Memorie van toelichting : Memorie van toelichting
36 846 Wijziging van de Bankwet 1998 in verband met de invoering van een periodieke rapportageverplichting betreffende hypothecaire leningen ten behoeve van de financiële stabiliteitstaak en statistische taak van DNB (Wet rapportage hypotheekmarkt DNB)
Nr. 3
MEMORIE VAN TOELICHTING
ALGEMEEN
§ 1. Inleiding
Dit wetsvoorstel voorziet in een rapportageverplichting voor banken, beleggingsinstellingen,
pensioenfondsen en verzekeraars met zetel in Nederland ten behoeve van de statistische
en financiële stabiliteitstaak van DNB. Deze partijen, verder aangeduid als rapportageplichtige
partijen, verstrekken op grond van de rapportageverplichting periodiek gegevens aan
De Nederlandsche Bank (DNB) over hypothecaire leningen voor woningen en voor zakelijk
vastgoed waarvan zij de schuldeiser of beheerder zijn. De rapportageverplichting wordt
tevens opgelegd aan banken en verzekeraars met zetel buiten Nederland voor hypothecaire
leningen voor woningen waarvan zij via hun in Nederland gelegen bijkantoren schuldeiser
of beheerder zijn. Banken betrekken bij de rapportage de hypothecaire leningen waarvan
hun (niet-bancaire) dochterondernemingen met zetel in Nederland schuldeiser of beheerder
zijn. Moederholdings van verzekeringsrichtlijngroepen betrekken bij de rapportage
de hypothecaire leningen waarvan hun Nederlandse groepsentiteiten schuldeiser of beheerder
zijn. De rapportageverplichting vervangt een bestaande uitvraag van DNB met hetzelfde
doel.1
De te rapporteren gegevens hebben betrekking op hypothecaire leningen van particulieren
voor woningen en op hypothecaire leningen van rechtspersonen en personenvennootschappen
(met uitsluitend rechtspersonen als vennoten) voor zakelijk vastgoed.2In grote lijnen gaat het om gegevens over de hypothecaire lening, het onderpand en
de risicokarakteristieken. Voor hypothecaire leningen voor woningen gaat het daarnaast
om niet direct herleidbare gegevens over personen aan wie de hypothecaire lening is
verstrekt (waaronder financiële gegevens).
Deze gegevens heeft DNB nodig in het kader van twee van haar taken die zijn opgenomen
in artikel 4 van de Bankwet 1998, te weten het bevorderen van de stabiliteit van het
financiële stelsel (financiële stabiliteitstaak) en het verzamelen van statistische
gegevens en het vervaardigen van statistieken (statistische taak).3
De te rapporteren gegevens zijn voor DNB noodzakelijk om inzicht te krijgen in ontwikkelingen
op de hypotheekmarkt die gevolgen kunnen hebben voor de financiële stabiliteit, om
deze ontwikkelingen over de jaren heen te kunnen volgen en te analyseren. Hiermee
kunnen ontwikkelingen met risico’s voor de stabiliteit van het financiële stelsel
door DNB worden gesignaleerd en zo mogelijk gemitigeerd. Ook zijn de gegevens noodzakelijk
om statistieken op te stellen over ontwikkelingen binnen de financiële sector in relatie
tot de hypotheekmarkt.
De rapportageverplichting leidt bij DNB en bij de rapportageplichtige partijen voor
zover het gegevens m.b.t. hypothecaire leningen voor woningen betreft tot verwerking
van naar personen te herleiden gegevens. Daarom wordt in het voorgestelde wettelijke
kader voorzien in waarborgen om de zorgvuldige gegevensverwerking van de personen
op wie de gegevens betrekking hebben te garanderen. Zo wordt voorzien in de verplichting
dat de rapportageplichtige partijen de gegevens gepseudonimiseerd4 bij DNB aanleveren. Dan zijn de gerapporteerde gegevens voor DNB geen direct herleidbare
persoonsgegevens. Echter, met de huidige digitale mogelijkheden kan niet geheel worden
uitgesloten dat (een deel van) de gegevens tot personen herleid zouden kunnen worden,
bijvoorbeeld als gegevens zouden worden gekoppeld met andere (openbaar) beschikbare
gegevens. Daarom wordt tevens voorzien in een verbod voor DNB om over te gaan tot
re-identificatie van de gegevens en wordt het DNB verboden de gegevens te verstrekken
aan andere partijen (behoudens aan het CBS voor zover de gegevens noodzakelijk zijn
voor de statistische taak als bedoeld in de Wet op het CBS5). Ook zal DNB zelf als verwerkingsverantwoordelijke partij verschillende maatregelen
treffen om de zorgvuldige gegevensverwerking van de personen op wie de gegevens betrekking
hebben te garanderen. Hierbij is nog relevant te vermelden dat de taken van DNB, waaronder
de taken ten behoeve waarvan in onderhavige rapportageverplichting wordt voorzien,
zich niet richten op (individuele) burgers en dus niet op personen op wie de gegevens
betrekking hebben (de klanten van de rapportageplichtige partijen met hypothecaire
leningen). De gegevens worden door DNB in geen geval gebruikt om besluiten te nemen
ten aanzien van deze betrokkenen of op een wijze die de maatschappelijke positie van
deze betrokkenen raakt of zou kunnen raken.
De rapportageverplichting wordt uitgewerkt bij algemene maatregel van bestuur (amvb)
in het Uitvoeringsbesluit Bankwet 1998. Daarin zal per soort hypothecaire lening (voor
woningen of voor zakelijk vastgoed) en per type rapportageplichtige partij vastgelegd
worden welke data-attributen moeten worden gerapporteerd, met welke periodiciteit,
op welke termijnen en op welke wijze de gegevens m.b.t. hypothecaire leningen voor
woningen door de rapportageplichtige partijen moeten worden gepseudonimiseerd. Bij
het vastleggen van de gegevens wordt rekening gehouden met de directe relevantie van
een gegeven voor zowel de statistische, als de financiële stabiliteitstaak van DNB
(dataminimalisatie). Ook wordt bij amvb vanuit proportionaliteitsoptiek voorzien in
drempelwaarden per rapportageplichtige partij zodat alleen partijen met relatief grote
hypotheekportefeuilles rapportageplichtig worden.
In het wetsvoorstel wordt verder vastgelegd dat de gegevens langs elektronische weg
moeten worden gerapporteerd bij DNB en dat nadere regels gesteld kunnen worden over
de wijze van elektronische verstrekking, de vorm waarin de gegevens moeten worden
aangeleverd en de bij de verstrekking te gebruiken inlogmethode. Elektronische rapportage
en daarmee de digitale beschikbaarheid van de gegevens is noodzakelijk voor de verificatie
van de gegevens voor statistische doeleinden.
Het wettelijk kader maakt mogelijk dat de organisatieonderdelen van DNB die belast
zijn met de statistische en financiële stabiliteitstaak de gegevens intern delen met
organisatieonderdelen van DNB die zijn belast met een andere taak,6 zoals het onderdeel van DNB dat zich bezig houdt met het prudentieel toezicht. Interne
deling van gegevens is uitsluitend toegestaan voor zover verstrekking op niet-structurele
basis en in geanonimiseerde vorm7 plaatsvindt en de gegevens door DNB ook zelfstandig verkregen hadden kunnen worden
van de financiële instellingen waarop toezicht wordt uitgeoefend.
DNB mag de gegevens naast voor haar statistische en financiële stabiliteitstaak ook
verwerken om te kunnen voldoen aan informatieverzoeken van het Internationaal Monetair
Fonds (IMF), de Raad voor Financiële Stabiliteit (FSB) en de Bank voor Internationale
Betalingen (BIS) gezien hun taken op het gebied van de financiële stabiliteit. Deze
organisaties zijn bij het Uitvoeringsbesluit Bankwet 1998 aangewezen. In het wettelijk
kader is als waarborg opgenomen dat DNB de gegevens zoals verkregen op grond van de
nieuwe rapportageverplichting wel mag verwerken t.b.v. informatieverzoeken van deze
organisaties maar niet aan deze organisaties (of andere partijen) mag verstrekken.
Deze organisaties kunnen natuurlijk wel voorzien worden van geaggregeerde gegevens
zoals rapporten of analyses die geen herleidbare gegevens bevatten naar personen of
ondernemingen.
§ 2. Hoofdlijnen van het voorstel
§ 2.1 Aanleiding
Om de gegevens over hypothecaire leningen te verkrijgen wordt door DNB in de huidige
situatie gebruik gemaakt van de uitvraagbevoegdheid opgenomen in artikel 9d van de
Bankwet 1998. In die uitvraagbevoegdheid is echter expliciet bepaald dat het DNB niet
is toegestaan persoonsgegevens te gebruiken of op te vragen. Dit verbod dat nationaal
van aard is en niet volgt uit de Algemene verordening gegevensbescherming (AVG) is
opgenomen omdat ten tijde van het opstellen van dit onderdeel van de Bankwet in 2015
verondersteld werd dat voor de statistische en financiële stabiliteitstaak van DNB
geen persoonsgegevens noodzakelijk zouden zijn. Inmiddels moet worden geconstateerd
dat het verbod belemmerend werkt. Bij een deel van de gegevens die worden uitgevraagd
kan, als gezegd, niet meer volledig worden uitgesloten dat zij tot individuen herleid
zouden kunnen worden, bijvoorbeeld indien de gegevens zouden worden gekoppeld met
andere (openbaar) beschikbare gegevens.8
Dit heeft tot zorgen geleid bij DNB en de partijen die de gegevens moeten aanleveren.
Sommige partijen zijn zelfs enige tijd gestopt met het verstrekken van gegevens na
een uitvraag van DNB.9 Daarom is besloten de grondslag voor de verwerking door DNB van gegevens over de
ontwikkelingen binnen de financiële sector in relatie tot de hypotheekmarkt te versterken.
De gegevens zijn voor DNB noodzakelijk om zich een nauwkeurig beeld te vormen van
hoe de hypotheekmarkt in Nederland zich ontwikkelt. Dat is nodig vanwege de relatief
grote omvang van de Nederlandse hypotheekschuld en de bijzondere risicokenmerken van
de Nederlandse hypotheekmarkt. Nederland kent immers – zeker in verhouding tot andere
lidstaten – een groot aandeel aflossingsvrije hypothecaire leningen en daarnaast hypothecaire
leningen waarmee een substantieel deel van de waarde van het onderpand is gefinancierd.
Het is belangrijk dat DNB de risico’s hiervan kan monitoren en kan mitigeren. Ontwikkelingen
die zich de laatste jaren hebben voorgedaan, zoals stijgende hypotheekrentes, krapte
op de woningmarkt en toenemende kansen op extreem weer (met overstromings- of verzakkingsrisico)
hebben de urgentie nog vergroot.
De rapportageverplichting die wordt voorgesteld biedt een wettelijke grondslag voor
de verwerking van persoonsgegevens door DNB. Deze verwerking door DNB is noodzakelijk
om te voldoen aan haar (wettelijke) statistische en financiële stabiliteitstaak (als
taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar
gezag, zie artikel 6, eerste lid, onderdeel e, van de AVG). De rapportageverplichting
biedt ook een grondslag voor de verwerking van persoonsgegevens door de rapportageplichtige
partijen. Deze rapportageplichtige partijen moeten immers persoonsgegevens van hun
debiteuren of klanten verwerken om aan de rapportageverplichting te voldoen (de verwerking
door hen is noodzakelijk om te voldoen aan de wettelijke verplichting die aan hen
wordt opgelegd, zie artikel 6, eerste lid, onderdeel c, van de AVG).
Voor het verkrijgen van de gegevens ligt een rapportageverplichting meer voor de hand
dan een uitvraagbevoegdheid. Een uitvraag heeft naar zijn aard een meer incidenteel
karakter, terwijl DNB de gegevens over de hypotheekmarkt periodiek nodig heeft. Daar
sluit een rapportageverplichting beter bij aan. Bovendien zijn de gegevens die onder
de huidige uitvraagbevoegdheid10 kunnen worden verkregen niet nader gespecificeerd, terwijl de gegevens die DNB nodig
heeft om de hypotheekmarkt te volgen, een (per rapportageplichtige partij en soort
hypotheek) vaste set van zeer specifieke data-attributen betreft. Door in een rapportageverplichting
de partijen die gegevens moeten aanleveren, de noodzakelijke data-attributen en periodiciteit
van de rapportage vast te leggen, wordt de gegevensoverdracht voor de rapportageplichtige
partijen beter voorzienbaar. Bovendien is de proportionaliteit bij een rapportageverplichting
door het vastleggen van de data-attributen die moeten worden gerapporteerd en het
toepassen van zo veel mogelijk dataminimalisatie daarbij vooraf beter te borgen dan
bij een onbepaalde uitvraagbevoegdheid het geval is. De rechtszekerheid voor de rapportageplichtige
partijen is hierbij gebaat.
§ 2.2 Noodzaak detailniveau hypotheekgegevens
De voorgestelde rapportageverplichting wordt ingericht ten behoeve van de statistische
en financiële stabiliteitstaak van DNB. De gedetailleerde gegevens over individuele
hypothecaire leningen zijn noodzakelijk voor beide taken.
De statistische taak van DNB is een algemene maatschappelijke taak om te voorzien
in statistieken over de Nederlandse financiële sector en de betalingsbalans.11 De beschikbaarheid van gedetailleerde gegevens over hypothecaire leningen is essentieel
voor de kwaliteit van de statistieken m.b.t. de hypotheekmarkt. Met deze gegevens
kan DNB statistieken opstellen over de Nederlandse financiële sector en economie in
relatie tot de hypotheekmarkt, zoals bijvoorbeeld statistieken over de omvang en verdeling
van de hypotheekmarkt in Nederland, over de ontwikkeling van de hypotheekrente voor
hypothecaire leningen voor woningen en de verhouding tussen de maximale hoogte van
de hypothecaire lening ten opzichte van de waarde van de woning. Ook voorziet DNB
in duurzaamheidsstatistieken die de gevolgen van klimaatverandering voor de financiële
sector en de financiering van de transitie naar een duurzamere economie tonen. Met
deze statistieken stelt DNB beleidsmakers, onderzoekers en andere geïnteresseerden
in staat om ontwikkelingen binnen de Nederlandse financiële sector en economie in
relatie tot de hypotheekmarkt te volgen. Op basis van de statistieken verricht DNB
ook zelf onderzoek en adviseert zij over nieuw beleid, zoals bijvoorbeeld over de
woningmarkt. Een belangrijke vereiste om betrouwbare en relevante statistieken op
te kunnen stellen is dat de brongegevens die hiervoor gebruikt worden een significante
massa van de betreffende markt vertegenwoordigen. Het is gebruikelijk voor statistische
doelen om een dekking te hanteren tussen 95% en 98% van het totaalbedrag aan uitstaande
leningen.12
Ook het Centraal bureau voor de statistiek (CBS) heeft een statistische taak.13 Die is opgenomen in de Wet op het Centraal bureau van de statistiek (Wet op het CBS).
Op grond van die wet (die met dit wetsvoorstel niet wordt gewijzigd) kan het CBS gegevens
die DNB onder zich heeft gebruiken voor zover noodzakelijk voor de eigen statistische
taak. Op gegevens die met het CBS worden gedeeld, is de Wet op het CBS van toepassing.
Het CBS heeft een gedeelte van de gegevens over hypothecaire leningen die DNB op grond
van de rapportageverplichting verkrijgt, nodig voor de eigen statistische taak op
grond van de Wet op het CBS. Het CBS heeft op grond van de Wet op het CBS tot taak
het van overheidswege verrichten van statistisch onderzoek en het is op nationaal
niveau belast met de productie van Europese statistieken (artikelen 3 en 4 Wet op
het CBS). Het CBS stelt statistieken vast voor de nationale rekening voor de sector
huishoudens op grond van de Verordening (EU) 2019/1700 betreffende het gemeenschappelijk
kader voor Europese statistieken over personen en huishoudens.14 De gegevens worden door het CBS gebruikt als brongegevens voor de samenstelling van
de nationale rekeningen voor de statistiek over de sector huishoudens alsmede de statistieken
over inkomen en vermogen. Dat zijn statistieken over de financiële toestand van Nederlandse
huishoudens die inzicht bieden op belangrijke overheidsthema’s zoals de bestrijding
van armoede en schulden, de vergroting van bestaanszekerheid en verbetering van de
woningmarkt. De gegevens geven bijvoorbeeld inzicht in de betalingsachterstanden,
hypotheekschulden en woonlasten van huishoudens en de vermogensverdeling.
