Directie Bitvavo had 'jarenlang' toegang tot data van klanten

De directie van de Amsterdamse cryptovalutabeurs Bitvavo had tot het voorjaar van 2024 toegang tot gegevens van klanten, meldt Het Financieele Dagblad. Zij kon volgens de krant 'jarenlang' persoonlijke gegevens en rekeningen van klanten inzien.

Bitvavo bevestigt tegenover Het Financieele Dagblad dat de directie tot het voorjaar van 2024 klantdata kon inzien. Dat was volgens een woordvoerder nodig, omdat de directie meehielp met het registreren van nieuwe klanten en het beantwoorden van vragen. Bitvavo was toen een 'veel kleiner' bedrijf, zegt de woordvoerder. Onder meer Gerrit-Jan Zwenne, advocaat en hoogleraar privacyrecht aan de Universiteit Leiden, zet vraagtekens bij die werkwijze: "Het is, met het oog op de bedrijfsomvang en -groei, misschien handig om de directie allerlei toegangsrechten te geven, maar dat staat wel op gespannen voet met de wet."

Mark Nuvelstijn, die afgelopen zomer aftrad als ceo van Bitvavo, suggereerde in WhatsApp-berichten aan de inmiddels veroordeelde beleggingsfraudeur Max R. dat hij inzage had in klantgegevens. In 2022 vroeg de voormalige Bitvavo-topman aan een toenmalig medewerker van R. om diens achternaam, omdat hij iets moest opzoeken voor R., die een account bij Bitvavo zou hebben. Nuvelstijn zegt via een woordvoerder tegen Het Financieele Dagblad dat uit de chats niet blijkt dat hij de systemen ook echt inkeek en stelt alleen 'in algemene zin' hulp te hebben aangeboden.

Bitvavo begon na het vertrek van Nuvelstijn met een integriteitsonderzoek naar de oud-ceo, uitgevoerd door advocatenkantoor Stibbe en accountants van PwC. Zij onderzoeken ook of Nuvelstijn zich aan de privacyregels hield, bevestigt Bitvavo. De Autoriteit Persoonsgegevens zegt in algemene zin dat bedrijven 'controles moeten aanscherpen als zij een ongeoorloofde poging tot data-inzage constateren'. De organisatie gaat niet in op specifieke zaken.

Reacties (45)

[Yzord]

Niet om het een of ander, maar je bent een 'bank' of iets dergelijks, dan moet je toch ook inzage kunnen hebben in de producten die je je klanten aanbiedt? Even buiten beschouwing gelaten of je er in mag neuzen of niet, maar lijkt het mij logisch dat je er als aanbieder ook de inhoud ervan kan zien toch? Das toch niet zo vreemd?

[laurxp]

Als bank wel, als directie niet.

De directie hoort zich bezig te houden met het besturen van het bedrijf. Ze zijn geen fraudebestrijders, dus hebben ze niks te zoeken in de transactiegegevens van klanten. Ze zijn geen servicedeskmedewerkers, dus hebben ze niks te zoeken in de NAW-gegevens van klanten. Ze zijn geen programmeurs, dus hebben ze niks te zoeken in de broncode.

Directie toegang geven tot klantgegevens is hetzelfde als een helpdeskmedewerker toegang geven tot de nog niet gepubliceerde jaarcijfers: het is compleet overbodig, en het kan alleen maar voor problemen zorgen. Onderdeel van een goede bedrijfsvoering - helemaal in de financiële sector - is dat iedereen toegang heeft tot wat nodig is om zijn werk te doen, maar niets meer dan dat.

[Concept8]

Zo zwart wit kun je het niet stellen volgens mij. Er zijn twee uitersten: in een grote corporate is het logisch dat iedere rol strak afgekaderde verantwoordelijkheden en bijpassende toegang heeft. En aan de andere kant is het bij een one-man-show, met één persoon die de directeur is, de financiën doet en ook de ontwikkeling logisch dat die persoon alles nodig heeft en toegang heeft tot alles.

