Mag een bank uit mijn betalingen afleiden dat ik gelovig ben, lid van een politieke partij, of ziek?

Afleiden is verwerken. Het Hof van Justitie heeft in de zaken OT (2022) en Lindenapotheke (2024) beslist dat het verbod op het verwerken van bijzondere persoonsgegevens uit artikel 9 AVG ook geldt voor gegevens waaruit zo'n kenmerk door redenering kan worden afgeleid, ongeacht of de bank dat bedoelt of dat de afleiding klopt. Een bank die de naam van de begunstigde, de omschrijving of de sector van de tegenpartij in een monitoringscenario weegt, verwerkt dus een bijzonder gegeven en heeft daarvoor een uitzondering van artikel 9 lid 2 nodig. De bank mag het gegeven alleen gebruiken als het noodzakelijk is voor het voorkomen van witwassen of terrorismefinanciering (vanaf 10 juli 2027 met zoveel woorden "strikt noodzakelijk", artikel 76 AMLR), en naar mijn oordeel moet het signaal bij de tegenpartij, de geldstroom of het land liggen, niet bij uw overtuiging of gezondheid zelf.

Moet mijn bank mij om toestemming vragen voordat zij zulke gegevens gebruikt?

Nee, en zij kan dat mijns inziens ook niet als grondslag gebruiken. Toestemming moet vrij zijn, en in een relatie waarin de bank wettelijk verplicht is te monitoren heeft de klant geen werkelijke keuze; intrekking zou de wettelijke plicht bovendien niet opheffen. De EDPB schreef in 2025 aan de EBA dat toestemming in het cliëntenonderzoek niet aan de eis van vrijheid voldoet en dat de wettelijke verplichting de juiste grondslag is. Van de 35 banken met een Nederlandse bankvergunning vraagt dan ook geen enkele toestemming voor bijzondere gegevens uit transacties; toestemming wordt alleen gevraagd voor zaken als biometrische login, marketing en het categoriseren van uitgaven in de app. Een instemmings- of aanvaardingsclausule in de bankvoorwaarden is geen toestemming in de zin van de AVG.

Op welke grondslag verwerkt een bank bijzondere persoonsgegevens bij transactiemonitoring, nu en vanaf 10 juli 2027?

Tot 10 juli 2027 op een constructie: de Wwft verplicht tot monitoring en verscherpt onderzoek (artikel 6 lid 1 onder c AVG), artikel 43 van de vierde antiwitwasrichtlijn noemt die verwerking een taak van algemeen belang, en daaruit wordt het zwaarwegend algemeen belang van artikel 9 lid 2 onder g afgeleid. De zwakke plek is dat dit artikel passende en specifieke waarborgen in de wet zelf eist, en de Wwft over bijzondere gegevens zwijgt; de regering erkende dat in 2022 en de Autoriteit Persoonsgegevens noemde de grondslag in 2020 niet duidelijk. Vanaf 10 juli 2027 geeft artikel 76 van de antiwitwasverordening een uitdrukkelijke grondslag, beperkt tot wat strikt noodzakelijk is, met vier waarborgen: een mededeling aan cliënten, betrouwbare en actuele bronnen, geen bevooroordeelde en discriminerende uitkomsten en een hoog beveiligingsniveau. Tot die datum rust de rechtvaardiging volledig op wat de bank zelf kan aantonen; daarna verschuift zij naar de naleving van artikel 76.

Hoeveel banken zeggen in hun privacyverklaring dat zij bijzondere persoonsgegevens verwerken?

Elf van de 35 banken met een Nederlandse bankvergunning maken in hun privacyverklaring duidelijk dat het poortwachterswerk bijzondere persoonsgegevens kan raken: zeven noemen het betaalgedrag als bron, vier de screening op sanctielijsten of politiek prominente personen. Slechts één schrijft dat die gegevens in de antiwitwascontext zonder toestemming verder worden verwerkt. De overige 24 noemen het niet; elf van hen noemen bijzondere categorieën in het geheel niet en één ontkent de verwerking, terwijl zij allemaal transacties monitoren en op sanctielijsten screenen. Vanaf 10 juli 2027 moet elke bank haar cliënten uitdrukkelijk meedelen dat deze verwerking is toegestaan; negen banken doen dat in 2026 al min of meer.

Kan uit mijn nationaliteit bij een sanctiecontrole mijn etnische afkomst worden afgeleid?

Niet als vanzelf, maar wel in de praktijk van de screening. Nationaliteit is volgens de Autoriteit Persoonsgegevens op zichzelf geen gegeven waaruit ras of etnische afkomst blijkt, en het Hof van Justitie zegt hetzelfde over het geboorteland. Zij wordt dat wel wanneer zij wordt gecombineerd met geboorteland, geboorteplaats of een niet-westers klinkende naam, wanneer zij als selectiecriterium wordt gebruikt, of wanneer het voorzienbare effect is dat een bepaalde groep in het bijzonder wordt getroffen. Bij sanctiescreening is die combinatie de standaardsituatie: de bank vergelijkt naam, geboortedatum, geboorteplaats en nationaliteit met de lijst. Zolang dat gebeurt om een naammatch te ontkrachten, is het doel identificatie en de grondslag de Sanctiewet. Zodra de bank die velden gebruikt om alerts te genereren of klantgroepen af te bakenen, of om de afkomst van een klant als verklaring van een transactie te gebruiken, verschuift het doel en daarmee de kwalificatie.

Mag mijn bank een betaling blokkeren omdat mijn naam lijkt op een naam op een sanctielijst?

De bank moet elke mogelijke overeenkomst met een sanctielijst onderzoeken, maar mag alleen bevriezen en melden bij een daadwerkelijke hit; een false positive moet zij vrijgeven en sluiten zonder u als verhoogd risico te registreren. Het College voor de Rechten van de Mens oordeelde in 2024 tweemaal dat blokkades door gedeeltelijke naamovereenkomst verboden indirect onderscheid op grond van ras opleverden: sanctielijsten bevatten voor het overgrote deel niet-Nederlands klinkende namen, en de bank vroeg in het ene geval gegevens opnieuw uit die zij al had en toonde in het andere niet aan dat het grote aantal onterechte blokkades, zonder uitleg aan de klant, evenredig was. De bank moet daarom naar mijn oordeel de velden en de gevoeligheid van haar matching documenteren, het effect per naamgroep meten, eenmaal verstrekte gegevens niet opnieuw uitvragen en de klant uitleggen dat het om een lijstcontrole ging. Een vermelding op een buitenlandse lijst, zoals de Amerikaanse OFAC-lijst, is volgens het Hof van Justitie (2026) een risicofactor die tot een individuele beoordeling verplicht, niet tot een automatische weigering.

Wat betekenen de vele false positives voor de rechtmatigheid van de monitoring?

Zij tasten het belang niet aan, maar wel de eisen aan het middel. De bestrijding van witwassen en terrorismefinanciering blijft een zwaarwegend algemeen belang; FIU-Nederland verklaart echter van de ruim drie miljoen gemelde ongebruikelijke transacties per jaar drie tot vier procent verdacht, en de alerts daarvoor zijn een veelvoud. Het Hof van Justitie heeft voor een systeem met minstens vijf op de zes onterechte treffers bepaald dat het geldig blijft, mits elke treffer afzonderlijk door een mens wordt beoordeeld aan de hand van objectieve criteria, het systeem zo weinig mogelijk onschuldigen aanwijst en de criteria niet discriminerend zijn. Hoe hoger de foutenmarge, hoe zwaarder die eisen. Daarom is een DPIA verplicht, en door de veranderingen sinds 2018 (machine learning, de deductierechtspraak, de discriminatieoordelen, de nieuwe sanctierichtsnoeren en de AMLR) opnieuw aan de orde.

Welke besluiten mag een bank nemen op basis van een bijzonder persoonsgegeven?

Naar mijn oordeel geen. Overweging 152 van de antiwitwasverordening verbiedt besluiten die uitsluitend rusten op bijzondere gegevens die voor het witwasrisico niet relevant zijn, en een op- of afschaling van het cliëntenonderzoek die uitsluitend daarop berust; op grond van artikel 9 AVG en de gelijkebehandelingswetgeving acht ik ook een besluit dat er mede op rust ontoelaatbaar. De regering zei in 2021 dat "alleen het hebben van een controversieel gedachtegoed" onvoldoende reden is om een rekening te sluiten, al kan een bank wel tot nader cliëntenonderzoek besluiten als uitingen binnen de risicokaders van de NCTV vallen. Wat wel mag: onderzoek naar de tegenpartij en de geldstroom, een vraag aan de klant over de herkomst en bestemming van het geld, en bij een concrete aanwijzing van witwassen of terrorismefinanciering een melding aan de FIU, die dan het oordeel velt. Bij besluiten uit geautomatiseerde verwerking eist artikel 76 lid 5 vanaf 10 juli 2027 beduidende menselijke tussenkomst, en dat is naar mijn mening meer dan een handtekening: de beoordelaar moet kunnen zien waarom het systeem de alert gaf en op welke velden een sanctiematch rust.

Wat hoort er in het dossier te staan als een alert op een bijzonder gegeven rustte?

De categorie en de bron, niet het gegeven zelf als het bijvangst was. Deze flowchart stelt één verplichte controlevraag per dossier voor, die het systeem afdwingt voordat een alert of onderzoek kan worden gesloten: bevat het dossier bijzondere of strafrechtelijke gegevens, uit welke bron (betaalgedrag, tegenpartij, sanctielijst, berichtgeving, klantverklaring), droeg het gegeven de beoordeling of was het bijvangst, op welke verplichting rust de verwerking, welk besluit is erop gevolgd en door wie, en wanneer wordt het gegeven verwijderd. Meestal is het antwoord nee en kost het twee seconden; bij ja dwingt de vraag tot precies de afweging die de flowchart beschrijft en maakt het dossier bij een audit of inzageverzoek de rechtmatigheid in één oogopslag zichtbaar. Het wetsvoorstel van 2022 wilde zo'n vastleggingsplicht in de Wwft opnemen; die is geschrapt, maar de verantwoordingsplicht van artikel 5 lid 2 AVG vraagt hetzelfde.

Bijzondere persoonsgegevens bij banken: monitoring, verdiepend onderzoek en sanctiescreening

De vraagMag een bank bijzondere persoonsgegevens die uit het betaalgedrag, uit een sanctielijst of uit negatieve berichtgeving blijken, gebruiken bij transactiemonitoring, verdiepend cliëntenonderzoek en sanctiescreening, en zo ja op welke grondslag, met welke waarborgen en tot hoever? Het antwoord in vier delen: toestemming is niet de grondslag en kan het niet zijn; tot 10 juli 2027 rust de verwerking op de wettelijke verplichting en het zwaarwegend algemeen belang, zonder de wettelijke waarborgen die art. 9 lid 2 onder g AVG daarbij eist; vanaf die datum op art. 76 AMLR; en de sanctiescreening kent een eigen wettelijk kader waarin nationaliteit een wettelijk criterium kan zijn, maar functioneel een bijzonder gegeven wordt zodra zij wordt gecombineerd of als selectiecriterium dient.

De Wwft verplicht tot monitoring (art. 3 lid 2 onder d) en verscherpt onderzoek (art. 8), dus art. 6 lid 1 onder c AVG draagt de gewone verwerking. Voor de bijzondere gegevens leunt de sector op art. 9 lid 2 onder g: art. 43 van de vierde antiwitwasrichtlijn noemt de verwerking "een taak van algemeen belang", overweging 42 noemt de bestrijding van witwassen "een zwaarwegend algemeen belang", en de Wwft is het lidstatelijk recht. Maar art. 9 lid 2 onder g eist ook dat dat recht "passende en specifieke maatregelen" bevat, en de Wwft zegt over bijzondere gegevens niets; art. 34a regelt alleen doelbinding, informatie en vernietiging. De regering erkende dat in 2022 (wetsvoorstel 36 228: "De Wwft laat zich op dit moment niet expliciet uit over de mogelijkheid van gebruik van bijzondere categorieën van persoonsgegevens") en schrapte de reparatie op 26 juni 2024 (nota van wijziging, 36 228, nr. 16): de AMLR laat als maximumharmonisatie "niet of nauwelijks ruimte" voor nationale regels, en de regering stelde daarom voor de maatregel "te laten vervallen en deze mee te nemen in de implementatie van de AMLR". De AP had dat in haar advies van 10 maart 2020 al vastgesteld: "In dit verband is overigens de grondslag voor het verwerken van bijzondere persoonsgegevens onder de bestaande WWFT niet duidelijk." Tot 10 juli 2027 rust de rechtvaardiging daarom volledig op wat de bank zelf kan aantonen; daarna verschuift zij naar de naleving van art. 76 AMLR. Dat betekent mijns inziens concreet dat de bank, als verwerkingsverantwoordelijke, op grond van de verantwoordingsplicht van art. 5 lid 2 AVG moet kunnen aantonen dat elke verwerking van een bijzonder gegeven rechtmatig is: dat het gegeven strikt noodzakelijk was voor het voorkomen van witwassen of terrorismefinanciering, dat het signaal niet bij een klantkenmerk lag, dat een mens de alert heeft beoordeeld en dat de uitkomst niet discriminerend was. Aantonen kan niet achteraf worden bedacht; het vergt controls die dat vastleggen op het moment zelf: een DPIA per verwerking, een noodzaaktoets per scenariovariabele, een meting van de hitratio en het effect per klantgroep, een tweedelijnscontrole op de beoordeling van alerts, en op dossierniveau de controlevraag van stap 7. Zonder die controls is de constructie naar mijn oordeel een stelling zonder bewijs. Het ontbreken van een uitdrukkelijke grondslag met waarborgen is ook wat de AP in 2020 (voor de Wwft) en de Raad van State in 2026 (voor de bevoegde autoriteiten onder de Implementatiewet AMLR) de wetgever tegenwierpen.

