Deze column staat in Het Financieele Dagblad van 23 november 2022. Volg deze link voor mijn eerdere FD columns.

Het Ubo-register leidde tot controverse, vooral onder rechtspersonen die in Ubo staan, maar nu acht het EU-Hof de noodzaak voor totale openbaarheid onvoldoende bewezen. Volgens Axel Arnbak toont de beperking van de toegang tot het Ubo-register aan dat tijdperk van datawillekeur voorbij is.

Illustratie: Hein de Kort voor Het Financieele Dagblad

Dinsdag verbood het Hof van Justitie van de Europese Unie de openbare toegankelijkheid van het Ubo-register, waarin de persoonsgegevens van bedrijfseigenaren en aandeelhouders van rechtspersonen via het internet te raadplegen zijn. De Belastingdienst en opsporingsdiensten kunnen voor witwas- en fraudebestrijding een afgeschermd Ubo-register blijven raadplegen. Maar het openstellen ervan voor het brede publiek behelst een te ernstige privacyschending van miljoenen Europeanen.

Na vergelijkbare uitspraken over openbare registers met data van ontvangers van landbouwsubsidies, en niet-openbare dataverzamelingen van vlucht- en telecomgegevens, trekt het EU-Hof met de Ubo-uitspraak de lijn door die het in 2010 inzette. Wetgeving die privacy van burgers aantast, vergt een concrete aanleiding en precisie. Het tijdperk van datawillekeur is voorbij. Het EU-Hof zal niet aarzelen de wetgever te corrigeren, als wetgeving wordt aangenomen die het registreren of verzamelen van persoonsgegevens verplicht stelt, zonder beperking en bewijs dat de ingreep op digitale vrijheid noodzakelijk is.

Stevig debat
Sinds het aannemen van de vierde anti-witwasrichtlijn in 2015 en de vijfde in 2018, en het eerste Nederlandse wetsvoorstel ter implementatie in 2017, woedt in Nederland een steeds steviger debat over het Ubo-register. Zo’n register lijkt een goed idee. Als je voor- en achternaam, geboortemaand en -jaar, nationaliteit, woonland, belang en de omvang daarvan in een openbaar register publiceert, kan dat witwassers, fraudeurs en terroristen in kaart brengen. Dat helpt overheidsdiensten, maar ook journalisten, wetenschappers en maatschappelijke organisaties om misstanden aan de kaak te stellen.

‘Door het openbare Ubo-register was je bij een faillissement op schoolplein of sociale media na te wijzen’

Toch leidde de Europese verplichting tot inrichting van openbare Ubo-registers overal in Europa tot controverse. De Ubo van 1,5 miljoen Nederlandse rechtspersonen staat met naam en toenaam in het Handelsregister. De jaarrekening is voor €3,15 aan te schaffen bij de Kamer van Koophandel. Bij een faillissement of miljoenensucces ben je op het schoolplein of op sociale media na te wijzen. Circa een half miljoen rechtspersonen hebben nog geen Ubo willen registreren.

Elite
Interessant genoeg zijn het nu eens niet minderheden of minderbedeelden, maar de elite en middenstand die het belang van privacy voelen.

Het EU-Hof geeft ze gelijk. Het belangrijkste bezwaar van het hof is het gebrek aan overtuigend bewijs van de noodzaak van die openbaarheid. Natuurlijk ziet het Hof het belang van de registratie. Maar het Hof stelt ook vast dat er bij het aannemen van de wetgeving, en nog steeds, geen overtuigend bewijs is voor een openbaar register. Het EU-Hof snapt ook dat journalisten en ngo’s een bijdrage kunnen leveren, maar dat biedt nog niet voldoende bewijs dat je dan maar de privacybaby met het badwater kunt weggooien, en miljoenen burgers hun privacy moeten prijsgeven in een openbaar register.

Als je ooit iets op het internet hebt moeten zetten, wordt het ‘moeilijker of zelfs illusoir om je doeltreffend tegen misbruik te beschermen’, aldus het EU-Hof. Dan is de privacygeest uit de fles. Het is aan de wetgever om die belangen precies te wegen en nauwkeurige bepalingen te formuleren voor privacyvriendelijke systemen.

In het afgelopen decennium bracht het EU-Hof een fascinerende kentering teweeg in privacyrecht en -beleid. In plaats van een willekeurige verplichting persoonsgegevens te registeren en te bewaren voor het geval het misschien ooit nuttig wordt, keert het hof het om: geen privacyschending, tenzij.

Die gezonde aardverschuiving danken wij aan het Verdrag van Lissabon van 2009, waarin het Handvest van de grondrechten van de Europese Unie in werking trad. Kort daarop begon het EU-Hof eigen grondrechtenjurisprudentie te creëren, waar het zich tot die tijd moest beperken tot uitspraken over mededinging en de Europese interne markt.

Al in 2010 verbood het EU-Hof een Duits openbaar register waarin de ontvangers van landbouwsubsidies met naam en toenaam werden genoemd (Schecke). Er was simpelweg geen bewijs dat de privacyschending van al die boeren in verhouding stond tot het opsporen van een zeer kleine minderheid fraudeurs, en dat een minder vergaand afgeschermd register niet zou volstaan.

Met het herhaaldelijk verpulveren van de verplichte bewaarplicht voor telecomdata (Digital Rights Ireland in 2014 en recent nog in SpaceNet) liet het EU-Hof al zien zijn taken als grondrechtenbeschermer serieus te nemen. Het hof zet ook steevast een streep door het ongericht bewaren van alle passagiersgegevens van vluchten (de PNR-uitspraken). Zulke maatregelen kunnen alleen de grondrechtentoets doorstaan, als de wetgever – kort gezegd – de noodzaak aantoont, misbruik voorkomt, toezicht inricht en rechtsmiddelen openstelt voor getroffen burgers.

Bewustzijn en precisie
Het EU-Hof dwingt de Europese en nationale politiek dus tot privacybewustzijn en precisie, in plaats van willekeur en databingo. De Tweede Kamer mag laten zien die verantwoordelijkheid te kunnen dragen bij de controversiële Wet plan van aanpak witwassen, de Eerste Kamer bij de Wet gegevensverwerking door samenwerkingsverbanden.

Ervaring bij talloze systemen, zoals het Ubo-register, leert helaas dat het nog te vaak aankomt op jarenlang procederen door organisaties en burgers, tot aan het EU-Hof, om de politiek met een verbod tot de orde te roepen.