Preview document (🔗 origineel)

---

Tweede Kamer der Staten-Generaal	2
Vergaderjaar 2025-2026

36 846 Wijziging van de Bankwet 1998 in verband met de invoering van een periodieke rapportageverplichting betreffende hypothecaire leningen ten behoeve van de financiële stabiliteitstaak en statistische taak van DNB (Wet rapportage hypotheekmarkt DNB)

Nr. 3 MEMORIE VAN TOELICHTING

ALGEMEEN

§ 1. Inleiding

Dit wetsvoorstel voorziet in een rapportageverplichting voor banken, beleggingsinstellingen, pensioenfondsen en verzekeraars met zetel in Nederland ten behoeve van de statistische en financiële stabiliteitstaak van DNB. Deze partijen, verder aangeduid als rapportageplichtige partijen, verstrekken op grond van de rapportageverplichting periodiek gegevens aan De Nederlandsche Bank (DNB) over hypothecaire leningen voor woningen en voor zakelijk vastgoed waarvan zij de schuldeiser of beheerder zijn. De rapportageverplichting wordt tevens opgelegd aan banken en verzekeraars met zetel buiten Nederland voor hypothecaire leningen voor woningen waarvan zij via hun in Nederland gelegen bijkantoren schuldeiser of beheerder zijn. Banken betrekken bij de rapportage de hypothecaire leningen waarvan hun (niet-bancaire) dochterondernemingen met zetel in Nederland schuldeiser of beheerder zijn. Moederholdings van verzekeringsrichtlijngroepen betrekken bij de rapportage de hypothecaire leningen waarvan hun Nederlandse groepsentiteiten schuldeiser of beheerder zijn. De rapportageverplichting vervangt een bestaande uitvraag van DNB met hetzelfde doel.¹

De te rapporteren gegevens hebben betrekking op hypothecaire leningen van particulieren voor woningen en op hypothecaire leningen van rechtspersonen en personenvennootschappen (met uitsluitend rechtspersonen als vennoten) voor zakelijk vastgoed.²In grote lijnen gaat het om gegevens over de hypothecaire lening, het onderpand en de risicokarakteristieken. Voor hypothecaire leningen voor woningen gaat het daarnaast om niet direct herleidbare gegevens over personen aan wie de hypothecaire lening is verstrekt (waaronder financiële gegevens).

Deze gegevens heeft DNB nodig in het kader van twee van haar taken die zijn opgenomen in artikel 4 van de Bankwet 1998, te weten het bevorderen van de stabiliteit van het financiële stelsel (financiële stabiliteitstaak) en het verzamelen van statistische gegevens en het vervaardigen van statistieken (statistische taak).³

De te rapporteren gegevens zijn voor DNB noodzakelijk om inzicht te krijgen in ontwikkelingen op de hypotheekmarkt die gevolgen kunnen hebben voor de financiële stabiliteit, om deze ontwikkelingen over de jaren heen te kunnen volgen en te analyseren. Hiermee kunnen ontwikkelingen met risico’s voor de stabiliteit van het financiële stelsel door DNB worden gesignaleerd en zo mogelijk gemitigeerd. Ook zijn de gegevens noodzakelijk om statistieken op te stellen over ontwikkelingen binnen de financiële sector in relatie tot de hypotheekmarkt.

De rapportageverplichting leidt bij DNB en bij de rapportageplichtige partijen voor zover het gegevens m.b.t. hypothecaire leningen voor woningen betreft tot verwerking van naar personen te herleiden gegevens. Daarom wordt in het voorgestelde wettelijke kader voorzien in waarborgen om de zorgvuldige gegevensverwerking van de personen op wie de gegevens betrekking hebben te garanderen. Zo wordt voorzien in de verplichting dat de rapportageplichtige partijen de gegevens gepseudonimiseerd⁴ bij DNB aanleveren. Dan zijn de gerapporteerde gegevens voor DNB geen direct herleidbare persoonsgegevens. Echter, met de huidige digitale mogelijkheden kan niet geheel worden uitgesloten dat (een deel van) de gegevens tot personen herleid zouden kunnen worden, bijvoorbeeld als gegevens zouden worden gekoppeld met andere (openbaar) beschikbare gegevens. Daarom wordt tevens voorzien in een verbod voor DNB om over te gaan tot re-identificatie van de gegevens en wordt het DNB verboden de gegevens te verstrekken aan andere partijen (behoudens aan het CBS voor zover de gegevens noodzakelijk zijn voor de statistische taak als bedoeld in de Wet op het CBS⁵). Ook zal DNB zelf als verwerkingsverantwoordelijke partij verschillende maatregelen treffen om de zorgvuldige gegevensverwerking van de personen op wie de gegevens betrekking hebben te garanderen. Hierbij is nog relevant te vermelden dat de taken van DNB, waaronder de taken ten behoeve waarvan in onderhavige rapportageverplichting wordt voorzien, zich niet richten op (individuele) burgers en dus niet op personen op wie de gegevens betrekking hebben (de klanten van de rapportageplichtige partijen met hypothecaire leningen). De gegevens worden door DNB in geen geval gebruikt om besluiten te nemen ten aanzien van deze betrokkenen of op een wijze die de maatschappelijke positie van deze betrokkenen raakt of zou kunnen raken.

De rapportageverplichting wordt uitgewerkt bij algemene maatregel van bestuur (amvb) in het Uitvoeringsbesluit Bankwet 1998. Daarin zal per soort hypothecaire lening (voor woningen of voor zakelijk vastgoed) en per type rapportageplichtige partij vastgelegd worden welke data-attributen moeten worden gerapporteerd, met welke periodiciteit, op welke termijnen en op welke wijze de gegevens m.b.t. hypothecaire leningen voor woningen door de rapportageplichtige partijen moeten worden gepseudonimiseerd. Bij het vastleggen van de gegevens wordt rekening gehouden met de directe relevantie van een gegeven voor zowel de statistische, als de financiële stabiliteitstaak van DNB (dataminimalisatie). Ook wordt bij amvb vanuit proportionaliteitsoptiek voorzien in drempelwaarden per rapportageplichtige partij zodat alleen partijen met relatief grote hypotheekportefeuilles rapportageplichtig worden.

In het wetsvoorstel wordt verder vastgelegd dat de gegevens langs elektronische weg moeten worden gerapporteerd bij DNB en dat nadere regels gesteld kunnen worden over de wijze van elektronische verstrekking, de vorm waarin de gegevens moeten worden aangeleverd en de bij de verstrekking te gebruiken inlogmethode. Elektronische rapportage en daarmee de digitale beschikbaarheid van de gegevens is noodzakelijk voor de verificatie van de gegevens voor statistische doeleinden.

Het wettelijk kader maakt mogelijk dat de organisatieonderdelen van DNB die belast zijn met de statistische en financiële stabiliteitstaak de gegevens intern delen met organisatieonderdelen van DNB die zijn belast met een andere taak,⁶ zoals het onderdeel van DNB dat zich bezig houdt met het prudentieel toezicht. Interne deling van gegevens is uitsluitend toegestaan voor zover verstrekking op niet-structurele basis en in geanonimiseerde vorm⁷ plaatsvindt en de gegevens door DNB ook zelfstandig verkregen hadden kunnen worden van de financiële instellingen waarop toezicht wordt uitgeoefend.

DNB mag de gegevens naast voor haar statistische en financiële stabiliteitstaak ook verwerken om te kunnen voldoen aan informatieverzoeken van het Internationaal Monetair Fonds (IMF), de Raad voor Financiële Stabiliteit (FSB) en de Bank voor Internationale Betalingen (BIS) gezien hun taken op het gebied van de financiële stabiliteit. Deze organisaties zijn bij het Uitvoeringsbesluit Bankwet 1998 aangewezen. In het wettelijk kader is als waarborg opgenomen dat DNB de gegevens zoals verkregen op grond van de nieuwe rapportageverplichting wel mag verwerken t.b.v. informatieverzoeken van deze organisaties maar niet aan deze organisaties (of andere partijen) mag verstrekken. Deze organisaties kunnen natuurlijk wel voorzien worden van geaggregeerde gegevens zoals rapporten of analyses die geen herleidbare gegevens bevatten naar personen of ondernemingen.

§ 2. Hoofdlijnen van het voorstel

§ 2.1 Aanleiding

Om de gegevens over hypothecaire leningen te verkrijgen wordt door DNB in de huidige situatie gebruik gemaakt van de uitvraagbevoegdheid opgenomen in artikel 9d van de Bankwet 1998. In die uitvraagbevoegdheid is echter expliciet bepaald dat het DNB niet is toegestaan persoonsgegevens te gebruiken of op te vragen. Dit verbod dat nationaal van aard is en niet volgt uit de Algemene verordening gegevensbescherming (AVG) is opgenomen omdat ten tijde van het opstellen van dit onderdeel van de Bankwet in 2015 verondersteld werd dat voor de statistische en financiële stabiliteitstaak van DNB geen persoonsgegevens noodzakelijk zouden zijn. Inmiddels moet worden geconstateerd dat het verbod belemmerend werkt. Bij een deel van de gegevens die worden uitgevraagd kan, als gezegd, niet meer volledig worden uitgesloten dat zij tot individuen herleid zouden kunnen worden, bijvoorbeeld indien de gegevens zouden worden gekoppeld met andere (openbaar) beschikbare gegevens.⁸

Dit heeft tot zorgen geleid bij DNB en de partijen die de gegevens moeten aanleveren. Sommige partijen zijn zelfs enige tijd gestopt met het verstrekken van gegevens na een uitvraag van DNB.⁹ Daarom is besloten de grondslag voor de verwerking door DNB van gegevens over de ontwikkelingen binnen de financiële sector in relatie tot de hypotheekmarkt te versterken. De gegevens zijn voor DNB noodzakelijk om zich een nauwkeurig beeld te vormen van hoe de hypotheekmarkt in Nederland zich ontwikkelt. Dat is nodig vanwege de relatief grote omvang van de Nederlandse hypotheekschuld en de bijzondere risicokenmerken van de Nederlandse hypotheekmarkt. Nederland kent immers – zeker in verhouding tot andere lidstaten – een groot aandeel aflossingsvrije hypothecaire leningen en daarnaast hypothecaire leningen waarmee een substantieel deel van de waarde van het onderpand is gefinancierd. Het is belangrijk dat DNB de risico’s hiervan kan monitoren en kan mitigeren. Ontwikkelingen die zich de laatste jaren hebben voorgedaan, zoals stijgende hypotheekrentes, krapte op de woningmarkt en toenemende kansen op extreem weer (met overstromings- of verzakkingsrisico) hebben de urgentie nog vergroot.

De rapportageverplichting die wordt voorgesteld biedt een wettelijke grondslag voor de verwerking van persoonsgegevens door DNB. Deze verwerking door DNB is noodzakelijk om te voldoen aan haar (wettelijke) statistische en financiële stabiliteitstaak (als taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag, zie artikel 6, eerste lid, onderdeel e, van de AVG). De rapportageverplichting biedt ook een grondslag voor de verwerking van persoonsgegevens door de rapportageplichtige partijen. Deze rapportageplichtige partijen moeten immers persoonsgegevens van hun debiteuren of klanten verwerken om aan de rapportageverplichting te voldoen (de verwerking door hen is noodzakelijk om te voldoen aan de wettelijke verplichting die aan hen wordt opgelegd, zie artikel 6, eerste lid, onderdeel c, van de AVG).

Voor het verkrijgen van de gegevens ligt een rapportageverplichting meer voor de hand dan een uitvraagbevoegdheid. Een uitvraag heeft naar zijn aard een meer incidenteel karakter, terwijl DNB de gegevens over de hypotheekmarkt periodiek nodig heeft. Daar sluit een rapportageverplichting beter bij aan. Bovendien zijn de gegevens die onder de huidige uitvraagbevoegdheid¹⁰ kunnen worden verkregen niet nader gespecificeerd, terwijl de gegevens die DNB nodig heeft om de hypotheekmarkt te volgen, een (per rapportageplichtige partij en soort hypotheek) vaste set van zeer specifieke data-attributen betreft. Door in een rapportageverplichting de partijen die gegevens moeten aanleveren, de noodzakelijke data-attributen en periodiciteit van de rapportage vast te leggen, wordt de gegevensoverdracht voor de rapportageplichtige partijen beter voorzienbaar. Bovendien is de proportionaliteit bij een rapportageverplichting door het vastleggen van de data-attributen die moeten worden gerapporteerd en het toepassen van zo veel mogelijk dataminimalisatie daarbij vooraf beter te borgen dan bij een onbepaalde uitvraagbevoegdheid het geval is. De rechtszekerheid voor de rapportageplichtige partijen is hierbij gebaat.