Casus	Waar het signaal ligt	Welk bijzonder gegeven	De vraag
1. Donaties aan een religieuze instelling die in negatieve berichtgeving komt	Bij de tegenpartij (de instelling) en de berichtgeving	Religieuze overtuiging van de donateur	Mag de bank de gever onderzoeken, en wat legt zij over hem vast?
2. Contributie aan een politieke partij met afwijkende standpunten, en de rechts-terroristische dreiging	Bij de tegenpartij, tenzij alleen de opvatting van de klant het signaal is	Politieke opvatting	Waar eindigt legale politiek en begint terrorismefinanciering, en wie mag dat onderscheid maken?
3. Betaling aan een onlineaanbieder van medicijnen zonder vergunning, medicatie in de omschrijving	Bij de tegenpartij (onvergunde handel) en de omschrijving	Gezondheid	Wat mag de bank van de medicatie weten en bewaren?
4. Een sanctiehit op een naam die lijkt op een naam op de lijst, met de nationaliteit als bevestiging of ontkrachting	Bij de lijst; niet bij de naam of afkomst van de klant	Etnische afkomst, afgeleid uit naam, geboorteplaats en nationaliteit	Welke velden mag de bank gebruiken, en mag afkomst een transactie naar een hoogrisicoland verklaren?

Elke casus heeft onder het beslispad een eigen kaart met de hele route langs de voorvraag en zeven stappen.

Bronnen · peildatum 12 september 2026

AVG art. 5 lid 2 en 9 · Wwft art. 3, 8 en 34a · HvJ EU C-184/20 (OT), punt 123 en 127 · HvJ EU C-21/23 (Lindenapotheke), punt 83, 87 en 90 · HvJ EU C-37/20 en C-601/20 (Sovim), punt 59 · HvJ EU C-817/19 (Ligue des droits humains), punt 106 en 203 t/m 206 · AP, nationaliteit bij kinderopvangtoeslag (2020) · AP, advies wet plan van aanpak witwassen (10 maart 2020), p. 14 en 15 · Kamerstukken 36 228, nr. 2 · nr. 3 · nr. 16 (nota van wijziging) · Raad van State, advies 12 augustus 2026 (W06.26.00123/III) · Richtlijn (EU) 2015/849 art. 43 en overweging 42 · Gedragscode 2010, art. 6.3.1 (Stcrt. 2010, 6429) · FIU-Nederland jaaroverzicht 2023 · jaaroverzicht 2024 · jaaroverzicht 2025 (persbericht) · DNB Register van banken

GrondslagArt. 76 lid 1 Verordening (EU) 2024/1624: meldingsplichtige entiteiten mogen bijzondere categorieën van persoonsgegevens (art. 9 lid 1 AVG) en gegevens over strafrechtelijke veroordelingen en strafbare feiten (art. 10 AVG) verwerken "voor zover dit strikt noodzakelijk is voor het voorkomen van witwassen en terrorismefinanciering", onder de waarborgen van lid 2 en 3. Van toepassing vanaf 10 juli 2027 (art. 90).

Waarborg	Wat de instelling inricht	Waar het aantoonbaar wordt
b. Betrouwbare bronnen, nauwkeurig en actueel	Een bronnenregister per gegevenstype: welke bron mag een bijzonder of strafrechtelijk gegeven leveren (sanctielijst, PEP-lijst, ambtsbericht via het OM, rechterlijke uitspraak, eigen klantverklaring, media) en met welke rang. Voor berichtgeving een vaste bronbeoordeling volgens de EBA-maatstaf: kwaliteit en onafhankelijkheid van de bron en de bestendigheid van de berichtgeving (EBA/GL/2021/02, richtsnoer 2), en het onderscheid beschuldiging, onderzoek, procedure, veroordeling (lid 3). Een actualiteitstermijn per bron (lijsten bij elke publicatie, mediagegevens met een houdbaarheidsdatum en een herbeoordeling bij het volgende contactmoment) en een correctieroute als de klant de juistheid betwist (art. 16 AVG). Afgeleide gegevens (uit betaalgedrag) tellen niet als bron, want zij zijn geen vaststelling maar een vermoeden; zij mogen alleen aanleiding zijn voor een vraag aan de klant.	Bronnenregister als bijlage bij de DPIA; per dossier het veld bron van de controlevraag (stap 7); een jaarlijkse toets door de tweede lijn op verlopen mediagegevens
c. Geen bevooroordeelde en discriminerende uitkomsten	Vooraf: een noodzaaktoets per scenariovariabele en een proxytoets (selecteert de variabele feitelijk op afkomst, overtuiging, gezondheid?), vastgelegd in de modeldocumentatie voordat het scenario live gaat. Tijdens: fairnessmetingen zoals de NVB die beschrijft (alert volume parity, false positive rate parity) op basis van de dossiervlag uit stap 7, dus zonder groepskenmerken van klanten te verzamelen, met een drempel waarboven het scenario wordt herzien. Bij het besluit: de regel van lid 2 onder c en overweging 152 hard in het systeem, zodat een bijzonder gegeven wel in de alert kan staan maar niet als enige reden voor op- of afschaling of een relatiebesluit kan worden gekozen, en naar mijn oordeel evenmin als mede-dragende reden zonder gemotiveerde relevantie voor het witwasrisico; en objectieve controlecriteria voor de beoordelaar (Ligue des droits humains, punt 206). Achteraf: klachten en CRM-signalen als terugkoppeling in de modelcyclus, en een periodieke hervalidatie waarin de discriminatietoets van de Staatscommissie of een gelijkwaardig kader wordt doorlopen.	Modeldocumentatie en DPIA (stap 5); fairnessrapportage per scenario; besluitregel en beoordelaarsinstructie in het systeem (stap 6); hervalidatieverslag
d. Hoog beveiligingsniveau	Bijzondere en strafrechtelijke gegevens in een afgeschermd deel van het dossier met eigen autorisatie (need-to-know per rol: analist, onderzoeker, compliance, audit), logging van elke raadpleging, pseudonimisering in rapportages en modeltraining, versleuteling in rust en transport, en een verwijderroutine die aan art. 77 AMLR is gekoppeld (vijf jaar na einde relatie of transactie, verwijzing in plaats van kopie). Geen export naar commerciële of marketingsystemen (art. 76 lid 4) en geen opname van bijzondere gegevens in vrije tekstvelden buiten het afgeschermde deel.	Autorisatiematrix en logging (art. 32 AVG); verwerkingsregister (art. 30); de verwijderdatum als veld 6 van de controlevraag; periodieke toegangscontrole door de tweede lijn
Lid 5: menselijke tussenkomst	Geen automatisch relatiebesluit, geen automatische weigering van een transactie en geen automatische op- of afschaling (lid 5 onder b); geen melding zonder de beoordeling van art. 69 lid 2; automatisch sluiten van alerts alleen na een in de DPIA gemotiveerde keuze, met steekproef door de tweede lijn en nooit wanneer het bijzondere gegeven in de sluitingsgrond zit. De beoordelaar ziet welke variabelen de alert droegen en welke velden een sanctiematch bevestigen of ontkrachten, en legt zijn oordeel vast met de controlevraag.	Werkinstructie en systeeminrichting (stap 6); uitlegbaarheid per alert in het dossier; steekproefverslagen

Het operationele minimum per fase van het cliëntenonderzoek (wie beoordeelt, wanneer u actualiseert, wat in het dossier hoort) staat per sector uitgewerkt in de flowchart cliëntenonderzoek en persoonsgegevens; de modellering en de fairnessmetingen in de verdiepingsmodaal daarvan. Deze flowchart voegt daaraan het onderscheid van stap 2, de evenredigheidstoets van stap 5 en de controlevraag van stap 7 toe.

Bronnen · peildatum 12 september 2026

AMLR art. 20, 69, 76, 77 en 90; overweging 150 t/m 152 en 157 · EDPS Opinion 12/2021, par. 12, 15 en 16 · UAVG art. 41 · AVG art. 16, 30 en 32 · EBA/GL/2021/02, richtsnoer 2 (reputatie, beoordeling van allegations) · HvJ EU C-817/19, punt 203 en 206 · NVB, AI Machine learning in transaction monitoring (2026), par. 5.2.2 (p. 27) en 7.1.4 (p. 34) · NVB, discriminatietoets Staatscommissie (8 juni 2026) · Flowchart cliëntenonderzoek en persoonsgegevens (TRNKL)

Waarom eerst deze vraagTransactiemonitoring en verdiepend cliëntenonderzoek rusten op de Wwft (art. 3 lid 2 onder d en art. 8) en vanaf 10 juli 2027 op de AMLR (art. 26 en 34, met art. 76 als gegevensbepaling). Sanctiescreening rust op de Sanctiewet 1977 (art. 10 voor het toezicht, art. 10b als grondslag voor de regeling), de Regeling toezicht Sanctiewet 1977 (RtSw, art. 2 en 3) en de rechtstreeks werkende EU-verordeningen. Het tweede spoor is niet risicogebaseerd, kent geen art. 76-waarborgen uit de wet, en haalt het bijzondere gegeven niet uit het betaalgedrag maar uit de lijst en de identificatievelden.

Bronnen · peildatum 12 september 2026

Wwft art. 3, 8 en 34a · AVG art. 13, 14, 15, 16, 23 en 77 · UAVG art. 41 · Kifid · AMLR art. 20, 26, 34 en 76 · Sanctiewet 1977 art. 10 en 10b · Regeling toezicht Sanctiewet 1977 art. 1 t/m 3 · DNB, hoofdstuk Sanctieregelgeving (2020/2024), par. 1.1 t/m 1.4 · EBA/GL/2024/15, par. 17, 24 en 40 · Consumentenbond, Rabobank scant transacties (30 juni 2017) · Stcrt. 2024, 2386 (aanwijzing The Base) · Raad van de EU, persbericht 26 juli 2024 (The Base op de EU-terrorismelijst) · Verordening (EU) 833/2014 art. 5 ter · Verordening (EG) 765/2006 art. 1 duovicies

MaatstafOT (C-184/20, punt 123 en 127): het verbod van art. 9 lid 1 geldt ook voor "gegevens waaruit indirect, door beredeneerde deductie of vergelijking dergelijke informatie kan worden afgeleid"; een andere lezing zou "afbreuk [doen] aan het nuttig effect van deze regeling". Lindenapotheke (C-21/23, punt 83, 87 en 90): het is "voldoende dat daaruit door het leggen van beredeneerde verbanden of door deductie" dergelijke informatie kan worden afgeleid; het verbod geldt "ongeacht het gestelde doel ervan en de juistheid van de betrokken informatie", en ook als de afleiding slechts "met een zekere mate van waarschijnlijkheid" klopt. Het gaat om de mogelijkheid van de afleiding, niet om de bedoeling of de juistheid.

Nationaliteit staat niet in art. 9 lid 1. Het Hof oordeelde in Jyske Finans (C-668/15, punt 18 tot en met 20 en 36, onder Richtlijn 2000/43) dat een legitimatie-eis op grond van het geboorteland direct noch indirect onderscheid naar etnische afstamming oplevert, omdat het geboorteland "slechts een van de specifieke factoren" is waaruit etnische afstamming kan worden afgeleid. Het Hof Den Haag overwoog in 2023, in de zaak over etnisch profileren door de Koninklijke Marechaussee en ten overvloede onder art. 14 EVRM, in dezelfde lijn dat nationaliteit "een juridische categorie is die in beginsel niet kan worden afgeleid uit aan ras of etniciteit ontleende uiterlijke kenmerken" (ECLI:NL:GHDHA:2023:173, r.o. 8.21): de twee categorieën vallen niet samen, in geen van beide richtingen. Maar de AP stelde in het kinderopvangtoeslagrapport (17 juli 2020) vast dat nationaliteit "op zichzelf bezien [...] hooguit een indicatie [geeft] dat het om ras of etnische afkomst zou kunnen gaan", en trok de grens: "Indien nationaliteit wordt verwerkt in combinatie met bijvoorbeeld geboorteland, geboorteplaats, herkomst en/of pasfoto wordt in rechtspraak aangenomen dat er wel sprake is van gegevens waaruit het ras of de etnische afkomst blijkt", en nationaliteit is bijzonder "wanneer de verwerking tot doel heeft om onderscheid te maken naar ras of etnische afkomst, of indien het voor de verwerkingsverantwoordelijke redelijkerwijs voorzienbaar is dat de verwerking tot het maken van onderscheid naar ras of etnische afkomst zal leiden". Dat zijn precies de drie situaties van de sanctiescreening: de combinatie van naam, geboorteplaats en nationaliteit om een match te beoordelen; de selectie van klanten op nationaliteit wanneer een sanctiemaatregel nationaliteit zelf als criterium stelt (zoals art. 5 ter Verordening 833/2014 voor deposito's van Russische onderdanen; CRM 2022-141 tot en met 143); en het effect dat naamscreening "in overwegende mate" personen met een niet-Nederlands klinkende naam treft (College voor de Rechten van de Mens, oordeel 2024-62 en 2024-63).

