Privacyprofessionals in de EU, maak je borst maar nat: trans-Atlantische datatransfers staan mogelijk opnieuw onder druk.

In een ontwikkeling die al voor opschudding zorgt binnen de wereld van privacy en compliance, heeft voormalig president Donald Trump verschillende sleutelfiguren uit de Privacy and Civil Liberties Oversight Board (PCLOB) verwijderd. Juist dit toezichthoudend orgaan moet ervoor zorgen dat Amerikaanse surveillancepraktijken in lijn zijn met privacy rechten

Waarom is dit relevant voor GDPR-compliance?

De PCLOB is een belangrijke pijler onder het vertrouwen van de EU in de Amerikaanse waarborgen het nieuwe EU-US Data Privacy Framework (DPF). Zonder deze onafhankelijke toezichthouder zou het DPF zomaar hetzelfde lot kunnen ondergaan als zijn voorganger, Privacy Shield—waardoor bedrijven opnieuw in een juridisch vacuüm belanden.

Déjà vu? We hebben dit eerder gezien.

Eerst viel Safe Harbor weg—een overeenkomst waarin Amerikaanse bedrijven zichzelf konden certificeren als ‘adequaat’ volgens EU-privacy maatstaven. Daarna volgde Schrems II, de zaak van de Oostenrijkse privacy activist Max Schrems, die leidde tot de vernietiging van Privacy Shield in 2020. De reden? Het Hof van Justitie van de EU (HvJEU) oordeelde dat Amerikaanse surveillancewetgeving onvoldoende bescherming bood voor de rechten van Europese burgers onder de GDPR en het EU-Handvest.

Het DPF werd in het leven geroepen om dat vertrouwen te herstellen, onder meer via versterkt toezicht. Maar als de PCLOB nu buiten spel staat, is het dan nog wel geloofwaardig?

Wat als het vertrouwen opnieuw wegvalt?

De mogelijke gevolgen:

• Een nieuwe ongeldigverklaring van EU-VS datatransfers
• Nieuwe rechtszaken van privacy activisten (Schrems III?)
• Bedrijven die zich noodgedwongen moeten richten op Standard Contractual Clauses (SCCs) of kostbare lokale opslagoplossingen

Wat staat ons te wachten?

Europese toezichthouders zullen ongetwijfeld vragen stellen en mogelijk het adequaatheidsbesluit voor het DPF heroverwegen. Max Schrems en zijn organisatie None of Your Business (NOYB) zouden het framework opnieuw kunnen aanvechten bij het HvJEU—en gezien hun eerdere succes is dat geen vergezocht scenario.

Voor bedrijven die afhankelijk zijn van EU-VS datastromen is het daarom cruciaal om zich voor te bereiden op potentiële verstoringen. Een hernieuwde blik op compliance-aanpak is aan te raden—waarbij het uitvoeren van een gedegen Data Transfer Impact Assessment (DTIA) in ieder geval een verstandige stap is.

Neem contact met ons op via: info@compliancechamps.com

Lees hier meer artikelen.

[1] Liquid staking tokens verwijst naar het verkrijgen van een verhandelbare token in ruil voor het staken van een munt op een proof-of-stake blockchain.

The European Banking Authority (EBA) has taken another significant step towards integrating crypto assets into the regulatory framework, with its recent consultation on draft technical standards. This consultation is a key move in ensuring financial stability while supporting innovation in such a rapidly evolving sector.

As businesses and financial institutions increasingly engage with crypto assets, the challenges of managing associated risks have become more present. The EBA’s proposed standards, rooted in the Basel Committee’s prudential guidelines, aim to provide clarity on capital requirements for crypto-asset exposures. By doing so, they seek to strike a balance between risk mitigation and maintaining a level playing field in the financial ecosystem.

These are the key aspects of the consultation:

1. Classification of crypto-assets: The framework outlines distinctions between tokenized traditional assets, stablecoins, and unbacked crypto-assets, tailoring capital requirements to the specific risk profiles of each category.
2. Risk sensitivity: The draft standards propose different treatments for crypto assets based on their volatility, liquidity, and transparency. This approach helps address concerns related to potential market disruptions.
3. Operational and market risks: Beyond credit and counterparty risks, the standards consider the operational and market risks unique to crypto assets, ensuring a complete risk management.