Voor bedrijven tussen die twee uitersten hangt het dan toch volledig af van de rolverdeling, waarbij er lang niet altijd de luxe is om voor elk stukje een apart persoon te hebben? Als iemand directietaken heeft en developer is of de developers aanstuurt, heeft die dus ook toegang tot de broncode. Als iemand met directietaken soms bijspringt op customer support is daar ook klantdata voor nodig.

Daarnaast is een directeur of bestuurder eindverantwoordelijk voor alles. Dat wil niet zeggen dat die met zijn/haar vingers in alles moet zitten, liever niet zelfs, maar helemaal uit te sluiten dat diegene wel eens ergens bij moet is het ook niet.

[Wouterie]

'de directie' is een afdeling binnen een bedrijf die zich in principe niet inhoudelijk het werk uitvoert. Dus de directie van Ajax staat zelf niet op het veld te voetballen. De suggestie die wordt gewekt door Het Financieele Dagblad is dat er sprake was van afdelingen en afgebakende werkzaamheden en verantwoordelijkheden, maar dat de directie alsnog overal met de neus inzat.

Je kunt je afvragen of de organisatie echt zodanig in elkaar zat. Mijn buurman heeft een onderneming en is daar eigenaar/directeur maar meteen ook de werkvoorbereider, planner en doorgaans staat hij zelf als eerste op de werkvloer 's ochtends. Op papier is het natuurlijk niet de bedoeling dat de directeur koffie staat te leuten met een klant terwijl de verf staat te drogen... Maar in de praktijk komt het vaker voor dan meneer Zwenne denkt.

Echter hebben we hier wel te maken met een financiële instelling en daar zijn wat andere regels van toepassing. Ik kan me voorstellen dat er wel degelijk een scheiding in toegang moet zijn zodra de rollen en afdelingen zijn gedefinieerd.

[B Tender]

EDIT
nvm

[Reactie gewijzigd door B Tender op 15 oktober 2025 16:45]

[MSalters]

Dit was een crypto bedrijf, geen financieel bedrijf. Zeker destijds was dat vergelijkbaar met de handel in Pokemon kaarten: waardevol, misschien, maar geen financieel produkt in de AFM zin van het woord.

[Patriot]

Toch ben ik ergens wel benieuwd of, en zo ja wat voor, wettelijke regels hier zijn overtreden. Ik heb geen ervaring in de financiële sector, maar over het algemeen (dwz niet in gevoelige sectoren zoals overheid, geneeskunde, financiën) ben je als bedrijf best wel vrij om zelf invulling te geven aan wat voor toegang mensen met een bepaalde rol hebben. In kleine bedrijven kom je nog steeds grotendeels weg met "iedereen kan overal bij," als je dat maar documenteert als gehanteerde werkwijze. In die zin maak je een heleboel van de regels die je moet volgen gewoon zelf, als de regel is dat de directeur een ondersteunende rol heeft voor (sommige) klanten en daarom in staat moet zijn om bij klantgegevens te kunnen dan kan dat in het kader van bijv. een ISO 270001.

Ik kan me voorstellen dat er aanvullende (en strengere) regels zijn in de financiële wereld, tegelijkertijd vind ik het dubieus om te geloven dat ergens heel concreet is opgenomen dat een directielid geen klantgegevens zou mogen inzien.

[bzuidgeest]

Dat slaat denk ik nergens op. De directie is "eigenaar" van alles wat het bedrijf doet. Als de directie naar de code van zijn programmeurs wil kijken of zelfs mee rommelen is dat hun recht. Waarom niet? Ze betalen hun personeel om die code te maken. Het is van het bedrijf.

Als een directeur wil weten hoe zijn servicemedewerkers klanten behandelen en daar over schrijven dan mag de directeur in het servicesysteem. Erger nog. Rapportages op die systemen met drill down en alles zijn de normaalste zaak.