Die AP-lijn is een nationale lijn, en zij ligt sinds 12 juni 2026 bij het Hof van Justitie. De Hoge Raad stelde in een poortwachterszaak, over een creditcardaanbieder die voor het Wwft-cliëntenonderzoek een pasfoto en een kopie van het identiteitsbewijs verwerkt, prejudiciële vragen en schorste het geding (HR 12 juni 2026, ECLI:NL:HR:2026:921, na het tussenarrest van 13 maart 2026, ECLI:NL:HR:2026:392; in feitelijke instantie Hof Amsterdam 5 maart 2024, ECLI:NL:GHAMS:2024:419). Vraag 4a luidt letterlijk: "Is in dat verband van belang of de desbetreffende foto wordt verwerkt met het doel of oogmerk om onderscheid te maken naar ras of etnische afkomst?", en vraag 4b of van belang is dat "informatie over ras of etnische afkomst met een voldoende mate van zekerheid uit de desbetreffende foto kan worden afgeleid". De dragende overweging (r.o. 3.8.4): "Niet uitgesloten is dat voor het antwoord op de vraag of foto's kunnen worden aangemerkt als persoonsgegevens waaruit ras of etnische afkomst blijkt, van belang kan zijn of de foto's worden verwerkt met het oogmerk om onderscheid te maken naar ras of etnische afkomst", en er is "geen sprake van een acte clair of acte éclairé". Precies het doelcriterium van de AP staat dus ter beoordeling van het Hof; tot het arrest houd ik de AP-lijn aan als de geldende Nederlandse uitleg, met dit voorbehoud erbij. Twee kanttekeningen. De Hoge Raad oordeelde wel zelf dat het enkele vastleggen of opslaan van een foto met een gezichtsafbeelding geen verwerking van biometrische gegevens is: de foto is "de bron waaruit biometrische gegevens kunnen worden afgeleid, maar is niet zelf een biometrisch gegeven" (r.o. 3.2.2 en 3.2.3), onder voorbehoud van vraag 1, die hij na HvJ EU 19 maart 2026, C-371/24 (Comdribus) alsnog stelt. En voor art. 25 UAVG, dat de verwerking van gegevens over ras of etnische afkomst met het oog op identificatie toestaat, wijst hij erop dat dat geldt "slechts voor zover de verwerking voor dat doel onvermijdelijk is" (r.o. 3.8.5).

Hetzelfde geldt buiten de sanctiescreening, in het Wwft-spoor. Wie in de monitoring of het verscherpt onderzoek de nationaliteit of het geboorteland van de klant meeweegt om een betaling naar een hoogrisicoland te verklaren of juist als risicofactor te tellen ("de klant heeft binding met dat land"), gebruikt nationaliteit als wegingscriterium en leidt daaruit afkomst af: de tweede en derde situatie van de AP. Die verwerking valt dus ook onder art. 9, ook als zij in het voordeel van de klant uitpakt. De verklaring van zo'n betaling hoort uit het verwachte transactieprofiel of van de klant zelf te komen. Stap 2 gaat hier verder op in: daar staat waarom afkomst een betaling naar een hoogrisicoland niet mag verklaren en waar de verklaring dan wel vandaan moet komen.

De regelHet risicosignaal mag liggen bij de tegenpartij (een gelistete of verdachte entiteit, een onvergunde aanbieder), bij de geldstroom (patroon, omvang, herkomst, bestemming) of bij het land van de transactie (art. 8 Wwft, art. 34 AMLR, oordeel CRM 2025-15). Het mag niet liggen bij een kenmerk van de klant: zijn overtuiging, zijn naam, zijn nationaliteit of afkomst (art. 9 AVG; Ligue des droits humains, punt 197; AWGB; overweging 152 AMLR sluit het bijzondere gegeven uit als enige grond). De enige uitzondering is de EU-verordening die nationaliteit zelf als criterium stelt (art. 5 ter Verordening 833/2014; art. 2 lid 5 AWGB; oordeel CRM 2022-142).

Het onderscheid werkt ook de andere kant op. In het verscherpt onderzoek naar een betaling naar een hoogrisicoland wordt in de praktijk vaak de nationaliteit, het geboorteland of de naam van de klant gebruikt om de economische rationale te verklaren: "klant heeft familie in dat land". Dat is een afleiding van afkomst uit identificatiegegevens, dus een art. 9-verwerking, terwijl de verklaring uit het verwachte transactieprofiel of uit de eigen verklaring van de klant hoort te komen. De Rabobank-klant uit 2017 die werd bevraagd omdat een begunstigde "Mostafa" heette, en de Iraanse Nederlanders die vragen kregen als "waarom stond het woord 'Iran' in de omschrijving?", zijn de casusposities waarin naam en herkomst het signaal waren.

Het College heeft precies dit geval beoordeeld in oordeel 2024-100 (ING, 5 december 2024). Een Nederlandse huisarts van Iraanse herkomst kreeg te maken met screening op Iraanse plaatsnamen in zijn transacties; ING beriep zich op de Wwft, de Sanctiewet 1977 en Amerikaanse regelgeving. Het College stelde vast dat ING niet op nationaliteit screent en dus geen direct onderscheid maakt, maar dat de screening op Iraanse plaatsnamen indirect onderscheid naar nationaliteit oplevert; dat uit de aangehaalde regels niet volgt "dat banken in het geheel geen transacties met Iran mogen doen", zodat een wettelijke uitzondering ontbreekt (ov. 6.11); dat de screening zelf geschikt en subsidiair is (ov. 6.16 en 6.19); en dat de tweede uitvraag over een huisartsenrekening van 35,91 euro "niet in redelijke verhouding staat tot het beoogde doel" (ov. 6.22), waarmee het onderscheid verboden was (ov. 6.23). Mijns inziens zit de kern in ov. 6.11, de vraag welke regel het land als criterium stelt: de EU-Iranverordening (267/2012) kent geen criterium op nationaliteit maar alleen op verblijf en vestiging, en Amerikaanse sancties zijn in Nederland geen wettelijke verplichting, zodat de uitzondering van art. 2 lid 5 AWGB (onderscheid dat rechtstreeks uit de wet voortvloeit, zoals bij de Rusland-maatregelen in 2022-142) niet opgaat. Zonder die uitzondering moet de bank elke blokkade en uitvraag afzonderlijk rechtvaardigen, en dat is waar het hier misging. Het Hof van Justitie bevestigde in 2026 de andere helft van die redenering: een vermelding op een Amerikaanse lijst is hooguit een risicofactor die een geïndividualiseerde beoordeling vraagt, geen grond voor een automatische weigering (C-81/24, punt 45 en 51). Voor de praktijk betekent dit dat een bank die op een land wil screenen, moet kunnen aanwijzen welke Nederlandse of Europese regel dat land als criterium stelt; ontbreekt die, dan is de plaatsnaam indirect onderscheid dat de bank per geval evenredig moet toepassen, en is nationaliteit als los criterium mijns inziens een proxy voor afkomst waarmee het signaal bij de klant ligt.

MaatstafArt. 5 lid 1 onder c AVG (minimale gegevensverwerking) en art. 76 lid 1 AMLR ("strikt noodzakelijk"). Sovim (punt 66, 72 en 75): de inmenging moet beperkt blijven tot het strikt noodzakelijke, en dat een maatregel "kan bijdragen" aan de bestrijding toont niet aan "dat deze maatregel strikt noodzakelijk is". De EDPS (Necessity Toolkit 2017): noodzaak vergt "a combined, fact-based assessment of the effectiveness of the measure for the objective pursued".

Ja, want opslaan is verwerken: art. 4 onder 2 AVG noemt het opslaan, raadplegen en gebruiken uitdrukkelijk. Dat bijvangst niet wordt gewogen, betekent dus niet dat zij buiten de AVG blijft; het betekent alleen dat de bank er geen conclusie op bouwt. Het onderscheid zit in het doel en de grondslag van drie afzonderlijke handelingen. Het transactiearchief zelf bestaat omdat de betaling is uitgevoerd en bewaard moet worden (art. 6 lid 1 onder b en c AVG; de bewaarplichten uit het BW en de Wft); de betaalomschrijving met de kerk of het medicijn zit daarin als onvermijdelijk onderdeel van de betaalopdracht. Het scenario leest vervolgens alle transacties, ook die met een bijzonder element; zolang het scenario dat element niet als variabele weegt, is het monitoringdoel de geldstroom en blijft het bijzondere gegeven een passant. De derde handeling is een andere: wie het volledige transactieoverzicht als bijlage aan het cliëntenonderzoek hecht, kopieert de bijzondere gegevens naar het Wwft-dossier, met een nieuw doel (de onderbouwing van het risico-oordeel), een nieuwe bewaartermijn (vijf jaar, art. 33 Wwft en straks art. 77 AMLR), een nieuwe kring van lezers en mogelijk een doorgifte aan de FIU of de toezichthouder. Daar geldt de noodzaaktoets opnieuw en voluit: art. 5 lid 1 onder c AVG en art. 76 lid 1 AMLR vragen dat alleen wat de beoordeling draagt in het dossier komt. De Hoge Raad zette in juni 2026 een vraagteken bij het bewaren van kopieën als zodanig: voor het afschrift van het identiteitsbewijs valt "voorshands niet goed in te zien welke doelstelling van algemeen belang wordt gediend met het bewaren van een afschrift van een identiteitsbewijs" (HR 12 juni 2026, ECLI:NL:HR:2026:921, r.o. 3.8.2), en hij wijst erop dat het onder art. 77 lid 2 AMLR anders lijkt te worden, omdat dan met het bewaren van verwijzingen naar documenten kan worden volstaan (r.o. 3.7.3). Art. 77 lid 2 AMLR staat inderdaad toe "in plaats van de kopieën van de informatie verwijzingen naar die informatie te bewaren, mits die informatie zo wordt bewaard dat ze onmiddellijk door meldingsplichtige entiteiten aan de bevoegde autoriteiten kan worden verstrekt en niet kan worden gewijzigd of veranderd". Wat voor het identiteitsbewijs geldt, geldt naar mijn mening sterker voor een transactieoverzicht met bijzondere gegevens: verwijzen in plaats van kopiëren.

Voor de praktijk betekent dit mijns inziens drie dingen. Ten eerste hoort niet het hele overzicht in de bijlage, maar de selectie van transacties die het oordeel dragen; wie een patroon wil laten zien, kan dat met bedragen, data en tegenpartijen zonder de omschrijvingen van de niet-dragende transacties. Ten tweede: is een volledig overzicht toch nodig, dan hoort het in het afgeschermde dossierdeel uit de AMLR-modaal (waarborg d), met de aantekening in de controlevraag van stap 7 dat de bijlage bijzondere gegevens bevat die bijvangst zijn en niet zijn gewogen. Ten derde: een bijlage is geen vrijbrief om het gegeven later alsnog te gebruiken; wie in een volgende beoordeling de kerkgift uit de bijlage als risicofactor oppakt, verwerkt op dat moment een dragend art. 9-gegeven en moet die stap opnieuw langs stap 2 tot en met 4 halen.

In de praktijk gaat het zo. Een alert op een overboeking naar Turkije of Marokko komt bij de analist; die ziet de naam of het geboorteland van de klant, concludeert "familiebetaling, verklaarbaar" en sluit de alert met die reden. Een uitvraag kost tijd, irriteert de klant en levert vaak hetzelfde antwoord op, dus de aanname wint. Toch is het precies de aanname die de art. 9-verwerking oplevert, en wel op drie manieren. De analist leidt afkomst af uit identificatiegegevens: dat is het "leggen van beredeneerde verbanden" uit OT en Lindenapotheke, en het verbod geldt ongeacht het doel en de juistheid van de afleiding (Lindenapotheke, punt 87). De afleiding wordt vastgelegd als sluitingsgrond, dus zij komt in het dossier, is vijf jaar raadpleegbaar en leest bij een volgende alert mee. En de afleiding werkt als criterium: dezelfde overboeking van een klant zonder Turkse naam blijft open of krijgt een uitvraag, zodat de behandeling van identieke transacties gaat verschillen naar afkomst. Dat laatste is de omgekeerde variant van wat het College in 2025-15 juist toelaatbaar achtte: bij Rabobank kwamen de vragen na een overboeking naar Turkije uit een geografisch transactierisico, niet uit de nationaliteit van de klant.

De keuze is bovendien niet aanname of uitvraag. De eerste route is het transactieprofiel: art. 3 lid 2 onder d Wwft verplicht de bank te toetsen of de transactie overeenkomt met de kennis die zij van de klant heeft. Staat bij het cliëntenonderzoek vastgelegd dat de klant maandelijks familie in Turkije ondersteunt, dan sluit de analist op de klantverklaring uit het profiel en heeft hij de afkomst niet nodig. Past de overboeking in het historische patroon van de rekening (zelfde begunstigde, vergelijkbare bedragen, sinds jaren), dan sluit hij op het patroon. Pas als profiel en patroon zwijgen, is de uitvraag aan de orde, en die vraag gaat over het geld ("wat is de relatie met de begunstigde en waarvoor is de betaling?"), niet over de afkomst van de klant. Wat naar mijn oordeel in de werkinstructie hoort: de sluitingsgrond is een gecodeerde keuze (profielconform, historisch patroon, klantverklaring, tegenpartij bekend), waarin afkomst, nationaliteit of geboorteland niet voorkomen; een vrije tekst als "klant is van Turkse afkomst" is geen geldige sluitingsgrond; en de tweede lijn toetst steekproefsgewijs of gesloten alerts op een van de gecodeerde gronden rusten. Zo wordt de snelle route ook de rechtmatige: sluiten op profiel of patroon is sneller dan uitvragen én verwerkt geen bijzonder gegeven.