For firms operating in the crypto space, this consultation signals the importance of aligning operational practices with growing regulatory expectations. Compliance professionals must stay ahead of these developments, proactively assessing their exposure and ensuring robust frameworks to meet potential requirements.

At Compliance Champs we understand the complexity of managing regulations like these, therefore we are here to help businesses interpret and implement these changes effectively.

The EBA’s initiative is the proof to the increasing recognition of crypto assets within mainstream finance. While challenges remain, this regulatory clarity is a step forward in enabling sustainable growth and innovation.

What are your thoughts on these draft standards? Let’s discuss how these measures might shape the future of crypto-asset regulation.

New EU travel rules go into effect in 2025, some crypto coins and bank cards can’t be used.

Tornado Cash, wat is het? Tornado Cash is een cryptocurrency mixer, een gedecentraliseerde applicatie gebouwd op de Ethereum blockchain die privacy faciliteert voor zijn gebruikers. Het vergemakkelijkt privacy door de cryptovaluta van al zijn gebruikers samen te voegen, ze te mengen en de gebruiker verschillende cryptovaluta te sturen, waardoor het vrijwel onmogelijk wordt om de oorsprong van de transactie te traceren. Blockchains zijn zeer transparant, en je kunt zien welke portefeuilles transacties met elkaar maken. Om Tornado Cash te gebruiken, stort je geld in het protocol en claim je je storting minus een vergoeding in je portemonnee.

Op zeven augustus 2022 plaatste het Office of Foreign Asset Control (OFAC) Tornado Cash op de sanctielijst. Het protocol zou criminelen hebben geholpen om hun geld wit te wassen. Het crypto-analysebedrijf Elliptic concludeerde dat er 1,5 miljard dollar werd witgewassen met Tornado Cash. Het is nu illegaal voor Amerikaanse burgers en bedrijven om de tool te gebruiken.

Er is veel scepsis over het plaatsen van Tornado Cash op de sanctielijst. Tornado Cash is geen bedrijf maar een DAO (Decentralized Autonomous Organization) – vereenvoudigd, een protocol dat werkt zonder enige menselijke interactie. Een interessant recent voorbeeld is dat iemand een transactie deed naar Black Rock, ’s werelds grootste investeringsmaatschappij gevestigd in de VS, met behulp van Tornado Cash. Dit zou impliceren dat BlackRock onbedoeld betrokken is bij een illegale transactie.

Heeft Tornado Cash enige juridische waarde? Ja, als iemand in een onderdrukkend regime leeft, wil diegene misschien zijn privacy vergroten. Een voorbeeld dat de legitieme bruikbaarheid van Crypto Mixers aantoont, deed zich voor toen Vitalik Buterin, een van de medeoprichters van Ethereum, geld doneerde aan Oekraïne ter ondersteuning van het conflict tegen Rusland. Bedenk het belang van privacy voor een Russisch individu dat financieel wil bijdragen aan de zaak van Oekraïne.

Alexey Pertsev, een van de ontwikkelaars van Tornado Cash, werd direct na het plaatsen van Tornado Cash op de sanctielijst door de VS gearresteerd. Hij wordt verantwoordelijk gehouden voor het witwassen van meer dan 1,2 miljard dollar en zou een straf van 64 maanden kunnen krijgen. De controverse in dit geval is dat crypto mixers niet illegaal zijn volgens de wet, waardoor sommigen de beschuldiging onterecht vinden.

Al met al komt het terug op de vraag: “Hoe bieden we een hoog niveau van privacy terwijl we het witwassen van geld onmogelijk maken?”

Laten we bij het begin beginnen. In eerste instantie gold de Travel Rule alleen voor financiële instellingen. AMLD4 werd aangenomen om ervoor te zorgen dat de eisen van de Financial Action Task Force (FATF) voor aanbieders van geldovermakingsdiensten, en met name de verplichting voor betaaldienstaanbieders om overmakingen van geld te begeleiden met informatie over de betaler en de ontvanger, uniform werden toegepast in de hele EU. De recente wijzigingen die in juni 2019 zijn doorgevoerd in de FATF-standaarden met betrekking tot nieuwe technologieën, hebben nieuwe en soortgelijke verplichtingen opgelegd aan crypto-activadienstverleners, ook wel bekend als CASPs, om de traceerbaarheid van overdrachten van crypto-activa te vergemakkelijken.

