Het huidige UBO-register mag blijven, maar hoe lang nog?
Op 20 mei 2015 is een Europese richtlijn in werking getreden, die als doel heeft het voorkomen van het gebruik van het financieel stelsel voor witwassen en terrorismefinanciering. Omdat dit de vierde richtlijn over dit onderwerp is, en omdat de richtlijn in het Engels Anti Money Laundering Directive 4 heet, duidt men deze in het kort wel aan als de AMLD4. Vanuit de AMLD4 komt de verplichting om een UBO-register in het leven te roepen. Het UBO-register roept echter vanuit privacy-oogpunt de nodige vragen op.
Wat is het UBO-register ?
De AMLD4 verplicht alle EU-landen om een register te maken waaruit volgt wie de uiteindelijk belanghebbende (ultimate beneficial owner, of UBO) is van een rechtspersoon, dus in Nederland van een N.V., B.V., stichting, vereniging, maar bijvoorbeeld ook van een gemeente. Dit register wordt daarom ook wel het UBO-register genoemd.
In 2018 is een vijfde richtlijn aangenomen (de AMLD5), waarin is opgenomen dat het UBO-register verplicht openbaar moet zijn, dus in te zien door iedereen. In juli en september 2020 is deze richtlijn in het Nederlandse recht doorgevoerd, waardoor de UBO van een na die datum opgerichte Nederlandse rechtspersoon verplicht is diverse gegevens aan het Handelsregister aan te leveren. Voor reeds bestaande rechtspersonen geldt een langere termijn om de gegevens compleet te maken.
De in het register geregistreerde gegevens zijn: burgerservicenummer (BSN), eventuele buitenlandse fiscale nummers, naam, geboortemaand en -jaar, woonland, nationaliteit, geboortedag, woonadres, aard en omvang van het door de UBO gehouden belang. Een aantal UBO-gegevens van een rechtspersoon (naam van de UBO, diens geboortemaand en -jaar, woonstaat, nationaliteit en aard en omvang van het UBO-belang) is door iedereen in te zien tegen betaling van € 2,50. De overige gegevens zijn alleen door bijvoorbeeld fiscale autoriteiten in te zien.
Met deze wetgeving wordt dus een behoorlijke inbreuk op de privacy van de UBO gemaakt.
Procedure om UBO-register buiten werking te stellen
De stichting Privacy First is een kort geding tegen de Staat gestart om het UBO-register buiten werking te laten stellen, of – als dat niet kan – om het Europese Hof van Justitie te vragen de AMLD5 te beoordelen. Privacy First voert aan, dat de onafhankelijke Europese privacy-toezichthouder heeft geconstateerd dat de AMLD5 op vijf fundamentele punten tekort schiet, maar dat de wetgever niets met die kritiek heeft gedaan. Toegankelijkheid voor iedereen die belangstelling heeft, is veel te vergaand, aldus Privacy First; het grondrecht op bescherming van privacy en persoonsgegevens weegt zwaarder dan het met de AMLD5 te bereiken doel, en is dus in strijd met het evenredigheidsbeginsel. Er moet bovendien snel actie worden ondernomen, omdat het Nederlandse register inmiddels wordt gevuld, er op korte termijn een koppeling tussen het Nederlandse UBO-register en buitenlandse UBO-registers zal plaatsvinden, en er bij diverse buitenlandse UBO-registers inmiddels al datalekken hebben plaatsgevonden, waardoor de privacy nog verder in het gedrang komt.
Wat vindt de rechter?
De Haagse voorzieningenrechter heeft op 18 maart 2021 de vorderingen van Privacy First afgewezen. Toch is de procedure niet voor niets gevoerd. De rechter oordeelt eerst dat hij de ingevoerde wetten niet buiten werking kan stellen, omdat Nederland dan in strijd handelt met de AMLD5. Alleen de Europese rechter (het Hof van Justitie) kan richtlijnen buiten werking stellen; aan die instantie moet deze vordering dus eigenlijk worden voorgelegd.De rechter oordeelt vervolgens dat er – op basis van het kritische advies van de Europese privacy-toezichthouder – inderdaad twijfel kan zijn over de rechtsgeldigheid van bepaalde onderdelen van de nieuwe Nederlandse regels. Het deels openbare karakter van het UBO-register verhoudt zich mogelijk niet met het evenredigheidsbeginsel. Dat betekent dus dat de Nederlandse rechter de mogelijkheid heeft om het Hof van Justitie om advies te vragen door middel van het stellen van zogenoemde prejudiciële vragen.
Toch worden de vorderingen van Privacy First om prejudiciële vragen te stellen ook afgewezen. Niet omdat er geen twijfel is, maar omdat een Luxemburgse rechter al in november 2020 prejudiciële vragen heeft gesteld over de AMLD5 en het UBO-register, en die vragen min of meer overeen komen met de vragen die Privacy First in dit kort geding beantwoord wil zien.
De rechter vindt tot slot dat Privacy First niet voldoende aannemelijk heeft gemaakt dat gegevens door de koppeling met buitenlandse registers of door toekomstige datalekken op straat komen te liggen. Ook dat is dus geen reden om nu tot actie over te gaan.
De toekomst van het UBO-register
Helaas is het nu dus wachten op een uitspraak van het Hof van Justitie. De ervaring leert, dat het doorlopen van die procedure wel twee tot vijf jaar kan duren. Tot die tijd bent u als UBO in ieder geval verplicht om uw gegevens te laten opnemen in het register. Afhankelijk van de uitspraak van de Europese rechter moeten bepaalde gegevens in de toekomst misschien weer worden afgeschermd.