DNB heeft de gedetailleerde gegevens over hypothecaire leningen ook nodig voor haar
financiële stabiliteitstaak. Voor die taak moet DNB ontwikkelingen en risico’s van
de hypotheekmarkt tijdig kunnen signaleren. Die ontwikkelingen kunnen relevant zijn
voor de solvabiliteitspositie van partijen die hypothecaire leningen op de balans
hebben en daarmee voor de stabiliteit van het financiële stelsel als geheel. DNB gebruikt
de gegevens om diepgaande analyses uit te voeren, trends vroegtijdig te signaleren
en potentiële risico’s bij specifieke segmenten te identificeren. Dat is nodig vanwege
de relatief hoge hypotheekschuld van Nederlandse huishoudens. Ook wordt de Nederlandse
hypotheekmarkt gekenmerkt door een aantal specifieke risicokenmerken, zoals de mogelijkheid
om pas af te lossen aan het einde van de looptijd, de omvang van het aandeel van deze
aflossingsvrije hypotheken ten opzichte van andere hypotheekvormen, en de hoge verhouding
tussen de hoogte van de lening en de waarde van het onderpand (ook wel Loan-To-Value
ofwel LTV-ratio). Deze kenmerken maken inzicht in de hypotheekmarkt cruciaal om systemische
risico’s te beoordelen. DNB gebruikt de gegevens over hypothecaire leningen bijvoorbeeld
om het Overzicht Financiële Stabiliteit15 op te stellen, dat twee keer per jaar de risico’s voor de financiële stabiliteit
in beeld brengt. Ook doet DNB op basis van de gegevens thematisch onderzoek en gebruikt
zij de gegevens om analyses te maken en stresstesten te verrichten die inzicht geven
in kwetsbaarheden voor de stabiliteit van het financiële stelsel. Zo geven de gegevens
over hypothecaire leningen inzicht in de binnenlandse vastgoedblootstellingen van
partijen die zich in delen van het land bevinden die kwetsbaar zijn voor fysieke risico’s
(door toenemende kansen op extreem weer) zoals bijvoorbeeld overstromingen, verdroging
of bodemdaling. DNB stelt rapporten op met deze analyses en publiceert deze rapporten
op haar website.16 Met deze rapporten worden financiële ondernemingen, beleidsmakers en andere belanghebbenden
gewaarschuwd voor geconstateerde ontwikkelingen en risico’s. De gegevens, analyses
en rapporten worden door DNB ook zelf gebruikt om beleid te maken waarmee de risico’s
voor de financiële stabiliteit kunnen worden gemitigeerd. Hierbij kan bijvoorbeeld
gedacht worden aan macroprudentiële maatregelen17 waarmee de buffers van banken worden bepaald, zodat zij steeds voldoende beschermd
zijn tegen risico’s op de woningmarkt en de markt voor zakelijk vastgoed.18
Om zicht te houden op kwetsbaarheden in belangrijke blootstellingen van financiële
ondernemingen die inzicht geven in risico’s voor de financiële stabiliteit zijn gedetailleerde
gegevens over de hypothecaire lening, de hypotheeknemer en het onderpand voor de hypotheek
onontbeerlijk. Om de risico’s van klimaatverandering in kaart te brengen is bijvoorbeeld
rapportage van vier cijfers van de postcode cruciaal. Een hoger aggregatieniveau is
onvoldoende. Ter illustratie, met slechts twee cijfers van de postcode is wel duidelijk
dat een het onderpand van een hypothecaire lening in het zuidelijkste gedeelte van
Limburg gelegen is, maar kan geen betrouwbare inschatting gemaakt worden van de mate
waarin een overstroming van de Maas schade toebrengt aan dit onderpand. Ook het geboortejaar
van een leningnemer is een gegeven dat noodzakelijk is voor statistische en financiële
stabiliteitsstaak van DNB. Verdere aggregatie, bijvoorbeeld naar een verdeling in
leeftijdscategorieën, biedt voor analyses te weinig inzicht in risico’s en kosten.
Zo zijn bijvoorbeeld de verwachte pensioenleeftijd, de verwachte AOW-leeftijd en de
verwachte levensduur van leningnemers gerelateerd aan het geboortejaar en bepalend
bij het in beeld brengen van risico’s voor de hypotheekmarkt van overheidsmaatregelen
die van invloed zijn op die verwachtingen. Ook belastingvoordelen zijn vaak gekoppeld
aan het geboortejaar. Een voorbeeld daarvan is de voormalige vrijstelling eigen woning,
ook wel bekend als de «jubelton» die mogelijk was tussen het 18de en 40ste jaar.19 Van de hypotheeknemer is daarnaast bijvoorbeeld het geboortejaar nodig om kosten
van verschillende beleidsopties in kaart te brengen voor bijvoorbeeld de 30-jaarstermijn
voor de hypotheekrenteaftrek en de afbouw hiervan. Het geboortejaar is dus noodzakelijk
om de risico’s van leeftijdsgebonden overheidsmaatregelen in relatie tot de hypotheekmarkt
in beeld te brengen, die weer van belang zijn voor het analyseren van de risico’s
voor de financiële stabiliteit in relatie tot de Nederlandse hypotheekmarkt. Hetzelfde
geldt voor gedetailleerde inkomensgegevens (zoals het toetsinkomen afgerond op duizendtallen).
Dit detailniveau is noodzakelijk omdat de Nederlandse leennormen – zoals de loan-to-income
ratio – individueel en inkomensafhankelijk worden vastgesteld. Alleen met voldoende
detail wordt duidelijk of hypothecaire leningen binnen deze normen blijven. Wanneer
de leennormen worden overschreden vergroot dit de kwetsbaarheid bij economische schokken.
Dit kan risico’s opleveren voor de financiële stabiliteit. Te grof geaggregeerde inkomensdata
belemmeren daarom een nauwkeurige beoordeling van de leencapaciteit en maken het moeilijker
om risico’s voor de financiële stabiliteit tijdig te signaleren.
Totalen, gemiddelden of geaggregeerde20 gegevens geven het noodzakelijke inzicht niet. De kwetsbaarheden komen niet naar
voren uit geaggregeerde gegevens, omdat daaruit niet blijkt hoe de data-attributen
aan elkaar gerelateerd zijn. Bovendien is het met geaggregeerde data niet mogelijk
om scenarioanalyses uit te voeren. Die analyses zijn belangrijk voor tijdige risicobeoordeling
in tijden waarin risico’s groeien of veranderen. De beschikbaarheid van gedetailleerde
hypotheekgegevens maakt het daarnaast mogelijk om opkomende en nieuwe risico’s te
relateren aan de solvabiliteitspositie van financiële ondernemingen, bijvoorbeeld
door de samenhang van bepaalde karakteristieken te bezien. Daardoor is het mogelijk
om deze risico’s over de tijd te monitoren en te analyseren vanuit macroprudentieel
perspectief. Hierdoor kan DNB tijdig actie ondernemen, bijvoorbeeld door financiële
ondernemingen en externe stakeholders te waarschuwen voor bepaalde ontwikkelingen.
Zie voor een nadere toelichting op de typen gegevens die DNB nodig heeft paragraaf
2.5 van deze toelichting.
§ 2.3 Gesloten systeem voor gebruik, interne deling en verdere verstrekking
De huidige Bankwet 1998 kent voor de gegevens die door DNB op grond van die wet worden
verkregen voor de statistische en financiële stabiliteitstaak een gesloten systeem
voor gebruik, interne deling en verdere verstrekking.21 DNB mag de gegevens uitsluitend gebruiken voor statistische doeleinden en economische
analyses (artikel 9e, eerste lid). Voor interne deling of verdere verstrekking van
de gegevens of gebruik voor andere taken is een wettelijke grondslag vereist. Dat
volgt uit de geheimhoudingsverplichting van de Bankwet (artikel 20).
De Bankwet 1998 voorziet in artikel 9e, tweede lid, in een grondslag die interne deling
van de gegevens mogelijk maakt met andere organisatieonderdelen van DNB die zich bezig
houden met de andere taken22 van DNB, zoals bijvoorbeeld het organisatieonderdeel dat zich bezig houdt met prudentieel
toezicht. Dat is uitsluitend mogelijk indien «de gegevens (direct of indirect) afkomstig
zijn van financiële instellingen waarop DNB toezicht uitoefent op de voet van de daarvoor
geldende wettelijke regelingen». Hiermee wordt bedoeld dat interne deling van de gegevens
uitsluitend aan de orde kan zijn indien het andere organisatieonderdeel van DNB de
gegevens ook zelfstandig had kunnen verkrijgen van de financiële instellingen waarop
toezicht wordt uitgeoefend. Door in dit geval de voor de statistische of financiële
stabiliteitstaak verkregen gegevens intern te delen, wordt tegengegaan dat DNB twee
maal dezelfde gegevens moet uitvragen.23 Hiermee is beoogd regeldruk te voorkomen.
Interne deling kan van belang zijn. De hypotheekgegevens kunnen bijvoorbeeld inzicht
bieden in prudentiële risico’s die rapportageplichtige partijen lopen die tevens onder
toezicht van DNB staan, zoals banken en verzekeraars. Zo kan uit de gegevens bijvoorbeeld
blijken dat een bepaalde onderneming een forse blootstelling heeft op risicovolle
hypothecaire leningen, waarmee de soliditeit van die onderneming wordt geraakt. Dat
zou overigens ook weer gevolgen kunnen hebben voor de financiële stabiliteit als geheel.
Het is daarom van belang dat gegevens binnen DNB kunnen worden gedeeld. Dit is een
van de lessen die uit de financiële crisis is getrokken. De interne deling is op grond
van het gesloten systeem van de Bankwet 1998 zoals gezegd aan voorwaarden gebonden.
Ten eerste dat de gegevens zelfstandig verkregen hadden kunnen worden van de financiële
instellingen waarop toezicht wordt uitgeoefend. Dit element wordt verhelderd in de
voorgestelde wijziging van artikel 9e, tweede lid, van de Bankwet 1998 (zie hiervoor
ook de artikelsgewijze toelichting). Ook wordt in hetzelfde artikellid verhelderd
dat de interne deling geen systematisch karakter kan hebben, omdat deze gegevens op
basis van toezichtwetgeving (naast op grond van een rapportageverplichting) alleen
zouden kunnen worden verkregen op basis van een algemene inlichtingenbevoegdheid als
dat voor de vervulling van de taak van de toezichthouder redelijkerwijs noodzakelijk
is. Daarnaast geldt bij hergebruik van gegevens dat ieder intern verzoek (op grond
van de AVG) moet worden getoetst op doelbinding en evenredigheid (zie daarvoor verder
paragraaf 2.6 van deze toelichting). Ten slotte wordt, nu bij de gegevens m.b.t. hypothecaire
leningen voor woningen die worden verkregen onder de rapportageverplichting ook sprake
kan zijn van naar persoonsgegevens herleidbare gegevens, in genoemd artikellid nog
voorzien in een extra waarborg dat gegevens uitsluitend in geanonimiseerde vorm intern
kunnen worden gedeeld (zie ook daarvoor verder paragraaf 2.6 van deze toelichting).
Het interne data-governance beleid wordt ingericht op deze wettelijke waarborgen.
Het gesloten systeem van de Bankwet 1998 staat in de weg aan het verder verstrekken
van de gegevens (zowel van de gegevens verkregen op grond van de bestaande uitvraagbevoegdheid
als op grond van de voorgestelde rapportageverplichting) door DNB aan andere (externe)
partijen (zoals bijvoorbeeld andere toezichthouders). Dit behoudens verdere verstrekking
op grond van de Wet op het CBS van gegevens die het CBS nodig heeft voor de wettelijke
statistische taak. Dit wordt verhelderd in de voorgestelde wijzigingen van artikel
9e, eerste lid, van de Bankwet 1998 (zie hiervoor ook de artikelsgewijze toelichting).
Het CBS kan de gegevens uiteraard uitsluitend gebruiken ten behoeve van de statistische
taak op grond van de Wet op het CBS. Op gegevens die met het CBS worden gedeeld is
de Wet op het CBS van toepassing. Voor zover het CBS wettelijke bevoegdheden heeft
tot verdere verstrekking van gegevens buiten de CBS omgeving is daarbij herleidbaarheid
naar personen uitgesloten. Er worden alleen gegevens in geanonimiseerde vorm buiten
het CBS gebracht.
De voorgestelde rapportageverplichting biedt voor DNB grondslag om de gegevens die
worden verkregen op grond van de rapportageverplichting te verwerken om te kunnen
voldoen aan informatieverzoeken van het Internationaal Monetair Fonds (IMF), de Raad
voor Financiële Stabiliteit (FSB) en de Bank voor Internationale Betalingen (BIS)24 gezien hun taken op het gebied van de financiële stabiliteit. Veel van de risico’s
voor de financiële stabiliteit hebben namelijk een grensoverschrijdend karakter en
vereisen een internationale blik. Het IMF, de FSB en de BIShebben als taak ontwikkelingen
die (mede) zien op de financiële stabiliteit op internationaal niveau te volgen. Deze
organisaties doen in dat kader vaak een beroep op lidstaten om de financieel-economische
informatie te krijgen die zij nodig hebben voor hun eigen risicoanalyses. Aanspreekpunt
voor de genoemde organisaties is in Nederland doorgaans DNB, omdat DNB beschikt over
de benodigde informatie of die kan uitvragen bij de desbetreffende financiële ondernemingen.
Dit laatste kan DNB doen op grond van de eerder genoemde uitvraagbevoegdheid (opgenomen
in artikel 9d van de Bankwet 1998), die uitvragen n.a.v. informatieverzoeken van deze
organisaties toestaat. Nu de informatieverzoeken van genoemde internationale organisaties
ook kunnen zien op kwetsbaarheden en risico’s voor de financiële stabiliteit als gevolg
van hypothecaire leningen, wordt vastgelegd dat DNB de gegevens die zij op grond van
de voorgestelde rapportageverplichting verkrijgt tevens kan verwerken ter voldoening
aan informatieverzoeken van deze organisaties. Zo heeft het IMF in haar recente «Financial
System Stability Assessment» (FSAP-rapport) gesteund op analyses van DNB over de risico’s
voor de financiële stabiliteit in relatie tot de Nederlandse hypotheekmarkt.25 Vervolgens kunnen deze organisaties betekenisvolle aanbevelingen doen op het gebied
van de Europese en mondiale financiële stabiliteit die DNB weer kan benutten voor
haar eigen (risico) analyses en monitoring. Genoemde internationale organisaties krijgen
overigens niet zelf de beschikking over de gegevens. Dit gezien het gesloten systeem
van de Bankwet 1998. De internationale organisaties kunnen n.a.v. hun informatieverzoeken
m.b.t. de hypotheekmarkt alleen rapporten of analyses ontvangen (met gegevens in geaggregeerde
vorm) zonder herkenbare gegevens over personen of ondernemingen (hierbij wordt het
openbaarmakingsregime dat voor de gegevens geldt aangehouden). DNB toetst ieder informatieverzoek
voordat wordt overgegaan tot verwerking van de gegevens eerst op doelbinding en evenredigheid
(zie daarvoor verder paragraaf 2.6 van deze toelichting).
Overigens blijft de bestaande uitvraagbevoegdheid zoals opgenomen in de Bankwet 1998
van belang voor uitvragen die DNB doet om andere dan de hypothecaire gegevens te verkrijgen,
om uitvoering te geven aan haar financiële stabiliteitstaak en statistische taak en
tevens ter voldoening aan informatieverzoeken van eerder genoemde internationale organisaties
die niet zien op de hypotheekmarkt.26 De bestaande uitvraagbevoegdheid zal door DNB na inwerkingtreding van de rapportageverplichting
natuurlijk niet meer worden gebruikt voor uitvraag van gegevens waarop de rapportageverplichting
ziet. De voorgestelde rapportageverplichting vervangt de huidige Residential Real
Estate-uitvraag (RRE-uitvraag) en de Commercial Real Estate-uitvraag (CRE-uitvraag)
voor banken en de Hypotheken Loan Level data-uitvraag voor pensioenfondsen, verzekeraars
en beleggingsinstellingen.
De Bankwet 1998 voorziet tot slot (in artikel 9e, derde lid) in een strikt openbaarmakingregime
dat regelt dat de gegevens slechts zodanig openbaar mogen worden gemaakt dat daaraan
geen herkenbare gegevens over een afzonderlijke onderneming, vrije beroepsbeoefenaar,
instelling of rechtspersoon kunnen worden ontleend. Hiermee wordt bedoeld dat openbaarmaking
uitsluitend in geaggregeerde vorm (dus niet de gegevens zelf, maar uitsluitend een
rapport of analyse) kan plaatsvinden.27 Dit element wordt verhelderd in de voorgestelde wijzigingen van artikel 9e van de
Bankwet 1998. Nu bij de gegevens m.b.t. hypothecaire leningen voor woningen ook sprake
kan zijn van naar natuurlijke personen herleidbare gegevens, wordt toegevoegd dat
geen herkenbare gegevens over natuurlijke personen openbaar gemaakt kunnen worden.
§ 2.4 Vaststelling rapportageplichtige partijen
De rapportageverplichting zal gaan gelden voor banken, beleggingsinstellingen (of
hun beheerder), pensioenfondsen en verzekeraars met zetel in Nederland (of de moederholding
van hun verzekeringsrichtlijngroep). Ook zal de rapportageverplichting gaan gelden
voor banken en verzekeraars met zetel buiten Nederland, die via een in Nederland gelegen
bijkantoor schuldeiser of beheerder zijn van hypothecaire leningen voor woningen gelegen
in Nederland.
De rapportageverplichting wordt opgelegd aan partijen die de schuldeiser zijn van
de hypothecaire leningen of deze leningen in beheer hebben, of daarvan de moederonderneming
(bij banken) of moederholding (bij verzekeraars) zijn omdat deze partijen de noodzakelijke
gegevens onder zich hebben. Er is gekozen de rapportageverplichting op te leggen aan
deze partijen omdat zij tezamen veruit het grootste deel van alle hypothecaire leningen
in Nederland in beheer hebben of op de balans hebben staan en aldus over vrijwel de
gehele Nederlandse hypotheekmarkt wordt gerapporteerd.
De meeste hypothecaire leningen in Nederland worden verstrekt door banken. Dat geldt
voor zowel hypothecaire leningen voor woningen als voor zakelijk vastgoed. Vaak vindt
het beheer plaats door een bank met zetel in Nederland. De bank is dan vaak tevens
de schuldeiser van de lening. Ook komt het voor dat Nederlandse niet-bancaire dochters
van een bank met zetel in Nederland hypothecaire leningen in beheer hebben of daarvan
de schuldeiser zijn. In dat geval regelt de rapportageverplichting dat de bank deze
gegevens rapporteert.
Ook kan securitisatie plaatsvinden. Dan kunnen hypothecaire leningen overgenomen worden
door partijen die zelf geen rapportageplichtige partijen zijn. Die overname betekent
meestal een wijziging van schuldeiser, maar niet van beheerder. De oorspronkelijke
verstrekker van de lening (meestal een rapportageplichtige partij) blijft dan de beheerder
van de lening en deze leningen vallen via deze beheerder dan nog steeds onder de reikwijdte
van de rapportageverplichting.
Ook komt het voor dat een hypothecaire lening wordt verstrekt door een andere financiële
dienstverlener dan een bank, die geen dochter is van de bank en die zelf geen rapportageplichtige
partij is. Zo’n partij verstrekt de hypothecaire lening dan bijvoorbeeld namens de
bank of draagt de lening na verstrekking aan de bank over. Vaak blijft zo’n partij
wel de beheerder van de lening. Omdat de bank in al deze gevallen de schuldeiser van
de lening is (omdat de lening op de balans van de bank staat) vallen deze leningen
onder de reikwijdte van de rapportageverplichting en rapporteert de bank als schuldeiser.