§ 2.2 Noodzaak detailniveau hypotheekgegevens

De voorgestelde rapportageverplichting wordt ingericht ten behoeve van de statistische en financiële stabiliteitstaak van DNB. De gedetailleerde gegevens over individuele hypothecaire leningen zijn noodzakelijk voor beide taken.

De statistische taak van DNB is een algemene maatschappelijke taak om te voorzien in statistieken over de Nederlandse financiële sector en de betalingsbalans.¹¹ De beschikbaarheid van gedetailleerde gegevens over hypothecaire leningen is essentieel voor de kwaliteit van de statistieken m.b.t. de hypotheekmarkt. Met deze gegevens kan DNB statistieken opstellen over de Nederlandse financiële sector en economie in relatie tot de hypotheekmarkt, zoals bijvoorbeeld statistieken over de omvang en verdeling van de hypotheekmarkt in Nederland, over de ontwikkeling van de hypotheekrente voor hypothecaire leningen voor woningen en de verhouding tussen de maximale hoogte van de hypothecaire lening ten opzichte van de waarde van de woning. Ook voorziet DNB in duurzaamheidsstatistieken die de gevolgen van klimaatverandering voor de financiële sector en de financiering van de transitie naar een duurzamere economie tonen. Met deze statistieken stelt DNB beleidsmakers, onderzoekers en andere geïnteresseerden in staat om ontwikkelingen binnen de Nederlandse financiële sector en economie in relatie tot de hypotheekmarkt te volgen. Op basis van de statistieken verricht DNB ook zelf onderzoek en adviseert zij over nieuw beleid, zoals bijvoorbeeld over de woningmarkt. Een belangrijke vereiste om betrouwbare en relevante statistieken op te kunnen stellen is dat de brongegevens die hiervoor gebruikt worden een significante massa van de betreffende markt vertegenwoordigen. Het is gebruikelijk voor statistische doelen om een dekking te hanteren tussen 95% en 98% van het totaalbedrag aan uitstaande leningen.¹²

Ook het Centraal bureau voor de statistiek (CBS) heeft een statistische taak.¹³ Die is opgenomen in de Wet op het Centraal bureau van de statistiek (Wet op het CBS). Op grond van die wet (die met dit wetsvoorstel niet wordt gewijzigd) kan het CBS gegevens die DNB onder zich heeft gebruiken voor zover noodzakelijk voor de eigen statistische taak. Op gegevens die met het CBS worden gedeeld, is de Wet op het CBS van toepassing. Het CBS heeft een gedeelte van de gegevens over hypothecaire leningen die DNB op grond van de rapportageverplichting verkrijgt, nodig voor de eigen statistische taak op grond van de Wet op het CBS. Het CBS heeft op grond van de Wet op het CBS tot taak het van overheidswege verrichten van statistisch onderzoek en het is op nationaal niveau belast met de productie van Europese statistieken (artikelen 3 en 4 Wet op het CBS). Het CBS stelt statistieken vast voor de nationale rekening voor de sector huishoudens op grond van de Verordening (EU) 2019/1700 betreffende het gemeenschappelijk kader voor Europese statistieken over personen en huishoudens.¹⁴ De gegevens worden door het CBS gebruikt als brongegevens voor de samenstelling van de nationale rekeningen voor de statistiek over de sector huishoudens alsmede de statistieken over inkomen en vermogen. Dat zijn statistieken over de financiële toestand van Nederlandse huishoudens die inzicht bieden op belangrijke overheidsthema’s zoals de bestrijding van armoede en schulden, de vergroting van bestaanszekerheid en verbetering van de woningmarkt. De gegevens geven bijvoorbeeld inzicht in de betalingsachterstanden, hypotheekschulden en woonlasten van huishoudens en de vermogensverdeling.

DNB heeft de gedetailleerde gegevens over hypothecaire leningen ook nodig voor haar financiële stabiliteitstaak. Voor die taak moet DNB ontwikkelingen en risico’s van de hypotheekmarkt tijdig kunnen signaleren. Die ontwikkelingen kunnen relevant zijn voor de solvabiliteitspositie van partijen die hypothecaire leningen op de balans hebben en daarmee voor de stabiliteit van het financiële stelsel als geheel. DNB gebruikt de gegevens om diepgaande analyses uit te voeren, trends vroegtijdig te signaleren en potentiële risico’s bij specifieke segmenten te identificeren. Dat is nodig vanwege de relatief hoge hypotheekschuld van Nederlandse huishoudens. Ook wordt de Nederlandse hypotheekmarkt gekenmerkt door een aantal specifieke risicokenmerken, zoals de mogelijkheid om pas af te lossen aan het einde van de looptijd, de omvang van het aandeel van deze aflossingsvrije hypotheken ten opzichte van andere hypotheekvormen, en de hoge verhouding tussen de hoogte van de lening en de waarde van het onderpand (ook wel Loan-To-Value ofwel LTV-ratio). Deze kenmerken maken inzicht in de hypotheekmarkt cruciaal om systemische risico’s te beoordelen. DNB gebruikt de gegevens over hypothecaire leningen bijvoorbeeld om het Overzicht Financiële Stabiliteit¹⁵ op te stellen, dat twee keer per jaar de risico’s voor de financiële stabiliteit in beeld brengt. Ook doet DNB op basis van de gegevens thematisch onderzoek en gebruikt zij de gegevens om analyses te maken en stresstesten te verrichten die inzicht geven in kwetsbaarheden voor de stabiliteit van het financiële stelsel. Zo geven de gegevens over hypothecaire leningen inzicht in de binnenlandse vastgoedblootstellingen van partijen die zich in delen van het land bevinden die kwetsbaar zijn voor fysieke risico’s (door toenemende kansen op extreem weer) zoals bijvoorbeeld overstromingen, verdroging of bodemdaling. DNB stelt rapporten op met deze analyses en publiceert deze rapporten op haar website.¹⁶ Met deze rapporten worden financiële ondernemingen, beleidsmakers en andere belanghebbenden gewaarschuwd voor geconstateerde ontwikkelingen en risico’s. De gegevens, analyses en rapporten worden door DNB ook zelf gebruikt om beleid te maken waarmee de risico’s voor de financiële stabiliteit kunnen worden gemitigeerd. Hierbij kan bijvoorbeeld gedacht worden aan macroprudentiële maatregelen¹⁷ waarmee de buffers van banken worden bepaald, zodat zij steeds voldoende beschermd zijn tegen risico’s op de woningmarkt en de markt voor zakelijk vastgoed.¹⁸

Om zicht te houden op kwetsbaarheden in belangrijke blootstellingen van financiële ondernemingen die inzicht geven in risico’s voor de financiële stabiliteit zijn gedetailleerde gegevens over de hypothecaire lening, de hypotheeknemer en het onderpand voor de hypotheek onontbeerlijk. Om de risico’s van klimaatverandering in kaart te brengen is bijvoorbeeld rapportage van vier cijfers van de postcode cruciaal. Een hoger aggregatieniveau is onvoldoende. Ter illustratie, met slechts twee cijfers van de postcode is wel duidelijk dat een het onderpand van een hypothecaire lening in het zuidelijkste gedeelte van Limburg gelegen is, maar kan geen betrouwbare inschatting gemaakt worden van de mate waarin een overstroming van de Maas schade toebrengt aan dit onderpand. Ook het geboortejaar van een leningnemer is een gegeven dat noodzakelijk is voor statistische en financiële stabiliteitsstaak van DNB. Verdere aggregatie, bijvoorbeeld naar een verdeling in leeftijdscategorieën, biedt voor analyses te weinig inzicht in risico’s en kosten. Zo zijn bijvoorbeeld de verwachte pensioenleeftijd, de verwachte AOW-leeftijd en de verwachte levensduur van leningnemers gerelateerd aan het geboortejaar en bepalend bij het in beeld brengen van risico’s voor de hypotheekmarkt van overheidsmaatregelen die van invloed zijn op die verwachtingen. Ook belastingvoordelen zijn vaak gekoppeld aan het geboortejaar. Een voorbeeld daarvan is de voormalige vrijstelling eigen woning, ook wel bekend als de «jubelton» die mogelijk was tussen het 18de en 40ste jaar.¹⁹ Van de hypotheeknemer is daarnaast bijvoorbeeld het geboortejaar nodig om kosten van verschillende beleidsopties in kaart te brengen voor bijvoorbeeld de 30-jaarstermijn voor de hypotheekrenteaftrek en de afbouw hiervan. Het geboortejaar is dus noodzakelijk om de risico’s van leeftijdsgebonden overheidsmaatregelen in relatie tot de hypotheekmarkt in beeld te brengen, die weer van belang zijn voor het analyseren van de risico’s voor de financiële stabiliteit in relatie tot de Nederlandse hypotheekmarkt. Hetzelfde geldt voor gedetailleerde inkomensgegevens (zoals het toetsinkomen afgerond op duizendtallen). Dit detailniveau is noodzakelijk omdat de Nederlandse leennormen – zoals de loan-to-income ratio – individueel en inkomensafhankelijk worden vastgesteld. Alleen met voldoende detail wordt duidelijk of hypothecaire leningen binnen deze normen blijven. Wanneer de leennormen worden overschreden vergroot dit de kwetsbaarheid bij economische schokken. Dit kan risico’s opleveren voor de financiële stabiliteit. Te grof geaggregeerde inkomensdata belemmeren daarom een nauwkeurige beoordeling van de leencapaciteit en maken het moeilijker om risico’s voor de financiële stabiliteit tijdig te signaleren.

Totalen, gemiddelden of geaggregeerde²⁰ gegevens geven het noodzakelijke inzicht niet. De kwetsbaarheden komen niet naar voren uit geaggregeerde gegevens, omdat daaruit niet blijkt hoe de data-attributen aan elkaar gerelateerd zijn. Bovendien is het met geaggregeerde data niet mogelijk om scenarioanalyses uit te voeren. Die analyses zijn belangrijk voor tijdige risicobeoordeling in tijden waarin risico’s groeien of veranderen. De beschikbaarheid van gedetailleerde hypotheekgegevens maakt het daarnaast mogelijk om opkomende en nieuwe risico’s te relateren aan de solvabiliteitspositie van financiële ondernemingen, bijvoorbeeld door de samenhang van bepaalde karakteristieken te bezien. Daardoor is het mogelijk om deze risico’s over de tijd te monitoren en te analyseren vanuit macroprudentieel perspectief. Hierdoor kan DNB tijdig actie ondernemen, bijvoorbeeld door financiële ondernemingen en externe stakeholders te waarschuwen voor bepaalde ontwikkelingen.

Zie voor een nadere toelichting op de typen gegevens die DNB nodig heeft paragraaf 2.5 van deze toelichting.

§ 2.3 Gesloten systeem voor gebruik, interne deling en verdere verstrekking

De huidige Bankwet 1998 kent voor de gegevens die door DNB op grond van die wet worden verkregen voor de statistische en financiële stabiliteitstaak een gesloten systeem voor gebruik, interne deling en verdere verstrekking.²¹ DNB mag de gegevens uitsluitend gebruiken voor statistische doeleinden en economische analyses (artikel 9e, eerste lid). Voor interne deling of verdere verstrekking van de gegevens of gebruik voor andere taken is een wettelijke grondslag vereist. Dat volgt uit de geheimhoudingsverplichting van de Bankwet (artikel 20).

De Bankwet 1998 voorziet in artikel 9e, tweede lid, in een grondslag die interne deling van de gegevens mogelijk maakt met andere organisatieonderdelen van DNB die zich bezig houden met de andere taken²² van DNB, zoals bijvoorbeeld het organisatieonderdeel dat zich bezig houdt met prudentieel toezicht. Dat is uitsluitend mogelijk indien «de gegevens (direct of indirect) afkomstig zijn van financiële instellingen waarop DNB toezicht uitoefent op de voet van de daarvoor geldende wettelijke regelingen». Hiermee wordt bedoeld dat interne deling van de gegevens uitsluitend aan de orde kan zijn indien het andere organisatieonderdeel van DNB de gegevens ook zelfstandig had kunnen verkrijgen van de financiële instellingen waarop toezicht wordt uitgeoefend. Door in dit geval de voor de statistische of financiële stabiliteitstaak verkregen gegevens intern te delen, wordt tegengegaan dat DNB twee maal dezelfde gegevens moet uitvragen.²³ Hiermee is beoogd regeldruk te voorkomen.