De Travel Rule is opgesteld met als doel het voorkomen, opsporen en onderzoeken van witwassen en financiering van terrorisme. De Travel Rule is van toepassing op overmakingen van geld, in elke valuta, die worden verzonden of ontvangen door een betaaldienstaanbieder, of een tussenpersoon betaaldienstaanbieder gevestigd in de EU. Het is ook van toepassing op overdrachten van crypto-activa, inclusief overdrachten van crypto-activa uitgevoerd via crypto-ATM’s, waar de CASP, of de tussenpersoon CASP, van zowel de afzender als de ontvanger zijn hoofdkantoor heeft in de EU.

Omdat de Travel Rule nieuw is in de cryptosector, zullen we ons richten op de vereisten en implicaties voor CASPs en financiële instellingen die betrokken zijn bij overdrachten van crypto-activa. De Travel Rule vereist dat CASPs overmakingen van crypto-activa begeleiden met informatie over de afzenders en ontvangers van die overdrachten. CASPs zijn ook verplicht om die informatie te verkrijgen, te bewaren en te delen met hun tegenpartij aan de andere kant van de overdracht van crypto-activa en deze op verzoek beschikbaar te stellen aan bevoegde autoriteiten. De CASP moet ook due diligence uitvoeren van zijn tegenpartij. Omdat de persoonlijke gegevens van de transactiepartijen ‘meereizen’ met hun overdrachten, werd de regelgeving ook wel de “Travel Rule” genoemd. Voorbeelden van informatie die met de tegenpartij moet worden gedeeld, zijn de naam van de afzender of ontvanger, blockchain-adres, adres, land en persoonlijk documentnummer.

Interessant om te vermelden is dat de FATF aanbeveelt dat landen een de minimis drempel van 1.000 USD/EUR hanteren voor overdrachten van crypto-activa, waarbij in gedachten moet worden gehouden dat er minder eisen zouden zijn voor overdrachten van crypto-activa onder de drempel in vergelijking met die boven de drempel. De Verordening betreffende de overmaking van gelden is echter van toepassing op alle transacties ongeacht het bedrag. Er is slechts één uitzondering: een CASP is alleen verplicht de informatie over de gebruiker van een zelf-gehost adres te verifiëren in het geval van een overdracht van een bedrag boven de EUR 1.000 dat namens een cliënt van een CASP naar of vanaf een zelf-gehost adres wordt verzonden of ontvangen.

Natuurlijk heeft elke nieuwe regelgeving zijn eigen uitdagingen en implicaties voor de markt waarop deze van toepassing zal zijn. We willen er graag een paar noemen:

• Gebrek aan technische middelen en extra kosten voor CASPs: naleving van de Travel Rule vereist implementaties en aanpassingen van de systemen die al in gebruik zijn, wat waarschijnlijk kosten met zich mee zal brengen voor de bedrijfsvoering.
• Gebrek aan interoperabiliteit: CASPs maken gebruik van verschillende protocollen en oplossingen die niet altijd in staat zijn om met elkaar te communiceren en gegevens uit te wisselen, wat communicatie en gegevensuitwisseling compliceert.
• Niet-uniformiteit tussen rechtsgebieden: landen nemen de Travel Rule aan op basis van hun eigen regelgeving, die kan afwijken van de FATF-standaarden. In het bijzonder kunnen rechtsgebieden verschillende de minimis drempels hebben zoals eerder genoemd, variërende gegevens van afzenders en ontvangers die moeten worden verzameld en overgedragen, enz.
• Een ander branchezorgpunt is het zogenaamde ‘Sunrise-probleem’. De vereisten van de Travel Rule worden met verschillende snelheden gehandhaafd in verschillende rechtsgebieden. Dit betekent dat een CASP Travel Rule-verplicht kan zijn terwijl zijn grensoverschrijdende tegenpartij dat niet is.

De EU Travel Rule zal van toepassing zijn vanaf 30 december 2024. In de tussentijd zal de cryptomarkt hard werken aan de implementatie van de Travel Rule binnen zijn bedrijfsvoering.

Iets om naar uit te kijken is dat tegen 1 juli 2026 de Commissie van de EU een rapport zal uitbrengen waarin de risico’s worden beoordeeld die worden veroorzaakt door overdrachten naar of van zelf-gehoste adressen of entiteiten die niet zijn gevestigd in de EU, evenals de behoefte aan specifieke maatregelen om die risico’s te beperken, en indien nodig, voorstellen zal doen voor wijzigingen in de Verordening betreffende de overmaking van gelden.