Voor verzekeraars in het bijzonder geldt nog dat hypothecaire leningen kunnen worden
verstrekt of overgedragen aan entiteiten binnen een verzekeringsrichtlijngroep die
geen rapportageplichtige partij zijn (bijvoorbeeld een vennootschap voor verstrekking
van hypothecaire leningen). Om te voorkomen dat deze hypothecaire leningen buiten
de reikwijdte van de rapportageverplichting zouden vallen, wordt de holding met zetel
in Nederland die aan het hoofd staat van een verzekeringsrichtlijngroep in dat geval
als rapportageplichtige partij aangewezen en rapporteert zij over de door de Nederlandse
entiteiten van die groep beheerde hypothecaire leningen en de hypothecaire leningen
waarvan deze entiteiten de schuldeiser zijn.
Ook beleggingsinstellingen en pensioenfondsenkunnen in Nederland schuldeiser of beheerder
zijn van hypothecaire leningen. Meestal wordt de lening verstrekt door een (andere)
financiële dienstverlener voor rekening van de beleggingsinstelling of het pensioenfonds
of wordt de lening aan deze partijen overgedragen, waardoor die op hun balans komt
te staan en zij de schuldeiser van de hypothecaire lening zijn. Omdat een beleggingsinstelling
vaak een beheerder heeft die namens de beleggingsinstelling optreedt, is gekozen de
beheerder van een beleggingsinstelling aan te wijzen als de rapportageplichtige partij
indien een beleggingsinstelling een beheerder heeft.
Ook komt het voor dat hypothecaire leningen voor woningen gelegen in Nederland worden
beheerd door, of op de balans staan van, banken of verzekeraars met een zetel buiten
Nederland, via hun Nederlandse bijkantoren. Daarom gaat de rapportageverplichting
tevens gelden voor deze banken en verzekeraars, voor de hypothecaire leningen voor
woningen gelegen in Nederland die via hun Nederlandse bijkantoren lopen.
Niet alle rapportageplichtige partijen gaan rapporteren. Bij amvb worden drempelwaarden
vastgesteld voor de omvang van de hypotheekportefeuille van rapportageplichtige partijen
waarboven de rapportageverplichting gaat gelden. Doel van deze drempelwaarden is dat
met de rapportageverplichting 95% tot 98% van de hypotheekmarkt inzichtelijk wordt
voor DNB. Dat percentage is noodzakelijk voor representatieve statistieken. Met de
drempels wordt tevens gezorgd voor proportionaliteit, omdat daarmee wordt voorkomen
dat partijen met kleine hypotheekportefeuilles belast worden met de rapportageverplichting.
De voorgenomen drempelwaarde voor hypothecaire leningen voor zakelijk vastgoed zal
vooralsnog uitsluitend betrekking hebben op banken zodat de gegevens m.b.t. zakelijk
vastgoed uitsluitend gerapporteerd gaan worden door banken. Andere partijen zijn veel
minder actief in de verstrekking van hypothecaire leningen voor zakelijk vastgoed,
waardoor ze op dit moment niet relevant zijn voor de statistische en financiële stabiliteitstaak
van DNB. Dat zou in de toekomst anders kunnen zijn. In dat geval wordt een wijziging
van de amvb voorbereid.
Bij amvb zal tevens worden vastgelegd dat banken en verzekeraars met zetel in Nederland
geen gegevens rapporteren over hypothecaire leningen voor woningen die lopen via hun
buiten Nederland gelegen bijkantoren. Dat is niet nodig voor inzicht in de Nederlandse
woningmarkt. Voor beleggingsinstellingen en pensioenfondsen hoeft dit niet te worden
vastgelegd aangezien deze partijen geen bijkantoren hebben. Banken met zetel in Nederland
rapporteren wel over hypothecaire leningen voor zakelijk vastgoed die lopen via hun
buiten Nederland gelegen bijkantoren. Voor buiten Nederland gelegen zakelijk vastgoed
wordt door hen uitsluitend de schuldeiser-rol gerapporteerd aangezien die van invloed
is op de financiële stabiliteit van de in Nederland gezetelde bank (dat is niet het
geval bij de beheerder-rol). Ook dit wordt vastgelegd in de amvb.
§ 2.5 Vaststelling en wijze van de te rapporteren gegevens
De voorgestelde rapportageverplichting bevat de grondslag die regelt dat de rapportageplichtige
partijen gegevens over hypothecaire leningen voor woningen en zakelijk vastgoed moeten
rapporteren. Bij amvb zal de precieze lijst met data-attributen worden vastgelegd
per type rapportageplichtige partij en per type hypothecaire lening (voor woningen
of zakelijk vastgoed). Per type data-attribuut zal in de nota van toelichting bij
de amvb de relevantie voor de taken van DNB worden toegelicht zodat uitsluitend data-attributen
die noodzakelijk zijn voor de voor de statistische en financiële stabiliteitstaak
van DNB onder de rapportageverplichting vallen. Dit met het oog op proportionaliteit
en dataminimalisatie. Ook wordt een (per rapportageplichtige partij en type lening)
zo laag mogelijke periodiciteit van de rapportageverplichting vastgelegd in de amvb.
Bij de bestaande uitvraagbevoegdheid (artikel 9d van de Bankwet 1998) is voorzien
in een getrapte benadering om lasten voor aanleverende partijen tot een minimum te
beperken.28 Dit omdat het denkbaar is dat een deel van de benodigde gegevens reeds aanwezig is
bij (semi-)overheidsinstellingen. Dan zou het efficiënter kunnen zijn die gegevens
rechtstreeks daar op te vragen. De getrapte benadering komt erop neer dat DNB voorafgaand
aan een uitvraag eerst moet bezien of de gegevens die zij nodig heeft kunnen worden
verkregen uit registraties van (semi-)overheidsinstellingen. Genoemd worden bijvoorbeeld het CBS, de Belastingdienst, het Kadaster
en de Kamer van Koophandel. Alleen wanneer de bestaande registraties niet toereikend
zijn, doet DNB een uitvraag bij ondernemingen, vrije beroepsbeoefenaren, instellingen
en rechtspersonen. Deze getrapte benadering is ontleend aan hoofdstuk 5 van de Wet
op het CBS.
Bij het opstellen van de voorgestelde rapportageverplichting is bezien of de benodigde
gegevens uit registraties of andere (publieke) databronnen die beschikbaar zijn bij
(semi-) overheidsinstellingen zouden kunnen worden verkregen. Dat blijkt niet mogelijk
zonder een veel grotere inbreuk op de persoonlijke levenssfeer van de leningnemers
(de klanten van de rapportageplichtige partijen) van de hypothecaire leningen voor
woningen. Het Kadaster of de Belastingdienst beschikken mogelijk over een beperkt
deel van de gegevens, maar om gebruik hiervan te kunnen maken zou een uniek identificerend
nummer, zoals bijvoorbeeld het BSN van de leningnemer, noodzakelijk zijn om de gegevens
te koppelen aan de gegevens die uitsluitend aanwezig zijn bij de rapportageplichtige
partijen (banken, verzekeraars, beleggingsinstellingen en pensioenfondsen). Een uniek
identificerend nummer is een gevoelig persoonsgegeven. De verwerking daarvan door
DNB zou een veel groter gevolg voor de persoonlijke levenssfeer betekenen, dan de
rapportageverplichting in voorgestelde vorm veroorzaakt.
De rapportageverplichting m.b.t. hypothecaire leningen voor woningen zal zien op de
volgende typen gegevens: gegevens over de hypothecaire lening, gegevens over het onderpand,
gegevens over de risicokarakteristieken van de hypothecaire lening en gegevens over
de tegenpartij (de leningnemer). Daarbij kan bijvoorbeeld gedacht worden aan de volgende
data-attributen: aanvangsdatum contract, looptijd, rente, aflossingstype, vier cijfers
van de postcode, energielabel, liquidatiewaarde, wanbetalingsstatus, schatting van
verlies bij wanbetaling, geboortejaar leningnemer en toetsinkomen leningnemer bij
aanvang van de lening. Bij hypothecaire leningen m.b.t. zakelijk vastgoed is de leningnemer
nooit een natuurlijke persoon maar een rechtspersoon of personenvennootschap.29 De rapportageverplichting voor hypothecaire leningen voor zakelijk vastgoed ziet
op gegevens m.b.t. de hypothecaire lening, het onderpand en het verhuurpotentieel
zoals bijvoorbeeld: de huurinkomsten en oppervlakte.
Zoals in paragraaf 2.2 uiteen is gezet zijn gegevens op leningniveau en dus data-attributen
met een hoog detailniveau noodzakelijk. Dit detailniveau is nodig om berekeningen
te kunnen maken die inzicht geven in de risico’s voor de financiële stabiliteit, die
zich voor kunnen doen op de woningmarkt, zoals risico’s bij wanbetaling, risico’s
bij renteveranderingen, risico’s van aflossingsvrije hypotheken en risico’s van klimaatverandering.
De afgelopen jaren zijn deze gegevens bijvoorbeeld gebruikt om de risico’s bij onverwachte
gebeurtenissen zoals de Covid-19 pandemie, de combinatie van hoge inflatie en hoge
energieprijzen en de snelle rentestijgingen te berekenen.30 Hetzelfde geldt voor de zakelijke vastgoedmarkt. Voor inzicht in de gevolgen voor
de financiële stabiliteit van de hypothecaire leningen voor zakelijk vastgoed worden
analyses gemaakt over de risico’s bij wanbetaling, risico’s voor het onderpand, risico’s
die samenhangen met de verhuur en landenrisico’s.
De gegevensset m.b.t. hypothecaire leningen voor woningen die banken moeten aanleveren
zal het meest veelomvattend zijn. Tegelijkertijd zal deze set door dataminimalisatie
flink worden teruggebracht ten opzichte van de gegevensset die onder de huidige uitvraagbevoegdheid
moet worden verstrekt. Voor de overige partijen die moeten rapporteren over hypothecaire
leningen voor woningen zal een beperktere set aan gegevens en periodiciteit gelden
dan voor banken, omdat het marktaandeel van deze partijen en daarmee het risico dat
deze partijen vormen voor de financiële stabiliteit, minder groot is. Wel zal de gegevensset
voor deze partijen naar verwachting t.o.v. de uitvraag iets toenemen, vanwege gegevens
die noodzakelijk zijn om bepaalde financiële stabiliteitsrisico’s inzichtelijk te
kunnen maken die de afgelopen tijd in beeld zijn gekomen, zoals klimaatrisico’s en
renteherzieningsrisico’s.
De gegevensset m.b.t. hypothecaire leningen voor zakelijk vastgoed zal vooralsnog
(zoals uiteengezet in de vorige paragraaf) uitsluitend gerapporteerd worden door banken.
Deze banken zijn op grond van de AnaCredit-verordening31 al gehouden maandelijks bepaalde gedetailleerde gegevens m.b.t. hypothecaire leningen
voor zakelijk vastgoed te rapporteren aan DNB (die de gegevens na validatie doorstuurt
aan de Europese Centrale Bank), ten behoeve van het Europees Stelsel van Centrale
Banken (ESCB). Het ESCB verzamelt gegevens van banken in het eurogebied over zakelijke
leningen. De AnaCredit-rapportage omvat een deel van de data-attributen die DNB nodig
heeft voor de uitoefening van haar nationale statistische en financiële stabiliteitstaak.
Deze gegevens worden door DNB uit de AnaCredit-rapportage gehaald en hoeven door de
rapportageplichtige partijen dus niet opnieuw te worden gerapporteerd. Net als bij
de gegevensset m.b.t. hypothecaire leningen voor woningen zal de directe relevantie
van een data-attribuut voor de financiële stabiliteitstaak en de statistische taak
van DNB leidend zijn. Door deze dataminimalisatie en omdat DNB een deel van de benodigde
data-attributen kan betrekken uit de AnaCredit-rapportage, zal ook deze gegevensset
veel beperkter zijn dan de gegevensset die onder de huidige uitvraagbevoegdheid wordt
uitgevraagd.
In het wettelijk kader zal worden vastgelegd dat de gegevens uitsluitend langs elektronische
weg kunnen worden gerapporteerd bij DNB. Dit in afwijking van de Algemene wet bestuursrecht
(de artikelen 2:7, tweede lid en 2:8)32 waarin in beginsel wordt uitgegaan van het openstaan van de postweg naast de elektronische
weg. Aanlevering per post is voor deze gegevens niet mogelijk. De rapportage is te
gedetailleerd en omvangrijk. Dat zou voor alle partijen onwerkbaar zijn. De elektronische
weg vormt voor de rapportageplichtige partijen geen belemmering, het gaat immers om
grote professionele partijen die onder de huidige uitvraag ook al elektronisch aanleveren.
Bovendien is de digitale beschikbaarheid van de gegevens noodzakelijk voor de verificatie
van de gegevens voor statistische doeleinden.
In het wettelijk kader zal worden voorzien in een ministeriële regeling waarin nadere
regels worden gesteld omtrent de wijze van elektronische verstrekking, de vorm waarin
de gegevens moeten worden aangeleverd en de bij de verstrekking te gebruiken elektronische
inlogmethode.
§ 2.6 Waarborgen bij verwerking van gegevens
Verschillende gegevens die moeten worden gerapporteerd over hypothecaire leningen
voor woningen zijn financiële gegevens van de leningnemer. Financiële gegevens worden
op grond van de AVG bestempeld als gevoelige persoonsgegevens (geen bijzondere persoonsgegevens),
omdat ze bij herleidbaarheid informatie geven over de financiële situatie van de leningnemer.33 Daarom wordt in het wettelijk kader voorzien in waarborgen om (het risico op beperking
van rechten en vrijheden als gevolg van) het verwerken van persoonsgegevens van de
leningnemers maximaal te beperken. Ook DNB zal als verwerkingsverantwoordelijke voorzien
in maatregelen ter borging van de bescherming van de persoonsgegevens.
Pseudonimisering
In het onderhavige voorstel wordt bepaald dat de rapportageplichtige partijen de gegevens
m.b.t. hypothecaire leningen voor woningen gepseudonimiseerd aanleveren bij DNB. Bij
amvb zal worden bepaald dat de sleutel die voor pseudonimisering van leningkenmerken
wordt gebruikt een uniek en willekeurig kenmerk oplevert dat voor DNB niet herleidbaar
is tot een individuele betrokkene. Willekeurig, zodat het kenmerk dat na pseudonimisering
ontstaat geen naar de betrokkene herleidbare informatie bevat zoals bijvoorbeeld een
(deel van een) klantnummer of leningnummer. Uniek zodat het kenmerk niet tevens wordt
gebruikt voor een ander doel. Ook moet het kenmerk door de jaren heen onveranderd
blijven. Dit zodat DNB daarmee de desbetreffende hypothecaire lening over de tijd
heen kan volgen. Dat is noodzakelijk om betekenisvolle statistische rapportages en
economische rapporten over de financiële stabiliteit te kunnen maken. Voor DNB zijn
de gepseudonimiseerde gegevens niet herleidbaar, omdat DNB niet beschikt over de pseudonimiseringssleutel.
Daarom is het van belang dat de sleutel die voor pseudonimisering wordt gebruikt door
de rapportageplichtige partijen niet aan DNB mag worden verstrekt. Ook dat wordt ook
vastgelegd bij amvb.
Verbod op re-identificatie
Om herleidbaarheid van de gegevens naar de leningnemers zo veel mogelijk te voorkomen,
wordt in dit wetsvoorstel opgenomen dat DNB niet over mag gaan tot re-identificatie
van de gerapporteerde gepseudonimiseerde gegevens. DNB mag de gegevens niet verwerken
op een manier die re-identificatie mogelijk maakt. Dat betekent bijvoorbeeld dat DNB
de gegevens niet mag koppelen aan andere datasets waarmee de herleidbaarheid zou worden
vergroot.
Verbod op verdere verstrekking
Verhelderd wordt in het wettelijk kader (in lijn met het gesloten systeem van de Bankwet
1998) dat het DNB verboden is de gegevens die zij verkrijgt op grond van de rapportageverplichting
verder te verstrekken aan andere partijen (dit behoudens aan het CBS, zie paragraaf
2.2 en 2.3 van deze toelichting). Ook wordt verhelderd dat interne deling van de gegevens
met organisatieonderdelen van DNB met een andere taak uitsluitend is toegestaan voor
zover de gegevens ook zelfstandig verkregen hadden kunnen worden van de financiële
instellingen waarop toezicht wordt uitgeoefend, verstrekking op niet-structurele basis
plaatsvindt en de gegevens die worden gedeeld geanonimiseerd zijn (zie ook paragraaf
2.3 van deze toelichting). Na het anonimiseren van de gegevens is de AVG niet meer
van toepassing op deze gegevens.
Bewaartermijn
Voor de gepseudonimiseerde gegevens die DNB ontvangt op grond van de voorgestelde
rapportageverplichting wordt een bewaartermijn van 12 jaar aangehouden. De beschikbaarheid
van deze gegevens is essentieel voor de kwaliteit van de statistische rapportages.