En transactie gegevens van klanten van een bank... Ja daar kan ik zo even geen dagelijkse reden voor verzinnen. Maar als jij als directeur met een miljoenen klant praat over een lening vind je het wellicht wel prettig om even die persoon zijn financiele staat te bekijken.

Dat laat nog mkb buiten beschouwen waar een persoon prima meerdere rollen kan hebben. Directeur, servicemedewerker etc. Als ZZP-er ben je alle rollen zelfs.

[arjankoole]

Het artikel stelt dus duidelijk dat het potentieel op gespannen voet staat met de wet.

Aldus een hoogleraar en advocaat.

Daarom wordt het ook onderzocht. Want nee, de directie is niet zonder meer eigenaar. En nee, ook de eigenaar van iets mag niet zomaar alles doen met bepaalde dingen. Zeker een bank dient niet alleen haar eigen belangen, maar ook die van haar klanten te behartigen, en volgens mij zijn daar wel wat stevige regels voor.

[bzuidgeest]

Het woord dat belangrijk is, is potentieel. Het is helemaal nog niet gezegd of het een probleem is. Vele hier nemen maar aan dat het zo is. Maar de theoretische werkelijkheid van een hoogleraar, die ook nog eens een slag om de arm houd, is nog wel eens anders in de echte wereld. Zoals ik al aangaf kan het gewoon als een persoon meerdere petten opheeft. Het is niet verboden om naast directeur ook servicedesk medewerker te zijn.

Ja banken en zo zitten met extra strenge regels, maar we moeten dus nog zien of die overtreden zijn.

[sympa]

In de "echte wereld" is de data (en het geld!) van de klanten, en dus niet van de directeur. De broncode nalopen? Geen idee of hgeet handig is, maar het mag.

De klantgegevens doorneuzen? Dat mag niet. Een geanonimiseerd rapport bekijken? Dat mag wel.

[Wouterie]

Dat klopt. Als ze als zodanig die rollen en afdelingen hadden gedefinieerd dan moeten ze voldoen aan de eventuele wet- en regelgeving op dat gebied. Echter kan ik me voorstellen dat het met een klein team niet zo gek is dat de directeur meerdere petten op heeft.

[Jester-NL]

Laten we het even hebben over een ziekenhuis, waar jij patiënt bent.

natuurlijk zijn er allerlei artsen en verpleegkundigen die toegang (moeten) hebben tot jouw patiëntgegevens. Maar kun jij je 1 situatie voorstellen waarbij de directie toegang moet hebben tot jouw gegevens?

Ik neem aan dat je hier tot de conclusie komt dat die situatie niet bestaat.
Dan trekken we dat nu door naar een bank. Ook daar geldt dat de directie niets van doen heeft met jouw hypotheekaanvragen, of je leningen en spaargeld... toch?
Dan hebben we daar het antwoord

En ja... dat geldt (natuurlijk) ook voor cowboy-geld als bitcoins. De directie heeft daar geen inzicht in te hebben.

[Rovig]

Die kan ik me wel voorstellen. Als de directeur naast zijn functie als directeur ook een functie van arts bekleed. Precies de situatie die Bitvavo ook aandraagt...

[bzuidgeest]

Maar kun jij je 1 situatie voorstellen waarbij de directie toegang moet hebben tot jouw gegevens?

Makkie. bij een rechtzaak tegen het ziekenhuis omdat er fouten gemaakt zijn bijvoorbeeld. Of vanwege een andere soort misstand. Of het vermoeden daarvan. En Zoals @Rovig al stelt, wanneer de directeur ook een arts is. Of wil zien wat voor resources bij verschillende handelingen worden ingezet....

En ga zo maar door. Gebrek aan voorstellingsvermogen bij jou betekent niet dat er geen redenen zijn :)

[bussie66]

Als de directeur ook nog chirurg is?