Interne deling kan van belang zijn. De hypotheekgegevens kunnen bijvoorbeeld inzicht bieden in prudentiële risico’s die rapportageplichtige partijen lopen die tevens onder toezicht van DNB staan, zoals banken en verzekeraars. Zo kan uit de gegevens bijvoorbeeld blijken dat een bepaalde onderneming een forse blootstelling heeft op risicovolle hypothecaire leningen, waarmee de soliditeit van die onderneming wordt geraakt. Dat zou overigens ook weer gevolgen kunnen hebben voor de financiële stabiliteit als geheel. Het is daarom van belang dat gegevens binnen DNB kunnen worden gedeeld. Dit is een van de lessen die uit de financiële crisis is getrokken. De interne deling is op grond van het gesloten systeem van de Bankwet 1998 zoals gezegd aan voorwaarden gebonden. Ten eerste dat de gegevens zelfstandig verkregen hadden kunnen worden van de financiële instellingen waarop toezicht wordt uitgeoefend. Dit element wordt verhelderd in de voorgestelde wijziging van artikel 9e, tweede lid, van de Bankwet 1998 (zie hiervoor ook de artikelsgewijze toelichting). Ook wordt in hetzelfde artikellid verhelderd dat de interne deling geen systematisch karakter kan hebben, omdat deze gegevens op basis van toezichtwetgeving (naast op grond van een rapportageverplichting) alleen zouden kunnen worden verkregen op basis van een algemene inlichtingenbevoegdheid als dat voor de vervulling van de taak van de toezichthouder redelijkerwijs noodzakelijk is. Daarnaast geldt bij hergebruik van gegevens dat ieder intern verzoek (op grond van de AVG) moet worden getoetst op doelbinding en evenredigheid (zie daarvoor verder paragraaf 2.6 van deze toelichting). Ten slotte wordt, nu bij de gegevens m.b.t. hypothecaire leningen voor woningen die worden verkregen onder de rapportageverplichting ook sprake kan zijn van naar persoonsgegevens herleidbare gegevens, in genoemd artikellid nog voorzien in een extra waarborg dat gegevens uitsluitend in geanonimiseerde vorm intern kunnen worden gedeeld (zie ook daarvoor verder paragraaf 2.6 van deze toelichting). Het interne data-governance beleid wordt ingericht op deze wettelijke waarborgen.

Het gesloten systeem van de Bankwet 1998 staat in de weg aan het verder verstrekken van de gegevens (zowel van de gegevens verkregen op grond van de bestaande uitvraagbevoegdheid als op grond van de voorgestelde rapportageverplichting) door DNB aan andere (externe) partijen (zoals bijvoorbeeld andere toezichthouders). Dit behoudens verdere verstrekking op grond van de Wet op het CBS van gegevens die het CBS nodig heeft voor de wettelijke statistische taak. Dit wordt verhelderd in de voorgestelde wijzigingen van artikel 9e, eerste lid, van de Bankwet 1998 (zie hiervoor ook de artikelsgewijze toelichting). Het CBS kan de gegevens uiteraard uitsluitend gebruiken ten behoeve van de statistische taak op grond van de Wet op het CBS. Op gegevens die met het CBS worden gedeeld is de Wet op het CBS van toepassing. Voor zover het CBS wettelijke bevoegdheden heeft tot verdere verstrekking van gegevens buiten de CBS omgeving is daarbij herleidbaarheid naar personen uitgesloten. Er worden alleen gegevens in geanonimiseerde vorm buiten het CBS gebracht.

De voorgestelde rapportageverplichting biedt voor DNB grondslag om de gegevens die worden verkregen op grond van de rapportageverplichting te verwerken om te kunnen voldoen aan informatieverzoeken van het Internationaal Monetair Fonds (IMF), de Raad voor Financiële Stabiliteit (FSB) en de Bank voor Internationale Betalingen (BIS)²⁴ gezien hun taken op het gebied van de financiële stabiliteit. Veel van de risico’s voor de financiële stabiliteit hebben namelijk een grensoverschrijdend karakter en vereisen een internationale blik. Het IMF, de FSB en de BIShebben als taak ontwikkelingen die (mede) zien op de financiële stabiliteit op internationaal niveau te volgen. Deze organisaties doen in dat kader vaak een beroep op lidstaten om de financieel-economische informatie te krijgen die zij nodig hebben voor hun eigen risicoanalyses. Aanspreekpunt voor de genoemde organisaties is in Nederland doorgaans DNB, omdat DNB beschikt over de benodigde informatie of die kan uitvragen bij de desbetreffende financiële ondernemingen. Dit laatste kan DNB doen op grond van de eerder genoemde uitvraagbevoegdheid (opgenomen in artikel 9d van de Bankwet 1998), die uitvragen n.a.v. informatieverzoeken van deze organisaties toestaat. Nu de informatieverzoeken van genoemde internationale organisaties ook kunnen zien op kwetsbaarheden en risico’s voor de financiële stabiliteit als gevolg van hypothecaire leningen, wordt vastgelegd dat DNB de gegevens die zij op grond van de voorgestelde rapportageverplichting verkrijgt tevens kan verwerken ter voldoening aan informatieverzoeken van deze organisaties. Zo heeft het IMF in haar recente «Financial System Stability Assessment» (FSAP-rapport) gesteund op analyses van DNB over de risico’s voor de financiële stabiliteit in relatie tot de Nederlandse hypotheekmarkt.²⁵ Vervolgens kunnen deze organisaties betekenisvolle aanbevelingen doen op het gebied van de Europese en mondiale financiële stabiliteit die DNB weer kan benutten voor haar eigen (risico) analyses en monitoring. Genoemde internationale organisaties krijgen overigens niet zelf de beschikking over de gegevens. Dit gezien het gesloten systeem van de Bankwet 1998. De internationale organisaties kunnen n.a.v. hun informatieverzoeken m.b.t. de hypotheekmarkt alleen rapporten of analyses ontvangen (met gegevens in geaggregeerde vorm) zonder herkenbare gegevens over personen of ondernemingen (hierbij wordt het openbaarmakingsregime dat voor de gegevens geldt aangehouden). DNB toetst ieder informatieverzoek voordat wordt overgegaan tot verwerking van de gegevens eerst op doelbinding en evenredigheid (zie daarvoor verder paragraaf 2.6 van deze toelichting).

Overigens blijft de bestaande uitvraagbevoegdheid zoals opgenomen in de Bankwet 1998 van belang voor uitvragen die DNB doet om andere dan de hypothecaire gegevens te verkrijgen, om uitvoering te geven aan haar financiële stabiliteitstaak en statistische taak en tevens ter voldoening aan informatieverzoeken van eerder genoemde internationale organisaties die niet zien op de hypotheekmarkt.²⁶ De bestaande uitvraagbevoegdheid zal door DNB na inwerkingtreding van de rapportageverplichting natuurlijk niet meer worden gebruikt voor uitvraag van gegevens waarop de rapportageverplichting ziet. De voorgestelde rapportageverplichting vervangt de huidige Residential Real Estate-uitvraag (RRE-uitvraag) en de Commercial Real Estate-uitvraag (CRE-uitvraag) voor banken en de Hypotheken Loan Level data-uitvraag voor pensioenfondsen, verzekeraars en beleggingsinstellingen.

De Bankwet 1998 voorziet tot slot (in artikel 9e, derde lid) in een strikt openbaarmakingregime dat regelt dat de gegevens slechts zodanig openbaar mogen worden gemaakt dat daaraan geen herkenbare gegevens over een afzonderlijke onderneming, vrije beroepsbeoefenaar, instelling of rechtspersoon kunnen worden ontleend. Hiermee wordt bedoeld dat openbaarmaking uitsluitend in geaggregeerde vorm (dus niet de gegevens zelf, maar uitsluitend een rapport of analyse) kan plaatsvinden.²⁷ Dit element wordt verhelderd in de voorgestelde wijzigingen van artikel 9e van de Bankwet 1998. Nu bij de gegevens m.b.t. hypothecaire leningen voor woningen ook sprake kan zijn van naar natuurlijke personen herleidbare gegevens, wordt toegevoegd dat geen herkenbare gegevens over natuurlijke personen openbaar gemaakt kunnen worden.

§ 2.4 Vaststelling rapportageplichtige partijen

De rapportageverplichting zal gaan gelden voor banken, beleggingsinstellingen (of hun beheerder), pensioenfondsen en verzekeraars met zetel in Nederland (of de moederholding van hun verzekeringsrichtlijngroep). Ook zal de rapportageverplichting gaan gelden voor banken en verzekeraars met zetel buiten Nederland, die via een in Nederland gelegen bijkantoor schuldeiser of beheerder zijn van hypothecaire leningen voor woningen gelegen in Nederland.

De rapportageverplichting wordt opgelegd aan partijen die de schuldeiser zijn van de hypothecaire leningen of deze leningen in beheer hebben, of daarvan de moederonderneming (bij banken) of moederholding (bij verzekeraars) zijn omdat deze partijen de noodzakelijke gegevens onder zich hebben. Er is gekozen de rapportageverplichting op te leggen aan deze partijen omdat zij tezamen veruit het grootste deel van alle hypothecaire leningen in Nederland in beheer hebben of op de balans hebben staan en aldus over vrijwel de gehele Nederlandse hypotheekmarkt wordt gerapporteerd.

De meeste hypothecaire leningen in Nederland worden verstrekt door banken. Dat geldt voor zowel hypothecaire leningen voor woningen als voor zakelijk vastgoed. Vaak vindt het beheer plaats door een bank met zetel in Nederland. De bank is dan vaak tevens de schuldeiser van de lening. Ook komt het voor dat Nederlandse niet-bancaire dochters van een bank met zetel in Nederland hypothecaire leningen in beheer hebben of daarvan de schuldeiser zijn. In dat geval regelt de rapportageverplichting dat de bank deze gegevens rapporteert.

Ook kan securitisatie plaatsvinden. Dan kunnen hypothecaire leningen overgenomen worden door partijen die zelf geen rapportageplichtige partijen zijn. Die overname betekent meestal een wijziging van schuldeiser, maar niet van beheerder. De oorspronkelijke verstrekker van de lening (meestal een rapportageplichtige partij) blijft dan de beheerder van de lening en deze leningen vallen via deze beheerder dan nog steeds onder de reikwijdte van de rapportageverplichting.

Ook komt het voor dat een hypothecaire lening wordt verstrekt door een andere financiële dienstverlener dan een bank, die geen dochter is van de bank en die zelf geen rapportageplichtige partij is. Zo’n partij verstrekt de hypothecaire lening dan bijvoorbeeld namens de bank of draagt de lening na verstrekking aan de bank over. Vaak blijft zo’n partij wel de beheerder van de lening. Omdat de bank in al deze gevallen de schuldeiser van de lening is (omdat de lening op de balans van de bank staat) vallen deze leningen onder de reikwijdte van de rapportageverplichting en rapporteert de bank als schuldeiser.

Voor verzekeraars in het bijzonder geldt nog dat hypothecaire leningen kunnen worden verstrekt of overgedragen aan entiteiten binnen een verzekeringsrichtlijngroep die geen rapportageplichtige partij zijn (bijvoorbeeld een vennootschap voor verstrekking van hypothecaire leningen). Om te voorkomen dat deze hypothecaire leningen buiten de reikwijdte van de rapportageverplichting zouden vallen, wordt de holding met zetel in Nederland die aan het hoofd staat van een verzekeringsrichtlijngroep in dat geval als rapportageplichtige partij aangewezen en rapporteert zij over de door de Nederlandse entiteiten van die groep beheerde hypothecaire leningen en de hypothecaire leningen waarvan deze entiteiten de schuldeiser zijn.

Ook beleggingsinstellingen en pensioenfondsenkunnen in Nederland schuldeiser of beheerder zijn van hypothecaire leningen. Meestal wordt de lening verstrekt door een (andere) financiële dienstverlener voor rekening van de beleggingsinstelling of het pensioenfonds of wordt de lening aan deze partijen overgedragen, waardoor die op hun balans komt te staan en zij de schuldeiser van de hypothecaire lening zijn. Omdat een beleggingsinstelling vaak een beheerder heeft die namens de beleggingsinstelling optreedt, is gekozen de beheerder van een beleggingsinstelling aan te wijzen als de rapportageplichtige partij indien een beleggingsinstelling een beheerder heeft.