Bronnen · peildatum 12 september 2026

AVG art. 4 onder 2, 5 lid 1 onder c en 6 lid 1 · Wwft art. 3 lid 2 onder d en 33 · AMLR art. 76 lid 1 en 77 · HR 12 juni 2026 (ICS), r.o. 3.7.3 en 3.8.2 · HvJ EU C-184/20 (OT) · HvJ EU C-21/23 (Lindenapotheke) · CRM 2025-15 · HvJ EU C-37/20 en C-601/20 (Sovim), punt 66, 72 en 75 · EDPS Necessity Toolkit (2017), II.6, p. 8 · AP, advies 10 maart 2020, p. 14 en 15 · AP-dossier 2024-007701, brieven banken januari 2025 (HRIF) · Argos, 14 februari 2025 · Follow the Money, 19 oktober 2024 · Follow the Money, 6 september 2025 · Wolfsberg Group, Guidance on Sanctions Screening (2019)

Nu en straksTot 10 juli 2027: art. 6 lid 1 onder c AVG (de Wwft verplicht) in combinatie met art. 9 lid 2 onder g AVG, waarbij art. 43 Richtlijn (EU) 2015/849 de kwalificatie "taak van algemeen belang" levert en de Wwft het lidstatelijk recht is, zonder de "passende en specifieke maatregelen" die art. 9 lid 2 onder g in dat recht eist. Vanaf 10 juli 2027: art. 76 AMLR met de vier waarborgen van lid 2. Strafrechtelijke gegevens (art. 10 AVG): nu langs dezelfde constructie via de Wwft, want art. 33 lid 2 UAVG dekt alleen de verwerking ten eigen behoeve bij strafbare feiten die jegens de bank zelf zijn of worden gepleegd (incidentenregisters, fraude); straks art. 76 lid 3 AMLR. Toestemming (art. 9 lid 2 onder a) is geen optie.

Tot 10 juli 2027

Art. 43 AMLD4: verwerking "wordt beschouwd als een taak van algemeen belang"; overweging 42: "een zwaarwegend algemeen belang"
Wwft art. 3, 8 en 34a als lidstatelijk recht; art. 34a regelt alleen doelbinding, informatie en vernietiging
De regering: "De Wwft laat zich op dit moment niet expliciet uit" (36 228, nr. 3); reparatie geschrapt 26 juni 2024 (nr. 16)
De AP: "de grondslag [...] onder de bestaande WWFT niet duidelijk" (advies 10 maart 2020, voetnoot 53)
EDPB (brief 28 maart 2023 aan het Europees Parlement): art. 9 lid 2 onder g geldt alleen als het recht "suitable and specific measures" bevat; voor de voorgestelde gegevensdeling tussen instellingen zonder zulke waarborgen "cannot rely on Article 9(2)(g) GDPR"
De bank draagt de bewijslast voor noodzaak en waarborgen

Vanaf 10 juli 2027

Art. 76 lid 1 AMLR: toegestaan "voor zover dit strikt noodzakelijk is"
Lid 2: mededeling aan cliënten, betrouwbare en actuele bronnen, geen bevooroordeelde en discriminerende uitkomsten, hoog beveiligingsniveau
Lid 3: strafrechtelijke gegevens alleen over witwassen, basisdelicten en terrorismefinanciering; onderscheid beschuldiging, onderzoek, procedure, veroordeling
Lid 5: beduidende menselijke tussenkomst en recht op uitleg bij geautomatiseerde besluiten
Overweging 152: geen op- of afschaling en geen relatiebesluit dat "uitsluitend" op bijzondere gegevens rust
Geldt niet voor de zelfstandige sanctiescreening

De Raad van State herhaalde de eis van een uitdrukkelijke grondslag op 12 augustus 2026, in zijn advies over de Implementatiewet voor de bevoegde autoriteiten: de regering vond een aparte grondslag onnodig "omdat de grondslag rechtstreeks uit de richtlijn volgt", de Afdeling antwoordde dat zulke verwerkingen "in beginsel niet toegestaan" zijn en dat "alleen met een specifieke wettelijke grondslag" een uitzondering kan worden gemaakt. Die redenering raakt mijns inziens ook de positie van banken onder art. 43. Ik acht de constructie als tijdelijke overbrugging verdedigbaar, omdat het alternatief (geen monitoring tot 10 juli 2027) de Wwft onuitvoerbaar maakt en het Hof in Sovim (punt 59) de bestrijding van witwassen als zwaarwegend belang erkent; maar het ontbreken van wettelijke waarborgen legt de bewijslast bij de bank, en de bank die de waarborgen van art. 76 lid 2 in 2026 al toepast, staat het sterkst.

Bronnen · peildatum 12 september 2026

AVG art. 4, 6, 7 en 9 · UAVG art. 22, 23, 30, 33 en 41 · Richtlijn (EU) 2015/849 art. 43 en overweging 42 · Wwft art. 3, 8 en 34a · Kamerstukken 36 228, nr. 2 · nr. 3 · nr. 16 · AP, advies 10 maart 2020, voetnoot 53 · EDPB Guidelines 05/2020 (toestemming) · EDPB-brief 28 maart 2023 (OUT2023-0015) · EDPB-bijdrage EBA-consultatie 8 juli 2025, par. 17 · Raad van State, advies 12 augustus 2026 · Rb. Amsterdam 7 december 2021 (ABN AMRO) · Hof Amsterdam 13 mei 2025, r.o. 5.12 · Conclusie A-G 24 april 2026, nr. 1.4, 4.6 en 4.44 · HvJ EU Sovim, punt 59 · AMLR art. 76 en overweging 152 · Sanctiewet 1977 · Regeling toezicht Sanctiewet 1977 (RtSw) · AWGB art. 2 lid 5 · CRM 2022-142 · HvJ EU C-81/24 (Jenec), punt 45 en 51 · NVB white paper 2026, p. 22 (voetnoot 5) en 27 · EBA/GL/2021/02, richtsnoer 2

MaatstafArt. 9 lid 2 onder g eist naast het zwaarwegend belang dat "de evenredigheid met het nagestreefde doel wordt gewaarborgd". Art. 35 lid 1 en lid 3 onder a en b AVG verplichten tot een DPIA bij een systematische en uitgebreide, op geautomatiseerde verwerking gebaseerde beoordeling van persoonlijke aspecten en bij grootschalige verwerking van bijzondere categorieën; art. 35 lid 11 tot herziening "ten minste wanneer sprake is van een verandering van het risico"; art. 36 tot raadpleging van de AP als het restrisico hoog blijft.

Jaar	Ongebruikelijke transacties gemeld aan FIU	Verdacht verklaard	Aandeel
2023	2.334.167	180.578	7,7 procent
2024	3.484.373 (banken: 534.103)	118.408 in 16.306 dossiers	3,4 procent
2025	ruim 3 miljoen	92.000	circa 3 procent

Dit zijn de meldingen; de alerts die daaraan voorafgaan zijn een veelvoud, en percentages false positives per bank of scenario zijn niet openbaar (leveranciers- en vakpublicaties noemen 90 tot 99 procent bij transactiemonitoring en 95 tot 99 procent bij sanctiescreening; officiële cijfers zijn er niet). De Algemene Rekenkamer stelde in 2022 vast dat de meldketen "nog niet optimaal" functioneert en dat de ministers "niet [kunnen] waarborgen dat de meldketen optimaal doelmatig en doeltreffend werkt". De DNB-boetes en -aanwijzingen van 2019 tot en met 2026 gaan over de kwaliteit van de monitoring en de beoordeling van alerts, niet over gegevensbescherming: de menselijke controle achter de machine.

De AP-lijst van verplichte DPIA's (Stcrt. 2019, 64418) noemt onder meer grootschalige verwerking van bijzondere gegevens of stelselmatige monitoring in het kader van fraudebestrijding, zwarte lijsten, grootschalige verwerking van financiële gegevens waaruit het bestedingspatroon blijkt, en systematische geautomatiseerde beoordeling van persoonlijke aspecten. Transactiemonitoring valt onder vier categorieën tegelijk, sanctiescreening onder de zwarte lijsten, verscherpt onderzoek onder de financiële situatie. De AP beboette ICS in december 2023 (150.000 euro) voor een ontbrekende DPIA bij digitale identificatie en formuleerde het beginsel: financiële instellingen mogen de gegevens voor hun wettelijke plicht gebruiken, "maar ze moeten wel uiterst zorgvuldig met de informatie omgaan. Dat betekent bijvoorbeeld dat een DPIA verplicht is." Een DPIA "met terugwerkende kracht" bestaat niet: de DPIA is een beoordeling vooraf, en de WP29-richtsnoeren (WP248) zeggen dat de plicht ook geldt voor bestaande verwerkingen "for which there has been a change of the risks". Dat risico is sinds 2018 op ten minste zes momenten veranderd: machine learning in de monitoring, de TMNL-pilot, de deductierechtspraak (2022, 2024), de CRM-oordelen en DNB-rapporten over discriminatie (2024, 2025), de EBA-richtsnoeren sanctiescreening (30 december 2025) en de AMLR (2027). Dat zijn de externe momenten; de interne wegen even zwaar. Art. 35 lid 11 AVG verplicht tot een hernieuwde toetsing "ten minste wanneer sprake is van een verandering van het risico van de verwerkingen", en dat risico verandert vooral door wat de bank zelf beslist. De SIRA (art. 2b Wwft) is daarvan de motor: elke herziening die een klantgroep, product, land of kanaal hoger inschaalt, vertaalt zich in nieuwe of aangescherpte scenario's, en een scenario is een verwerking. Hetzelfde geldt voor een nieuwe gegevensbron (berichtgeving, een externe lijst, gedeelde signalen), een gewijzigde drempel of variabele, een hertraining van het model, het automatisch sluiten van alerts, een uitbesteding of een nieuwe koppeling met het sanctiescreeningssysteem. Naar mijn oordeel hoort de DPIA daarom als vast onderdeel aan de SIRA-cyclus en het scenariobeheer te hangen: wie een scenario wijzigt op grond van de SIRA, beantwoordt in dezelfde wijzigingsprocedure de vraag of het gegevensbeschermingsrisico is veranderd, en legt dat vast, ook als het antwoord nee is. Een bank zonder DPIA voor deze verwerkingen, of met een DPIA die niet met de SIRA en het scenariobeheer is meegegroeid, is dus niet achteraf verplicht, maar nu. Art. 35 lid 10 (de wetgever heeft de DPIA al gedaan) helpt niet, want bij de Wwft is geen DPIA uitgevoerd en de grondslag voor bijzondere gegevens ontbreekt.

De regelGeen op- of afschaling van het cliëntenonderzoek en geen relatiebesluit dat "uitsluitend" op het bijzondere gegeven rust (overweging 152 AMLR; art. 76 lid 2 onder c), en mijns inziens evenmin een besluit waarin het bijzondere gegeven mede draagt zolang het geen toegestaan onderzoeksobject is (art. 9 AVG; AWGB; Ligue des droits humains, punt 197). Beduidende menselijke tussenkomst bij geautomatiseerde besluiten (art. 76 lid 5 AMLR; art. 22 AVG; art. 3:17 lid 9 Wft voor het geautomatiseerd blokkeren, zie de flowchart avg-compliance). Elke sanctiehit afzonderlijk beoordeeld vóór bevriezing (art. 3 Regeling toezicht Sanctiewet 1977 (RtSw); DNB par. 1.2: "Alleen daadwerkelijke hits worden gemeld"). Bij een gelistete tegenpartij of een terrorismefinancieringstypologie: melden aan de FIU (art. 16 Wwft), niet zelf oordelen.

Bronnen · peildatum 12 september 2026

AMLR art. 76 lid 2 onder c en lid 5; overweging 152 · AVG art. 9 en 22 · AWGB art. 1 en 2 · Wft art. 3:17 · Wwft art. 16 · RtSw art. 3 · DNB, hoofdstuk Sanctieregelgeving, par. 1.2 · Antwoord Kamervragen Van der Staaij (16 september 2021) · Antwoord Kamervragen Azarkan (21 juni 2023) · Rb. Den Haag 9 september 2024 (bunq), r.o. 4.10 · Rb. Gelderland 1 november 2022 (Mollie), r.o. 5.22 · HvJ EU C-817/19, punt 194 en 206 · HvJ EU C-81/24, punt 45 en 51 · Kifid GC 2024-0305, 2025-0396 en 2025-0791 · CRM 2020-48 · CRM 2024-62 · CRM 2024-63 · NVB white paper 2026, p. 29 · Algemene Bankvoorwaarden 2017, art. 35

De regelInformeren vooraf (art. 34a lid 2 Wwft, art. 13 AVG; vanaf 10 juli 2027 de mededeling van art. 76 lid 2 onder a AMLR). Inzage mijns inziens in twee lagen: het dossier en het verwerkingsoverzicht wel, de monitoringlogica en de meldbeoordeling niet, per geval gemotiveerd op art. 41 lid 1 onder d UAVG (Rb. Den Haag 2024:14477, r.o. 4.11 en 4.12). Registratieduur beperkt (Kifid 2025-0396 en 2025-0791); de reden van een opzegging valt niet onder de geheimhouding van art. 23 Wwft, het cliëntenonderzoek zelf wel (Kifid 2025-0043, r.o. 3.6). Vijf jaar bewaren (art. 33 en 34 Wwft; art. 77 lid 3 AMLR), daarna verwijderen en, waar mogelijk, een verwijzing in plaats van een kopie (art. 77 lid 2 en 3 AMLR). En, als operationalisering van art. 5 lid 2 AVG: één verplichte controlevraag per dossier.