[Wouterie]

Wat nou als het een specialistische kliniek is waarbij de eigenaar (directeur?) meteen ook de arts is? Je ontkomt er niet aan in geval van een kleine onderneming met een klein team, dat er meerdere rollen en verantwoordelijkheden zijn belegd bij meerdere mensen.

Of mijn hypotheekadviseur die een eigen onderneming heeft. Hij is mijn adviseur, maar hij is ook de directeur van zijn ondernemingen.

De vraag blijft wanneer een bedrijf zo groot is dat er echt een 'scheiding der machten' nodig is en ook wetmatig wordt afgedwongen. Ik kan me voorstellen dat de wet niet vereist dat je minstens 5 man in dienst moet hebben zodra je een financiële onderneming start.

[xtlauke]

Als board member heel goed je klanten en hun gebruik van jouw service/product willen leren begrijpen. Ja, daar zijn ook andere methodes voor, door anderen rapportjes en zo te laten maken. Maar ja, hier kun je nog wel een discussie over voeren.

Ondanks dat ik voorstander ben van een goede AVG en opvolging daarvan, denk ik allicht net als sommigen anderen hier: als je de directie al echt niet kan vertrouwen met inzicht in jouw gegevens, wat kan je dan wel nog bij dergelijke organisatie doen. Uiteraard zijn er ook situaties voor te verzinnen waardoor je dit alsnog niet zou willen, waardoor je kan stellen dat het niet by default mogelijk zou moeten zijn.

[Reactie gewijzigd door xtlauke op 15 oktober 2025 16:17]

[B Tender]

Laten we het even hebben over een ziekenhuis, waar jij patiënt bent.

Hangt ervan af wat de omvang van het ziekenhuis is. Als het een privékliniek (is dat uberhaupt een ziekenhuis naar de klassieke definitie van die term vraag ik me nu af, maar dat terzijde) is waar de directeur ook eigenaar is en zelf (als enige) operaties doet en er naast hem/haar nog hooguit 10 FTE rondwandelen lijkt het met ZEER wenselijk dat hij m'n dossier kan inzien.

Men legt denk ik onterecht meteen de relatie (bitcoin)bank = megagroot bedrijf met honderden werknemers danwel ziekenhuis = megagroot.

[Reactie gewijzigd door B Tender op 15 oktober 2025 16:49]

[DeCo]

De directie mag dat dus blijkbaar niet, alleen de desbetreffende afdeling.

[bwerg]

En wat als de persoon die in de directie zit ook op de desbetreffende afdeling werkt?

[Game_overrr]

Het lijkt er op dat de nuance ligt op: "Directie".

[supersnathan94]

Tot op bepaalde hoogte.

Je kunt bijvoorbeeld in je rol als support wel het type producten wat wordt afgenomen inzien, maar niet zomaar wat er dan mee gedaan wordt en hoe.

Op een gegeven moment moet je dan hogerop gaan.

Al blijkt alleen wel dat bijvoorbeeld ICS support erg ver kan gaan en in principe op transactie details op kan zoeken.

Maar als je goede audit logs hebt en je daar ook actief op monitort kun je wel precies zien of dat er ook daadwerkelijk alleen gebruik wordt gemaakt van de data als dat nodig is.


Maar Bunq is hier bijvoorbeeld ook al eens op betrapt (ook door een medetweaker) dat ze dat niet goed doen. En in de meische wereld is het ook gewoon schering en inslag met BN-ers. Vind ik ook erg zorgelijk.

[yinx84]

Als iemand die bij een bank werkt... dat heet rekeninggluren. Daar wordt strak op geaudit. Als je geen bevoegdheden hebt word je daar hard op afgerekend.

[Mathi159]

Het bedrijf heeft zeker inzage, maar dat zou gelimiteerd moeten zijn tot waar dat nodig is. De directie die direct inzage hebben tot willekeurige bankrekeningen hoort niet in dat rijtje

[Orangelights23]

Principle of least privilege. Oftewel: dit had nooit moeten gebeuren.