Ook komt het voor dat hypothecaire leningen voor woningen gelegen in Nederland worden beheerd door, of op de balans staan van, banken of verzekeraars met een zetel buiten Nederland, via hun Nederlandse bijkantoren. Daarom gaat de rapportageverplichting tevens gelden voor deze banken en verzekeraars, voor de hypothecaire leningen voor woningen gelegen in Nederland die via hun Nederlandse bijkantoren lopen.

Niet alle rapportageplichtige partijen gaan rapporteren. Bij amvb worden drempelwaarden vastgesteld voor de omvang van de hypotheekportefeuille van rapportageplichtige partijen waarboven de rapportageverplichting gaat gelden. Doel van deze drempelwaarden is dat met de rapportageverplichting 95% tot 98% van de hypotheekmarkt inzichtelijk wordt voor DNB. Dat percentage is noodzakelijk voor representatieve statistieken. Met de drempels wordt tevens gezorgd voor proportionaliteit, omdat daarmee wordt voorkomen dat partijen met kleine hypotheekportefeuilles belast worden met de rapportageverplichting. De voorgenomen drempelwaarde voor hypothecaire leningen voor zakelijk vastgoed zal vooralsnog uitsluitend betrekking hebben op banken zodat de gegevens m.b.t. zakelijk vastgoed uitsluitend gerapporteerd gaan worden door banken. Andere partijen zijn veel minder actief in de verstrekking van hypothecaire leningen voor zakelijk vastgoed, waardoor ze op dit moment niet relevant zijn voor de statistische en financiële stabiliteitstaak van DNB. Dat zou in de toekomst anders kunnen zijn. In dat geval wordt een wijziging van de amvb voorbereid.

Bij amvb zal tevens worden vastgelegd dat banken en verzekeraars met zetel in Nederland geen gegevens rapporteren over hypothecaire leningen voor woningen die lopen via hun buiten Nederland gelegen bijkantoren. Dat is niet nodig voor inzicht in de Nederlandse woningmarkt. Voor beleggingsinstellingen en pensioenfondsen hoeft dit niet te worden vastgelegd aangezien deze partijen geen bijkantoren hebben. Banken met zetel in Nederland rapporteren wel over hypothecaire leningen voor zakelijk vastgoed die lopen via hun buiten Nederland gelegen bijkantoren. Voor buiten Nederland gelegen zakelijk vastgoed wordt door hen uitsluitend de schuldeiser-rol gerapporteerd aangezien die van invloed is op de financiële stabiliteit van de in Nederland gezetelde bank (dat is niet het geval bij de beheerder-rol). Ook dit wordt vastgelegd in de amvb.

§ 2.5 Vaststelling en wijze van de te rapporteren gegevens

De voorgestelde rapportageverplichting bevat de grondslag die regelt dat de rapportageplichtige partijen gegevens over hypothecaire leningen voor woningen en zakelijk vastgoed moeten rapporteren. Bij amvb zal de precieze lijst met data-attributen worden vastgelegd per type rapportageplichtige partij en per type hypothecaire lening (voor woningen of zakelijk vastgoed). Per type data-attribuut zal in de nota van toelichting bij de amvb de relevantie voor de taken van DNB worden toegelicht zodat uitsluitend data-attributen die noodzakelijk zijn voor de voor de statistische en financiële stabiliteitstaak van DNB onder de rapportageverplichting vallen. Dit met het oog op proportionaliteit en dataminimalisatie. Ook wordt een (per rapportageplichtige partij en type lening) zo laag mogelijke periodiciteit van de rapportageverplichting vastgelegd in de amvb.

Bij de bestaande uitvraagbevoegdheid (artikel 9d van de Bankwet 1998) is voorzien in een getrapte benadering om lasten voor aanleverende partijen tot een minimum te beperken.²⁸ Dit omdat het denkbaar is dat een deel van de benodigde gegevens reeds aanwezig is bij (semi-)overheidsinstellingen. Dan zou het efficiënter kunnen zijn die gegevens rechtstreeks daar op te vragen. De getrapte benadering komt erop neer dat DNB voorafgaand aan een uitvraag eerst moet bezien of de gegevens die zij nodig heeft kunnen worden verkregen uit registraties van (semi-)overheidsinstellingen. Genoemd worden bijvoorbeeld het CBS, de Belastingdienst, het Kadaster en de Kamer van Koophandel. Alleen wanneer de bestaande registraties niet toereikend zijn, doet DNB een uitvraag bij ondernemingen, vrije beroepsbeoefenaren, instellingen en rechtspersonen. Deze getrapte benadering is ontleend aan hoofdstuk 5 van de Wet op het CBS.

Bij het opstellen van de voorgestelde rapportageverplichting is bezien of de benodigde gegevens uit registraties of andere (publieke) databronnen die beschikbaar zijn bij (semi-) overheidsinstellingen zouden kunnen worden verkregen. Dat blijkt niet mogelijk zonder een veel grotere inbreuk op de persoonlijke levenssfeer van de leningnemers (de klanten van de rapportageplichtige partijen) van de hypothecaire leningen voor woningen. Het Kadaster of de Belastingdienst beschikken mogelijk over een beperkt deel van de gegevens, maar om gebruik hiervan te kunnen maken zou een uniek identificerend nummer, zoals bijvoorbeeld het BSN van de leningnemer, noodzakelijk zijn om de gegevens te koppelen aan de gegevens die uitsluitend aanwezig zijn bij de rapportageplichtige partijen (banken, verzekeraars, beleggingsinstellingen en pensioenfondsen). Een uniek identificerend nummer is een gevoelig persoonsgegeven. De verwerking daarvan door DNB zou een veel groter gevolg voor de persoonlijke levenssfeer betekenen, dan de rapportageverplichting in voorgestelde vorm veroorzaakt.

De rapportageverplichting m.b.t. hypothecaire leningen voor woningen zal zien op de volgende typen gegevens: gegevens over de hypothecaire lening, gegevens over het onderpand, gegevens over de risicokarakteristieken van de hypothecaire lening en gegevens over de tegenpartij (de leningnemer). Daarbij kan bijvoorbeeld gedacht worden aan de volgende data-attributen: aanvangsdatum contract, looptijd, rente, aflossingstype, vier cijfers van de postcode, energielabel, liquidatiewaarde, wanbetalingsstatus, schatting van verlies bij wanbetaling, geboortejaar leningnemer en toetsinkomen leningnemer bij aanvang van de lening. Bij hypothecaire leningen m.b.t. zakelijk vastgoed is de leningnemer nooit een natuurlijke persoon maar een rechtspersoon of personenvennootschap.²⁹ De rapportageverplichting voor hypothecaire leningen voor zakelijk vastgoed ziet op gegevens m.b.t. de hypothecaire lening, het onderpand en het verhuurpotentieel zoals bijvoorbeeld: de huurinkomsten en oppervlakte.

Zoals in paragraaf 2.2 uiteen is gezet zijn gegevens op leningniveau en dus data-attributen met een hoog detailniveau noodzakelijk. Dit detailniveau is nodig om berekeningen te kunnen maken die inzicht geven in de risico’s voor de financiële stabiliteit, die zich voor kunnen doen op de woningmarkt, zoals risico’s bij wanbetaling, risico’s bij renteveranderingen, risico’s van aflossingsvrije hypotheken en risico’s van klimaatverandering. De afgelopen jaren zijn deze gegevens bijvoorbeeld gebruikt om de risico’s bij onverwachte gebeurtenissen zoals de Covid-19 pandemie, de combinatie van hoge inflatie en hoge energieprijzen en de snelle rentestijgingen te berekenen.³⁰ Hetzelfde geldt voor de zakelijke vastgoedmarkt. Voor inzicht in de gevolgen voor de financiële stabiliteit van de hypothecaire leningen voor zakelijk vastgoed worden analyses gemaakt over de risico’s bij wanbetaling, risico’s voor het onderpand, risico’s die samenhangen met de verhuur en landenrisico’s.

De gegevensset m.b.t. hypothecaire leningen voor woningen die banken moeten aanleveren zal het meest veelomvattend zijn. Tegelijkertijd zal deze set door dataminimalisatie flink worden teruggebracht ten opzichte van de gegevensset die onder de huidige uitvraagbevoegdheid moet worden verstrekt. Voor de overige partijen die moeten rapporteren over hypothecaire leningen voor woningen zal een beperktere set aan gegevens en periodiciteit gelden dan voor banken, omdat het marktaandeel van deze partijen en daarmee het risico dat deze partijen vormen voor de financiële stabiliteit, minder groot is. Wel zal de gegevensset voor deze partijen naar verwachting t.o.v. de uitvraag iets toenemen, vanwege gegevens die noodzakelijk zijn om bepaalde financiële stabiliteitsrisico’s inzichtelijk te kunnen maken die de afgelopen tijd in beeld zijn gekomen, zoals klimaatrisico’s en renteherzieningsrisico’s.

De gegevensset m.b.t. hypothecaire leningen voor zakelijk vastgoed zal vooralsnog (zoals uiteengezet in de vorige paragraaf) uitsluitend gerapporteerd worden door banken. Deze banken zijn op grond van de AnaCredit-verordening³¹ al gehouden maandelijks bepaalde gedetailleerde gegevens m.b.t. hypothecaire leningen voor zakelijk vastgoed te rapporteren aan DNB (die de gegevens na validatie doorstuurt aan de Europese Centrale Bank), ten behoeve van het Europees Stelsel van Centrale Banken (ESCB). Het ESCB verzamelt gegevens van banken in het eurogebied over zakelijke leningen. De AnaCredit-rapportage omvat een deel van de data-attributen die DNB nodig heeft voor de uitoefening van haar nationale statistische en financiële stabiliteitstaak. Deze gegevens worden door DNB uit de AnaCredit-rapportage gehaald en hoeven door de rapportageplichtige partijen dus niet opnieuw te worden gerapporteerd. Net als bij de gegevensset m.b.t. hypothecaire leningen voor woningen zal de directe relevantie van een data-attribuut voor de financiële stabiliteitstaak en de statistische taak van DNB leidend zijn. Door deze dataminimalisatie en omdat DNB een deel van de benodigde data-attributen kan betrekken uit de AnaCredit-rapportage, zal ook deze gegevensset veel beperkter zijn dan de gegevensset die onder de huidige uitvraagbevoegdheid wordt uitgevraagd.

In het wettelijk kader zal worden vastgelegd dat de gegevens uitsluitend langs elektronische weg kunnen worden gerapporteerd bij DNB. Dit in afwijking van de Algemene wet bestuursrecht (de artikelen 2:7, tweede lid en 2:8)³² waarin in beginsel wordt uitgegaan van het openstaan van de postweg naast de elektronische weg. Aanlevering per post is voor deze gegevens niet mogelijk. De rapportage is te gedetailleerd en omvangrijk. Dat zou voor alle partijen onwerkbaar zijn. De elektronische weg vormt voor de rapportageplichtige partijen geen belemmering, het gaat immers om grote professionele partijen die onder de huidige uitvraag ook al elektronisch aanleveren. Bovendien is de digitale beschikbaarheid van de gegevens noodzakelijk voor de verificatie van de gegevens voor statistische doeleinden.

In het wettelijk kader zal worden voorzien in een ministeriële regeling waarin nadere regels worden gesteld omtrent de wijze van elektronische verstrekking, de vorm waarin de gegevens moeten worden aangeleverd en de bij de verstrekking te gebruiken elektronische inlogmethode.

§ 2.6 Waarborgen bij verwerking van gegevens

Verschillende gegevens die moeten worden gerapporteerd over hypothecaire leningen voor woningen zijn financiële gegevens van de leningnemer. Financiële gegevens worden op grond van de AVG bestempeld als gevoelige persoonsgegevens (geen bijzondere persoonsgegevens), omdat ze bij herleidbaarheid informatie geven over de financiële situatie van de leningnemer.³³ Daarom wordt in het wettelijk kader voorzien in waarborgen om (het risico op beperking van rechten en vrijheden als gevolg van) het verwerken van persoonsgegevens van de leningnemers maximaal te beperken. Ook DNB zal als verwerkingsverantwoordelijke voorzien in maatregelen ter borging van de bescherming van de persoonsgegevens.