Door gegevens langere tijd beschikbaar te hebben kunnen analyses worden gemaakt die
ontwikkelingen en trends gedurende langere tijd volgen. Om dit te kunnen doen is het
noodzakelijk om tijdsreekseninformatie te hebben. ook voor de financiële stabiliteitstaak
is het noodzakelijk terug te kunnen kijken in de tijd, bijvoorbeeld om een indicator
op te sporen die voorafgaand aan of in de aanloop naar een crisis een rol heeft gespeeld
of een rol gespeeld zou kunnen hebben bij het ontstaan ervan. Als voorbeeld kan de
bankencrisis van 2008 dienen. Deze crisis ontstond nadat banken verliezen leden op
hun hypotheekportefeuilles. Om onderzoek te kunnen doen naar het ontstaan van die
crisis zouden tevens de gegevens m.b.t. de jaren voorafgaand aan die crisis onmisbaar
kunnen blijken. De woningmarkt beweegt cyclisch. Huizenprijzen dalen en stijgen, rentes
variëren over tijd. De woningmarkt is verweven met de cyclische bewegingen van de
woningbouwproductie, het woningtekort en de economie in het algemeen. Een cyclus op
de woningmarkt duurt vaak meerdere jaren. Om cycli met elkaar te kunnen vergelijken
is een langere bewaartermijn noodzakelijk. Bovendien kunnen ontwikkelingen die risico’s
vormen voor de financiële stabiliteit heel divers van aard zijn en veroorzaakt zijn
door ontwikkelingen die jaren gelden hebben plaatsgevonden. Ook daarom is een relatief
langere bewaartermijn van de gegevens noodzakelijk zodat n.a.v. ontwikkelingen die
zich voor doen terug kan worden gekeken naar de oorzaken daarvan in ontwikkelingen
die in het verleden plaats hebben gevonden. Een bewaartermijn van 12 jaar is daarvoor
minimaal noodzakelijk.
Na het verstrijken van 12 jaar worden de gegevens zodanig bewerkt dat deze zelfs na
koppeling met andere bronnen niet meer herleid zouden kunnen worden tot individuen,
waardoor betrokkenen niet meer identificeerbaar zijn. Dat kan bijvoorbeeld door de
vier cijfers van de postcode verder te aggregeren naar twee van de cijfers postcode.
Na anonimiseren van de gegevens is de AVG niet meer van toepassing op deze gegevens.
Op grond van de voorgestelde verplichting zal DNB zal als verwerkingsverantwoordelijke
partij de gegevens na 12 jaar anonimiseren.
Dataminimalisatie
Bij het vastleggen van de noodzakelijke gegevens die partijen moeten rapporteren over
hypothecaire leningen voor woningen in de amvb zal zo veel mogelijk dataminimalisatie
worden toegepast met het oog op proportionaliteit. De gegevensset zal per rapportageplichtige
partij worden vastgesteld op basis van noodzakelijkheid voor de statistische en financiële
stabiliteitstaak van DNB. Bij het opstellen van de voorgestelde rapportageverplichting
is bezien of de benodigde gegevens uit registraties of andere (publieke) databronnen
die beschikbaar zijn bij (semi-) overheidsinstellingen zouden kunnen worden verkregen.
Dat blijkt niet mogelijk zonder een veel grotere inbreuk op de persoonlijke levenssfeer
van de leningnemers (zie verder paragraaf 2.5 van deze toelichting).
Maatregelen ter minimalisering herleidbaarheid
Er wordt voorzien in verschillende maatregelen om te borgen dat de rapportage zo min
mogelijk gegevens bevat die de kans op herleidbaarheid naar individuen vergroot. In
combinatie met gebruikmaking van andere databronnen, zouden de data-attributen «geboortejaar»,
«vier cijfers van de postcode» en gegevens m.b.t hoogte van het inkomen van de leningnemer
(onbedoelde) herleidbaarheid kunnen veroorzaken. Het feit dat relatief jonge en oude
leningnemers minder vaak voorkomen in de totale populatie leningnemers, maakt dat
de herleidbaarheid naar individuen bij relatief jonge en oude leningnemers groter
is. Daarom zal in de amvb worden vastgelegd dat rapportageplichtige partijen voor
relatief jonge en oude leningnemers (leningnemers jonger dan 25 jaar en ouder dan
87 jaar) geen informatie rapporteren over het geboortejaar van een leningnemer, maar
uitsluitend aangeven dat de lener «oud» of «jong» is. Ook zal in de amvb worden opgenomen
dat rapportageplichtige partijen voor hypothecaire leningen voor woningen uitsluitend
de vier cijfers van de postcode rapporteren en in een postcodegebied met 100 of minder
woningen geen informatie rapporteren over de postcode. De lijst van niet toegestane
postcodes zal worden gebaseerd op een bestaand jaarlijks bestand van kerncijfers per
postcode van het CBS. Ook de aggregatie van kleine postcodegebieden tot en met 100
woningen in de gegevensset heeft als doel om (onbedoelde) herleidbaarheid in de gegevensset
zo veel mogelijk te beperken. Ook zou informatie over het precieze inkomen van een
leningnemer herleidbaarheid kunnen opleveren. Daarom wordt in de amvb vastgelegd dat
gegevens m.b.t. inkomen van leningnemers in de rapportage worden afgerond op duizendtallen.
Maatregelen van DNB
DNB zal als verwerkingsverantwoordelijke voor de gegevensverwerking als gevolg van
de rapportage van de gegevens m.b.t. de hypothecaire leningen voor woningen een DPIA34 uitvoeren op grond waarvan wordt bepaald welke maatregelen voor gegevensbescherming
moeten worden genomen en met welke (technische) middelen en methoden de persoonsgegevens
worden verwerkt om de bescherming van die gegevens te borgen. DNB neemt in dit kader
technische en organisatorische maatregelen ter beveiliging van de verzamelde gegevens
tegen onrechtmatig gebruik. Een van de maatregelen is bijvoorbeeld dat uitsluitend
een zeer selecte groep gescreende DNB-datagebruikers geautoriseerd is om inzicht te
verkrijgen in de gehele gegevensset. Zij worden onderworpen aan restricties bij gebruik
van de gegevens en het gebruik wordt bijgehouden in een logbestand.35 Bij verwerking van de gegevens is in geen geval sprake van (semi)geautomatiseerde
besluitvorming of profilering.36
DNB zal op grond van de DPIA, die zij als verwerkingsverantwoordelijke uitvoert n.a.v.
dit voorstel, een doelbinding- en evenredigheidstoets inrichten om verzoeken van het
CBS, de aangewezen internationale organisaties en de organisatieonderdelen van DNB
met een andere taak om verwerking van de gegevens te beoordelen. DNB beoordeelt of
het doel waarvoor de gegevens moeten worden verwerkt om tegemoet te komen aan een
verzoek niet onverenigbaar37 is met het doel waarvoor de gegevens zijn verzameld en of verwerking van de gegevens
daarvoor evenredig is (geschikt, noodzakelijk en evenwichtig).
§ 3. Verhouding met ander recht
§ 3.1 Recht m.b.t. zorgvuldige gegevensverwerking en persoonlijke levenssfeer
De rapportageverplichting behelst verwerking van gepseudonimiseerde persoonsgegevens,
waaronder financiële gegevens m.b.t. hypothecaire leningen voor woningen van natuurlijke
personen,38 en moet zich dus verhouden tot het recht op zorgvuldige gegevensverwerking en de
persoonlijke levenssfeer zoals onder meer verwoord in artikel 8 EVRM, de artikelen
7 en 8 van het Handvest van de grondrechten van de Europese Unie, artikel 10 van de
Grondwet en de AVG. Financiële gegevens worden in de AVG bestempeld als «gevoelige»
persoonsgegevens.
Voor een rechtmatige inbreuk op het recht op zorgvuldige gegevensverwerking en de
persoonlijke levenssfeer moet er sprake zijn van een toegankelijke en voorzienbare
rechtsgrond bij wet en van een legitiem doel. Geconcludeerd kan worden dat de rapportageverplichting
voldoet aan de eisen die aan een inbreuk op het recht op zorgvuldige gegevensverwerking
en de persoonlijke levenssfeer worden gesteld. Er is een toegankelijke en voorzienbare
rechtsgrond bij wet, nu het wetsvoorstel een specifieke wettelijke grondslag creëert
voor de rapportageverplichting waarin is opgenomen op welk type leningverstrekker
(banken, beleggingsinstellingen, verzekeraars en pensioenfondsen) de rapportageverplichting
van toepassing is en met welk doel de gegevens worden verwerkt. De rapportageverplichting
is voorzienbaar omdat bij amvb per type leningverstrekker wordt gespecificeerd welke
gegevens gerapporteerd moeten worden. Verder geldt dat in paragraaf 2.2 reeds is overwogen
dat de gegevensm.b.t. de hypothecaire leningen voor woningen voor DNB noodzakelijk
zijn om haar taken die zien op het bevorderen van de stabiliteit van het financiële
stelsel (financiële stabiliteitstaak) en het verzamelen van statistische gegevens
en het vervaardigen van statistieken (statistische taak) uit te kunnen voeren. Ook
bij het in de rapportageverplichting opgenomen verwerkingsdoel om de gegevens te kunnen
verwerken om te voldoen aan informatieverzoeken van het IMF, de FSB en de BIS is sprake
van een legitiem doel. Er is daarbij voldoende doelbinding nu de taken van deze organisaties
verband houden met de financiële stabiliteitstaak op grond waarvan de gegevens oorspronkelijk
zijn verzameld.
Als gezegd is de verwerking door DNB van deze gegevens noodzakelijk om te voldoen
aan haar (wettelijke) statistische en financiële stabiliteitstaak (als taak van algemeen
belang of van een taak in het kader van de uitoefening van het openbaar gezag, zie
artikel 6, eerste lid, onderdeel e, van de AVG). De rapportageverplichting biedt ook
een grondslag voor de verwerking van persoonsgegevens door de rapportageplichtige
partijen (de verwerking door hen is noodzakelijk om te voldoen aan de wettelijke verplichting
die aan hen wordt opgelegd, zie artikel 6, eerste lid, onderdeel c, van de AVG).
Gezien het grote algemene belang van de beschikbaarheid van representatieve statistieken
en van de stabiliteit van het financiële stelsel voor de maatschappij als geheel wordt
de eventuele inbreuk die de verwerking van de gegevens zou kunnen vormen op de persoonlijke
levenssfeer van de leningnemers proportioneel geacht. Zeker nu herleidbaarheid zo
veel mogelijk wordt tegengegaan door verschillende waarborgen, waaronder de verplichte
pseudonimisering, het verbod op re-identificatie en het verbod op verdere verstrekking
van de gegevens. De verwerking van de gedetailleerde gegevens die inzicht geven in
opkomende en nieuwe risico’s en kwetsbaarheden binnen het financiële stelsel is het
enige effectieve middel om het doel te bereiken. Ook zijn de verwerkingsdoeleinden
in redelijkheid niet op een andere voor betrokkene minder nadelige wijze te verwezenlijken,
nu statistieken niet gemaakt kunnen worden van en kwetsbaarheden niet naar voren komen
uit geaggregeerde gegevens, zoals volgt uit paragraaf 2.2. Er is gekozen voor een
voor betrokkenen minst nadelige wijze van verwerken, door de verplichte pseudonimisering
van de te rapporteren gegevens en de andere maatregelen om herleidbaarheid van de
gegevens zo veel mogelijk uit te sluiten, zoals beschreven in paragraaf 2.6.
Hiermee voldoet de rapportageverplichting voor verstrekkers van hypothecaire leningen
voor woningen aan de eisen die aan een inbreuk op het recht op zorgvuldige gegevensverwerking
en de persoonlijke levenssfeer worden gesteld.
§ 3.2 Overig internationaal recht
De statistische rapportageverplichting wordt opgelegd aan ondernemingen waarvoor tevens
rapportageverplichtingen gelden op grond van onder meer de Wet op het financieel toezicht
(ter implementatie van Europese richtlijnen) en Europese verordeningen. Die verplichtingen
zien op de prudentiële vereisten die gelden voor deze ondernemingen en maken onderdeel
uit van het toezichtkader.
Zo legt de Verordening kapitaalvereisten39 rapportageverplichtingen op aan banken, waaronder de verplichting om te rapporteren
inzake prudentiële vereisten en financiële informatie. Verzekeraars moeten periodiek
rapportages bij DNB aanleveren op grond van het Solvency II kader.40 Voor pensioenfondsen gelden rapportageverplichtingen voor prudentieel toezicht op
grond van de Pensioenwet en de Wet verplichte beroepspensioenregeling (mede ter implementatie
van richtlijn IORPII41). Voor beleggingsinstellingen geldt dat zij toezichts- en statistische rapportages
verstrekken ingevolge het Europees recht.42
Voor al deze (toezicht)rapportages geldt echter dat zij geaggregeerd zijn op instellingsniveau,
en niet op leningniveau, waardoor deze rapportages het voor de statistische en financiële
stabiliteitstaken van DNB benodigde detailniveau missen. Deze toezichtrapportages
bieden de toezichthouder inzicht of op instellingsniveau wordt voldaan aan prudentiële
kapitaaleisen en andere (toezicht)doelstellingen uit de EU-richtlijnen of verordeningen
waaruit de rapportageverplichtingen afkomstig zijn. Als deze toezichtrapportages al
gegevens bevatten over bij instellingen op de balans staande hypothecaire leningen,
dan is dat informatie op instellingsniveau (bijvoorbeeld de LTV-ratio op instellingsniveau,
dus de totale blootstelling gedeeld door de waarde van al het onderpand). DNB heeft
veel gedetailleerdere informatie op leningniveau nodig voor haar nationale statistische
en financiële stabiliteitstaak. Voor zover in het kader van toezicht gedetailleerde
gegevens op leningniveau worden verkregen (bijvoorbeeld als dergelijke gegevens worden
opgevraagd in het kader van toezicht op een specifieke instelling), is dit niet sectorbreed
en niet periodiek maar incidenteel, waardoor het geen bruikbare rapportages zijn voor
de uitvoering van de statistische en financiële stabiliteitstaak van DNB.
Het Europees kader omvat ook statistische rapportageverplichtingen. Voor beleggingsfondsen
geldt bijvoorbeeld Verordening (EU) nr. 1073/201343 met rapportageverplichtingen voor statistieken betreffende de activa en passiva van
beleggingsfondsen. Die rapportage geeft inzicht in het beleggingsfondsbedrijf binnen
het eurogebied en geldt voor alle beleggingsfondsen (dat zijn er circa 1.500 in Nederland)
terwijl de voorgestelde rapportageverplichting uitsluitend zal gaan gelden voor beleggingsfondsen
met grote hypotheekportefeuilles (dat zijn er circa 15). De rapportage bevat gegevens
over balansposten op instellingsniveau, geen informatie over individuele hypothecaire
leningen waarvan het beleggingsfonds de schuldeiser is, zoals noodzakelijk voor DNB.
Voor zakelijk krediet dat banken verstrekken is er de database AnaCredit (zie ook
paragraaf 2.5 van deze toelichting) en de bijbehorende verordening.44 Op grond van die verordening verzamelt het ESCB statistische gegevens van de meeste
banken in het eurogebied (onder meer) over zakelijke hypothecaire leningen ten behoeve
van statistiek en het macroprudentieel toezicht. Deze rapportage bestaat uit gegevens
op leningniveau over hypothecaire leningen voor zakelijk vastgoed, maar bevat lang
niet alle gegevens die nodig zijn voor de uitoefening van de eerder genoemde taken
van DNB, bijvoorbeeld voor inzicht in de gevolgen voor de financiële stabiliteit van
de zakelijke hypothecaire leningen (zoals de risico’s bij wanbetaling, risico’s voor
het onderpand, risico’s die samenhangen met de verhuur en landenrisico’s zie paragraaf
2.4 van deze toelichting). De AnaCredit-verordening betreft nadrukkelijk geen maximumharmonisatie.
Nu de Europese wetgever niet heeft voorzien in een rapportageverplichting ter zake
van gegevens m.b.t. hypothecaire leningen aan particulieren voor woningen en slechts
ten dele (en niet maximum geharmoniseerd) m.b.t. hypothecaire leningen aan rechtspersonen
voor zakelijk vastgoed staat het lidstaten vrij op dit gebied regels te stellen. De
relevante Europese richtlijnen op het gebied van financieel toezicht staan een rapportageverplichting
zoals voorgesteld derhalve niet in de weg.
§ 3.3 Overig nationaal recht
Wat betreft samenloop met nationaal recht is de Algemene wet bestuursrecht nog relevant
om te noemen. Uit die wet komt het algemene uitgangspunt naar voren dat communicatie
met een bestuursorgaan langs elektronische weg kan geschieden. Daaruit kan worden
afgeleid dat, indien niets anders is bepaald, de postweg openstaat. Voor de zeer gedetailleerde
gegevens waarop de rapportageverplichting ziet zou de postweg een onevenredige belasting
opleveren voor rapportageplichtige partijen en DNB. Daarom wordt in dit wetsvoorstel
in afwijking van (artikel 2:7, tweede lid en artikel 2:8 van) de Algemene wet bestuursrecht45 geregeld dat uitsluitend de elektronische weg openstaat.
Tot slot is nog van belang te wijzen op het wetsvoorstel Wet toezicht rapportage AFM,
dat op dit moment wordt voorbereid. Dat wetsvoorstel voorziet in een jaarlijkse rapportageverplichting
voor financiëledienstverleners, beleggingsondernemingen, beheerders van beleggingsinstellingen,
kredietservicers en kredietkopers, ten behoeve van het risicogestuurd toezicht van
de Autoriteit Financiële Markten (AFM). De rapportageverplichting die dat wetsvoorstel
in het leven roept strekt net als de onderhavige rapportageverplichting tot rapportage
van gegevens over hypothecaire leningen voor woningen. Er zijn echter belangrijke
verschillen tussen de voorstellen. Het voorstel voor de Wet toezichtrapportage AFM
heeft als doel de AFM in staat te stellen om haar toezichtcapaciteit zo gericht mogelijk
in te zetten, door risicogestuurde keuzes datagedreven te onderbouwen en richt zich
op alle aanbieders van hypothecair krediet (en niet op een beperkte groep schuldeisers en
beheerders van hypothecaire leningen en ook niet op hypothecaire leningen voor zakelijk
vastgoed, zoals de onderhavige rapportageverplichting). Verder komt de gegevensset
die van belang is voor het toezicht van de AFM niet overeen met de gegevensset die
DNB nodig heeft voor haar statistische en financiële stabiliteitstaak en de periodiciteit
van de rapportage wijkt ook af. Vanwege deze verschillen is gekozen twee wetsvoorstellen
voor te bereiden. Mochten de rapportageverplichtingen voor de rapportageplichtige
partijen te zijner tijd onbedoeld tot dubbel aanleveren van specifieke data-attributen
leiden, dan zal in samenspraak met de rapportageplichtige partijen worden bezien of
doorgifte van deze data-attributen vanuit regeldrukperspectief de voorkeur heeft.