Het wetsvoorstel 36 228 wilde in art. 34a lid 5 Wwft de instelling verplichten vast te leggen "welke gegevens dit betreft, de wijze van verwerking, de verplichting op grond waarvan de verwerking plaatsvindt alsmede waarom de verwerking noodzakelijk is". Die bepaling is met de rest geschrapt, maar de plicht bestaat al: art. 5 lid 2 AVG (verantwoordingsplicht) en art. 30 (verwerkingsregister) eisen dat de bank kan aantonen dat elke verwerking rechtmatig is. Op dossierniveau is dat naar mijn mening alleen controleerbaar als de dossierhouder bij het sluiten van een alert of het afronden van een onderzoek één verplichte vraag beantwoordt, die het systeem afdwingt voordat het dossier kan worden gesloten:

Veld	Keuze	Waarom
1. Bevat dit dossier bijzondere of strafrechtelijke persoonsgegevens?	nee / ja, categorie: religie, politiek, gezondheid, afkomst, vakbond, seksueel gedrag, strafrechtelijk	Stap 1: de kwalificatie wordt bewust gemaakt, niet stilzwijgend
2. Uit welke bron?	betaalgedrag / tegenpartij / sanctielijst en identificatievelden / berichtgeving of ambtsbericht / klantverklaring	Stap 2: het onderscheid tussen tegenpartijsignaal en klantkenmerk wordt zichtbaar
3. Droeg het gegeven de beoordeling, of was het bijvangst?	dragend / bijvangst (dan: niet vastgelegd)	Stap 3: strikt noodzakelijk
4. Op welke verplichting rust de verwerking?	art. 3 of 8 Wwft / Sanctiewet en Regeling toezicht Sanctiewet 1977 (RtSw) / EU-verordening (nummer) / art. 16 Wwft melding	Stap 4: de grondslag per dossier in plaats van in het algemeen
5. Welk besluit is erop gevolgd, en door wie?	alert gesloten / op- of afgeschaald / gemeld / relatiebesluit; naam beoordelaar	Stap 6: menselijke tussenkomst aantoonbaar
6. Wanneer wordt het gegeven verwijderd?	datum, gekoppeld aan einde relatie of transactie plus vijf jaar	Art. 77 AMLR: verwijderplicht

Zes velden, meestal één antwoord ("nee") en dan twee seconden werk. Bij "ja" dwingt de vraag de dossierhouder tot precies de afweging die de stappen 1 tot en met 6 beschrijven, en levert het dossier bij een audit, een inzageverzoek of een DPIA-herziening in één oogopslag de rechtmatigheid op. Als bijvangst: de vlag zonder het gegeven. De vlag maakt bovendien de fairnessmeting mogelijk zonder nieuwe gegevens: de bank kan per scenario tellen hoe vaak bijzondere gegevens de beoordeling droegen, hoe vaak zij bijvangst waren en hoe vaak een alert op afgeleide gegevens rustte, zonder daarvoor groepskenmerken van klanten te verzamelen. Dat is in mijn ogen de evenredige variant van de meting waarvoor de NVB in 2026 een grondslag in art. 76 AMLR zoekt.

Bronnen · peildatum 12 september 2026

AVG art. 5 lid 2, 13, 15, 23 en 30 · UAVG art. 41 lid 1 onder d · Wwft art. 23, 33, 34 en 34a · AMLR art. 76 lid 2 onder a en lid 5 onder c, art. 77 lid 2 en 3 · Kamerstukken 36 228, nr. 2 (art. 34a lid 5 Wwft, voorstel) · nr. 16 · Rb. Den Haag 9 september 2024 (bunq), r.o. 4.11 en 4.12 · Sanctieregeling terrorisme 2007-II, aanwijzing The Base (Stcrt. 2024, 2386) · Kifid GC 2025-0396 en 2025-0791 · NVB white paper 2026, p. 27 en 28

De situatieEen klant doet al jaren maandelijkse giften aan een religieuze instelling. Een landelijk medium bericht dat de instelling banden zou hebben met een organisatie die geld naar een conflictgebied sluist. Het transactiemonitoringsysteem van de bank geeft een alert op alle betalingen aan de instelling. Wat mag de bank met de gever doen, en wat legt zij over hem vast?

Stap	Uitkomst voor deze casus
Voorvraag: wettelijk kader	Wwft-spoor: verscherpt cliëntenonderzoek (art. 8 Wwft) op de geldstroom naar de instelling. Het sanctiespoor komt er alleen bij als de instelling of de organisatie erachter op een lijst staat.
1. Kwalificatie	De gift is een gegeven waaruit de religieuze overtuiging van de gever blijkt (OT, Lindenapotheke). Elke verdere stap is een art. 9-verwerking.
2. Bron van het signaal	Toegestaan als het signaal de berichtgeving over de instelling en de geldstroom is; verboden als het scenario "giften aan religieuze instellingen" heet. De bank moet kunnen laten zien welke van de twee het was.
3. Noodzaak	Dragend: de berichtgeving over de instelling (beschuldiging, onderzoek of veroordeling?), de omvang en frequentie van de giften, de bestemming van het geld. Bijvangst: de religieuze aard van de instelling en de overtuiging van de gever; die worden niet vastgelegd en niet gewogen.
4. Grondslag	Art. 6 lid 1 onder c met 9 lid 2 onder g AVG via art. 43 AMLD4 en de Wwft; vanaf 10 juli 2027 art. 76 lid 1 en 2 AMLR. Voor zover de berichtgeving natuurlijke personen raakt (bestuurders van de instelling, of de gever zelf), is zij een "beschuldiging" in de zin van art. 76 lid 3 onder b; de EBA eist beoordeling van "the credibility of allegations on the basis of the quality and independence of the source".
5. Evenredigheid en DPIA	Een scenario op giften aan not-for-profitorganisaties in negatieve berichtgeving treft vrijwel alleen gewone gevers; de DPIA legt de verwachte hitratio en de menselijke beoordeling per alert vast. De NVB-sectorstandaard not-for-profit noemt geld ophalen bij de eigen leden juist een risicoverlagende factor.
6. Besluit	Onderzoek naar de instelling en de geldstroom mag; een vraag aan de gever naar zijn geloof niet; opzegging wegens giften aan een instelling waarover alleen beschuldigingen bestaan, is een relatiebesluit dat uitsluitend op het bijzondere gegeven rust (overweging 152 AMLR; art. 9 AVG). Bij een concrete aanwijzing van terrorismefinanciering: melden aan de FIU (art. 16 Wwft) en het oordeel daar laten.
7. Transparantie en dossier	Controlevraag: "religie, bron: tegenpartij en berichtgeving, bijvangst, niet vastgelegd". In het dossier de geldstroom en de beoordeling van de instelling, niet de gevolgtrekking "klant is gelovig". Inzage in het dossier wel, in de meldbeoordeling niet.

Bronnen · peildatum 12 september 2026

Wwft art. 8 en 16 · AVG art. 9 en 10 · HvJ EU C-184/20 (OT) · HvJ EU C-21/23 (Lindenapotheke) · AMLR art. 76 en overweging 152 · EBA/GL/2021/02 (ML/TF-risicofactoren) · NVB, sectorstandaard not-for-profit organisaties (2025) · CRM 2020-48 · Argos, 14 februari 2025 (red-flag-lijst) · Argos, 14 februari 2025 (klantcontroles) · Follow the Money 2024 · Follow the Money 2025 · Radar, 27 mei 2024 (reacties Rabobank en ING)

De situatieEen klant betaalt contributie aan een politieke partij met standpunten die ver van het midden liggen, en doet giften aan een stichting en een webwinkel die volgens de NCTV tot het rechts-extremistische milieu horen. De NCTV waarschuwt in het Dreigingsbeeld Terrorisme Nederland voor "een reële kans dat individuen of kleine groepjes die actief zijn binnen dit milieu, overgaan tot terroristisch geweld". De partij is legaal, de stichting niet gelist, de webwinkel verkoopt boeken en kleding. Waar eindigt legale politiek en begint terrorismefinanciering, en wie mag dat onderscheid maken?

Stap	Uitkomst voor deze casus
Voorvraag: wettelijk kader	Wwft-spoor (monitoring op terrorismefinanciering). Het sanctiespoor komt er pas bij als de tegenpartij gelist is: The Base staat bij besluit van 18 januari 2024 op de Nationale sanctielijst terrorisme en sinds 26 juli 2024 als eerste rechts-terroristische organisatie op de EU-lijst; een Nederlandse rechts-extremistische organisatie op een lijst is er niet.
1. Kwalificatie	Contributie, gift en aankoop zijn elk een gegeven waaruit de politieke opvatting blijkt; art. 9. Dat geldt ook voor de gift aan de niet-gelistete stichting en de bestelling bij de webwinkel.
2. Bron van het signaal	Toegestaan: een gelistete tegenpartij, of een geldstroom die een terrorismefinancieringstypologie volgt (aankoop van wapens of wapenonderdelen, geldstromen rond een aanslagvoorbereiding, crowdfunding voor een gelistete of veroordeelde persoon). Dat kanaal is smal: FATF stelt over aanslagen door eenlingen vast dat de kosten laag zijn en "do not differ from normal transactions, there are often few or no red flags in the financial system" (p. 8), en over groepen dat sommige "are not considered illegal and as such financial transactions associated with them or their members are not monitored" (paragraaf Movement of funds). Verboden: de opvatting van de klant als signaal. Dit is het grijze gebied: de AIVD beschrijft "een beweging van soms moeilijk in te schatten eenlingen" die online radicaliseren, en de NCTV "een los georganiseerd netwerk", zodat aanhangers vaak alleen via hun politieke voorkeur herkenbaar zijn. Precies dat kanaal is voor de bank gesloten.
3. Noodzaak	De politieke opvatting draagt wat mij betreft de beoordeling nooit, ook niet bij een partij met afwijkende standpunten. Dragend kan alleen de listing of de typologie zijn. Bij een legale partij zonder tegenpartij- of geldstroomsignaal is er niets te onderzoeken; de bank die het toch doet, verwerkt een art. 9-gegeven zonder noodzaak.
4. Grondslag	De Wwft-constructie, straks art. 76 AMLR. Een AIVD-ambtsbericht via het OM, een strafzaak of een krantenbericht over de klant zelf is een strafrechtelijk gegeven (art. 10 AVG via de Wwft-constructie; art. 76 lid 3 AMLR: beschuldiging, onderzoek, procedure of veroordeling uit elkaar houden). De uitzondering "kennelijk openbaar gemaakt" geldt niet voor wat een journalist of de overheid over de klant schrijft.
5. Evenredigheid en DPIA	Het hoogste false-positiverisico van de vier casussen: het rechts-terroristische online milieu telt volgens de NCTV "naar schatting enkele honderden Nederlanders", merendeels minderjarigen en jongvolwassenen; de partij uit deze casus tienduizenden leden. Een scenario dat op politiek gevoelige tegenpartijen selecteert, faalt de evenredigheidstoets al bij stap 2; de DPIA moet dat vastleggen en de detectie richten op de vier kanalen die wel mogen (gelistete tegenpartij, typologie in de geldstroom, negatieve berichtgeving over de klant als strafrechtelijk gegeven, verzoek van een bevoegde autoriteit).
6. Besluit	Legale partij: naar mijn oordeel geen alert, geen vraag, geen besluit. De regering zegt het voorzichtiger: "Alleen het hebben van een controversieel gedachtegoed is uiteraard onvoldoende reden om een rekening te sluiten", maar een bank "kan wel besluiten tot een nader cliëntenonderzoek als uitingsvormen van klanten binnen de risicokaders van de Nationale Coördinator Terrorisme en Veiligheid vallen" (Aanhangsel Handelingen II 2020/21, nr. 4063, antwoord 3). Dat nadere onderzoek verwerkt dan een art. 9-gegeven en moet zelf de noodzaakstoets van stap 3 doorstaan; de opvatting alleen draagt het niet. Gelistete tegenpartij: bevriezen en melden. Typologie in de geldstroom: melden aan de FIU en het oordeel daar laten; het relatiebesluit rust op de eigen feiten, niet op de opvatting. De Wet op de politieke partijen (36 742, ingediend 12 mei 2025) is in behandeling; het voorstel bevat een verbodsprocedure, maar zolang de rechter geen partij heeft verboden, is contributie aan een toegelaten partij legaal betaalgedrag.
7. Transparantie en dossier	Controlevraag: "politieke opvatting, bron: betaalgedrag, bijvangst". Bij een gelistete tegenpartij: "bron: sanctielijst, dragend, grondslag Verordening (EG) 2580/2001 (EU-lijst) en de nationale aanwijzing (Sanctieregeling terrorisme 2007-II), gemeld aan DNB (art. 3 Regeling toezicht Sanctiewet 1977) en bij vermoeden van terrorismefinanciering als ongebruikelijke transactie aan de FIU (art. 16 Wwft; DNB-leidraad par. 1.6)". Een ambtsbericht wordt als strafrechtelijk gegeven geregistreerd met bron en datum, niet als "klant is extremist".

De situatieEen klant betaalt herhaaldelijk aan een buitenlandse webshop die receptgeneesmiddelen verkoopt zonder vergunning; in de omschrijving staat de naam van het middel. De monitoring geeft een alert omdat de tegenpartij op een lijst van onvergunde aanbieders staat en het patroon past bij een witwastypologie (illegale handel). Wat mag de bank van de medicatie weten en bewaren?