Pseudonimisering

In het onderhavige voorstel wordt bepaald dat de rapportageplichtige partijen de gegevens m.b.t. hypothecaire leningen voor woningen gepseudonimiseerd aanleveren bij DNB. Bij amvb zal worden bepaald dat de sleutel die voor pseudonimisering van leningkenmerken wordt gebruikt een uniek en willekeurig kenmerk oplevert dat voor DNB niet herleidbaar is tot een individuele betrokkene. Willekeurig, zodat het kenmerk dat na pseudonimisering ontstaat geen naar de betrokkene herleidbare informatie bevat zoals bijvoorbeeld een (deel van een) klantnummer of leningnummer. Uniek zodat het kenmerk niet tevens wordt gebruikt voor een ander doel. Ook moet het kenmerk door de jaren heen onveranderd blijven. Dit zodat DNB daarmee de desbetreffende hypothecaire lening over de tijd heen kan volgen. Dat is noodzakelijk om betekenisvolle statistische rapportages en economische rapporten over de financiële stabiliteit te kunnen maken. Voor DNB zijn de gepseudonimiseerde gegevens niet herleidbaar, omdat DNB niet beschikt over de pseudonimiseringssleutel. Daarom is het van belang dat de sleutel die voor pseudonimisering wordt gebruikt door de rapportageplichtige partijen niet aan DNB mag worden verstrekt. Ook dat wordt ook vastgelegd bij amvb.

Verbod op re-identificatie

Om herleidbaarheid van de gegevens naar de leningnemers zo veel mogelijk te voorkomen, wordt in dit wetsvoorstel opgenomen dat DNB niet over mag gaan tot re-identificatie van de gerapporteerde gepseudonimiseerde gegevens. DNB mag de gegevens niet verwerken op een manier die re-identificatie mogelijk maakt. Dat betekent bijvoorbeeld dat DNB de gegevens niet mag koppelen aan andere datasets waarmee de herleidbaarheid zou worden vergroot.

Verbod op verdere verstrekking

Verhelderd wordt in het wettelijk kader (in lijn met het gesloten systeem van de Bankwet 1998) dat het DNB verboden is de gegevens die zij verkrijgt op grond van de rapportageverplichting verder te verstrekken aan andere partijen (dit behoudens aan het CBS, zie paragraaf 2.2 en 2.3 van deze toelichting). Ook wordt verhelderd dat interne deling van de gegevens met organisatieonderdelen van DNB met een andere taak uitsluitend is toegestaan voor zover de gegevens ook zelfstandig verkregen hadden kunnen worden van de financiële instellingen waarop toezicht wordt uitgeoefend, verstrekking op niet-structurele basis plaatsvindt en de gegevens die worden gedeeld geanonimiseerd zijn (zie ook paragraaf 2.3 van deze toelichting). Na het anonimiseren van de gegevens is de AVG niet meer van toepassing op deze gegevens.

Bewaartermijn

Voor de gepseudonimiseerde gegevens die DNB ontvangt op grond van de voorgestelde rapportageverplichting wordt een bewaartermijn van 12 jaar aangehouden. De beschikbaarheid van deze gegevens is essentieel voor de kwaliteit van de statistische rapportages. Door gegevens langere tijd beschikbaar te hebben kunnen analyses worden gemaakt die ontwikkelingen en trends gedurende langere tijd volgen. Om dit te kunnen doen is het noodzakelijk om tijdsreekseninformatie te hebben. ook voor de financiële stabiliteitstaak is het noodzakelijk terug te kunnen kijken in de tijd, bijvoorbeeld om een indicator op te sporen die voorafgaand aan of in de aanloop naar een crisis een rol heeft gespeeld of een rol gespeeld zou kunnen hebben bij het ontstaan ervan. Als voorbeeld kan de bankencrisis van 2008 dienen. Deze crisis ontstond nadat banken verliezen leden op hun hypotheekportefeuilles. Om onderzoek te kunnen doen naar het ontstaan van die crisis zouden tevens de gegevens m.b.t. de jaren voorafgaand aan die crisis onmisbaar kunnen blijken. De woningmarkt beweegt cyclisch. Huizenprijzen dalen en stijgen, rentes variëren over tijd. De woningmarkt is verweven met de cyclische bewegingen van de woningbouwproductie, het woningtekort en de economie in het algemeen. Een cyclus op de woningmarkt duurt vaak meerdere jaren. Om cycli met elkaar te kunnen vergelijken is een langere bewaartermijn noodzakelijk. Bovendien kunnen ontwikkelingen die risico’s vormen voor de financiële stabiliteit heel divers van aard zijn en veroorzaakt zijn door ontwikkelingen die jaren gelden hebben plaatsgevonden. Ook daarom is een relatief langere bewaartermijn van de gegevens noodzakelijk zodat n.a.v. ontwikkelingen die zich voor doen terug kan worden gekeken naar de oorzaken daarvan in ontwikkelingen die in het verleden plaats hebben gevonden. Een bewaartermijn van 12 jaar is daarvoor minimaal noodzakelijk.

Na het verstrijken van 12 jaar worden de gegevens zodanig bewerkt dat deze zelfs na koppeling met andere bronnen niet meer herleid zouden kunnen worden tot individuen, waardoor betrokkenen niet meer identificeerbaar zijn. Dat kan bijvoorbeeld door de vier cijfers van de postcode verder te aggregeren naar twee van de cijfers postcode. Na anonimiseren van de gegevens is de AVG niet meer van toepassing op deze gegevens. Op grond van de voorgestelde verplichting zal DNB zal als verwerkingsverantwoordelijke partij de gegevens na 12 jaar anonimiseren.

Dataminimalisatie

Bij het vastleggen van de noodzakelijke gegevens die partijen moeten rapporteren over hypothecaire leningen voor woningen in de amvb zal zo veel mogelijk dataminimalisatie worden toegepast met het oog op proportionaliteit. De gegevensset zal per rapportageplichtige partij worden vastgesteld op basis van noodzakelijkheid voor de statistische en financiële stabiliteitstaak van DNB. Bij het opstellen van de voorgestelde rapportageverplichting is bezien of de benodigde gegevens uit registraties of andere (publieke) databronnen die beschikbaar zijn bij (semi-) overheidsinstellingen zouden kunnen worden verkregen. Dat blijkt niet mogelijk zonder een veel grotere inbreuk op de persoonlijke levenssfeer van de leningnemers (zie verder paragraaf 2.5 van deze toelichting).

Maatregelen ter minimalisering herleidbaarheid

Er wordt voorzien in verschillende maatregelen om te borgen dat de rapportage zo min mogelijk gegevens bevat die de kans op herleidbaarheid naar individuen vergroot. In combinatie met gebruikmaking van andere databronnen, zouden de data-attributen «geboortejaar», «vier cijfers van de postcode» en gegevens m.b.t hoogte van het inkomen van de leningnemer (onbedoelde) herleidbaarheid kunnen veroorzaken. Het feit dat relatief jonge en oude leningnemers minder vaak voorkomen in de totale populatie leningnemers, maakt dat de herleidbaarheid naar individuen bij relatief jonge en oude leningnemers groter is. Daarom zal in de amvb worden vastgelegd dat rapportageplichtige partijen voor relatief jonge en oude leningnemers (leningnemers jonger dan 25 jaar en ouder dan 87 jaar) geen informatie rapporteren over het geboortejaar van een leningnemer, maar uitsluitend aangeven dat de lener «oud» of «jong» is. Ook zal in de amvb worden opgenomen dat rapportageplichtige partijen voor hypothecaire leningen voor woningen uitsluitend de vier cijfers van de postcode rapporteren en in een postcodegebied met 100 of minder woningen geen informatie rapporteren over de postcode. De lijst van niet toegestane postcodes zal worden gebaseerd op een bestaand jaarlijks bestand van kerncijfers per postcode van het CBS. Ook de aggregatie van kleine postcodegebieden tot en met 100 woningen in de gegevensset heeft als doel om (onbedoelde) herleidbaarheid in de gegevensset zo veel mogelijk te beperken. Ook zou informatie over het precieze inkomen van een leningnemer herleidbaarheid kunnen opleveren. Daarom wordt in de amvb vastgelegd dat gegevens m.b.t. inkomen van leningnemers in de rapportage worden afgerond op duizendtallen.

Maatregelen van DNB

DNB zal als verwerkingsverantwoordelijke voor de gegevensverwerking als gevolg van de rapportage van de gegevens m.b.t. de hypothecaire leningen voor woningen een DPIA³⁴ uitvoeren op grond waarvan wordt bepaald welke maatregelen voor gegevensbescherming moeten worden genomen en met welke (technische) middelen en methoden de persoonsgegevens worden verwerkt om de bescherming van die gegevens te borgen. DNB neemt in dit kader technische en organisatorische maatregelen ter beveiliging van de verzamelde gegevens tegen onrechtmatig gebruik. Een van de maatregelen is bijvoorbeeld dat uitsluitend een zeer selecte groep gescreende DNB-datagebruikers geautoriseerd is om inzicht te verkrijgen in de gehele gegevensset. Zij worden onderworpen aan restricties bij gebruik van de gegevens en het gebruik wordt bijgehouden in een logbestand.³⁵ Bij verwerking van de gegevens is in geen geval sprake van (semi)geautomatiseerde besluitvorming of profilering.³⁶

DNB zal op grond van de DPIA, die zij als verwerkingsverantwoordelijke uitvoert n.a.v. dit voorstel, een doelbinding- en evenredigheidstoets inrichten om verzoeken van het CBS, de aangewezen internationale organisaties en de organisatieonderdelen van DNB met een andere taak om verwerking van de gegevens te beoordelen. DNB beoordeelt of het doel waarvoor de gegevens moeten worden verwerkt om tegemoet te komen aan een verzoek niet onverenigbaar³⁷ is met het doel waarvoor de gegevens zijn verzameld en of verwerking van de gegevens daarvoor evenredig is (geschikt, noodzakelijk en evenwichtig).

§ 3. Verhouding met ander recht

§ 3.1 Recht m.b.t. zorgvuldige gegevensverwerking en persoonlijke levenssfeer

De rapportageverplichting behelst verwerking van gepseudonimiseerde persoonsgegevens, waaronder financiële gegevens m.b.t. hypothecaire leningen voor woningen van natuurlijke personen,³⁸ en moet zich dus verhouden tot het recht op zorgvuldige gegevensverwerking en de persoonlijke levenssfeer zoals onder meer verwoord in artikel 8 EVRM, de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie, artikel 10 van de Grondwet en de AVG. Financiële gegevens worden in de AVG bestempeld als «gevoelige» persoonsgegevens.

Voor een rechtmatige inbreuk op het recht op zorgvuldige gegevensverwerking en de persoonlijke levenssfeer moet er sprake zijn van een toegankelijke en voorzienbare rechtsgrond bij wet en van een legitiem doel. Geconcludeerd kan worden dat de rapportageverplichting voldoet aan de eisen die aan een inbreuk op het recht op zorgvuldige gegevensverwerking en de persoonlijke levenssfeer worden gesteld. Er is een toegankelijke en voorzienbare rechtsgrond bij wet, nu het wetsvoorstel een specifieke wettelijke grondslag creëert voor de rapportageverplichting waarin is opgenomen op welk type leningverstrekker (banken, beleggingsinstellingen, verzekeraars en pensioenfondsen) de rapportageverplichting van toepassing is en met welk doel de gegevens worden verwerkt. De rapportageverplichting is voorzienbaar omdat bij amvb per type leningverstrekker wordt gespecificeerd welke gegevens gerapporteerd moeten worden. Verder geldt dat in paragraaf 2.2 reeds is overwogen dat de gegevensm.b.t. de hypothecaire leningen voor woningen voor DNB noodzakelijk zijn om haar taken die zien op het bevorderen van de stabiliteit van het financiële stelsel (financiële stabiliteitstaak) en het verzamelen van statistische gegevens en het vervaardigen van statistieken (statistische taak) uit te kunnen voeren. Ook bij het in de rapportageverplichting opgenomen verwerkingsdoel om de gegevens te kunnen verwerken om te voldoen aan informatieverzoeken van het IMF, de FSB en de BIS is sprake van een legitiem doel. Er is daarbij voldoende doelbinding nu de taken van deze organisaties verband houden met de financiële stabiliteitstaak op grond waarvan de gegevens oorspronkelijk zijn verzameld.

Als gezegd is de verwerking door DNB van deze gegevens noodzakelijk om te voldoen aan haar (wettelijke) statistische en financiële stabiliteitstaak (als taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag, zie artikel 6, eerste lid, onderdeel e, van de AVG). De rapportageverplichting biedt ook een grondslag voor de verwerking van persoonsgegevens door de rapportageplichtige partijen (de verwerking door hen is noodzakelijk om te voldoen aan de wettelijke verplichting die aan hen wordt opgelegd, zie artikel 6, eerste lid, onderdeel c, van de AVG).