Dan zou het wettelijk kader kunnen worden aangepast om in doorgifte van de specifieke
data-attributen te voorzien. Gezien de consultatiereacties van de rapportageplichtige
partijen weegt het belang van gegevensbescherming voor deze partijen vooralsnog echter
veel zwaarder dan de lasten die dubbel aanleveren van enkele data-attributen met zich
zou kunnen brengen (zie paragraaf 6.1).
§ 4. Uitvoering en handhaving
DNB is gevraagd een uitvoeringstoets te verrichten m.b.t. de voorgestelde rapportageverplichting
die wordt ingericht ten behoeve van twee bestaande taken van DNB, de statistische
en financiële stabiliteitstaak zoals opgenomen in de Bankwet 1998 (in artikel 4, eerste
lid, onderdeel c en d). In de uitvoeringstoets46 benadrukt DNB het belang van de gegevens die op grond van de rapportageverplichting
kunnen worden verkregen. Zonder deze gegevens kan DNB de genoemde taken niet goed
uitvoeren. DNB is voldoende toegerust om uitvoering te geven aan deze taken. Zij beschikt
over de benodigde bemensing en expertise. Voor de uitvoering wordt gebruik gemaakt
van bestaande werkprocessen en ICT-infrastructuur. De kosten van het verwerken, controleren
en analyseren van de gegevens die DNB verkrijgt op grond van de voorgestelde rapportageverplichting
worden begroot op 3,5 fte’s op jaarbasis. De bekostiging vindt plaats door reeds gebudgetteerde
middelen vanuit de centrale bank begroting. De voorgestelde rapportageverplichting
veroorzaakt dus geen additionele kosten.
DNB kan handhaven als de rapportageplichtige partijen niet voldoen aan de rapportageverplichting
en de uitwerking daarvan in lagere regels (zie daarvoor het gewijzigde artikel 9g
van de Bankwet en de artikelsgewijze toelichting).
§ 5. Gevolgen van het wetsvoorstel
§ 5.1 Algemeen
Op grond van de voorgestelde rapportageverplichting verkrijgt DNB periodiek gegevens
van de rapportageplichtige partijen (kortweg banken, beleggingsinstellingen, pensioenfondsen
en verzekeraars met grote hypotheekportefeuilles) over (de bij hen in beheer zijnde
of op de balans staande) hypothecaire leningen voor woningen van particulieren en
voor zakelijk vastgoed van rechtspersonen. De rapportageverplichting maakt dat DNB
deze gegevens niet meer uit zal vragen bij deze partijen op grond van de eerder genoemde
uitvraagbevoegdheid (in artikel 9d van de Bankwet 1998). Een wettelijke rapportageverplichting
heeft als voordeel dat de partijen die de gegevens moeten aanleveren in het wettelijk
kader zijn vastgelegd, net als de gegevens die zij moeten aanleveren. Dat maakt gegevensoverdracht
voor deze partijen beter voorzienbaar en zorgt er bovendien voor dat de set aan gegevens
die moet worden gerapporteerd en de periodiciteit van de rapportage voor langere tijd
vastligt. De rapportageverplichting heeft geen gevolgen voor het doenvermogen van
burgers of financiële gevolgen voor het Rijk.
§ 5.2 Bedrijfseffecten
De rapportageverplichting zal gaan gelden voor banken, verzekeraars (of hun moederholding),
(beheerders van) beleggingsinstellingen en pensionfondsen met zetel in Nederland.
De verplichting geldt ook voor banken en verzekeraars met zetel buiten Nederland voor
de hypothecaire leningen voor woningen waarvan zij de schuldeiser zijn of die zij
beheren via hun in Nederland gelegen bijkantoren (zie verder paragraaf 2.4 van deze
toelichting). Door deze partijen zowel als schuldeiser maar ook als beheerder rapportageplichtig
te maken, wordt voorkomen dat er hypothecaire leningen buiten de reikwijdte van de
rapportageverplichting vallen. Door de rapportageverplichting op te leggen aan deze
vier typen grotere ondernemingen hoeft niet gerapporteerd te worden door vele kleinere
partijen die hypothecaire leningen aanbieden (meestal namens de rapportageplichtige
partijen, voor hun rekening, of om aan hen over te dragen). Dat maakt de rapportageplichtige
groep van partijen zo beperkt mogelijk.
Verder wordt in de amvb vastgelegd dat alleen gerapporteerd hoeft te worden door deze
partijen indien zij een hypotheekportefeuille hebben boven een bepaalde drempel. Zodoende
wordt geborgd dat over het grootste deel van alle hypothecaire leningen wordt gerapporteerd
(voor statistische doeleinden moet een percentage van 95–98% van de markt inzichtelijk
zijn), waardoor op grond van de cijfers een goed beeld van de hypotheekmarkt ontstaat,
terwijl rapportageplichtige partijen met kleine hypotheekportefeuilles worden ontzien.
Ook in de huidige situatie waarin de gegevens door DNB worden verkregen op grond van
de eerder genoemde uitvraagbevoegdheid worden deze uitgangspunten gehanteerd (om dezelfde
redenen), zodat de rapportageplichtige partijen naar verwachting vrijwel gelijk zullen
zijn aan de partijen waaraan de uitvraag wordt gedaan in de huidige situatie. Naar
verwachting zullen de effecten van de rapportageverplichting gezien het voorgaande
neerslaan bij circa 50 partijen.
De rapportageverplichting heeft geen gevolgen voor de innovatieruimte, innovatiebereidheid
en innovatiecapaciteit van bedrijven. Ook worden geen markteffecten verwacht omdat
de rapportageverplichting niet ingrijpt in het marktgedrag van de rapportageplichtige
partijen. De rapportageverplichting heeft ook geen gevolgen voor ZZP’ers, microbedrijven
en het MKB nu de verplichting uitsluitend zal gelden voor grotere partijen (grootbedrijven)
met hypotheekportefeuilles boven een bij algemene maatregel van bestuur te bepalen
drempel.
§ 5.3 Regeldrukeffecten
De volledige omvang van de rapportageverplichting en de regeldrukeffecten daarvan
voor de rapportageplichtige partijen zal bij amvb in beeld worden gebracht, nu daarin
per type rapportageplichtige partij wordt vastgelegd welke gegevens moeten worden
gerapporteerd en met welke periodiciteit.
Verwacht wordt dat de regeldrukeffecten als gevolg van de rapportageverplichting beperkt
zijn nu de partijen die de gegevens moeten verstrekken vrijwel gelijk blijven, de
data-attributen die moeten worden gerapporteerd worden beperkt tot wat strikt noodzakelijk
is om taakuitoefening mogelijk te maken en gelet op de naar verwachting gelijkblijvende
frequentie van de rapportage ten opzichte van de huidige uitvraag. Verwacht wordt
zelfs dat de rapportageverplichting voor banken een lastenvermindering tot gevolg
zal hebben. Dit nu de gegevensset voor banken zowel m.b.t. hypothecaire leningen voor
woningen als voor zakelijk vastgoed op grond van de huidige uitvraagbevoegdheid uitgebreider
is dan de gegevensset die voor de rapportageverplichting in de amvb zal worden vastgelegd.
Voor de overige partijen zullen de lasten naar verwachting mogelijk een fractie stijgen,
nu ten opzichte van de huidige uitvraag naar verwachting enkele data-attributen moeten
worden toegevoegd aan de gegevensset die moet worden gerapporteerd. Deze gegevens
zijn noodzakelijk om bepaalde financiële stabiliteitsrisico’s inzichtelijk te kunnen
maken die de afgelopen tijd in beeld zijn gekomen, zoals klimaatrisico’s en renteherzieningsrisico’s.
Nu de toevoeging een zeer beperkt aantal data-attributen betreft zullen de extra lasten
als gevolg hiervan voor deze partijen naar verwachting ook zeer beperkt zijn. Ook
is nog belangrijk om te vermelden dat voor een deel van deze toegevoegde data-attributen
geldt dat zij gedurende de looptijd van een leningcontract niet (vaak) wijzigen (daarbij
kan bijvoorbeeld gedacht worden aan het type onroerend goed, het energielabel en gegevens
die worden vastgesteld bij aanvang van een leningcontract). Voor de rapportageplichtige
partijen levert het verzamelen van dergelijke data-attributen dus overwegend eenmalige
kosten op. Een en ander zal in de regeldrukparagraaf van de amvb inzichtelijk worden
gemaakt.
§ 6. Advies en consultatie
§ 6.1 Openbare consultatie
Een voorontwerp van dit wetsvoorstel is van 31 mei 2024 tot 1 juli 2024 openbaar geconsulteerd.47 Daarbij zijn zeven consultatiereacties ontvangen van de Nederlandse Vereniging van
Banken (NVB), het Verbond van Verzekeraars (het Verbond), Dutch Fund and Asset Management
Association (DUFAS), Human Rights in Finance.EU (HRIF), de Stichting Privacy First
(Privacy First) en van twee anonieme particuliere insprekers. De consultatiereacties
worden zo veel mogelijk geclusterd per onderwerp besproken. De resterende opmerkingen
van HRIF worden aan het eind van deze paragraaf besproken.
Noodzaak
DUFAS, de NVB, Privacy First, HRIF en de anonieme insprekers betwijfelen de noodzaak
van de rapportageverplichting. Zij verzoeken om nadere motivering. DUFAS vraagt of
de bestaande uitvraagbevoegdheid nu kan vervallen. De NVB acht vanwege dataminimalisatie
een uitvraag passender dan een rapportageverplichting. Het Verbond vraagt waarom gedetailleerde
gegevens op leningniveau nodig zijn en waarom geen scenario’s kunnen worden gebruikt.
De NVB veronderstelt dat DNB de gegevens uit andere bronnen zou kunnen verkrijgen48 en vraagt om toepassing van de getrapte benadering van de uitvraagbevoegdheid.49 De NVB vraagt waarom uitsluitend onder toezicht staande instellingen de gegevens
moeten aanleveren nu toezicht niet het doel van de gegevensverwerking is.
Voor de onderbouwing van de noodzaak van en de keuze voor een rapportageverplichting
wordt verwezen naarparagraaf 2.1 en 2.2 van deze toelichting. Bepalend voor die keuze
is dat de huidige uitvraagbevoegdheid niet meer voldoet om de voor DNB noodzakelijke
gegevens m.b.t. de hypotheekmarkt te verkrijgen omdat die de verwerking van persoonsgegevens
uitsluit. Met een rapportageverplichting wordt meer recht wordt gedaan aan het feit
dat DNB een vaste set aan gegevens op periodieke basis (structureel) nodig heeft en
dat de set aan gegevens met een rapportageverplichting voor langere tijd en met toepassing
van dataminimalisatie kan worden vastgelegd. Dit maakt de lasten voor rapportageplichtige
partijen zo voorzienbaar en beperkt mogelijk. Een uitvraagbevoegdheid maakt het immers
mogelijk dat de set aan gegevens bij iedere uitvraag wordt gewijzigd of uitgebreid.
Overigens zal de bestaande uitvraagbevoegdheid door DNB natuurlijk niet meer worden
ingezet om de gegevens m.b.t de hypotheekmarkt waarop de rapportageverplichting ziet
te verkrijgen. Het laten vervallen van de uitvraagbevoegdheid waarom DUFAS vraagt,
is niet aan de orde nu de uitvraagbevoegdheid nodig blijft voor andere uitvragen (zie
paragraaf 2.3 van deze toelichting). Voor de vraag van het Verbond waarom gegevens
op leningniveau nodig zijn en waarom geen scenario’s kunnen worden gebruikt, wordt
verwezen naar paragraaf 2.2 van deze toelichting. De stelling dat DNB statistieken
zou kunnen opstellen met data uit andere bronnen zoals de door de NVB genoemde CBS
microdata, de DNB Household Survey (DHS) of andere bronnen, is niet juist. De gegevens
uit deze datasets kunnen niet worden gebruikt om de benodigde statistieken m.b.t.
de hypotheekmarkt te maken. De data van DHS worden uitgevraagd bij een te beperkte
populatie (ongeveer 1.500 huishoudens). Dat is onvoldoende voor betrouwbare statistische
analyses.50 Bovendien zijn deze gegevens niet geschikt voor het maken van statistieken omdat
ze gebaseerd zijn op eigen inschattingen van respondenten. Ook zijn de gegevens niet
actueel.51 De getrapte benadering waarom de NVB vraagt, is meegewogen bij de vormgeving van
de rapportageverplichting. Deze toelichting is op dit punt aangevuld (zie paragraaf
2.5). Wat betreft de opmerking van de NVB en Privacy First dat een deel van de gegevens
beschikbaar zou zijn bij het CBS, wordt tevens verwezen naar de aangevulde toelichting
waarin is verhelderd dat de hypotheekgegevens die DNB verkrijgt deels noodzakelijk
zijn voor de statistische taak van het CBS en niet andersom (zie paragraaf 2.3). Dat
uitsluitend onder toezicht staande partijen rapportageplichtig worden is een gevolg
van het feit dat deze partijen de gegevens over de hypotheekmarkt onder zich hebben
(omdat zij vaak optreden als schuldeiser of beheerder). Overigens raakt de verplichting
uitsluitend partijen met grote hypotheekportefeuilles dus in totaal naar verwachting
circa 50 partijen (dat is een fractie van alle onder toezicht staande partijen die
actief zijn op de hypotheekmarkt).
Overlap met andere verplichtingen
DUFAS, de NVB en het Verbond stellen dat sprake is van overlap met bestaande nationale
uitvragen en Europese rapportageverplichtingen. Volgens DUFAS is sprake van ongewenste
goldplating nu in Nederland gevestigde financiële ondernemingen vanwege de rapportageverplichting
ten opzichte van hun buitenlandse concurrenten in een nadeligere positie komen te
verkeren. Verder vindt DUFAS dat als datagedreven toezicht moet worden ingevoerd,
eventuele Europese initiatieven op dat gebied zouden moeten worden afgewacht. De NVB
vraagt om afbakening met het wetsvoorstel Wet toezichtondersteunende rapportage AFM.
De NVB wijst erop dat de voorgestelde rapportageverplichting niet (mede) kan strekken
tot het bankentoezicht, nu de Bankenrichtlijn maximumharmonisatie betreft. Ook wijst
de NVB op Europese voorstellen tot informatiedeling die de rapportagelast in de toekomst
kunnen beperken. De NVB vraagt hoe dit voorstel zich hiertoe verhoudt. De NVB vraagt
net als DUFAS, om toevoeging van een horizonbepaling.
Gezien de vragen van DUFAS, de NVB en het Verbond is in deze toelichting verhelderd
dat geen overlap plaatsvindt met bestaande uitvragen maar dat de rapportageverplichting
de verschillende uitvragen die worden gedaan op grond van de bestaande uitvraagbevoegdheid
juist vervangt (zie paragraaf 2.3).52 Overigens zal de rapportageverplichting in ieder geval voor banken een lastenverlichting
met zich brengen omdat het aantal data-attributen dat banken moet aanleveren ten opzichte
van de huidige uitvraag flink zal worden teruggebracht (zie paragraaf 2.5 van deze
toelichting). De voorgestelde rapportageverplichting dient, anders dan DUFAS lijkt
te veronderstellen niet om datagedreven toezicht te houden, maar is noodzakelijk voor
de statistische en financiële stabiliteitstaak van DNB (zie paragraaf 2.1 en 2.2 van
deze toelichting).53 Interne deling van de gegevens met het organisatieonderdeel van DNB dat zich bezig
houdt met toezicht is uitsluitend onder strikte voorwaarden mogelijk (niet-structureel,
geanonimiseerd en indien de gegevens ook zelfstandig verkregen hadden kunnen worden
van de financiële instellingen waarop toezicht wordt uitgeoefend, zie verder paragraaf
2.3 van de toelichting). Er bestaan zoals DUFAS en de NVB stellen, inderdaad Europese
toezichtrapportages die tevens gelden voor partijen die ook vallen onder de voorgestelde
rapportageverplichting. Maar dat maakt de voorgestelde rapportageverplichting geen
goldplating.54 De bedoelde Europese verplichtingen (bijvoorbeeld de door de NVB genoemde Bankenrichtlijn)55 vormen onderdeel van het Europese microprudentiele toezichtskader, terwijl de voorgestelde
rapportageverplichting noodzakelijk is voor de nationale statistische en financiële
stabiliteitstaak van DNB. De toezichtrapportages zijn ook niet bruikbaar voor de statistische
en financiële stabiliteitstaak van DNB omdat de gegevens op instellingsniveau worden
gerapporteerd en niet op leningniveau (dit is aangevuld in paragraaf 3.2 van deze
toelichting). De nationale of Europese voorstellen56 die de NVB noemt, die zorgen voor meer samenwerking tussen toezichthouders of informatiedeling
op toezichtgebied om rapportagelasten te beperken, hebben geen directe gevolgen voor
de voorgestelde rapportageverplichting, nu de voorgestelde rapportageverplichting
het verbod bevat voor DNB om de gegevens die worden verkregen verder te verstrekken
aan andere partijen (zoals andere toezichthouders). Wel zal bij de standaarden uit
de genoemde Europese voorstellen zo veel mogelijk worden aangesloten indien dat lasten
voor rapportageplichtige partijen beperkt. Aan het verzoek van de NVB en DUFAS om
toevoeging van een horizonbepaling op grond waarvan de rapportageverplichting vervalt
of wordt heroverwogen, bijvoorbeeld zodra toekomstige ontwikkelingen ertoe leiden
dat (delen van) de benodigde gegevensset onderdeel uit gaan maken van bijvoorbeeld
een Europese statistische uitvraag, wordt geen gevolg gegeven. Nu op voorhand niet
duidelijk is of dergelijke Europese regelgeving er komt, en zo ja, in hoeverre dan
sprake is van overlap met de onderhavige rapportageverplichting is het opnemen van
een horizonbepaling niet effectief. Mochten toekomstige ontwikkelingen de rapportageverplichting
(gedeeltelijk) overbodig maken, zal de rapportageverplichting komen te vervallen of
zal de amvb zo snel mogelijk worden gewijzigd, om overlap in te rapporteren gegevens
uit te sluiten.