Stap	Uitkomst voor deze casus
Voorvraag: wettelijk kader	Wwft-spoor: monitoring op een basisdelict (handel in geneesmiddelen zonder vergunning: art. 18 lid 1, 40 lid 2, 61 lid 1 en 67a lid 1 Geneesmiddelenwet, bij opzet een misdrijf via art. 1 onder 1° en art. 2 lid 1 Wet op de economische delicten) en witwassen van de opbrengst (art. 420bis Sr). Geen sanctiespoor.
1. Kwalificatie	Twee categorieën tegelijk. De medicijnnaam in de omschrijving is een gezondheidsgegeven over de klant, ongeacht of het middel voor hemzelf of voor een ander is en of de afleiding klopt (Lindenapotheke, punt 83, 87, 88 en 90): art. 9. Het vermoeden dat de aanbieder zonder vergunning handelt, is een strafrechtelijk gegeven over die aanbieder (art. 10 AVG) zodra het dossier concrete feiten bevat die een bewezenverklaring kunnen dragen (hier: de verkoop van receptgeneesmiddelen zonder vergunning, art. 18 lid 1 Geneesmiddelenwet); een enkele risico-inschatting is dat niet (Hof Amsterdam 13 mei 2025, ECLI:NL:GHAMS:2025:1261, r.o. 5.12, met de maatstaf van HR 29 mei 2009, ECLI:NL:HR:2009:BH4720; cassatie aanhangig). Over de klant zelf is het alleen een strafrechtelijk gegeven als hij van wederverkoop wordt verdacht.
2. Bron van het signaal	Toegestaan: het signaal ligt bij de tegenpartij (onvergunde aanbieder) en bij de geldstroom naar die aanbieder. Verboden zou naar mijn oordeel zijn: een scenario dat betalingen selecteert op medicijnnamen of op klanten met een bepaalde aandoening.
3. Noodzaak	Dragend: de onvergunde aanbieder, het patroon, de omvang en het feit dát het om een receptgeneesmiddel gaat, want art. 61 lid 1 Geneesmiddelenwet verbiedt eenieder behalve apothekers de verkoop daarvan. Bijvangst: welk middel is besteld en wat dat over de gezondheid van de klant zegt; dat wordt niet in de alert, het onderzoeksdossier of de melding overgenomen. De betaalopdracht zelf blijft als transactiegegeven bewaard; de beoordeling verwijst ernaar in plaats van de omschrijving te kopiëren (art. 77 lid 2 AMLR). Naar mijn mening draagt de productcategorie dus, niet het concrete middel of de aandoening die eruit is af te leiden; bij verdovende middelen (Opiumwet) geldt hetzelfde onderscheid.
4. Grondslag	Voor het gezondheidsgegeven: de Wwft-constructie, straks art. 76 lid 1 en 2 AMLR. Art. 30 UAVG heft het verbod voor gezondheidsgegevens op voor bestuursorganen, pensioenfondsen, werkgevers, scholen, reclassering, zorgverleners en verzekeraars, niet voor banken. Art. 23 UAVG helpt evenmin: onderdeel c staat bijzondere gegevens alleen toe "in aanvulling op" rechtmatig verwerkte strafrechtelijke gegevens en voor hetzelfde doel, en juist de medicatie is voor dat doel niet nodig. De bank rust dus volledig op art. 9 lid 2 onder g zonder wettelijke waarborgen, en na 10 juli 2027 op art. 76. Voor het strafrechtelijke gegeven over de aanbieder: de grondslag uit stap 4 en straks art. 76 lid 3 AMLR, met het onderscheid tussen beschuldiging, onderzoek, procedure en veroordeling; de aanbieder staat op een lijst, hij is niet veroordeeld.
5. Evenredigheid en DPIA	Scenario's op onvergunde aanbieders zijn relatief precies omdat de tegenpartij het criterium is. De DPIA legt vast dat het scenario selecteert op de tegenpartij (rekening en naam op de lijst van onvergunde aanbieders) en niet op de betaalomschrijving, en dat de medicijnnaam niet in de alert, het onderzoeksdossier of de melding wordt overgenomen.
6. Besluit	De klant is koper, mogelijk slachtoffer. Het besluit richt zich op de aanbieder en de geldstroom: melding van de ongebruikelijke transactie aan de FIU (art. 16 Wwft), verscherpt onderzoek naar de geldstroom, en weigering van verdere betalingen alleen voor zover de bankvoorwaarden of de wet dat toelaten (art. 7:533 lid 4 BW) en, vanaf 10 juli 2027, met beduidende menselijke tussenkomst (art. 76 lid 5 onder b AMLR); niet op de klant en niet op zijn medicatie. Een vraag aan de klant gaat over de aanbieder en de betaling, niet over zijn gezondheid.
7. Transparantie en dossier	Controlevraag: "gezondheid, bron: betaalomschrijving, bijvangst, niet vastgelegd". De aanbieder, het patroon en een verwijzing naar de transacties in het dossier, de medicijnnaam niet; bij inzage ziet de klant wat over de betaling is vastgelegd, niet de meldbeoordeling (art. 23 lid 1 en 3 Wwft; art. 41 lid 1 onder d UAVG).

Bronnen · peildatum 12 september 2026

AVG art. 9 en 10 · Hof Amsterdam 13 mei 2025, r.o. 5.12 · Conclusie A-G 24 april 2026 · HvJ EU C-21/23 (Lindenapotheke), punt 83, 87, 88 en 90 · UAVG art. 23, 30 en 41 lid 1 onder d · Wwft art. 3, 8, 16 lid 2, 23 en 34 · Geneesmiddelenwet art. 18, 40, 61 en 67a · Wet op de economische delicten art. 1 onder 1° en art. 2 · Sr art. 420bis · BW art. 7:533 lid 4 · AMLR art. 76 lid 1 t/m 3 en lid 5 onder b, art. 77 lid 1 onder c en lid 2 · AP, advies 10 maart 2020, p. 14 en 15

De situatieEen betaling van een klant wordt tegengehouden omdat zijn naam voor een deel overeenkomt met een naam op de EU-sanctielijst. De screening vergelijkt naam, geboortedatum, geboorteplaats en nationaliteit met de lijst. De klant is een Nederlandse arts, geboren in Iran. In een tweede dossier gebruikt de bank het geboorteland van dezelfde klant om een overboeking naar een familielid in Iran als "economisch verklaarbaar" af te doen. Welke velden mag de bank gebruiken, en mag afkomst een transactie verklaren?

Stap	Uitkomst voor deze casus
Voorvraag: wettelijk kader	Sanctiewet-spoor voor de hit (art. 10b Sanctiewet 1977; art. 2 en 3 Regeling toezicht Sanctiewet 1977 (RtSw)); niet risicogebaseerd, geen art. 76-waarborgen uit de wet. De spiegelzijde (afkomst als verklaring) is een Wwft-vraag in het verscherpt onderzoek.
1. Kwalificatie	Nationaliteit als los veld is geen art. 9-gegeven (AP 2020, par. 3.3.2; over geboorteland in dezelfde zin Jyske Finans, punt 20 en 21). De combinatie van naam, geboorteplaats en nationaliteit om de match te beoordelen wel (AP, par. 3.3.1), en volgens de contextregel van de AP ook de naamscreening zelf zodra voorzienbaar is dat zij vooral personen van niet-Nederlandse herkomst treft: de personen op de lijsten hebben "per definitie voor het overgrote deel" een niet-Nederlands klinkende naam (CRM 2024-62, ov. 4.12; 2024-63, ov. 6.10).
2. Bron van het signaal	De lijst is het signaal; dat is toegestaan en verplicht. Nationaliteit en geboorteplaats mogen de match bevestigen of ontkrachten (Wolfsberg: "to assist in distinguishing a true match from a false positive", nationaliteit "where legally permissible"), maar mogen niet zelf de selectie zijn, tenzij een EU-verordening nationaliteit als criterium stelt (art. 5 ter Verordening 833/2014; CRM 2022-142). Een screening op Iraanse plaatsnamen is indirect onderscheid naar nationaliteit dat zonder wettelijke uitzondering per geval evenredig moet zijn (CRM 2024-100: de screening zelf geschikt en subsidiair, de tweede uitvraag disproportioneel). Het land van de tegenpartij mag evenmin het categorische criterium zijn: het beleid van de Volksbank om betalingen van opdrachtgevers met een Russisch woonadres in beginsel te weigeren, was indirect onderscheid naar nationaliteit zonder wettelijke uitzondering en "strenger [...] dan dat wat op basis van sanctiewet- en regelgeving nodig is" (CRM 2025-125, ov. 4.8, 4.11 en 4.19).
3. Noodzaak	Nationaliteit en geboorteplaats dragen de beoordeling van de match; daarna is de afgeleide afkomst bijvangst: de identificatievelden blijven als matchbeoordeling in de alert, een afgeleide herkomst niet. In het tweede dossier is de afkomst naar mijn mening nooit dragend: de verklaring van de overboeking hoort uit het verwachte transactieprofiel of de klantverklaring te komen, niet uit deductie.
4. Grondslag	Sanctiewet en RtSw plus de EU-verordening voor de screening (art. 6 lid 1 onder c AVG); de sanctieregels als wettelijke uitzondering moet de bank zelf aanvoeren (in CRM 2024-62 en 2024-63 was die "gesteld noch gebleken", ov. 4.13 en 6.11), en art. 2 lid 5 onder a AWGB dekt alleen onderscheid naar nationaliteit, niet naar ras; voor de afgeleide afkomst art. 9 lid 2 onder g zonder wettelijke waarborgen. Amerikaanse sancties zijn geen wettelijke verplichting in de EU (C-81/24: een OFAC-vermelding rechtvaardigt geen automatische weigering; CRM 2024-100: uit de aangehaalde regels volgt niet "dat banken in het geheel geen transacties met Iran mogen doen"); voor de Amerikaanse Iran-sancties verbiedt art. 5 van Verordening (EG) 2271/96 (het blocking statute, bijlage sinds 7 augustus 2018 met onder meer de Iran Sanctions Act 1996 en de Iran Freedom and Counter-Proliferation Act 2012) EU-personen zelfs om er gevolg aan te geven. Dat verbod geldt volgens het Hof van Justitie "ook al hebben de bestuurlijke of rechterlijke autoriteiten van derde landen die deze wetten hebben vastgesteld [...] geen instructies gegeven" (HvJ EU 21 december 2021, C-124/20, Bank Melli Iran, ECLI:EU:C:2021:1035, punt 51 en dictum 1); een bank mag een overeenkomst met een persoon op de SDN-lijst opzeggen zonder die opzegging te motiveren, maar wijst het bewijs in een civiele procedure "op het eerste gezicht" op naleving van de bijlagewetten, dan moet zij "rechtens genoegzaam" aantonen dat haar gedrag "niet de bedoeling had om gevolg te geven aan die wetten" (punt 67 en 68, dictum 2). Het blocking statute dekt alleen de wetten in de bijlage: toen de Volksbank in 2024 een basisbankrekening weigerde aan een aanvrager die wegens drugshandel op de OFAC-lijst stond (Executive Order 14059, niet in de bijlage), liet de voorzieningenrechter meewegen dat de bank "onweersproken" had gesteld "dat zij op grond van haar beleid geen transacties faciliteert met personen die op deze OFAC-lijst staan, mede vanwege het risico dat zij daarbij Amerikaanse sanctieregelgeving raakt" (Rb. Den Haag 12 november 2024, ECLI:NL:RBDHA:2024:18548, r.o. 4.12; kort geding, anderhalf jaar vóór C-81/24), en voor zo'n categorisch beleid zonder geïndividualiseerde beoordeling is naar mijn oordeel na C-81/24 geen plaats meer.
5. Evenredigheid en DPIA	De kalibratie van de fuzzy matching bepaalt de false-positiveratio en wie wordt getroffen (EBA GL/2024/15, par. 24). De bank moet naar mijn oordeel de attributenset en de kalibratie documenteren en het effect per naamgroep meten, want daarop wordt zij afgerekend: het College achtte de naamscreening van ING in 2024 op zichzelf geschikt en zag geen werkbaar alternatief, maar oordeelde dat ING de evenredigheid niet had aangetoond bij "a large number of unjustified blockings", overwegend bij klanten van niet-Nederlandse herkomst, zonder uitleg en met trage vrijgave (CRM 2024-63, ov. 6.17, 6.21 en 6.22), en dat er "geen data beschikbaar" waren "waaruit blijkt hoeveel blokkeringen van transacties terecht waren" (CRM 2024-62, ov. 4.18). In het parallelle oordeel faalde ING alleen "in de gegeven omstandigheden", omdat zij gegevens uitvroeg die zij al had (2024-62, ov. 4.20 en 4.21). De regering erkent dat de naamscreening hits oplevert waarvan het vermoeden bij nader onderzoek "ongegrond blijkt", en stelt als norm dat instellingen "niet meer doen dan de sanctiewet eist" (antwoord 19 en 41). De instantbetaling markeert de grens van die evenredigheidstoets: bij een betaling die binnen tien seconden moet worden verwerkt (Verordening (EU) 2024/886) achtte het College in 2026 één uitvraag na een gedeeltelijke naamovereenkomst met de OFAC-lijst "Onder deze omstandigheden" proportioneel, ook al is er "nog altijd geen (concrete) informatie beschikbaar" over de effectiviteit van de screening en zijn de nadelige gevolgen "vanwege de discriminerende effecten groot" (CRM 2026-78, ING, ov. 6.21, 6.22, 6.32 en 6.33); de aanbeveling om de screening "onderbouwd en gedocumenteerd" risicogebaseerd in te vullen en controles en blokkades bij onterechte meldingen te beperken, "ook bij een 'instant payment'" (ov. 9.1 tot en met 9.3), is mijns inziens de norm waaraan de kalibratie wordt gemeten.
6. Besluit	Bevriezen op grond van de EU-verordening en onverwijld melden aan DNB zodra de identiteit overeenkomt (art. 2 lid 2 en art. 3 RtSw; DNB par. 1.2: alleen daadwerkelijke hits); bij een false positive de betaling vrijgeven en de alert sluiten zonder de klant als verhoogd risico te registreren en zonder eenmaal verstrekte identificatiegegevens opnieuw uit te vragen (CRM 2024-62, ov. 4.20). Nooit een weigering of opzegging op de enkele naamovereenkomst of een buitenlandse lijst; wel verscherpt onderzoek "na een geïndividualiseerde beoordeling" (C-81/24, punt 51).
7. Transparantie en dossier	Controlevraag: "afkomst, bron: sanctielijst en identificatievelden, dragend voor de matchbeoordeling, grondslag RtSw"; vastleggen welk veld de match ontkrachtte. In het tweede dossier: de klantverklaring of het transactieprofiel als verklaring, niet het geboorteland. De klant hoort te horen dat de vertraging een lijstcontrole was: het College eist "ten minste een duidelijke en begrijpelijke uitleg [...] voor de extra controles" (CRM 2024-62, ov. 5.5) en rekende ING het uitblijven van persoonlijke uitleg en de trage vrijgave aan (2024-63, ov. 6.22); geen enkele bank legt dat vandaag in haar privacyverklaring uit.