Gezien het grote algemene belang van de beschikbaarheid van representatieve statistieken en van de stabiliteit van het financiële stelsel voor de maatschappij als geheel wordt de eventuele inbreuk die de verwerking van de gegevens zou kunnen vormen op de persoonlijke levenssfeer van de leningnemers proportioneel geacht. Zeker nu herleidbaarheid zo veel mogelijk wordt tegengegaan door verschillende waarborgen, waaronder de verplichte pseudonimisering, het verbod op re-identificatie en het verbod op verdere verstrekking van de gegevens. De verwerking van de gedetailleerde gegevens die inzicht geven in opkomende en nieuwe risico’s en kwetsbaarheden binnen het financiële stelsel is het enige effectieve middel om het doel te bereiken. Ook zijn de verwerkingsdoeleinden in redelijkheid niet op een andere voor betrokkene minder nadelige wijze te verwezenlijken, nu statistieken niet gemaakt kunnen worden van en kwetsbaarheden niet naar voren komen uit geaggregeerde gegevens, zoals volgt uit paragraaf 2.2. Er is gekozen voor een voor betrokkenen minst nadelige wijze van verwerken, door de verplichte pseudonimisering van de te rapporteren gegevens en de andere maatregelen om herleidbaarheid van de gegevens zo veel mogelijk uit te sluiten, zoals beschreven in paragraaf 2.6.

Hiermee voldoet de rapportageverplichting voor verstrekkers van hypothecaire leningen voor woningen aan de eisen die aan een inbreuk op het recht op zorgvuldige gegevensverwerking en de persoonlijke levenssfeer worden gesteld.

§ 3.2 Overig internationaal recht

De statistische rapportageverplichting wordt opgelegd aan ondernemingen waarvoor tevens rapportageverplichtingen gelden op grond van onder meer de Wet op het financieel toezicht (ter implementatie van Europese richtlijnen) en Europese verordeningen. Die verplichtingen zien op de prudentiële vereisten die gelden voor deze ondernemingen en maken onderdeel uit van het toezichtkader.

Zo legt de Verordening kapitaalvereisten³⁹ rapportageverplichtingen op aan banken, waaronder de verplichting om te rapporteren inzake prudentiële vereisten en financiële informatie. Verzekeraars moeten periodiek rapportages bij DNB aanleveren op grond van het Solvency II kader.⁴⁰ Voor pensioenfondsen gelden rapportageverplichtingen voor prudentieel toezicht op grond van de Pensioenwet en de Wet verplichte beroepspensioenregeling (mede ter implementatie van richtlijn IORPII⁴¹). Voor beleggingsinstellingen geldt dat zij toezichts- en statistische rapportages verstrekken ingevolge het Europees recht.⁴²

Voor al deze (toezicht)rapportages geldt echter dat zij geaggregeerd zijn op instellingsniveau, en niet op leningniveau, waardoor deze rapportages het voor de statistische en financiële stabiliteitstaken van DNB benodigde detailniveau missen. Deze toezichtrapportages bieden de toezichthouder inzicht of op instellingsniveau wordt voldaan aan prudentiële kapitaaleisen en andere (toezicht)doelstellingen uit de EU-richtlijnen of verordeningen waaruit de rapportageverplichtingen afkomstig zijn. Als deze toezichtrapportages al gegevens bevatten over bij instellingen op de balans staande hypothecaire leningen, dan is dat informatie op instellingsniveau (bijvoorbeeld de LTV-ratio op instellingsniveau, dus de totale blootstelling gedeeld door de waarde van al het onderpand). DNB heeft veel gedetailleerdere informatie op leningniveau nodig voor haar nationale statistische en financiële stabiliteitstaak. Voor zover in het kader van toezicht gedetailleerde gegevens op leningniveau worden verkregen (bijvoorbeeld als dergelijke gegevens worden opgevraagd in het kader van toezicht op een specifieke instelling), is dit niet sectorbreed en niet periodiek maar incidenteel, waardoor het geen bruikbare rapportages zijn voor de uitvoering van de statistische en financiële stabiliteitstaak van DNB.

Het Europees kader omvat ook statistische rapportageverplichtingen. Voor beleggingsfondsen geldt bijvoorbeeld Verordening (EU) nr. 1073/2013⁴³ met rapportageverplichtingen voor statistieken betreffende de activa en passiva van beleggingsfondsen. Die rapportage geeft inzicht in het beleggingsfondsbedrijf binnen het eurogebied en geldt voor alle beleggingsfondsen (dat zijn er circa 1.500 in Nederland) terwijl de voorgestelde rapportageverplichting uitsluitend zal gaan gelden voor beleggingsfondsen met grote hypotheekportefeuilles (dat zijn er circa 15). De rapportage bevat gegevens over balansposten op instellingsniveau, geen informatie over individuele hypothecaire leningen waarvan het beleggingsfonds de schuldeiser is, zoals noodzakelijk voor DNB.

Voor zakelijk krediet dat banken verstrekken is er de database AnaCredit (zie ook paragraaf 2.5 van deze toelichting) en de bijbehorende verordening.⁴⁴ Op grond van die verordening verzamelt het ESCB statistische gegevens van de meeste banken in het eurogebied (onder meer) over zakelijke hypothecaire leningen ten behoeve van statistiek en het macroprudentieel toezicht. Deze rapportage bestaat uit gegevens op leningniveau over hypothecaire leningen voor zakelijk vastgoed, maar bevat lang niet alle gegevens die nodig zijn voor de uitoefening van de eerder genoemde taken van DNB, bijvoorbeeld voor inzicht in de gevolgen voor de financiële stabiliteit van de zakelijke hypothecaire leningen (zoals de risico’s bij wanbetaling, risico’s voor het onderpand, risico’s die samenhangen met de verhuur en landenrisico’s zie paragraaf 2.4 van deze toelichting). De AnaCredit-verordening betreft nadrukkelijk geen maximumharmonisatie.

Nu de Europese wetgever niet heeft voorzien in een rapportageverplichting ter zake van gegevens m.b.t. hypothecaire leningen aan particulieren voor woningen en slechts ten dele (en niet maximum geharmoniseerd) m.b.t. hypothecaire leningen aan rechtspersonen voor zakelijk vastgoed staat het lidstaten vrij op dit gebied regels te stellen. De relevante Europese richtlijnen op het gebied van financieel toezicht staan een rapportageverplichting zoals voorgesteld derhalve niet in de weg.

§ 3.3 Overig nationaal recht

Wat betreft samenloop met nationaal recht is de Algemene wet bestuursrecht nog relevant om te noemen. Uit die wet komt het algemene uitgangspunt naar voren dat communicatie met een bestuursorgaan langs elektronische weg kan geschieden. Daaruit kan worden afgeleid dat, indien niets anders is bepaald, de postweg openstaat. Voor de zeer gedetailleerde gegevens waarop de rapportageverplichting ziet zou de postweg een onevenredige belasting opleveren voor rapportageplichtige partijen en DNB. Daarom wordt in dit wetsvoorstel in afwijking van (artikel 2:7, tweede lid en artikel 2:8 van) de Algemene wet bestuursrecht⁴⁵ geregeld dat uitsluitend de elektronische weg openstaat.

Tot slot is nog van belang te wijzen op het wetsvoorstel Wet toezicht rapportage AFM, dat op dit moment wordt voorbereid. Dat wetsvoorstel voorziet in een jaarlijkse rapportageverplichting voor financiëledienstverleners, beleggingsondernemingen, beheerders van beleggingsinstellingen, kredietservicers en kredietkopers, ten behoeve van het risicogestuurd toezicht van de Autoriteit Financiële Markten (AFM). De rapportageverplichting die dat wetsvoorstel in het leven roept strekt net als de onderhavige rapportageverplichting tot rapportage van gegevens over hypothecaire leningen voor woningen. Er zijn echter belangrijke verschillen tussen de voorstellen. Het voorstel voor de Wet toezichtrapportage AFM heeft als doel de AFM in staat te stellen om haar toezichtcapaciteit zo gericht mogelijk in te zetten, door risicogestuurde keuzes datagedreven te onderbouwen en richt zich op alle aanbieders van hypothecair krediet (en niet op een beperkte groep schuldeisers en beheerders van hypothecaire leningen en ook niet op hypothecaire leningen voor zakelijk vastgoed, zoals de onderhavige rapportageverplichting). Verder komt de gegevensset die van belang is voor het toezicht van de AFM niet overeen met de gegevensset die DNB nodig heeft voor haar statistische en financiële stabiliteitstaak en de periodiciteit van de rapportage wijkt ook af. Vanwege deze verschillen is gekozen twee wetsvoorstellen voor te bereiden. Mochten de rapportageverplichtingen voor de rapportageplichtige partijen te zijner tijd onbedoeld tot dubbel aanleveren van specifieke data-attributen leiden, dan zal in samenspraak met de rapportageplichtige partijen worden bezien of doorgifte van deze data-attributen vanuit regeldrukperspectief de voorkeur heeft. Dan zou het wettelijk kader kunnen worden aangepast om in doorgifte van de specifieke data-attributen te voorzien. Gezien de consultatiereacties van de rapportageplichtige partijen weegt het belang van gegevensbescherming voor deze partijen vooralsnog echter veel zwaarder dan de lasten die dubbel aanleveren van enkele data-attributen met zich zou kunnen brengen (zie paragraaf 6.1).

§ 4. Uitvoering en handhaving

DNB is gevraagd een uitvoeringstoets te verrichten m.b.t. de voorgestelde rapportageverplichting die wordt ingericht ten behoeve van twee bestaande taken van DNB, de statistische en financiële stabiliteitstaak zoals opgenomen in de Bankwet 1998 (in artikel 4, eerste lid, onderdeel c en d). In de uitvoeringstoets⁴⁶ benadrukt DNB het belang van de gegevens die op grond van de rapportageverplichting kunnen worden verkregen. Zonder deze gegevens kan DNB de genoemde taken niet goed uitvoeren. DNB is voldoende toegerust om uitvoering te geven aan deze taken. Zij beschikt over de benodigde bemensing en expertise. Voor de uitvoering wordt gebruik gemaakt van bestaande werkprocessen en ICT-infrastructuur. De kosten van het verwerken, controleren en analyseren van de gegevens die DNB verkrijgt op grond van de voorgestelde rapportageverplichting worden begroot op 3,5 fte’s op jaarbasis. De bekostiging vindt plaats door reeds gebudgetteerde middelen vanuit de centrale bank begroting. De voorgestelde rapportageverplichting veroorzaakt dus geen additionele kosten.

DNB kan handhaven als de rapportageplichtige partijen niet voldoen aan de rapportageverplichting en de uitwerking daarvan in lagere regels (zie daarvoor het gewijzigde artikel 9g van de Bankwet en de artikelsgewijze toelichting).

§ 5. Gevolgen van het wetsvoorstel

§ 5.1 Algemeen

Op grond van de voorgestelde rapportageverplichting verkrijgt DNB periodiek gegevens van de rapportageplichtige partijen (kortweg banken, beleggingsinstellingen, pensioenfondsen en verzekeraars met grote hypotheekportefeuilles) over (de bij hen in beheer zijnde of op de balans staande) hypothecaire leningen voor woningen van particulieren en voor zakelijk vastgoed van rechtspersonen. De rapportageverplichting maakt dat DNB deze gegevens niet meer uit zal vragen bij deze partijen op grond van de eerder genoemde uitvraagbevoegdheid (in artikel 9d van de Bankwet 1998). Een wettelijke rapportageverplichting heeft als voordeel dat de partijen die de gegevens moeten aanleveren in het wettelijk kader zijn vastgelegd, net als de gegevens die zij moeten aanleveren. Dat maakt gegevensoverdracht voor deze partijen beter voorzienbaar en zorgt er bovendien voor dat de set aan gegevens die moet worden gerapporteerd en de periodiciteit van de rapportage voor langere tijd vastligt. De rapportageverplichting heeft geen gevolgen voor het doenvermogen van burgers of financiële gevolgen voor het Rijk.