Reikwijdte
Zowel DUFAS, de NVB, als het Verbond maken opmerkingen over de reikwijdte van de rapportageverplichting,
de NVB en DUFAS vrezen lastenverzwaring t.o.v. de huidige uitvraag. DUFAS en de NVB
merken op dat de rapportageverplichting uitsluitend zou moeten zien op hypothecaire
leningen voor in Nederland gelegen vastgoed. De NVB vraagt waarom niet-bancaire dochters
onder de verplichting zijn gebracht en waarom uitsluitend banken moeten rapporteren
over zakelijk vastgoed. Het Verbond vraagt om verduidelijking welke partijen moeten
rapporteren over hypothecaire leningen die lopen via hun buiten Nederland gelegen
bijkantoren. Ook wijst het Verbond erop dat hypothecaire leningen in portefeuilles
kunnen worden verkocht en ook kunnen worden gesecuritiseerd waardoor ze bij partijen
terecht kunnen komen die mogelijk niet onder de rapportageverplichting vallen. Hierdoor
worden volgens het Verbond mogelijk relevante gegevens gemist. DUFAS stelt dat de
rapportageverplichting tot dubbel aanleveren van dezelfde gegevens leidt nu de verplichting
betrekking heeft op de verstrekker van een hypothecaire lening en op de schuldeiser
ervan. Verder stelt DUFAS dat beleggingsinstellingen vaak werken met een bewaarstichting
die de hypothecaire vorderingen aanhoudt ten behoeve van het beleggingsfonds en zij
vraagt zich af of deze situatie onder de rapportageverplichting valt. Het Verbond
vraagt of beleggingsinstellingen zonder beheerder niet hoeven te rapporteren en stelt
dat gegevens die moeten worden gerapporteerd niet altijd beschikbaar zijn op het niveau
van de verzekeringsrichtlijngroep en vraagt daarom de rapportageverplichting voor
verzekeraars niet op groepsniveau maar op entiteitniveau te leggen.
Naar aanleiding van de opmerkingen van DUFAS, de NVB en het Verbond is de reikwijdte
van de rapportageverplichting tegen het licht gehouden. Voor statistiek m.b.t. de
Nederlandse woninghypotheekmarkt zijn, zoals DUFAS terecht stelt, alleen hypotheken
met Nederlands onderpand van belang. Om zicht te krijgen op risico’s voor de financiële
stabiliteit vanwege hypothecaire leningen voor woningen zou onderpand in het buitenland
dat op de balans staat van Nederlandse rapportageplichtige partijen wel van belang
kunnen zijn. Echter, het aantal hypothecaire leningen voor woningen buiten Nederland
van rapportageplichtige partijen is zeer beperkt (ongeveer 0,33% van de woningen in
de dataset). Daarom is het bij nader inzien niet nodig de hypothecaire leningen voor
woningen buiten Nederland in de rapportage te betrekken. Het wetsvoorstel is dienovereenkomstig
aangepast (zie artikel 9da, eerste en derde lid).57 Voor zakelijk onderpand ligt deze afweging anders, nu met name de exposure van banken
met zetel in Nederland van hypothecaire leningen voor buiten Nederland gelegen zakelijk
onderpand ten opzichte van de exposure van de andere rapportageplichtige partijen
erg hoog is. Om die reden is het noodzakelijk zicht te houden op hypothecaire leningen
voor zakelijk onderpand gelegen buiten Nederland. De rapportageverplichting blijft
voor zakelijk vastgoed dus zien op hypothecaire leningen voor onderpand binnen en
buiten Nederland. Door te voorzien in een drempelwaarde voor hypotheekportefeuilles
voor zakelijk vastgoed zal deze verplichting vooralsnog uitsluitend gelden voor banken
en hun niet-bancaire dochters en niet voor de andere rapportageplichtige partijen
(vanwege de grote exposure van banken in dit segment).58 Dat de door niet-bancaire dochters beheerde en bij hen op de balans staande hypothecaire
leningen bij de rapportageverplichting voor banken worden betrokken is inderdaad nieuw
ten opzichte van de huidige uitvraag, maar zal uitsluitend zien op niet-bancaire dochters
met substantiële hypotheekportefeuilles (omdat in de amvb wordt voorzien in een drempelwaarden)
waardoor de lastenverzwaring beperkt blijft. Naar aanleiding van de vraag van het
Verbond m.b.t. bijkantoren is het wetsvoorstel aangepast zodat de verplichting ook
van overeenkomstige toepassing wordt op verzekeraars met zetel buiten Nederland die
via een in Nederland gelegen bijkantoor schuldeiser of beheerder zijn van hypothecaire
leningen voor woningen in Nederland, zodat relevante gegevens over de Nederlandse
woninghypotheekmarkt niet worden gemist (zie het gewijzigde voorgestelde artikel 9da,
derde lid).
Naar aanleiding van de vragen van DUFAS en het Verbond is ook gekeken naar de rollen
van rapportageplichtige partijen met betrekking tot de hypothecaire leningen. In de
rapportageverplichting zoals geconsulteerd is gekozen voor de rollen van «verstrekker»
en «schuldeiser», vanuit de gedachte dat met deze rollen de verplichting aansluit
bij de partijen die de noodzakelijke gegevens onder zich hebben en dat daarmee het
grootste deel van de hypotheekmarkt in beeld is. Echter, naar aanleiding van opmerkingen
van DUFAS en het Verbond wordt de rol van «verstrekker» vervangen door de rol van
«beheerder». Hypothecaire leningen worden zoals deze partijen terecht stellen geregeld
doorverkocht in portefeuilles of als securitisaties waardoor de schuldeiser kan wijzigen
in een niet-rapportageplichtige partij (bijvoorbeeld een niet Nederlandse partij).
Meestal blijft de beheerder van de lening ook in zo’n geval dezelfde partij en heeft
die gezien het beheer ook de meest actuele en dus relevante gegevens over de lening
onder zich. Om die reden is de rol van «beheerder» relevanter dan de rol van oorspronkelijke
«verstrekker». Deze rollen («schuldeiser» en «beheerder») worden ook op grond van
de huidige uitvraag gerapporteerd. Het wetsvoorstel en deze toelichting zijn dienovereenkomstig
aangepast59 (zie artikel 9da, eerste lid, en paragraaf 2.4 van deze toelichting). Dat de verplichting
zowel op de «beheerder» als op de «schuldeiser» van een hypothecaire lening van toepassing
wordt, is voor DNB van belang om zowel relevante gegevens voor de statistische taak,
als voor de financiële stabiliteitstaak, te verkrijgen. Voor de statistische taak
is het noodzakelijk om zicht te hebben op een zo groot mogelijk deel van de hypotheekmarkt
in Nederland,60 dat is nodig om betrouwbare en representatieve statistieken te kunnen maken. Voor
stabiliteitsdoeleinden is met name de rol van «schuldeiser» van belang. Voor DNB is
het inzicht in deze twee afzonderlijke rollen als gezegd essentieel. Rapportageplichtige
partijen rapporteren op leningniveau. Als zij voor een bepaalde lening zowel schuldeiser
als beheerder zijn, dan leveren zij de gegevens m.b.t. tot die lening niet dubbel
aan bij DNB, maar rapporteren zij voor die lening dat beide rollen worden vervuld.
Ligt de rol van schuldeiser bij de ene rapportageplichtige partij en de rol van beheerder
bij een andere rapportageplichtige partij, dan leveren beide partijen de gegevens
aan vanuit hun eigen rol. Dit overigens uitsluitend indien de hypotheekportefeuille
van beide rapportageplichtige partijen boven de bij amvb te bepalen drempelwaarde
uitkomt. In de praktijk komt deze situatie niet vaak voor.
De vraag of de rapportageverplichting van toepassing is op de situatie die DUFAS schetst,
waarbij de bewaarstichting die de hypothecaire vorderingen aanhoudt ten behoeve van
het beleggingsfonds, kan bevestigend worden beantwoord. Nu de leningen in een dergelijk
geval meestal op de balans van de beleggingsinstelling staan is de beleggingsinstelling
dus rapportageplichtig vanuit de rol van «schuldeiser».61 Zoals DUFAS terecht opmerkt worden hypothecaire vorderingen in de regel overgedragen
aan beleggingsinstellingen (maar het komt ook voor dat wordt overgedragen aan special purpose vehicles) zonder mededeling daarvan aan de schuldenaren (stille cessie in de zin van artikel
3:94, derde lid, van Burgerlijk Wetboek). Mededeling van cessie aan de schuldenaar
is in die gevallen niet vereist voor de overdracht. De beleggingsinstelling (of special purpose vehicle) is de schuldeiser, nu de vordering aan hen is overgedragen (overigens is een special purpose vehicle geen rapportageplichtige partij). In reactie op de vraag van het Verbond of beleggingsinstellingen
zonder beheerder moeten rapporteren kan bevestigend worden geantwoord, nu de verplichting
ziet op de beleggingsinstelling zelf en uitsluitend indien die een beheerder heeft
rust op de beheerder die ten behoeve van de beleggingsinstelling rapporteert.62 De vraag van het Verbond of de verplichting in plaats van op het niveau van de verzekeringsrichtlijngroep
niet beter op de entiteit zelf kan worden gelegd, heeft niet geleid tot aanpassing
van het voorgestelde, nu ook onder de huidige uitvraag een verzekeringsrichtlijngroep
in een dergelijk geval de gegevens aanlevert.
Uitwerking bij amvb
Vrijwel alle partijen (de NVB, DUFAS, het Verbond, Privacy First en HRIF) hebben opmerkingen
gemaakt over de uitwerking van de rapportageverplichting bij amvb. Sommigen stellen
dat het wetsvoorstel en de bijbehorende proportionaliteitsafweging niet goed beoordeeld
kunnen worden zonder de amvb en bestempelen de amvb als een «blanco cheque» aan DNB.
Verschillende partijen doen suggesties voor de inhoud van de amvb of verdere uitwerking
of voor opname van elementen bij wet. DUFAS en het Verbond stellen dat lastenvermindering
als uitgangspunt zou moeten worden genomen bij de uitwerking van de verplichting.
DUFAS vreest extra lasten door ICT-investeringen en systeemaanpassingen mede vanwege
de verplichte elektronische verstrekking van gegevens. De NVB vraagt verder in te
gaan op de overige aspecten van de Wet modernisering elektronisch bestuurlijk verkeer
die mogelijk een rol spelen bij elektronische aanlevering (Wmebv). Verschillende partijen
verzoeken om afstemming bij het opstellen van de amvb en vragen de amvb voor te leggen
aan het Adviescollege toetsing regeldruk (ATR) en de Autoriteit persoonsgegevens (AP).
Wat betreft het proces het volgende. De amvb zal zo snel mogelijk nadat het wetsvoorstel
ter advisering is aangeboden aan de Raad van State openbaar worden geconsulteerd,
zodat partijen op de uitwerking van de rapportageverplichting in de amvb kunnen reageren.63 Natuurlijk zal de amvb ter advisering worden aangeboden aan ATR en de AP. Er zal
een invoeringstermijn van zes maanden worden gehanteerd net zoals in de huidige situatie
bij de uitvraag reeds staande praktijk is, zodat DNB en de rapportageplichtige partijen
zich goed kunnen voorbereiden op rapportageverplichting.64 Gekozen is eerst het wetsvoorstel met de rapportageverplichting te consulteren omdat
daarin vanwege het primaat van de wetgever de hoofdelementen van de regeling zijn
opgenomen.65 De hoofdelementen van de rapportageverplichting zijn de reikwijdte van de rapportageverplichting
waaruit volgt voor welke partijen de verplichting gaat gelden, welk type gegevens
deze partijen moeten aanleveren, voor welk doel DNB de gegevens mag gebruiken en welke
waarborgen daarbij gelden.66 Door die hoofdelementen eerst te consulteren, ontstaat duidelijkheid daarover voordat
de amvb wordt opgesteld. Dit zodat de wijzingen van de reikwijdte en andere hoofdelementen
in het wetsvoorstel als gevolg de consultatie en de adviezen van de genoemde adviesorganen
bij het opstellen van de amvb kunnen worden meegenomen. In voorhang voor de amvb,
waar het Verbond om vraagt, wordt niet voorzien nu alle hoofdelementen van de verplichting
op wetsniveau worden vastgelegd.67 Overigens betekent uitwerking bij amvb, anders dan Privacy First en HRIF stellen,
geen blanco cheque aan DNB. Integendeel, eigen invulling is voor DNB juist aan de
orde bij gebruikmaking van de huidige uitvraagbevoegdheid.
Wat betreft de inhoud van de amvb het volgende. In de amvb worden de hoofdelementen
van de rapportageverplichting zoals die op wetsniveau zijn neergelegd uitgewerkt.
In de amvb zal gedetailleerd worden opgesomd welke gegevens per rapportageplichtige
partij moeten worden gerapporteerd, wordt voorzien in de bijbehorende drempelwaarde
(m.b.t. de omvang van de hypotheekportefeuille), de periodiciteit van de rapportage,
de termijnen van aanlevering van de gegevens en de wijze waarop pseudonimisering van
gegevens m.b.t. hypothecaire leningen voor woningen moet plaatsvinden. Hiervoor is
het niveau van een amvb het meest passend.68 Daarom leiden de verzoeken van DUFAS om de periodiciteit van de rapportage op wetsniveau
vast te stellen, en van het Verbond om de drempelwaarden per partij op wetsniveau
vast te stellen niet tot wijziging. De periodiciteit van aanlevering die wordt vastgelegd
in de amvb zal dezelfde zijn als de periodiciteit van de huidige uitvragen. In de
amvb zal ook rekening gehouden worden met verschillen in risicobeoordeling tussen
banken en verzekeraars, zoals het Verbond vraagt. Er wordt niet gekozen voor het vastleggen
van een minimale termijn van vijf jaar om wijzigingen in de gegevensset in de amvb
door te voeren omdat daarmee geen recht wordt gedaan aan het doel van de rapportageverplichting
om financiële stabiliteitsrisico’s van de hypotheekmark te kunnen identificeren. Stabiliteitsrisico’s
kunnen op elk moment opdoemen en houden zich niet aan een vijfjaartermijn. Het uitgangspunt
zal wel zijn de gegevens voor langere tijd vast te leggen, om de rapportageverplichting
voor de rapportageplichtige partijen zo voorzienbaar mogelijk te maken. Verder zal
van lastenverzwaring ten opzichte van de huidige uitvraag waarvoor sommige partijen
vrezen geen sprake zijn nu met de amvb wordt aangesloten bij de werkwijze onder de
bestaande uitvraagbevoegdheid, zowel wat betreft de partijen die moeten aanleveren
als wat betreft de wijze waarop moet worden aangeleverd. Ook in de huidige situatie
is elektronische wijze van verstrekking al gebruikelijk (echter nog niet wettelijk
vastgelegd) en wordt door partijen al gewerkt met eHerkenning als inlogmethode. Ook
de template waarin moet worden aangeleverd blijft gelijk en is – in reactie op een
vraag die het Verbond hierover stelt – volledig gestandaardiseerd. Met de overige
uitgangspunten van de Wmebv die gelden bij verplichte elektronische verzending van
stukken aan een bestuursorgaan69 is rekening gehouden nu de doelgroep waarop de rapportageverplichting betrekking
heeft uitsluitend financiële ondernemingen betreft met grote hypotheekportefeuilles.
Het gaat om rechtspersonen waarvoor verstrekking per post ondoelmatig zou zijn vanwege
het detailniveau van de rapportage. Dit geldt ook voor DNB als ontvangende partij.
De doelgroep is bovendien zeer digivaardig. Elektronische aanlevering is ook onder
de huidige uitvraag de norm. DNB zorgt net als bij de huidige uitvraag voor passende
ondersteuning bij het aanleveren van de gegevens, niet alleen door specifieke dienstverlening
(hulp aan de telefoon of aan de balie), maar ook door het verschaffen van informatie
daarover op haar website. Hier is ook alle informatie te vinden over informatiebeveiliging
en aanleveringsvereisten. De suggestie van het Verbond om DNB zelf jonge en oude leningnemers
uit de gegevensset te laten filteren kan niet worden overgenomen nu dit een waarborg
betreft om de herleidbaarheid van de gegevens tegen te gaan (zie paragraaf 2.6 van
deze toelichting).
Overigens is naar aanleiding van het advies van ATR de toezichthoudersregeling, waarvoor
was gekozen om de wijze van verstrekking vast te leggen, vervangen door een ministeriële
regeling (zie artikel 9db, tweede lid). Verder zal, zoals gezegd, in de amvb het aantal
gegevens dat banken moet aanleveren flink worden teruggebracht ten opzichte van de
huidige uitvraag. Indien een data-attribuut dat moet worden gerapporteerd niet beschikbaar
is bij de rapportageplichtige partijen, is er net als onder de huidige uitvraag de
optie «unknown» te rapporteren.70 De precieze regeldrukberekening die de rapportageverplichting veroorzaakt zal in
de toelichting van de amvb worden opgenomen omdat daarin de omvang van de rapportageverplichting
in detail wordt vastgelegd. Lastenbeperking is daarbij, zoals DUFAS en het Verbond
terecht opmerken, inderdaad het uitgangspunt, nu zo veel mogelijk wordt aangesloten
bij de bestaande wijze van aanleveren van de gegevens en door zo veel mogelijk dataminimalisatie
toe te passen. Naar aanleiding van de vraag van de NVB of in de amvb regels gesteld
kunnen worden m.b.t. de kosten die in rekening kunnen worden gebracht bij DNB, is
de wettekst aangepast zodat duidelijk wordt dat er geen kosten in rekening kunnen
worden gebracht voor de gegevensverstrekking als gevolg van de nieuwe rapportageverplichting
(zie het n.a.v. deze opmerking voorgestelde artikel 9db, vierde lid). Ook voor gegevensoverdracht
op grond van de huidige uitvraagbevoegdheid en voor andere gegevensoverdrachten ten
behoeve van statistiek is dat het uitgangspunt.71
Gebruik, interne deling en verdere verstrekking van de gegevens
De NVB, DUFAS, het Verbond, Privacy First en een anonieme inspreker vragen om verduidelijking
en inperking van het gebruik van de gegevens voor andere doelen dan statistiek en
economische analyses en het intern delen of verder verstrekken van de gegevens door
DNB. De opmerkingen zien op interne deling met andere organisatieonderdelen van DNB
en op het verder vertrekken van de gegevens aan andere partijen zoals andere toezichthoudende
instanties (nationaal of internationaal), de internationale instanties bedoeld in
artikel 9d van de Bankwet 1998 (het IMF, de FSB en het BIS) of andere partijen.