Bronnen · peildatum 12 september 2026

Sanctiewet 1977 art. 10 en 10b · RtSw art. 1 t/m 3 · DNB, hoofdstuk Sanctieregelgeving, par. 1.2 t/m 1.4 · EBA/GL/2024/15, par. 17, 24 en 40 · Wolfsberg Group (2019) · Verordening (EU) 833/2014 art. 5 ter · AWGB art. 2 lid 1, 4 en 5 · Verordening (EG) 2271/96 (blocking statute) art. 5 en bijlage · HvJ EU C-124/20 (Bank Melli Iran), punt 51, 67 en 68 · Rb. Den Haag (vzr.) 12 november 2024, r.o. 4.12 · AP, nationaliteit bij kinderopvangtoeslag (2020), par. 3.3.1 en 3.3.2 · HvJ EU C-668/15 (Jyske Finans), punt 20, 21 en 24 · HvJ EU C-81/24, punt 45, 51, 55 en 56 · CRM 2022-142, ov. 6.7 · CRM 2024-62, ov. 4.12, 4.13, 4.18, 4.20, 4.21 en 5.5 · CRM 2024-63, ov. 6.10, 6.17, 6.21 en 6.22 · CRM 2024-100, ov. 6.11 · CRM 2025-125, ov. 4.8, 4.11 en 4.19 · CRM 2026-78, ov. 6.21, 6.22, 6.32, 6.33 en 9.1 t/m 9.3 · Aanhangsel Handelingen II 2021/22, nr. 2727, antwoord 19 en 41 · NOS, 17 februari 2017 · Consumentenbond, 30 juni 2017 · Reporters Online, 14 september 2021 · NVB, self-assessment discriminatie (1 maart 2024), p. 18 en 31

Waarom drie kolommenDe flowchart behandelt drie verwerkingen die in de praktijk in één afdeling plaatsvinden maar juridisch verschillen in bron, grondslag, risicogebaseerdheid en waarborgen. Wie een dossier beoordeelt, moet eerst weten in welke kolom hij staat. De rij "bewijslast bank" is mijn vertaling van rechtspraak en toezichtsdocumenten naar dossierniveau.

	Transactiemonitoring	Verdiepend cliëntenonderzoek	Sanctiescreening
Wettelijke bron	Art. 3 lid 2 onder d Wwft; vanaf 10 juli 2027 art. 26 AMLR	Art. 8 Wwft; vanaf 10 juli 2027 art. 34 AMLR	Art. 10 en 10b Sanctiewet 1977, art. 2 en 3 Regeling toezicht Sanctiewet 1977 (RtSw), EU-verordeningen; de sanctiecheck in het cliëntenonderzoek: art. 20 lid 1 onder d AMLR
Risicogebaseerd	Ja: scenario's en drempels per risicoprofiel	Ja: alleen bij hoger risico, met een reikwijdte die het risico draagt	Nee: "kan niet risicogebaseerd worden ingevuld" (DNB par. 1.1); alle relaties en transacties
Waar het bijzondere gegeven vandaan komt	Betaalgedrag: begunstigde, omschrijving, sector van de tegenpartij	Betaalgedrag, aangeleverde documenten, berichtgeving, klantverklaring	De lijst en de identificatievelden: naam, geboortedatum en -plaats, nationaliteit
Welk gegeven	Religie, politiek, gezondheid, vakbond, seksueel gedrag	Dezelfde, plus strafrechtelijke gegevens uit berichtgeving en ambtsberichten	Etnische afkomst, afgeleid uit de combinatie van velden; politieke opvatting, afgeleid uit een partijpolitieke functie op een PEP-lijst
Grondslag bijzondere gegevens nu	Art. 9 lid 2 onder g via art. 43 AMLD4 en de Wwft; wettelijke waarborgen ontbreken (36 228 geschrapt; AP 2020)		Art. 9 lid 2 onder g via de Sanctiewet; nog minder wettelijke waarborgen; bij landgebonden maatregelen de verordening zelf (en voor het onderscheid naar nationaliteit art. 2 lid 5 onder a AWGB)
Vanaf 10 juli 2027	Art. 76 AMLR met de vier waarborgen van lid 2; art. 77 voor bewaren en verwijderen		Art. 76 AMLR geldt niet voor de zelfstandige screening. Het wetsvoorstel Wet internationale sanctiemaatregelen (36 898, ingediend 17 februari 2026, op de peildatum in behandeling bij de Tweede Kamer) laat de screeningsplicht van afdeling 5 Sanctiewet 1977 in stand, reserveert het hoofdstuk over de bedrijfsprocessen van instellingen en regelt bijzondere persoonsgegevens alleen voor bestuursorganen en toezichthouders (art. 8.3.2); een waarborg als art. 76 voor instellingen staat er niet in.
Wat de waarborg in de wet zegt	Overweging 152 AMLR: geen besluit dat uitsluitend rust op bijzondere gegevens die voor het witwasrisico niet relevant zijn, en geen op- of afschaling die uitsluitend op zulke gegevens berust; art. 76 lid 5 onder b: beduidende menselijke tussenkomst		Art. 3 RtSw: onverwijld melden zodra de identiteit van een relatie overeenkomt, en volgens DNB (par. 1.2) "alleen daadwerkelijke hits"; EBA/GL/2024/15 par. 24: kalibratie "neither too sensitive, causing a high number of false positive matches, nor insufficiently sensitive"
Wie de grens heeft getrokken	AP (2020, 2023); Rb. Den Haag 2024; Kifid 2025; DNB-rapporten 2024 en 2025	CBb 2022 (bunq/DNB); Kifid 2024-0305 en 2025-0102; CRM 2020-48	College voor de Rechten van de Mens (vijftien oordelen in twaalf zaken, 2016 tot 2026, waarvan acht over nationaliteit of lijstscreening: 2022-141 tot en met 143, 2024-62, 2024-63, 2024-100, 2025-125 en 2026-78); HvJ EU C-81/24 (2026); voor de spiegelzijde de AP-boete voor de Belastingdienst (2021) over nationaliteit als risico-indicator
Bewijslast bank	Scenario per scenario: noodzaak van de variabele, hitratio, menselijke beoordeling, fairnessmeting	Per dossier: draagt het gegeven de beoordeling, is de uitvraag passend bij de vraag	Attributenset, kalibratie, effect per naamgroep, afhandeling van false positives, uitleg aan de klant en geen herhaalde uitvraag van al verstrekte gegevens (CRM 2024-62 en 2024-63)

Bronnen · peildatum 12 september 2026

Wwft art. 3, 8 en 34a · AMLR art. 20, 26, 34, 76 en 77 · Sanctiewet 1977 · Regeling toezicht Sanctiewet 1977 (RtSw) · Kamerstukken II 2025/26, 36 898, nr. 2 (Wet internationale sanctiemaatregelen) · DNB, hoofdstuk Sanctieregelgeving, par. 1.1 en 1.2 · EBA/GL/2024/15, par. 24 · Richtlijn (EU) 2015/849 art. 43 · AWGB art. 2 lid 5 · CBb 18 oktober 2022 (bunq/DNB), r.o. 4 · Rb. Den Haag 9 september 2024 · Kifid GC 2025-0102, r.o. 3.2 en 3.6 · Kifid-uitspraken · CRM-oordelen 2016 t/m 2026 · AP, boetebesluit Belastingdienst (2021) · HvJ EU C-81/24

De tellingDNB-register van banken, 9 september 2026: 35 vergunninghouders met zetel in Nederland (art. 2:12 en 2:13 Wft), plus twee bijkantoren van niet-EER-banken. Alle privacyverklaringen en de belangrijkste voorwaarden zijn gelezen tussen 9 en 12 september 2026. Namen worden hier alleen genoemd waar een besluit, uitspraak of oordeel openbaar is.

Elf van de 35 maken duidelijk dat het poortwachterswerk bijzondere persoonsgegevens kan raken: zeven noemen het betaalgedrag als bron ("politieke partij, een vakbond, een religieuze instelling of een zorginstelling"; "op basis van uw betaalgedrag"; "via the transaction details"), vier de screening ("bij ons wettelijk verplichte klantonderzoek"; "Special categories of data for sanctions screening or risk assessment"; "PEP checks might reveal information that indicates a person's political opinions"). Eén zegt dat die gegevens in de antiwitwascontext zonder toestemming verder worden verwerkt.
De overige 24 noemen het niet. Elf van hen noemen bijzondere categorieën in het geheel niet, hoewel zij allemaal transacties monitoren en op sanctielijsten screenen; één ontkent de verwerking ("verwerkt geen sensitieve data [...] zoals religie, politieke voorkeur, medische gegevens") terwijl zij op dezelfde site transactiecontrolesystemen en PEP-identificatie beschrijft; drie verwijzen nog naar de Wet bescherming persoonsgegevens of de sinds 2018 uitgewerkte Gedragscode.
Geen enkele bank vraagt toestemming voor bijzondere gegevens uit transacties. Toestemming wordt gevraagd voor biometrische login, marketing, cookies, het categoriseren van uitgaven in de app en, bij twee banken, voor gegevens die de klant zelf aanreikt (dieetwensen, een medische situatie). Enkele banken voeren instemmings- of aanvaardingsclausules in hun voorwaarden; dat is geen toestemming in de zin van de AVG.
Geen enkele bank noemt art. 9 lid 2 onder g. De formules zijn "als de wet dat toestaat", "wettelijke verplichting", één keer "een zwaarwegend algemeen belang" in eigen woorden, één keer de fictie dat de klant de gegevens "voluntarily public" heeft gemaakt, één keer de "instructie" van de klant.
Drie posities op de bijvangstvraag: verder verwerken zonder toestemming (één bank); niet gebruiken en niet zoeken (twee banken in hun privacyverklaring, en ABN AMRO tegenover de AP op 30 januari 2025); alle transacties gelijk behandelen en niet classificeren (Triodos Bank tegenover de AP, januari 2025). ING en Rabobank antwoordden de AP dat de TMNL-gegevens waren verwijderd. De Argos-reconstructie van de Rabobank-lijst uit 2017 en de FTM-publicaties over de drie grootbanken laten zien dat de scenario's in de praktijk niet altijd met die posities spoorden.
Sanctiescreening wordt door vrijwel alle banken als wettelijke verplichting genoemd; vijf koppelen haar aan identificatiegegevens waaronder nationaliteit en geboorteland; één legt uit waarom een landgegeven nodig is; één noemt de Amerikaanse sanctieregels als eigen kader. Geen enkele bank legt uit wat een false positive is of wat de klant kan doen als zijn naam op een naam op de lijst lijkt; naar mijn mening hoort die uitleg vooraf in de eerste laag van de privacyverklaring, niet pas bij een opgehouden betaling (zie de voorvraag). Twee spaarbanken beloven dat bij de sanctiecontrole "nooit automatische besluiten" worden genomen of "betekenisvolle menselijke beoordeling" plaatsvindt.
Transparantie richting 2027: negen banken doen de mededeling van art. 76 lid 2 onder a AMLR al min of meer; 26 moeten hun verklaring vóór 10 juli 2027 aanpassen.

De lijnIn mijn lezing van de vijftien oordelen: het land van de transactie mag het signaal zijn (2025-15), maar niet het categorische criterium (2025-125), en een EU-verordening die nationaliteit zelf als criterium stelt mag wel het signaal zijn (2022-142 en 143); de nationaliteit of afkomst van de klant zelf mag nooit het criterium zijn (2016-3, 2020-48); en screening op namen of plaatsnamen is indirect onderscheid dat de bank per geval objectief moet rechtvaardigen, wat Citibank lukte (2023-29), ING driemaal niet (2024-62, 2024-63, 2024-100) en ING in 2026 wel, bij een instantbetaling met één uitvraag (2026-78). Het College is de instantie die de sanctiescreening en de uitvraag van banken het meest concreet heeft getoetst; DNB nam in haar rapporten van 2024 en 2025 dezelfde lijn over.