[Reactie gewijzigd door Orangelights23 op 15 oktober 2025 15:36]

[Lieftalig]

Wanneer de directie ook uitvoerend is, is het niet heel gek. Veiligheidshalve is dit natuurlijk heel intens.

[bzuidgeest]

Dan moet ZZP-er wel het spannendste op de wereld zijn voor jou. 1 persoon met alle petjes op. :)

[Bor]

Een ZZP-er is doorgaans geen directie van een cryptovalutabeurs die onder wet- en regelgeving valt. Dit is een scheve vergelijking / onnodige opmerking. En ja, een eenmans zaak is vanuit veiligheidsoogpunt uitdagend. Niet voor niets zijn zaken als functie- en taakscheiding normaal in grotere organisaties.

[Reactie gewijzigd door Bor op 15 oktober 2025 17:07]

[sympa]

Als ZZPer is het juist niet zo spannend, want de kans is klein dar er ongemerkt een beroemdheid bij jou klant wordt.

[1Mark]

een CEO is uitvoerend. De E staat voor 'executive'

[fRiEtJeSaTe]

Iedere directeur heeft toegang tot klantgegevens. Is het niet direct, danwel indirect. Het probleem is niet dat hij het kan, maar dat hij er gebruik van maakt voor persoonlijke doelen.

[laurxp]

Iedere directeur heeft toegang tot klantgegevens. Is het niet direct, danwel indirect.

Het probleem is nou juist die directe toegang. Als ze er bij moeten en dus een geldige reden hebben, dan kunnen ze het prima doen via de officiële kanalen. Je geeft toch ook niet de CEO lokale adminrechten, puur en alleen omdat hij de ITers zou kunnen ontslaan als ze weigeren om Candy Crush te installeren?

Juist met zulke directe toegang en informele kanalen maak je je bedrijf vatbaar voor CEO-fraude. Het is nergens voor nodig, dus waarom zou je jezelf kwetsbaarder maken dan noodzakelijk?

[bzuidgeest]

Als de directeur local admin rechten (oid) wil hebben kan die deze van mij per direct krijgen. Natuurlijk met een advies dat het zeer onverstandig is, maar buiten dat is het hebben van die rechten niet strafbaar. De directeur kan niet om iets strafbaars vragen, maar al het andere is een optie. Het is zijn bedrijf, ik ben zijn personeel. Aangenomen om zijn (legale) wensen uit te voeren.

Ja je word er kwetsbaar van, daarom geeft je negatief advies bij zo een vraag. Maar uiteindelijk krijgt een directeur zijn zin als hij er om vraagt. Hij of zij kan advies negeren.

[Wouterie]

Dat kan, maar ik ken genoeg kleine bedrijfjes waarbij de oprichter ook directeur is en het klantenbestand in eerste instantie heeft opgebouwd etc. En ook waar de directeur persoonlijk alle computers heeft geplaatst, geïnstalleerd en onderhoudt.

[satoer]

Tja... Ik ben eens gebeld door een medewerker van de Rabobank. Ze had mijn betaalrekening geanalyseerd en tot de conclusie gekomen dat ik daar ook wel eens zakelijke transacties op gedaan werden. Dat klopte (met maar een paar factuurtjes per maand heb ik nooit de moeite genomen om daar een zakelijke rekening voor te openen). Maar dat betekende ook dat niet eens bankdirecteuren, maar zelfs de gewone Rabobank medewerker gewoon door al mijn transacties kan zitten spitten. Als ze een of andere crypto exchange hier op aanspreken, mogen ze de gewone banken ook wel even onder de loep leggen.

