Wet gegevensverwerking door samenwerkingsverbanden (WGS) — gezamenlijke gegevensuitwisseling tegen fraude en criminaliteit

De WGS is een kaderwet die specifiek aangewezen samenwerkingsverbanden van overheids- en soms private partijen een wettelijke grondslag geeft om persoonsgegevens gezamenlijk te verwerken en te delen, voor doelen als de bestrijding van fraude, witwassen en ondermijnende criminaliteit. Voor een gewone onderneming is dit doorgaans geen dossier, tenzij zij zelf deelneemt aan zo’n samenwerkingsverband — het duidelijkste voorbeeld is een bank die via het Financieel Expertise Centrum gegevens deelt met toezichthouders en opsporingsdiensten. Het wetsvoorstel lag vanaf 2020 jarenlang onder vuur van zowel de Raad van State als de Autoriteit Persoonsgegevens, die vonden dat de waarborgen tegen te grootschalige of onvoldoende gerichte gegevensverwerking tekortschoten; de wet is niettemin aangenomen, met een deel van die kritiek verwerkt in de uitvoeringsregelgeving.

Waarvoor is dit bedoeld

Overheidsdiensten en soms private partijen konden niet altijd gegevens met elkaar delen om fraude, witwassen en georganiseerde criminaliteit te bestrijden, omdat elke partij een eigen wettelijke grondslag en doelbinding heeft. De WGS geeft specifiek aangewezen samenwerkingsverbanden een gezamenlijke grondslag om gegevens te combineren en te analyseren, met eigen waarborgen voor governance en gegevensbescherming.

Voor wie

De wet werkt niet vanzelf voor elk samenwerkingsverband: alleen de verbanden die bij algemene maatregel van bestuur zijn aangewezen, mogen op basis van de WGS gezamenlijk verwerken. Aangewezen zijn onder meer het Financieel Expertise Centrum (FEC), de Infobox Crimineel en Onverklaarbaar Vermogen (iCOV), de Regionale Informatie- en Expertisecentra (RIEC’s) en de Zorg- en Veiligheidshuizen. Deelnemers zijn overwegend overheidsorganisaties — toezichthouders, opsporingsdiensten, gemeenten — maar sommige verbanden kennen ook private deelnemers.

Wat er niet onder valt

Gegevensverwerking buiten een aangewezen samenwerkingsverband valt niet onder de WGS en blijft onder de gewone regels: de AVG voor gewone verwerkingsverantwoordelijken, de Wet politiegegevens voor de opsporing zelf. Een bedrijf dat incidenteel informatie deelt met een van de deelnemende overheidsinstanties, zonder zelf deelnemer van het samenwerkingsverband te zijn, valt niet onder dit regime.

Wat je moet doen

Voor de meeste ondernemingen niets: de wet legt geen verplichtingen op aan wie geen deelnemer is. Voor een partij die wél deelneemt aan een aangewezen samenwerkingsverband gelden de governance-eisen van de wet en de bijbehorende uitvoeringsregelgeving, waaronder afspraken met de andere deelnemers en beperkingen aan wie welke gegevens mag inzien.

Banken en witwasbestrijding

Praktisch raakt dit dossier private partijen vooral via het FEC, waarin toezichthouders zoals DNB en de AFM, opsporingsdiensten en het Openbaar Ministerie samenwerken tegen financieel-economische criminaliteit. De precieze formele status van individuele banken als deelnemer binnen die structuur, tegenover losse samenwerking daarbuiten zoals gezamenlijke transactiemonitoring tussen banken, is bij de geraadpleegde bronnen niet in detail bevestigd.

Kritiek van de Raad van State

De Raad van State adviseerde kritisch over het wetsvoorstel. Zorgen betroffen onder meer de ruimte die de kaderwet aan verdere uitwerking bij algemene maatregel van bestuur overliet in plaats van in de wet zelf te regelen, en de vraag of doelbinding en evenredigheid bij grootschalige gegevenskoppeling voldoende waren gewaarborgd.

Kritiek van de Autoriteit Persoonsgegevens

De AP uitte herhaaldelijk zorgen over de privacyrisico’s van het wetsvoorstel, onder meer over de mogelijkheid van geautomatiseerde risicoprofilering binnen de samenwerkingsverbanden en over onvoldoende inzicht voor betrokkenen in wat er met hun gegevens gebeurt.

Wat er met die kritiek is gebeurd

Het wetsvoorstel is, ondanks die kritiek, na een langjarige behandeling toch door beide Kamers aangenomen; de Eerste Kamer stemde in op 18 juni 2024 en de wet is gepubliceerd als Stb. 2024, 198. Een deel van de zorgen is verwerkt in de uitvoeringsregelgeving, waaronder het besluit dat de concrete samenwerkingsverbanden aanwijst.

Uitvoeringsregelgeving

Bij algemene maatregel van bestuur zijn de concrete samenwerkingsverbanden aangewezen en is per verband vastgelegd welke gegevens mogen worden gedeeld en met welk doel. Onderdelen van die regelgeving zijn via een nahangprocedure aan de Tweede Kamer voorgelegd voordat zij in werking traden.

Wetgevingstraject

Ingediend bij de Tweede Kamer op 24 april 2020, na een langdurig debat aangenomen door de Tweede Kamer, en op 18 juni 2024 aangenomen door de Eerste Kamer; publicatie als Stb. 2024, 198.

Inwerkingtreding

1 maart 2025 — een datum die is afgeleid uit de doorwerking van de WGS in de Wet politiegegevens en niet uit een eigen, apart gevonden inwerkingtredingsbesluit van de WGS zelf.

Toezicht NL

De Autoriteit Persoonsgegevens houdt toezicht op de gegevensverwerking binnen de aangewezen samenwerkingsverbanden, net als op elke andere verwerking van persoonsgegevens.

Boete

Voor zover bij de geraadpleegde bronnen kon worden vastgesteld, bevat de WGS zelf geen eigen boetebepaling die specifiek op deelnemende private partijen is gericht. Overtreding van de AVG-beginselen binnen een samenwerkingsverband kan wel via de gewone boetebevoegdheid van de Autoriteit Persoonsgegevens worden gesanctioneerd, tot het maximum van artikel 83, lid 5, AVG.