§ 5.2 Bedrijfseffecten

De rapportageverplichting zal gaan gelden voor banken, verzekeraars (of hun moederholding), (beheerders van) beleggingsinstellingen en pensionfondsen met zetel in Nederland. De verplichting geldt ook voor banken en verzekeraars met zetel buiten Nederland voor de hypothecaire leningen voor woningen waarvan zij de schuldeiser zijn of die zij beheren via hun in Nederland gelegen bijkantoren (zie verder paragraaf 2.4 van deze toelichting). Door deze partijen zowel als schuldeiser maar ook als beheerder rapportageplichtig te maken, wordt voorkomen dat er hypothecaire leningen buiten de reikwijdte van de rapportageverplichting vallen. Door de rapportageverplichting op te leggen aan deze vier typen grotere ondernemingen hoeft niet gerapporteerd te worden door vele kleinere partijen die hypothecaire leningen aanbieden (meestal namens de rapportageplichtige partijen, voor hun rekening, of om aan hen over te dragen). Dat maakt de rapportageplichtige groep van partijen zo beperkt mogelijk.

Verder wordt in de amvb vastgelegd dat alleen gerapporteerd hoeft te worden door deze partijen indien zij een hypotheekportefeuille hebben boven een bepaalde drempel. Zodoende wordt geborgd dat over het grootste deel van alle hypothecaire leningen wordt gerapporteerd (voor statistische doeleinden moet een percentage van 95–98% van de markt inzichtelijk zijn), waardoor op grond van de cijfers een goed beeld van de hypotheekmarkt ontstaat, terwijl rapportageplichtige partijen met kleine hypotheekportefeuilles worden ontzien. Ook in de huidige situatie waarin de gegevens door DNB worden verkregen op grond van de eerder genoemde uitvraagbevoegdheid worden deze uitgangspunten gehanteerd (om dezelfde redenen), zodat de rapportageplichtige partijen naar verwachting vrijwel gelijk zullen zijn aan de partijen waaraan de uitvraag wordt gedaan in de huidige situatie. Naar verwachting zullen de effecten van de rapportageverplichting gezien het voorgaande neerslaan bij circa 50 partijen.

De rapportageverplichting heeft geen gevolgen voor de innovatieruimte, innovatiebereidheid en innovatiecapaciteit van bedrijven. Ook worden geen markteffecten verwacht omdat de rapportageverplichting niet ingrijpt in het marktgedrag van de rapportageplichtige partijen. De rapportageverplichting heeft ook geen gevolgen voor ZZP’ers, microbedrijven en het MKB nu de verplichting uitsluitend zal gelden voor grotere partijen (grootbedrijven) met hypotheekportefeuilles boven een bij algemene maatregel van bestuur te bepalen drempel.

§ 5.3 Regeldrukeffecten

De volledige omvang van de rapportageverplichting en de regeldrukeffecten daarvan voor de rapportageplichtige partijen zal bij amvb in beeld worden gebracht, nu daarin per type rapportageplichtige partij wordt vastgelegd welke gegevens moeten worden gerapporteerd en met welke periodiciteit.

Verwacht wordt dat de regeldrukeffecten als gevolg van de rapportageverplichting beperkt zijn nu de partijen die de gegevens moeten verstrekken vrijwel gelijk blijven, de data-attributen die moeten worden gerapporteerd worden beperkt tot wat strikt noodzakelijk is om taakuitoefening mogelijk te maken en gelet op de naar verwachting gelijkblijvende frequentie van de rapportage ten opzichte van de huidige uitvraag. Verwacht wordt zelfs dat de rapportageverplichting voor banken een lastenvermindering tot gevolg zal hebben. Dit nu de gegevensset voor banken zowel m.b.t. hypothecaire leningen voor woningen als voor zakelijk vastgoed op grond van de huidige uitvraagbevoegdheid uitgebreider is dan de gegevensset die voor de rapportageverplichting in de amvb zal worden vastgelegd. Voor de overige partijen zullen de lasten naar verwachting mogelijk een fractie stijgen, nu ten opzichte van de huidige uitvraag naar verwachting enkele data-attributen moeten worden toegevoegd aan de gegevensset die moet worden gerapporteerd. Deze gegevens zijn noodzakelijk om bepaalde financiële stabiliteitsrisico’s inzichtelijk te kunnen maken die de afgelopen tijd in beeld zijn gekomen, zoals klimaatrisico’s en renteherzieningsrisico’s. Nu de toevoeging een zeer beperkt aantal data-attributen betreft zullen de extra lasten als gevolg hiervan voor deze partijen naar verwachting ook zeer beperkt zijn. Ook is nog belangrijk om te vermelden dat voor een deel van deze toegevoegde data-attributen geldt dat zij gedurende de looptijd van een leningcontract niet (vaak) wijzigen (daarbij kan bijvoorbeeld gedacht worden aan het type onroerend goed, het energielabel en gegevens die worden vastgesteld bij aanvang van een leningcontract). Voor de rapportageplichtige partijen levert het verzamelen van dergelijke data-attributen dus overwegend eenmalige kosten op. Een en ander zal in de regeldrukparagraaf van de amvb inzichtelijk worden gemaakt.

§ 6. Advies en consultatie

§ 6.1 Openbare consultatie

Een voorontwerp van dit wetsvoorstel is van 31 mei 2024 tot 1 juli 2024 openbaar geconsulteerd.⁴⁷ Daarbij zijn zeven consultatiereacties ontvangen van de Nederlandse Vereniging van Banken (NVB), het Verbond van Verzekeraars (het Verbond), Dutch Fund and Asset Management Association (DUFAS), Human Rights in Finance.EU (HRIF), de Stichting Privacy First (Privacy First) en van twee anonieme particuliere insprekers. De consultatiereacties worden zo veel mogelijk geclusterd per onderwerp besproken. De resterende opmerkingen van HRIF worden aan het eind van deze paragraaf besproken.

Noodzaak

DUFAS, de NVB, Privacy First, HRIF en de anonieme insprekers betwijfelen de noodzaak van de rapportageverplichting. Zij verzoeken om nadere motivering. DUFAS vraagt of de bestaande uitvraagbevoegdheid nu kan vervallen. De NVB acht vanwege dataminimalisatie een uitvraag passender dan een rapportageverplichting. Het Verbond vraagt waarom gedetailleerde gegevens op leningniveau nodig zijn en waarom geen scenario’s kunnen worden gebruikt. De NVB veronderstelt dat DNB de gegevens uit andere bronnen zou kunnen verkrijgen⁴⁸ en vraagt om toepassing van de getrapte benadering van de uitvraagbevoegdheid.⁴⁹ De NVB vraagt waarom uitsluitend onder toezicht staande instellingen de gegevens moeten aanleveren nu toezicht niet het doel van de gegevensverwerking is.

Voor de onderbouwing van de noodzaak van en de keuze voor een rapportageverplichting wordt verwezen naarparagraaf 2.1 en 2.2 van deze toelichting. Bepalend voor die keuze is dat de huidige uitvraagbevoegdheid niet meer voldoet om de voor DNB noodzakelijke gegevens m.b.t. de hypotheekmarkt te verkrijgen omdat die de verwerking van persoonsgegevens uitsluit. Met een rapportageverplichting wordt meer recht wordt gedaan aan het feit dat DNB een vaste set aan gegevens op periodieke basis (structureel) nodig heeft en dat de set aan gegevens met een rapportageverplichting voor langere tijd en met toepassing van dataminimalisatie kan worden vastgelegd. Dit maakt de lasten voor rapportageplichtige partijen zo voorzienbaar en beperkt mogelijk. Een uitvraagbevoegdheid maakt het immers mogelijk dat de set aan gegevens bij iedere uitvraag wordt gewijzigd of uitgebreid. Overigens zal de bestaande uitvraagbevoegdheid door DNB natuurlijk niet meer worden ingezet om de gegevens m.b.t de hypotheekmarkt waarop de rapportageverplichting ziet te verkrijgen. Het laten vervallen van de uitvraagbevoegdheid waarom DUFAS vraagt, is niet aan de orde nu de uitvraagbevoegdheid nodig blijft voor andere uitvragen (zie paragraaf 2.3 van deze toelichting). Voor de vraag van het Verbond waarom gegevens op leningniveau nodig zijn en waarom geen scenario’s kunnen worden gebruikt, wordt verwezen naar paragraaf 2.2 van deze toelichting. De stelling dat DNB statistieken zou kunnen opstellen met data uit andere bronnen zoals de door de NVB genoemde CBS microdata, de DNB Household Survey (DHS) of andere bronnen, is niet juist. De gegevens uit deze datasets kunnen niet worden gebruikt om de benodigde statistieken m.b.t. de hypotheekmarkt te maken. De data van DHS worden uitgevraagd bij een te beperkte populatie (ongeveer 1.500 huishoudens). Dat is onvoldoende voor betrouwbare statistische analyses.⁵⁰ Bovendien zijn deze gegevens niet geschikt voor het maken van statistieken omdat ze gebaseerd zijn op eigen inschattingen van respondenten. Ook zijn de gegevens niet actueel.⁵¹ De getrapte benadering waarom de NVB vraagt, is meegewogen bij de vormgeving van de rapportageverplichting. Deze toelichting is op dit punt aangevuld (zie paragraaf 2.5). Wat betreft de opmerking van de NVB en Privacy First dat een deel van de gegevens beschikbaar zou zijn bij het CBS, wordt tevens verwezen naar de aangevulde toelichting waarin is verhelderd dat de hypotheekgegevens die DNB verkrijgt deels noodzakelijk zijn voor de statistische taak van het CBS en niet andersom (zie paragraaf 2.3). Dat uitsluitend onder toezicht staande partijen rapportageplichtig worden is een gevolg van het feit dat deze partijen de gegevens over de hypotheekmarkt onder zich hebben (omdat zij vaak optreden als schuldeiser of beheerder). Overigens raakt de verplichting uitsluitend partijen met grote hypotheekportefeuilles dus in totaal naar verwachting circa 50 partijen (dat is een fractie van alle onder toezicht staande partijen die actief zijn op de hypotheekmarkt).

Overlap met andere verplichtingen

DUFAS, de NVB en het Verbond stellen dat sprake is van overlap met bestaande nationale uitvragen en Europese rapportageverplichtingen. Volgens DUFAS is sprake van ongewenste goldplating nu in Nederland gevestigde financiële ondernemingen vanwege de rapportageverplichting ten opzichte van hun buitenlandse concurrenten in een nadeligere positie komen te verkeren. Verder vindt DUFAS dat als datagedreven toezicht moet worden ingevoerd, eventuele Europese initiatieven op dat gebied zouden moeten worden afgewacht. De NVB vraagt om afbakening met het wetsvoorstel Wet toezichtondersteunende rapportage AFM. De NVB wijst erop dat de voorgestelde rapportageverplichting niet (mede) kan strekken tot het bankentoezicht, nu de Bankenrichtlijn maximumharmonisatie betreft. Ook wijst de NVB op Europese voorstellen tot informatiedeling die de rapportagelast in de toekomst kunnen beperken. De NVB vraagt hoe dit voorstel zich hiertoe verhoudt. De NVB vraagt net als DUFAS, om toevoeging van een horizonbepaling.