Deze opmerkingen (en het advies van de AP, zie paragraaf 6.2) hebben aanleiding gegeven
tot verduidelijking van het wetsvoorstel en deze toelichting (zie de voorgestelde
wijzigingen van artikel 9e en zie paragraaf 2.3). Daarin is verhelderd dat de Bankwet
1998 als uitgangspunt een gesloten systeem kent op grond waarvan gegevens die worden
verkregen voor de statistische en financiële stabiliteitstaak van DNB niet mogen worden
gebruikt voor andere doeleinden dan statistiek en economische analyses. De uitzonderingen
op het gesloten systeem zijn verhelderd in het wettelijk kader (zie paragraaf 2.3
van deze toelichting voor de voorwaarden van interne deling, zie het gewijzigde voorgestelde
artikel 9e en de artikelsgewijze toelichting daarvan). Een van die voorwaarden is
dat interne deling uitsluitend mogelijk is indien DNB de gegevens ook zelfstandig
had kunnen verkrijgen van de financiële instellingen waarop toezicht wordt uitgeoefend.
Hiermee wordt overigens niet bedoeld dat de gegevens door DNB alleen verkregen hadden
kunnen worden op grond van rapportageverplichtingen uit de toezichtwetgeving maar
wordt tevens gedoeld op algemene inlichtingenbevoegdheden (bijvoorbeeld zoals opgenomen
in artikel 1:74 van de Wet op het financieel toezicht). Verder is aan het wettelijk
kader toegevoegd dat interne deling van gegevens uitsluitend mogelijk is als de gegevens
geanonimiseerd zijn (en dus ontdaan zijn van gegevens die herleidbaar zouden kunnen
zijn naar de particuliere klanten van de rapportageplichtige partijen). Ook is verhelderd
dat de gegevens door DNB niet verder mogen worden verstrekt aan andere partijen. In
de wijziging van artikel 9f zoals geconsulteerd was voorzien in de waarborg dat niet-geanonimiseerde
gegevens door de internationale organisaties als bedoeld in artikel 9d, eerste lid,
(te weten: het IMF, de FSB en de BIS) uitsluitend ten kantore van de Bank zouden kunnen
worden ingezien. Echter, naar aanleiding van de consultatiereacties (van de NVB en
DUFAS) is besloten dat genoemde internationale organisaties geen toegang krijgen tot
de gegevens die DNB verkrijgt op grond van de rapportageverplichting, ook niet uitsluitend
ten kantore van DNB op de hardware van DNB. Het wetsvoorstel is dienovereenkomstig
aangepast (zie paragraaf 2.3 en 2.6 van deze toelichting, de voorgestelde wijzigingen
van de artikelen 9e en 9f en de artikelsgewijze toelichting daarvan). De rolverdeling
tussen DNB en het CBS is n.a.v. de consultatiereacties op dit punt van de NVB en Privacy
First verhelderd in het wetsvoorstel (zie artikel 9e, eerste lid) en in paragraaf
2.2 en 2.3 van deze toelichting.
Waarborgen
Verschillende partijen (de NVB, DUFAS, het Verbond, Privacy First en een anonieme
inspreker) maken opmerkingen over de waarborgen m.b.t. bescherming van de persoonlijke
levenssfeer vanwege de verwerking van (naar persoonsgegevens te herleiden) gegevens
of doen suggesties op dit gebied. Privacy First vraagt om een grondrechtenafweging.
De NVB vraagt72 rekening te houden met de risico’s die grootschalig gebruik van digitale data door
toezichthouders oplevert voor onder toezicht staande instellingen. Meer partijen vragen
om vastlegging van maatregelen (zoals beveiligings-en organisatorische eisen) die
DNB moet nemen om risico’s op herleidbaarheid (door onvoorziene omstandigheden) te
mitigeren. DUFAS en de NVB vragen om een evaluatiebepaling om de effectiviteit en
noodzaak van de rapportageverplichting actueel te houden. De NVB en het Verbond vragen
zich af of een bewaartermijn van 15 jaar wel passend is. Privacy First stelt dat er
toezicht op DNB moet komen, dat DNB jaarlijkse onafhankelijke audits moet laten uitvoeren,
publiek verantwoording moet afleggen en moet voorzien in een laagdrempelig klachtenloket.
Het Verbond vraagt of een DPIA is uitgevoerd en of die openbaar kan worden gemaakt.
Voor de voorgestelde rapportageverplichting is voorzien in een grondrechten afweging
(zie paragraaf 3.1 van deze toelichting) en in vele waarborgen om herleidbaarheid
naar personen zo veel mogelijk tegen te gaan (zie voor een beschrijving van alle waarborgen
paragraaf 2.6 van deze toelichting). Een van deze waarborgen is dat DNB uitsluitend
gepseudonimiseerde gegevens ontvangt. Naar aanleiding van deze consultatie en het
advies van de AP is in artikel 9db, derde lid, verhelderd dat de gegevens m.b.t. hypothecaire
leningen voor woningen gepseudonimiseerd aan de Bank moeten worden verstrekt. Ook
is daarbij bepaald dat bij algemene maatregel van bestuur regels worden gesteld omtrent
de wijze van pseudonimisering van gegevens. Die wijze zal zoals het Verbond in de
consultatiereactie vraagt inderdaad voor alle partijen gelijk zijn. Waarom is gekozen
voor pseudonimiseren en niet voor anonimiseren is gemotiveerd in paragraaf 2.2 en
2.5 van deze toelichting. Het voorkomen van herleidbaarheid naar personen is een hoofdelement
van de regeling. In het wettelijk kader is als waarborg tevens opgenomen dat DNB niet
over mag gaan tot re-identificatie van gegevens (zie artikel 9dc, tweede lid). Dat
betekent bijvoorbeeld dat DNB de gegevens niet mag koppelen met andere datasets (zoals
openbare bronnen) indien de herleidbaarheid naar personen daarmee toeneemt (zie paragraaf
2.6 van deze toelichting). Ook is vastgelegd waarvoor DNB de gegevens mag gebruiken
en dat DNB de gegevens niet verder mag verstrekken (zie artikel 9e, eerste lid). Er
is dus reeds voorzien in maatregelen om koppeling van gegevens en function creep tegen te gaan. Beveiligings- en organisatorische maatregelen om risico’s te mitigeren,
worden niet opgenomen nu DNB die als verwerkingsverantwoordelijke zelf moet nemen
en actueel houden om te voldoen aan de AVG. De AVG verplicht niet tot onafhankelijke
audits of publiekelijke verantwoording. De datakwaliteitsnormen waarom DUFAS vraagt
zijn te vinden op de website van DNB. De suggestie van Privacy First om te voorzien
in toezicht op DNB m.b.t. haar gegevensverwerkingen leidt niet tot aanpassing nu dergelijk
toezicht op DNB al wordt gehouden door de AP op grond van de AVG. DNB beschikt ook
reeds over een laagdrempelig klachtenloket nu een ieder zich met klachten inzake de
gegevensbescherming door DNB kan richten tot de Functionaris Gegevensbescherming van
DNB. Het verzoek van DUFAS en de NVB om te voorzien in een wettelijke evaluatiebepaling
wordt niet overgenomen, nu wordt voorzien in een invoeringstoets (die zal worden uitgevoerd
n.a.v. het advies van ATR, zie paragraaf 6.2 van deze toelichting). Voor de motivering
waarom een relatief lange bewaartermijn (die overigens anders dan het Verbond lijkt
te veronderstellen uitsluitend van toepassing is voor DNB, niet voor de rapportageplichtige
partijen) noodzakelijk is, wordt verwezen naar (paragraaf 2.6 van deze toelichting).
Er kan geen onderscheid worden gemaakt tussen de bewaartermijn voor statistische gegevens
en gegevens m.b.t. de financiële stabiliteit omdat te rapporteren gegevens voor beide
taken noodzakelijk zijn. Overigens is de bewaartermijn van 15 jaar verkort naar 12
jaar n.a.v. het advies van de AP (zie paragraaf 6.2 van deze toelichting). Met het
verzoek van de NVB om rekening te houden met de risico’s die grootschalig gebruik
van digitale data door toezichthouders oplevert voor onder toezicht staande instellingen
is rekening gehouden. In het gebruik van algoritmen en automatische besluitvorming
is niet voorzien. Bovendien is in het wettelijk kader opgenomen dat de gegevens door
DNB niet verder mogen worden verstrekt aan andere partijen (en dus ook niet aan andere
toezichthouders). Ook mogen de gegevens uitsluitend aan andere organisatieonderdelen
van DNB worden vertrekt in geanonimiseerde vorm en indien de gegevens ook op grond
van toezichtwetgeving verkregen hadden kunnen worden (zie paragraaf 2.3 van deze toelichting).
Ter voorbereiding van dit wetsvoorstel is zoals het Verbond vraagt een DPIA uitgevoerd
waarvan de uitkomsten integraal in deze toelichting zijn opgenomen (zie paragraaf
2.6 en paragraaf 3.1 van deze toelichting). DNB zal als verwerkingsverantwoordelijke
partij ook een DPIA verrichten.
Overige opmerkingen van HRIF
De meeste overige opmerkingen en vragen van HIRF hebben geen betrekking op dit wetsvoorstel.
Daarom worden zij hier buiten beschouwing gelaten. Ook de door HRIF aangehaalde arresten73 missen relevantie voor de voorgestelde rapportageverplichting. De stelling dat DNB
een expliciet beroep zou moeten doen op artikel 5:16 van de Algemene wet bestuursrecht
is voor de rapportageverplichting niet aan de orde nu die niet ziet op de toezichtstaak
van DNB. Het combineren van de gegevens met andere datasets waardoor de herleidbaarheid
naar personen zou kunnen worden vergroot is anders dan HRIF veronderstelt niet toegestaan
gezien het verbod op re-identificatie en op verdere verstrekking van de gegevens (zie
het voorgestelde artikel 9dc, tweede lid, en het gewijzigde artikel 9e, eerste lid).
Ook de stelling dat de rapportageverplichting een eufemisme is voor bulkinterceptie
of een sleepnetconstructie die strijd oplevert met het EU-recht, is niet juist. Die
termen zien op het ongericht intercepteren van grote hoeveelheden gegevens (meestal
communicatiegegevens) van personen die geen onderwerp zijn van onderzoek meestal in
het kader van strafrechtelijk onderzoek of het inlichtingenwerk. Daarvan is in dit
geval geen sprake.
§ 6.2 Andere adviezen
Europese Centrale Bank (ECB)
Het wetsvoorstel is op 23 mei 2024 voorgelegd aan de ECB voor advies.74 De ECB spreekt steun uit voor het wetsvoorstel.75
Volgens de ECB is voor analyse van de doorwerking van het monetaire beleid via de
financiële sector naar de reële economie toegang tot gedetailleerde gegevens over
hypothecaire leningen voor niet-woningen en zakelijk vastgoed zeer waardevol. Deze
gegevens maken een gedetailleerde beoordeling van de transmissie van het monetaire
beleid mogelijk. Ook juicht de ECB toe dat de rapportageverplichting ziet op banken,
beleggingsinstellingen, pensioenfondsen en verzekeraars hetgeen een holistische karakterisering
van de transmissiemechanismen van het monetair beleid mogelijk maakt. De ECB stelt
verder dat toegang tot gedetailleerde gegevens over hypothecaire leningen van essentieel
belang is voor een macroprudentiële autoriteit zoals DNB om haar taken op het gebied
van financiële stabiliteit adequaat uit te voeren. Schokken op de woningmarkt zijn
vaak een bepalende factor voor het materialiseren of versterken van kwetsbaarheden
in het financiële stelsel, met negatieve effecten op de reële economie. Deze risico’s
zijn bijzonder belangrijk voor Nederland met zijn krappe huizenmarkt, hoge huizenprijzen
en genereuze hypotheeknormen, zo stelt de ECB. Een gedetailleerde en structurele monitoring
van de ontwikkelingen van de huizenprijzen, de schuldenlast van particulieren en bedrijven
en de kredietkwaliteit van hypotheekportefeuilles is daarom van cruciaal belang voor
het in kaart brengen en aanpakken van potentiële risico’s voor de financiële stabiliteit.
Ook zijn de gegevens volgens de ECB nodig om de risico’s van de klimaatverandering
voor de financiële stabiliteit te beoordelen. Verder wijst de ECB erop dat het IMF
in het recente verslag over de financiële stabiliteit in Nederland76 ook heeft aanbevolen te voorzien in versterking van de rechtsgrondslag voor de toegang
tot deze gegevens. De ECB constateert dat de lasten van de rapportage zo veel mogelijk
zijn beperkt door te werken met drempels en gegevens uit de AnaCredit-rapportage te
hergebruiken. Tot slot wijst de ECB op het in voorbereiding zijnde geïntegreerde rapportagekader
(Integrated Reporting Framework – IReF) en vraagt dat te betrekken bij de amvb. Zoals
reeds in paragraaf 3.1 toegelicht, zal bij de uitwerking van de rapportageverplichting
zo veel mogelijk worden aangesloten bij deze standaarden – voor zover deze dan al
bekend zijn – indien dat lasten voor rapportageplichtige partijen beperkt.
Autoriteit persoonsgegevens (AP)
Het wetsvoorstel is op 24 mei 2024 voorgelegd aan de AP. De AP heeft op 26 november
2024 advies uitgebracht. De AP heeft drie bezwaren tegen het wetvoorstel en daarnaast
nog enkele aanmerkingen die om aanpassing van het concept en de toelichting vragen.
De AP merkt op dat in het wetsvoorstel een voorschrift ontbreekt dat de rapportageplichtige
partijen verplicht de gegevens gepseudonimiseerd aan DNB te verstrekken. Naar aanleiding
van deze opmerking is een dergelijk voorschrift toegevoegd aan het wettelijk kader
(zie het gewijzigde voorgestelde artikel 9db, derde lid).77
Ook merkt de AP op dat het secundaire gebruik van de gegevens m.b.t. hypothecaire
leningen voor woningen binnen DNB door organisatieonderdelen met een andere taak (dan
de statistische en financiële stabiliteitstaken) bijvoorbeeld in het kader van het
prudentieel toezicht, een ander doel dient dan het doel waarvoor deze gegevens zijn
verzameld (statistische doeleinden en economische rapportages) zodat ofwel deze doorverstrekking
uit het concept moet worden geschrapt, ofwel de doelstelling moet worden verruimd.
Naar aanleiding van deze opmerking (en mede n.a.v. enkele consultatiereacties) zijn
het wetsvoorstel en deze toelichting aangepast. In de toelichting is verhelderd dat
het gesloten systeem van de Bankwet 1998 eraan in de weg staat dat de gegevens die
worden verzameld op grond van de Bankwet 1998 door DNB voor iets anders dan statistische
doeleinden en economische analyses worden gebruikt (zie paragraaf 2.3 van deze toelichting).
Voor interne deling of verdere verstrekking van de gegevens of gebruik voor andere
taken is een wettelijke grondslag vereist. De Bankwet 1998 voorziet in artikel 9e,
tweede lid, in een grondslag die interne deling van de gegevens mogelijk maakt met
andere organisatieonderdelen van DNB die zich bezig houden met de andere taken78 van DNB, zoals bijvoorbeeld het organisatieonderdeel dat zich bezig houdt met prudentieel
toezicht. Dat kan alleen onder strikte voorwaarden. Die voorwaarden zijn mede n.a.v.
de opmerking van de AP, maar ook n.a.v. de consultatiereactie van de NVB en het advies
van de Raad van State verder aangescherpt. Interne deling van gegevens kan alleen
indien de gegevens ook zelfstandig verkregen hadden kunnen worden van de financiële
instellingen waarop toezicht wordt uitgeoefend,79 de deling geen structureel karakter heeft en de gegevens volledig zijn geanonimiseerd.80 Ook wordt ieder verzoek om hergebruik van de gegevens (op grond van de AVG) eerst
getoetst op doelbinding en evenredigheid (zie voor alle waarborgen om herleidbaarheid
naar personen zo veel mogelijk tegen te gaan paragraaf 2.6 van deze toelichting).
Ook heeft de AP bezwaar tegen de bewaartermijn van 15 jaar. Volgens de AP wordt de
«op het eerste gezicht lange» termijn niet dragend gemotiveerd. Naar aanleiding van
dit bezwaar is de termijn nog eens tegen het licht gehouden. Voor het bestuderen van
ontwikkelingen van de hypotheekmarkt is het belangrijk terug in de tijd te kunnen
kijken. De woningmarkt beweeg cyclisch en is verweven met de bewegingen van de woningbouwproductie,
het woningtekort en de economie in het algemeen. Omdat ontwikkelingen die problematisch
zijn voor de financiële stabiliteit heel divers van aard kunnen zijn en veroorzaakt
kunnen zijn door ontwikkelingen die jaren gelden hebben plaatsgevonden, blijft een
relatief langere bewaartermijn van de gegevens noodzakelijk om n.a.v. ontwikkelingen
die zich voor doen terug te kunnen kijken naar de oorzaken daarvan in ontwikkelingen
die in het verleden plaats hebben gevonden. De toelichting is op dit punt aangevuld
(zie paragraaf 2.6). Daarnaast is gekozen de bewaartermijn nog iets te verlagen. Een
bewaartermijn van 12 jaar is het minimum om betekenisvol terug te kunnen kijken. Deze
wijziging van de bewaartermijn is in het wetsvoorstel (zie artikel 9dc, derde lid)
en de toelichting verwerkt (zie paragraaf 2.6).