[arjankoole]

Banken moeten dit doen. want ze hebben een wettelijke plicht om fraude en witwassen te bestrijden.

het meeste hiervan gebeurt volautomatisch. Pas als het opvalt (en dat is niet met 2 transacties) gaan ze echt kijken.

In jouw gevallen trokken ze een wenkbrauw op, spendeerden een belletje, en vinkten het vervolgens af als koosjer, denk ik. (hoop ik voor je).

[satoer]

Dit was zo goed als zeker geen automatisch verhaal. Waarschijnlijk meer uit rancune. Zie mijn reactie op Bor hieronder.

[Bor]

Een gewone bank medewerker gaat niet even "door al jouw transacties zitten spitten". Alles wat ze doen wordt gelogged. Waarschijnlijk ben je gewoon uit een geautomatiseerde controle komen rollen. De bankwereld is sterk gereguleerd en onderhevig aan strenge wet- en regelgeving. Dat zou voor een cryptoexchange ook moeten gelden.

[satoer]

Okay, ik zal dan wel het gehele verhaal vertellen. Het begon met onze gezamenlijke rekening. Op deze rekening kunnen we niet rood staan. Maar het gebeurde dus wel eens dat ik vergat geld er op te storten waardoor er geen afschrijvingen van gedaan konden worden. Helemaal prima, als er geen genoeg geld op staat, dan is dat vervelend maar verder logisch dat een afschrijving niet gedaan kan worden. Wat de Rabobank echter gedaan had is de gehele rekening blokkeren. Je zou verwachten dat als er weer geld op gestort zou worden (wat ik gedaan had), er gewoon weer afschrijvingen gedaan konden worden. Nou dat bleek niet het geval. Ik bellen met de Rabobank, en de medewerker vertelde mij doodleuk dat de rekening inderdaad geblokkeerd was en dat het een week gaat duren om te deblokkeren. Even serieus… Hier was ik het toch wel echt even niet mee eens. Ik snap dat er geen geld af gehaald kan worden wat er niet op staat. Maar om mijn geld een beetje een week te gaan gijzelen viel echt even in het verkeerde keelgat. Er stond inmiddels weer meer dan genoeg op om de noodzakelijke betalingen uit te voeren. Na het telefoongesprek waar ik mijn ongenoegen hierover duidelijk kenbaar had gemaakt belde ze een half uur later dat de rekening weer was gedeblokkeerd. Kennelijk was het dus wel mogelijk binnen korte tijd de rekening weer te deblokkeren.

Afijn, toen een dag later kreeg ik de Rabobank weer aan de telefoon met het verhaal wat ik hierboven al vertelde. De medewerker heeft denk ik als rancune flink door mijn transacties op mijn andere rekeningen lopen spitten om te kijken waar ze mij op kon pakken. Want dit is natuurlijk te toevallig.

Heeft dus helemaal niets met een automatische controle te maken. Een medewerker kan gewoon op eigen houtje gaan spitten door jouw transacties.

[Eren]

nvm

[Reactie gewijzigd door Eren op 15 oktober 2025 14:25]

[Hulkiedulkie]

De overheid wilt dat een bank je helemaal doorlicht voor KYC. Maar diezelfde overheid vind het verkeerd als je gegevens worden bekeken. Behalve dan zgn "verdachte transacties", die mogen gedeeld worden tot aan Frankfurt toe.

Ik wil een bank waar ik een rekening kan openen en waar mijn privacy gerespecteerd wordt. Maar dat is per wet verboden.

[bzuidgeest]

Wil je ook een dokter die niet in je dossier kan kijken? Die niet weet welke pillen je al slikt niet bij je voorgeschiedenis kan...

[Bor]

Een compleet scheve en stemmingsmakende onjuiste vergelijking natuurlijk. Daar gaat echt de directie niet in jouw dossier zitten grasduinen om de informatie op te leveren. Als de belastingdienst wettelijk gezien aanspraak kan maken op informatie zijn daar processen voor ingericht en zal daar toezicht op zijn.