Oordeel	Bank en feiten	Uitkomst
2016-3 (14 januari 2016)	ABN AMRO: tariefsverhoging van 5,50 naar 105 euro per maand omdat de holding van een klant "mede vanwege zijn Spaanse nationaliteit" als bedrijf met een complexe structuur en "zakelijk niet ingezetene" was aangemerkt; de bank noemde het een vergissing	Verboden onderscheid op grond van nationaliteit, bij de tariefsverhoging en bij de klachtbehandeling
2020-48 (22 juni 2020)	bunq: weigering van een zakelijke rekening aan een vof voor islamitische kennisoverdracht op grond van het acceptatiebeleid ("geen zakelijke bankrekeningen aan religieuze organisaties")	Direct onderscheid op grond van godsdienst, geen wettelijke uitzondering: verboden onderscheid
2022-141, 142 en 143 (6 december 2022)	ING: beperkingen voor Russische klanten na de invasie, "rechtstreeks voortvloeiend uit artikel 5b van EU-verordening 2022/328"; een in Oezbekistan geboren Nederlander ten onrechte als Russisch geregistreerd	142 en 143: direct onderscheid naar nationaliteit, gerechtvaardigd door art. 2 lid 5 onder a AWGB; 141: geen onderscheid, de foutregistratie was "een administratieve fout" die ING na de melding herstelde; in geen van de drie verboden onderscheid
2023-29 (28 februari 2023)	Citibank Europe (bijkantoor): screening op trefwoorden "die alle op enige wijze verband houden met Syrië, waaronder Syrische plaatsnamen" trof een cateringbedrijf met een Syrische plaatsnaam	Screening objectief gerechtvaardigd; klachtbehandeling niet
2023-118 (15 november 2023)	ABN AMRO: uitvraag over de hoogste terugkerende bijschrijvingen op een privérekening, afkomstig van personen met een niet-Nederlandse achternaam; de bank stelde dat haar systeem "geen methodieken die discriminerende factoren bevatten" kent en dat zij "niet monitort op naamgeving of nationaliteit van klanten" (par. 5, ov. 6.11)	Geen verboden onderscheid: de selectie berustte op het totaalbedrag over twaalf maanden, de herkomst van de betalers "in zoverre op toeval"; de gestelde feiten konden geen onderscheid doen vermoeden
2024-62 en 2024-63 (25 juli 2024)	ING: blokkades door gedeeltelijke naamovereenkomst met sanctielijsten; de personen op de lijsten hebben "per definitie voor het overgrote deel" een niet-Nederlands klinkende naam (2024-62, ov. 4.12); de screening is in het algemeen aannemelijk geschikt (ov. 4.20) en zonder werkbaar alternatief (2024-63, ov. 6.21), maar ING vroeg gegevens opnieuw uit die zij al had (2024-62, ov. 4.20 en 4.21) en toonde de evenredigheid niet aan bij "a large number of unjustified blockings", overwegend bij klanten van niet-Nederlandse herkomst, zonder uitleg en met trage vrijgave (2024-63, ov. 6.22)	Indirect onderscheid op grond van ras, niet objectief gerechtvaardigd: verboden onderscheid; ook de klachtbehandeling was in 2024-62 verboden onderscheid (ov. 5.7)
2024-100 (5 december 2024)	ING: screening op Iraanse plaatsnamen, tweede uitvraag over een huisartsenrekening van 35,91 euro; beroep op Wwft, Sanctiewet "en Amerikaanse regelgeving"; uit die regels volgt niet "dat banken in het geheel geen transacties met Iran mogen doen" (ov. 6.11); screening geschikt en subsidiair (ov. 6.16 en 6.19), tweede uitvraag "niet in redelijke verhouding" (ov. 6.22)	Indirect onderscheid naar nationaliteit, niet objectief gerechtvaardigd: verboden onderscheid op grond van nationaliteit
2025-15 (13 februari 2025)	Rabobank: vragen na een overboeking naar Turkije kwamen uit een "geografisch transactierisico" in het detectiesysteem, niet uit de nationaliteit van de klant	Geen verboden onderscheid
2025-125 (25 november 2025)	de Volksbank: betalingen van opdrachtgevers met een Russisch woonadres aan een klant met de Russische nationaliteit geweigerd op de landcode RU, daarna een cliëntenonderzoek; niet de nationaliteit maar "de Russische woonplaats van de opdrachtgevers" was het criterium (ov. 4.7), maar het beleid "om transacties die (in)direct uit Rusland afkomstig zijn, in beginsel te weigeren" raakt "in het bijzonder personen [...] met de Russische nationaliteit" (ov. 4.8); "Uit de door verweerder aangehaalde sanctiewet- en regelgeving volgt niet dat banken in het geheel geen transacties vanuit en naar Rusland mogen faciliteren" (ov. 4.11); het beleid was "strenger [...] dan dat wat op basis van sanctiewet- en regelgeving nodig is" en de latere versoepeling was "niet het gevolg [...] van specifieke wijzigingen in de sanctiewet- en regelgeving" (ov. 4.19)	Indirect onderscheid op grond van nationaliteit, geen wettelijke uitzondering (art. 2 lid 5 onder a AWGB) en de noodzaak niet aangetoond (ov. 4.20): verboden onderscheid; klachtbehandeling geen onderscheid
2025-137 (18 december 2025)	ING Groep: registratie in het Intern Verwijzingsregister (IVR) van een zorgstichting en haar bestuurder na een cliëntenonderzoek waarin de gevraagde informatie uitbleef; de bestuurder stelde dat het onderzoek zich richtte op bestuursleden en medewerkers met een niet-Nederlands klinkende naam	Geen verboden onderscheid op grond van ras en nationaliteit: de gestelde feiten konden geen onderscheid doen vermoeden (art. 10 lid 1 AWGB)
2026-78 (28 mei 2026)	ING Bank: een instantbetaling van 1.344,08 euro van een Zweedse rekening aan een klant geweigerd omdat de naam van de afzender in de omschrijving deels overeenkwam met een naam op de sanctielijst van het Amerikaanse OFAC; één uitvraag aan de ontvanger. "De naam van een persoon is vrijwel altijd verbonden met de afkomst van deze persoon, waardoor het valt onder de grond ras uit de Awgb" (ov. 6.11); er is "nog altijd geen (concrete) informatie beschikbaar [...] over de daadwerkelijke effectiviteit van deze wijze van transactiescreening", maar het DNB-onderzoek van 2023 en het gegeven dat "bij sanctieovertredingen, vaak aliassen of delen van een naam worden gebruikt" maken fuzzy matching passend (ov. 6.21); een instantbetaling moet binnen tien seconden worden verwerkt (Verordening (EU) 2024/886, ov. 6.22); geen lichter middel (ov. 6.27 en 6.28), maar de bank moet "de werking van het algoritme" monitoren (ov. 6.28); "De nadelige gevolgen van de huidige wijze van transactiescreening zijn vanwege de discriminerende effecten groot" (ov. 6.32), toch is één uitvraag "Onder deze omstandigheden" proportioneel (ov. 6.33)	Indirect onderscheid op grond van ras, objectief gerechtvaardigd: geen verboden onderscheid; klachtbehandeling zorgvuldig. Aanbeveling: "Het gebrek aan inzicht in de gegevens over de effectiviteit [...] is opvallend"; de screening "onderbouwd en gedocumenteerd" risicogebaseerd invullen en "controles en blokkades bij onterechte meldingen te beperken, ook bij een 'instant payment'" (ov. 9.1 tot en met 9.3)
2026-105 (16 juli 2026)	ING Bank: periodiek klantonderzoek bij de onderneming van een ondernemer van Armeense afkomst; na een rekeninganalyse waaruit bleek dat 99,2 procent van de omzet niet van Nederlandse tegenpartijen kwam, stelde de bank vragen over "de band van zijn bedrijf met Nederland"	Geen verboden onderscheid op grond van ras bij het klantonderzoek; wel verboden onderscheid door de onzorgvuldige behandeling van de discriminatieklacht

De Discriminatiemonitor 2024 van het College (29 januari 2025) telt voor 2024 "52 meldingen" over financiële instellingen. Het NVB-rapport van 1 maart 2024 stelt dat "mogelijke discriminatie met name gedreven wordt door zowel de wet Wwft en de sanctiewet"; DNB publiceerde in mei 2024 haar rapport over discriminatie bij de naleving van de Wwft (met het Senegal-voorbeeld: het land van de transactie mag, de nationaliteit van de klant niet), noemde indirecte discriminatie in september 2025 "een uitdaging", en de AFM volgde in mei 2026 met een eigen rapport. De NVB erkent op haar standpuntpagina dat "indirecte discriminatie het moeilijkst is om aan te pakken" en dat "ogenschijnlijk neutrale regels in de praktijk sommige groepen harder raken, bijvoorbeeld door sanctiewetgeving", en meldde in juni 2026 dat banken de discriminatietoets van de Staatscommissie tegen Discriminatie en Racisme inzetten "als risicoanalyse om de eigen processen en modellen scherper te toetsen". Het Hof van Justitie voegde op 11 juni 2026 (C-81/24) de Europese bovengrens toe: een buitenlandse lijst is een risicofactor die tot geïndividualiseerd verscherpt onderzoek verplicht, niet tot weigering.

Bronnen · peildatum 12 september 2026

CRM 2016-3 · 2020-48 · 2022-141 · 2022-142 (ov. 6.7) · 2022-143 · 2023-29 (ov. 4.6) · 2023-118 (par. 5 en ov. 6.11) · 2024-62 (ov. 4.12, 4.18, 4.20, 4.21 en 5.7) · 2024-63 (ov. 6.10, 6.17, 6.21 en 6.22) · 2024-100 (ov. 6.11, 6.16, 6.19, 6.22 en 6.23) · 2025-15 · 2025-125 (ov. 4.7, 4.8, 4.11, 4.19 en 4.20) · 2025-137 · 2026-78 (ov. 6.11, 6.21, 6.22, 6.27, 6.28, 6.32, 6.33 en 9.1 t/m 9.3) · 2026-105 · CRM, Discriminatiemonitor 2024 · CRM, Toetsingskader risicoprofilering · DNB, Tegengaan van discriminatie (2024) · DNB, Discriminatie bewust tegengaan (2025) · AFM, Tegengaan van discriminatie door banken: van inzicht naar actie (12 mei 2026, via NVB) · NVB, self-assessment discriminatie (2024) · NVB, standpunt Voorkomen van discriminatie · NVB, discriminatietoets Staatscommissie (8 juni 2026) · AWGB art. 2 lid 5 · HvJ EU C-81/24

Wat de diensten zeggenNCTV, DTN juni 2025: "Er is een reële kans dat individuen of kleine groepjes die actief zijn binnen dit milieu, overgaan tot terroristisch geweld"; de scene is "voornamelijk geïnspireerd door het identitarisme, nazisme en ultranationalisme"; "Vaak gaat het [...] om jongeren, meestal jongens, die nog op zoek zijn naar een identiteit". AIVD 2024: aanhangers "veelal jongvolwassen, een aanzienlijk deel zelfs minderjarig", radicalisering "online en vaak uit het zicht, in versnipperde kanalen die na korte tijd ook weer opgeheven kunnen worden". DTN juni 2026: "enkele honderden Nederlanders".

Kanaal	Wat de bank ziet	Kwalificatie	Mag het?
1. Gelistete tegenpartij	Betaling aan The Base of een aan een lijst gekoppelde entiteit	Sanctiescreening; het signaal ligt bij de geldstroom, de bank constateert een feit	Ja, verplicht: bevriezen op grond van de verordening, melden aan DNB (art. 3 RtSw) en bij vermoeden van terrorismefinanciering aan de FIU (art. 16 Wwft). Voor de Nederlandse scene vrijwel leeg: "los georganiseerd", geen gelistete Nederlandse entiteit
2. Typologie in de geldstroom	Aankoop van wapens of wapenonderdelen, geldstromen rond een aanslagvoorbereiding, crowdfunding voor een gelistete of veroordeelde persoon. FATF en Europol beschrijven de gewone financiering (contributies, donaties, merchandise, crowdfunding, virtuele activa) als open en legaal; over de uitgaven voor aanslagen door eenlingen zegt de FATF dat er "often few or no red flags in the financial system" zijn (p. 8). Europol noemt bij sommige groepen wel drugshandel of afpersing (TE-SAT 2025, p. 40): dat is een gewone witwastypologie	Wwft-monitoring op terrorismefinanciering; het signaal ligt bij de geldstroom	Ja, mits het scenario op de typologie selecteert en niet op de opvatting of op de tegenpartij als "rechts"; melden aan de FIU. Het kanaal is smal
3. Negatieve berichtgeving over de klant zelf	Krantenartikel, AIVD-ambtsbericht via het OM, strafzaak, tip	Strafrechtelijk gegeven (art. 10 AVG via de Wwft-constructie; art. 76 lid 3 AMLR); niet "kennelijk openbaar gemaakt"	Ja, met onderscheid tussen beschuldiging, onderzoek, procedure en veroordeling en beoordeling van de betrouwbaarheid van de bron
4. De politieke voorkeur uit het betaalgedrag	Contributie, gift aan een niet-gelistete stichting, bestelling bij een webwinkel uit het milieu	Art. 9-verwerking op een klantkenmerk	Nee: verboden selectiecriterium (Ligue des droits humains, punt 197, naar analogie; overweging 152 AMLR voor het besluit); zonder kanaal 1 tot en met 3 is er niets te onderzoeken

FATF (2021) en Europol (2025) beschrijven de financiering van deze scene als kleinschalig en zelfgefinancierd: eigen inkomen, contributies, merchandise, donaties, crowdfunding en crypto, bij sommige groepen aangevuld met drugshandel of afpersing. FIU-Nederland zag in 2023 "een lichte stijging [...] met betrekking tot dossiers ten aanzien van potentieel gewelddadige eenlingen, rechts-extremisme en accelerationisme" en in 2024, bij dertien dossiers waarin vuurwapens en terrorismefinanciering samenkwamen, "het hoge percentage van personen die behoorden tot of in contact stonden met extreemrechtse groeperingen" (op 247 dossiers met een terrorisme-indicatie). Die dossiers ontstaan uit meldingen van ongebruikelijke transacties en uit verzoeken van de autoriteiten. Voor de bank volgen daaruit naar mijn mening vier regels: het signaal ligt bij de tegenpartij of de geldstroom, nooit bij de opvatting; de melding is de uitweg, niet het eigen oordeel; het relatiebesluit rust op de eigen feiten; en de DPIA legt vast dat scenario's op politiek gevoelige tegenpartijen niet worden gebouwd.

Bijzondere persoonsgegevens in transactiemonitoring, verdiepend cliëntenonderzoek en sanctiescreening

Afleiden is verwerken, en verwerken vraagt een grondslag

Veelgestelde vragen