Voorst merkt de AP nog op dat in de DPIA een risico-inventarisatie ontbreekt voor
het geval dat onverhoopt re-identificatie van de gepseudonimiseerde gegevens plaats
vindt. De AP vaagt deze voor de totstandkoming van de amvb uit te voeren. Deze risico-inventarisatie
heeft plaatsgevonden en aan de uitkomsten daarvan zal aandacht worden besteed in de
toelichting van de amvb waarin de uitwerking van de rapportageverplichting en verschillende
waarborgen plaats zal vinden. Verder is op aandragen van de AP de term «granulair»
uit het eerste lid van artikel 9da van het wetsvoorstel verwijderd. Met de term, die
overigens voor statistische gegevens vaker wordt gebruikt, werd aangeduid dat de gegevens
onder de rapportageverplichting een hoog detailniveau hebben. Dit wordt nu vermeld
in de toelichting.
Tot slot stelt de AP dat het voorgestelde zal nopen tot een beperkte extra inzet die
nog niet is verdisconteerd in de financiering van de AP. Nu de inzet van de AP m.b.t.
het voorgestelde een bestaande taak van de AP betreft binnen de werkingssfeer van
de AVG, valt de financiering daarvan binnen de begroting van JenV. In het kader van
de begrotingscyclus spreekt de AP frequent met het Ministerie van JenV. De wens en
noodzaak voor een aanpassing van het budget voor het geheel aan AVG-taken komt in
die gesprekken reeds aan de orde. Overigens kan nog worden opgemerkt dat het verwerken
van (meer) persoonsgegevens niet automatisch leidt tot meer klachten bij of tot meer
toezichtactiviteiten van de AP.
Met de hier geschetste wijzigingen van het wetsvoorstel en de toelichting is tegemoet
gekomen aan de bezwaren en de aanmerkingen van de AP.
Adviescollege toetsing regeldruk (ATR)
Het wetsvoorstel is op 31 mei 2024 voorgelegd aan ATR ter advisering. ATR heeft op
12 juli 2024 advies uitgebracht met als dictum het wetsvoorstel niet in te dienen
tenzij met de adviespunten rekening worden gehouden.
ATR merkt allereerst over de noodzaak op dat de DNB nu ook al veel gegevens opvraagt
en op basis daarvan statistieken samenstelt terwijl de toelichting niet duidelijk
maakt waarom deze statistieken niet zouden volstaan. ATR vraagt dit punt nader te
onderbouwen.
Die onderbouwing volgt onder meer uit de aangevulde paragrafen 2.1 en 2.2 van deze
toelichting, waaruit naar voren komt dat de huidige uitvraagbevoegdheid die wordt
gebruikt om de noodzakelijke gegevens te verkrijgen om de statistieken op te stellen
niet meer voldoet, omdat die het niet mogelijk maakt dat naar personen herleidbare
gegevens worden verkregen en verwerkt terwijl dergelijke gegevens wel (deel uitmaken
van de hypotheekgegevens die zien op woninghypotheken die) noodzakelijk zijn voor
DNB voor de uitvoering van haar statistische taak en financiële stabiliteitstaak.
In de versterking van de grondslag wordt overigens voorzien mede op aandringen van
de AP.81
Voorts adviseert ATR om het dubbel aanleveren van data-attributen door rapportageplichtige
partijen al bij het opstellen van de amvb te voorkomen. ATR refereert aan de passage
in de toelichting die ziet op dubbel aanleveren van enkele data-attributen vanwege
het wetsvoorstel Wet toezichtondersteunende rapportage AFM. In de toelichting is verhelderd
dat het gesloten systeem van de Bankwet 1998 en het belang van zorgvuldige gegevensbescherming
maakt dat doorgiftemogelijkheden zijn beperkt (zie het n.a.v. het advies van de AP
ingevoegde paragraaf 2.3 en zie paragraaf 3.3 van deze toelichting). Ook het advies
van de AP en de consultatiereacties van rapportageplichtige partijen onderstrepen
het belang van gegevensbescherming. Daarom verzoeken verschillende rapportageplichtige
partijen te waarborgen dat de gegevens niet verder worden verstrekt (bijvoorbeeld
aan de AFM). Het belang van deugdelijke gegevensbescherming weegt in dit geval zwaarder
dan de lasten die dubbel aanleveren van enkele data-attributen met zich zou kunnen
brengen.
Ook vraagt ATR te onderbouwen waarom drempels nodig zijn voor representatieve statistieken.
ATR doelt op de passage in deze toelichting (paragraaf 5.2) waarin is opgenomen dat
in de amvb wordt vastgelegd dat alleen gerapporteerd hoeft te worden door partijen
die een hypotheekportefeuille hebben boven een bepaalde drempel waardoor uitsluitend
partijen met grote hypotheekportefeuilles rapportageplichtig worden. Dat is voldoende
om te borgen dat een percentage van 95–98% van de markt inzichtelijk wordt, hetgeen
een uitgangspunt is voor de financiële statistieken die DNB opstelt. Dat voor andere
statistieken lagere drempels worden gehanteerd doet daar niet aan af. Met de drempels
wordt overigens juist voorzien in proportionaliteit, nu die ervoor zorgen dat de lasten
en dus de regeldruk uitsluitend landt bij enkele partijen met grote hypotheekportefeuilles
en niet bij vele partijen met kleinere portefeuilles.
Voor de reden waarom de bestaande uitvraagbevoegdheid niet wordt geschrapt wordt verwezen
naar paragraaf 2.3 van deze toelichting. Verhelderd is daarin dat de bestaande uitvraagbevoegdheid
natuurlijk niet meer zal worden gebruikt voor de uitvraag van gegevens waarop de rapportageverplichting
ziet. Het advies van ATR om de sector te raadplegen bij het opstellen van de amvb
wordt opgevolgd, nu de amvb net als het wetsvoorstel openbaar zal worden geconsulteerd.
Ook het advies van ATR om op het niveau van een ministeriële regeling (en niet bij
toezichthoudersregeling) te voorzien in (nadere, werkbare) regels omtrent de wijze
van elektronische verstrekking van de gegevens wordt overgenomen. Het wetsvoorstel
en deze toelichting zijn dienovereenkomstig aangepast (zie artikel 9db, tweede lid,
en de artikelsgewijze toelichting). De aanbeveling om een invoeringstoets uit te voeren
waarmee (een jaar na inwerkingtreding van de verplichting) wordt getoetst of de rapportageverplichting
voldoende werkbaar is voor de doelgroep, wordt ook overgenomen. Overigens zal de werkbaarheid
van de rapportageverplichting op reguliere basis worden besproken tussen DNB en de
aanleverende partijen (zoals dat ook gebeurt voor de bestaande uitvragen) zodat eventuele
knelpunten snel kunnen worden geadresseerd. In de amvb zal worden voorzien in een
kwantificering van de regeldrukgevolgen van de rapportageverplichting zoals ook volgt
uit deze toelichting (zie paragraaf 5.3). De amvb ook voor advies aan ATR worden voorgelegd.
Gezien het voorgaande is met alle adviespunten van ATR rekening gehouden.
§ 7. Inwerkingtreding
Inwerkingtreding is voorzien bij koninklijk besluit, waarbij het de intentie is om
het wetsvoorstel zo mogelijk met ingang van 1 januari 2027 in werking te laten treden
waarbij een invoeringstermijn van 6 maanden zal worden aangehouden.
ARTIKELSGEWIJS
ARTIKEL I
A
Met dit onderdeel wordt de nieuwe rapportageverplichting opgenomen in het hoofdstuk
uit de Bankwet 1998 dat ziet op verwerving, gebruik en verstrekking van gegevens.
Er worden daartoe vier nieuwe artikelen ingevoegd.
Artikel 9da bevat de nieuwe rapportageverplichting. Die wordt opgelegd aan banken,
beleggingsinstellingen, pensioenfondsen en verzekeraars als bedoeld in artikel 1:1
van de Wet op het financieel toezicht met zetel in Nederland. Met zetel wordt bedoeld
de plaats waar een onderneming volgens haar statuten of reglementen is gevestigd of,
indien zij geen rechtspersoon is, de plaats waar die onderneming haar hoofdvestiging
heeft. Om te zorgen dat over het overgrote deel van alle hypothecaire leningen in
Nederland wordt gerapporteerd betrekken banken bij de verplichting de hypothecaire
leningen waarvan hun Nederlandse niet-bancaire dochterondernemingen de schuldeiser
zijn en die door hen worden beheerd. Om dezelfde reden gaat de verplichting tevens
gelden voor banken en verzekeraars met zetel buiten Nederland die via hun in Nederland
gevestigde bijkantoren de schuldeiser zijn van hypothecaire leningen voor woningen
gelegen in Nederland of die leningen beheren. En voor de moederholding met zetel in
Nederland van een verzekeringsrichtlijngroep die daarbij de hypothecaire leningen
betrekt waarvan groepsentiteiten met zetel in Nederland de schuldeiser zijn of die
zij in beheer hebben, maar die zelf geen verzekeraar zijn. Indien een beleggingsinstelling
een beheerder heeft rapporteert de beheerder namens de beleggingsinstelling. Een beheerder
van een beleggingsinstelling met zetel in Nederland hoeft zelf niet in Nederland gezeteld
te zijn en kan meerdere beleggingsinstellingen beheren. In dat geval verricht zij
de rapportage per beleggingsinstelling. Ook is in dit artikel bepaald dat de gegevens
die genoemde partijen moeten rapporteren bij amvb worden vastgelegd. De gegevensset
zal per rapportageplichtige partij en per type hypotheek (woninghypotheek of hypotheek
voor zakelijk vastgoed) worden bepaald.
In artikel 9db staat op welke wijze de rapportage moet plaatsvinden. De regels over
hoe vaak en op welk moment de rapportage moet plaatsvinden zijn daarin gedelegeerd
naar amvb. Ook zal bij amvb worden voorzien in drempelwaarden waardoor alleen partijen
met grote hypotheekportefeuilles rapportageplichtig worden waarbij leidend is dat
de rapportageverplichting 95% tot 98% van de hypotheekmarkt inzichtelijk wordt voor
DNB. Verder is in dit artikel bepaald dat gegevens via elektronische weg aan DNB moeten
worden verstrekt. Dat betekent een afwijking van de Algemene wet bestuursrecht nu
daaruit volgt dat berichten aan een bestuursorgaan ook via de reguliere post kunnen
worden verstuurd.82 Ook is voorzien in een grondslag voor een ministeriële regeling, waarin nadere regels
gesteld worden over de wijze van elektronische verstrekking, de vorm waarin de gegevens
moeten worden aangeleverd en de bij de verstrekking te gebruiken inlogmethode. Ook
bevat dit artikel een belangrijke waarborg in het kader van de gegevensbescherming,
namelijk dat de rapportageplichtige partijen de gegevens bedoeld in artikel 9da, eerste
lid, over hypothecaire leningen voor woningen gepseudonimiseerd aan de Bank verstrekken.
Bij amvb zal de wijze waarop pseudonimisering moet plaatsvinden worden vastgelegd.
Tot slot is bepaald dat bij DNB geen kosten in rekening kunnen worden gebracht om
aan de rapportageverplichting te voldoen.
Artikel 9dc bevat de waarborgen voor de gegevensbescherming die de Bank in acht moet
nemen. Het artikel regelt in dat kader de doelbinding van de rapportageverplichting.
DNB verwerkt de gegevens in het kader van haar financiële stabiliteitstaak en haar
statistische taak en tevens mag verwerken om te voldoen aan informatieverzoeken van
internationale organisaties (het IMF, de FSB en de BIS). Een andere belangrijke waarborg
in het artikel is het verbod voor de Bank om over te gaan tot re-identificatie van
de gegevens, Ook is de bewaartermijn van de gegevens voor zover het herleidbare persoonsgegevens
betreft voor de Bank in dit artikel vastgelegd. Die termijn is bepaald op ten hoogste
12 jaar.
In artikel 9dd is, om de rapportageverplichting zo lastenluw mogelijk te maken, voorzien
in een vrijstellingsmogelijkheid bij ministeriële regeling. Hiermee kan de rapportageverplichting
tijdelijk even worden «uitgezet» voor bepaalde partijen. Dit zou aan de orde kunnen
zijn als, bijvoorbeeld door plotselinge sterke groei van hypotheekportefeuilles of
grote verplaatsingen van hypotheekportefeuilles (bijvoorbeeld door verkoop of securitisatie)
tussen rapportageplichtige partijen, ineens een te grote groep ondernemingen door
de rapportageverplichting zou worden geraakt, waardoor meer dan (de noodzakelijke
bandbreedte van 95%-) 98% van de hypotheekmarkt in beeld komt. Natuurlijk wordt in
zulke gevallen direct een wijziging van de amvb voorbereid die recht doet aan de nieuwe
situatie (waarna de vrijstelling wordt ingetrokken). Omdat het wijzigen van een amvb
meer tijd kost, wordt voorzien in een vrijstellingsmogelijkheid om toch snel te kunnen
reageren als een dergelijke situatie van plotselinge groei zich voordoet. Daarmee
wordt beoogd ervoor te zorgen dat partijen niet onnodig geconfronteerd worden met
de rapportageverplichting. Het is nadrukkelijk alleen mogelijk partijen vrij te stellen.
Voor situaties waarbij het nodig is de rapportageverplichting op te leggen aan meer
partijen of andere partijen kan de vrijstelling niet worden gebruikt.
B
De introductie van de rapportageverplichting noopt tevens tot enkele wijzigingen in
bestaande artikelen. In artikel 9e wordt artikel 9da toegevoegd, zodat ook voor de
gegevens die DNB ontvangt op grond van de nieuwe rapportageverplichting uitsluitend
worden gebruikt voor statistische doeleinden en economische analyses. Datzelfde uitgangspunt
geldt voor gegevens die DNB ontvangt op grond van de uitvraagbevoegdheid van artikel
9d Bankwet 1998. Verder wordt verhelderd dat het gesloten systeem van de Bankwet eraan
in de weg staat dat de ontvangen gegevens door DNB verder (aan andere partijen) worden
verstrekt. Dit m.u.v. verstrekking aan het CBS op grond van de Wet op het CBS. In
het tweede lid van artikel 9e wordt (wederom net als voor de gegevens die DNB ontvangt
op grond van de uitvraagbevoegdheid) bepaald dat de gegevens die DNB ontvangt op grond
van de nieuwe rapportageverplichting mogen worden verstrekt aan organisatieonderdelen
van DNB belast met een andere taak. Dit mag uitsluitend als de gegevens geanonimiseerd
zijn (en dus ontdaan zijn van gegevens die herleidbaar zouden kunnen zijn naar de
klanten van de rapportageplichtige partijen)en indien de gegevens ook zelfstandig
verkregen hadden kunnen worden van de financiële instellingen waarop toezicht wordt
uitgeoefend. Dit laatste is reeds onderdeel van het bestaande wettelijke kader zoals
ook naar voren komt uit de toelichting van dit artikel83 maar de wettekst zelf was enigszins onduidelijk op dit punt. In de voorgestelde bepaling
is de wettekst verhelderd. Aan het derde lid is toegevoegd dat DNB ook geen gegevens
over natuurlijke personen openbaar mag maken nu de rapportageverplichting ook ziet
op naar natuurlijke personen te herleiden gegevens. Ook is verhelderd dat gegevens
uitsluitend in geaggregeerde vorm openbaar gemaakt mogen worden. Dit laatste was al
staande praktijk en volgde ook uit de toelichting.84 Nu wordt dit element ook opgenomen in de wettekst.
C
Met dit onderdeel wordt artikel 9f van de Bankwet 1998 toegespitst op gegevens die
op grond van de bestaande uitvraagbevoegdheid worden verkregen (artikel 9d). Het bestaande
regime voor verstrekking van de gegevens aan de aangewezen internationale organisaties
(IMF, BIS en FSB) wordt daarmee gehandhaafd voor de gegevens die worden verkregen
op grond van de bestaande uitvraagbevoegdheid (opgenomen in artikel 9d). Voor de gegevens
die worden verkregen op grond van de nieuwe rapportageverplichting (het nieuwe artikel
9da) is voorzien in een strenger regime, omdat deze gegevens naar personen herleidbare
gegevens kunnen betreffen. DNB kan gegevens verkregen op grond van de nieuwe rapportageverplichting
niet aan de internationale organisaties verstrekken. Dat volgt uit (het algemene verbod
de gegevens verder te verstrekken opgenomen in) artikel 9e. Wel kunnen zij n.a.v.
hun informatieverzoeken rapporten of analyses ontvangen (daarin zijn uitsluitend gegevens
opgenomen in geaggregeerde vorm) ontdaan van herkenbare gegevens over afzonderlijke
(rechts)personen e.a. partijen.
D
Ook voor de rapportageverplichting wordt (net als voor de verplichting die ontstaat
als DNB gebruik maakt van de bestaande uitvraagbevoegdheid opgenomen in artikel 9d
van de Bankwet 1998) geregeld dat DNB kan handhaven als de rapportageplichtige partijen
niet voldoen aan de rapportageverplichting en de uitwerking daarvan in lagere regels.
Er wordt aangesloten bij het boetemaximum voor handhaving van de verplichting op grond
van de uitvraagbevoegdheid in de Bankwet 1998, van € 10.000. Ook wordt voorzien in
de mogelijkheid een last onder dwangsom op te leggen.
ARTIKEL II
De inwerkingtreding van deze wet is voorzien bij koninklijk besluit. Het tijdstip
van inwerkingtreding kan voor de verschillende artikelen en onderdelen daarvan verschillend
worden vastgesteld. Het streven is erop gericht deze wet met ingang van 1 januari
2027 in werking te laten treden.
De Minister van Financiën,
E. Heinen
Ondertekenaars
-
Eerste ondertekenaar
E. Heinen, minister van Financiën
Bijlagen
Gerelateerde documenten
Hier vindt u documenten die gerelateerd zijn aan bovenstaand Kamerstuk.