat DNB de hypotheekgegevens volgens het wetsvoorstel ook kan doorgeven aan DNB-afdelingen met andere taken, zoals toezichtsafdelingen. Daardoor kunnen gegevens voor een ander doel gebruikt worden dan in het wetsvoorstel staat, wat volgens de privacywetgeving niet mag. Ook daar moet het wetsvoorstel dus worden aangepast, stelt de AP.

Goede punten, zonder anonimisering vrees ik voor "feature creep". Dan redeneert men "we hebben de data nu toch al, dan kunnen we die ook wel voor andere zaken gebruiken". Een bekend voorbeeld zijn de snelheidscamera's langs de weg. Die zijn er ooit gekomen omdat ze alleen maar snelheidsovertreders zouden filmen, maar in een aantal stappen zijn we nu zo ver dat ze permanent iedereen op de snelwegen filmen en alle nummerborden gecontroleerd worden. Dat is niet waar die camera's oorspronkelijk voor zijn opgehangen, maar ja, als je de informatie verzamelt is het zonde om er niks mee te doen, was de redenatie (https://www.startpagina.n...-bij-opsporing-criminelen). Ik geloof helemaal dat de politie goede bedoelingen heeft, maar juridisch vind ik het geen nette gang van zaken.

Hetzelfde gebeurt tussen de politie en de belastingdienst. De belastingdienst heeft toegang tot gegevens die de politie niet verzamelen maar tegenwoordig gaat de politie die gegevens dus bij de belastingdienst halen (https://www.amlc.nl/opvra...ngdienst-door-de-politie/). Als we willen dat de politie toegang heeft tot dat soort gegevens dan moeten we het goed regelen, niet via een juridische omweg.

Diezelfde twijfel voel ik hier. De DNB verzamelt gegevens die noodzakelijk zijn voor de taak van de DNB maar als die niet goed geanonimiseerd worden is de drempel om die data ook voor andere doelen in te zetten te laag. Nogmaals, ik zeg niet dat diensten als de politie dit soort data niet mogen hebben, alleen dat we het netjes moeten regelen en dat gaat beter als de binnendoorweggetjes bijvoorbaat worden afgesloten.

[Reactie gewijzigd door CAPSLOCK2000 op 12 december 2024 16:20]

[CodeCaster]

Gegevensdeling = privacy = tech = interessant. Het kan niet alleen maar over Cybercucks gaan.

[Silentek]

Eens, als iemand die in de IT werkt met voornamelijk persoonsdata en dus elke dag de AVG tegenkomt: ja dit is altijd interessant.

[Vipertje]

Ben door Reddit inmiddels bekend met de cuckstoel, maar van een cybercuck heb ik dan nog nooit gehoord