Gezien de vragen van DUFAS, de NVB en het Verbond is in deze toelichting verhelderd dat geen overlap plaatsvindt met bestaande uitvragen maar dat de rapportageverplichting de verschillende uitvragen die worden gedaan op grond van de bestaande uitvraagbevoegdheid juist vervangt (zie paragraaf 2.3).⁵² Overigens zal de rapportageverplichting in ieder geval voor banken een lastenverlichting met zich brengen omdat het aantal data-attributen dat banken moet aanleveren ten opzichte van de huidige uitvraag flink zal worden teruggebracht (zie paragraaf 2.5 van deze toelichting). De voorgestelde rapportageverplichting dient, anders dan DUFAS lijkt te veronderstellen niet om datagedreven toezicht te houden, maar is noodzakelijk voor de statistische en financiële stabiliteitstaak van DNB (zie paragraaf 2.1 en 2.2 van deze toelichting).⁵³ Interne deling van de gegevens met het organisatieonderdeel van DNB dat zich bezig houdt met toezicht is uitsluitend onder strikte voorwaarden mogelijk (niet-structureel, geanonimiseerd en indien de gegevens ook zelfstandig verkregen hadden kunnen worden van de financiële instellingen waarop toezicht wordt uitgeoefend, zie verder paragraaf 2.3 van de toelichting). Er bestaan zoals DUFAS en de NVB stellen, inderdaad Europese toezichtrapportages die tevens gelden voor partijen die ook vallen onder de voorgestelde rapportageverplichting. Maar dat maakt de voorgestelde rapportageverplichting geen goldplating.⁵⁴ De bedoelde Europese verplichtingen (bijvoorbeeld de door de NVB genoemde Bankenrichtlijn)⁵⁵ vormen onderdeel van het Europese microprudentiele toezichtskader, terwijl de voorgestelde rapportageverplichting noodzakelijk is voor de nationale statistische en financiële stabiliteitstaak van DNB. De toezichtrapportages zijn ook niet bruikbaar voor de statistische en financiële stabiliteitstaak van DNB omdat de gegevens op instellingsniveau worden gerapporteerd en niet op leningniveau (dit is aangevuld in paragraaf 3.2 van deze toelichting). De nationale of Europese voorstellen⁵⁶ die de NVB noemt, die zorgen voor meer samenwerking tussen toezichthouders of informatiedeling op toezichtgebied om rapportagelasten te beperken, hebben geen directe gevolgen voor de voorgestelde rapportageverplichting, nu de voorgestelde rapportageverplichting het verbod bevat voor DNB om de gegevens die worden verkregen verder te verstrekken aan andere partijen (zoals andere toezichthouders). Wel zal bij de standaarden uit de genoemde Europese voorstellen zo veel mogelijk worden aangesloten indien dat lasten voor rapportageplichtige partijen beperkt. Aan het verzoek van de NVB en DUFAS om toevoeging van een horizonbepaling op grond waarvan de rapportageverplichting vervalt of wordt heroverwogen, bijvoorbeeld zodra toekomstige ontwikkelingen ertoe leiden dat (delen van) de benodigde gegevensset onderdeel uit gaan maken van bijvoorbeeld een Europese statistische uitvraag, wordt geen gevolg gegeven. Nu op voorhand niet duidelijk is of dergelijke Europese regelgeving er komt, en zo ja, in hoeverre dan sprake is van overlap met de onderhavige rapportageverplichting is het opnemen van een horizonbepaling niet effectief. Mochten toekomstige ontwikkelingen de rapportageverplichting (gedeeltelijk) overbodig maken, zal de rapportageverplichting komen te vervallen of zal de amvb zo snel mogelijk worden gewijzigd, om overlap in te rapporteren gegevens uit te sluiten.

Reikwijdte

Zowel DUFAS, de NVB, als het Verbond maken opmerkingen over de reikwijdte van de rapportageverplichting, de NVB en DUFAS vrezen lastenverzwaring t.o.v. de huidige uitvraag. DUFAS en de NVB merken op dat de rapportageverplichting uitsluitend zou moeten zien op hypothecaire leningen voor in Nederland gelegen vastgoed. De NVB vraagt waarom niet-bancaire dochters onder de verplichting zijn gebracht en waarom uitsluitend banken moeten rapporteren over zakelijk vastgoed. Het Verbond vraagt om verduidelijking welke partijen moeten rapporteren over hypothecaire leningen die lopen via hun buiten Nederland gelegen bijkantoren. Ook wijst het Verbond erop dat hypothecaire leningen in portefeuilles kunnen worden verkocht en ook kunnen worden gesecuritiseerd waardoor ze bij partijen terecht kunnen komen die mogelijk niet onder de rapportageverplichting vallen. Hierdoor worden volgens het Verbond mogelijk relevante gegevens gemist. DUFAS stelt dat de rapportageverplichting tot dubbel aanleveren van dezelfde gegevens leidt nu de verplichting betrekking heeft op de verstrekker van een hypothecaire lening en op de schuldeiser ervan. Verder stelt DUFAS dat beleggingsinstellingen vaak werken met een bewaarstichting die de hypothecaire vorderingen aanhoudt ten behoeve van het beleggingsfonds en zij vraagt zich af of deze situatie onder de rapportageverplichting valt. Het Verbond vraagt of beleggingsinstellingen zonder beheerder niet hoeven te rapporteren en stelt dat gegevens die moeten worden gerapporteerd niet altijd beschikbaar zijn op het niveau van de verzekeringsrichtlijngroep en vraagt daarom de rapportageverplichting voor verzekeraars niet op groepsniveau maar op entiteitniveau te leggen.

Naar aanleiding van de opmerkingen van DUFAS, de NVB en het Verbond is de reikwijdte van de rapportageverplichting tegen het licht gehouden. Voor statistiek m.b.t. de Nederlandse woninghypotheekmarkt zijn, zoals DUFAS terecht stelt, alleen hypotheken met Nederlands onderpand van belang. Om zicht te krijgen op risico’s voor de financiële stabiliteit vanwege hypothecaire leningen voor woningen zou onderpand in het buitenland dat op de balans staat van Nederlandse rapportageplichtige partijen wel van belang kunnen zijn. Echter, het aantal hypothecaire leningen voor woningen buiten Nederland van rapportageplichtige partijen is zeer beperkt (ongeveer 0,33% van de woningen in de dataset). Daarom is het bij nader inzien niet nodig de hypothecaire leningen voor woningen buiten Nederland in de rapportage te betrekken. Het wetsvoorstel is dienovereenkomstig aangepast (zie artikel 9da, eerste en derde lid).⁵⁷ Voor zakelijk onderpand ligt deze afweging anders, nu met name de exposure van banken met zetel in Nederland van hypothecaire leningen voor buiten Nederland gelegen zakelijk onderpand ten opzichte van de exposure van de andere rapportageplichtige partijen erg hoog is. Om die reden is het noodzakelijk zicht te houden op hypothecaire leningen voor zakelijk onderpand gelegen buiten Nederland. De rapportageverplichting blijft voor zakelijk vastgoed dus zien op hypothecaire leningen voor onderpand binnen en buiten Nederland. Door te voorzien in een drempelwaarde voor hypotheekportefeuilles voor zakelijk vastgoed zal deze verplichting vooralsnog uitsluitend gelden voor banken en hun niet-bancaire dochters en niet voor de andere rapportageplichtige partijen (vanwege de grote exposure van banken in dit segment).⁵⁸ Dat de door niet-bancaire dochters beheerde en bij hen op de balans staande hypothecaire leningen bij de rapportageverplichting voor banken worden betrokken is inderdaad nieuw ten opzichte van de huidige uitvraag, maar zal uitsluitend zien op niet-bancaire dochters met substantiële hypotheekportefeuilles (omdat in de amvb wordt voorzien in een drempelwaarden) waardoor de lastenverzwaring beperkt blijft. Naar aanleiding van de vraag van het Verbond m.b.t. bijkantoren is het wetsvoorstel aangepast zodat de verplichting ook van overeenkomstige toepassing wordt op verzekeraars met zetel buiten Nederland die via een in Nederland gelegen bijkantoor schuldeiser of beheerder zijn van hypothecaire leningen voor woningen in Nederland, zodat relevante gegevens over de Nederlandse woninghypotheekmarkt niet worden gemist (zie het gewijzigde voorgestelde artikel 9da, derde lid).

Naar aanleiding van de vragen van DUFAS en het Verbond is ook gekeken naar de rollen van rapportageplichtige partijen met betrekking tot de hypothecaire leningen. In de rapportageverplichting zoals geconsulteerd is gekozen voor de rollen van «verstrekker» en «schuldeiser», vanuit de gedachte dat met deze rollen de verplichting aansluit bij de partijen die de noodzakelijke gegevens onder zich hebben en dat daarmee het grootste deel van de hypotheekmarkt in beeld is. Echter, naar aanleiding van opmerkingen van DUFAS en het Verbond wordt de rol van «verstrekker» vervangen door de rol van «beheerder». Hypothecaire leningen worden zoals deze partijen terecht stellen geregeld doorverkocht in portefeuilles of als securitisaties waardoor de schuldeiser kan wijzigen in een niet-rapportageplichtige partij (bijvoorbeeld een niet Nederlandse partij). Meestal blijft de beheerder van de lening ook in zo’n geval dezelfde partij en heeft die gezien het beheer ook de meest actuele en dus relevante gegevens over de lening onder zich. Om die reden is de rol van «beheerder» relevanter dan de rol van oorspronkelijke «verstrekker». Deze rollen («schuldeiser» en «beheerder») worden ook op grond van de huidige uitvraag gerapporteerd. Het wetsvoorstel en deze toelichting zijn dienovereenkomstig aangepast⁵⁹ (zie artikel 9da, eerste lid, en paragraaf 2.4 van deze toelichting). Dat de verplichting zowel op de «beheerder» als op de «schuldeiser» van een hypothecaire lening van toepassing wordt, is voor DNB van belang om zowel relevante gegevens voor de statistische taak, als voor de financiële stabiliteitstaak, te verkrijgen. Voor de statistische taak is het noodzakelijk om zicht te hebben op een zo groot mogelijk deel van de hypotheekmarkt in Nederland,⁶⁰ dat is nodig om betrouwbare en representatieve statistieken te kunnen maken. Voor stabiliteitsdoeleinden is met name de rol van «schuldeiser» van belang. Voor DNB is het inzicht in deze twee afzonderlijke rollen als gezegd essentieel. Rapportageplichtige partijen rapporteren op leningniveau. Als zij voor een bepaalde lening zowel schuldeiser als beheerder zijn, dan leveren zij de gegevens m.b.t. tot die lening niet dubbel aan bij DNB, maar rapporteren zij voor die lening dat beide rollen worden vervuld. Ligt de rol van schuldeiser bij de ene rapportageplichtige partij en de rol van beheerder bij een andere rapportageplichtige partij, dan leveren beide partijen de gegevens aan vanuit hun eigen rol. Dit overigens uitsluitend indien de hypotheekportefeuille van beide rapportageplichtige partijen boven de bij amvb te bepalen drempelwaarde uitkomt. In de praktijk komt deze situatie niet vaak voor.

De vraag of de rapportageverplichting van toepassing is op de situatie die DUFAS schetst, waarbij de bewaarstichting die de hypothecaire vorderingen aanhoudt ten behoeve van het beleggingsfonds, kan bevestigend worden beantwoord. Nu de leningen in een dergelijk geval meestal op de balans van de beleggingsinstelling staan is de beleggingsinstelling dus rapportageplichtig vanuit de rol van «schuldeiser».⁶¹ Zoals DUFAS terecht opmerkt worden hypothecaire vorderingen in de regel overgedragen aan beleggingsinstellingen (maar het komt ook voor dat wordt overgedragen aan special purpose vehicles) zonder mededeling daarvan aan de schuldenaren (stille cessie in de zin van artikel 3:94, derde lid, van Burgerlijk Wetboek). Mededeling van cessie aan de schuldenaar is in die gevallen niet vereist voor de overdracht. De beleggingsinstelling (of special purpose vehicle) is de schuldeiser, nu de vordering aan hen is overgedragen (overigens is een special purpose vehicle geen rapportageplichtige partij). In reactie op de vraag van het Verbond of beleggingsinstellingen zonder beheerder moeten rapporteren kan bevestigend worden geantwoord, nu de verplichting ziet op de beleggingsinstelling zelf en uitsluitend indien die een beheerder heeft rust op de beheerder die ten behoeve van de beleggingsinstelling rapporteert.⁶² De vraag van het Verbond of de verplichting in plaats van op het niveau van de verzekeringsrichtlijngroep niet beter op de entiteit zelf kan worden gelegd, heeft niet geleid tot aanpassing van het voorgestelde, nu ook onder de huidige uitvraag een verzekeringsrichtlijngroep in een dergelijk geval de gegevens aanlevert.

Uitwerking bij amvb

Vrijwel alle partijen (de NVB, DUFAS, het Verbond, Privacy First en HRIF) hebben opmerkingen gemaakt over de uitwerking van de rapportageverplichting bij amvb. Sommigen stellen dat het wetsvoorstel en de bijbehorende proportionaliteitsafweging niet goed beoordeeld kunnen worden zonder de amvb en bestempelen de amvb als een «blanco cheque» aan DNB. Verschillende partijen doen suggesties voor de inhoud van de amvb of verdere uitwerking of voor opname van elementen bij wet. DUFAS en het Verbond stellen dat lastenvermindering als uitgangspunt zou moeten worden genomen bij de uitwerking van de verplichting. DUFAS vreest extra lasten door ICT-investeringen en systeemaanpassingen mede vanwege de verplichte elektronische verstrekking van gegevens. De NVB vraagt verder in te gaan op de overige aspecten van de Wet modernisering elektronisch bestuurlijk verkeer die mogelijk een rol spelen bij elektronische aanlevering (Wmebv). Verschillende partijen verzoeken om afstemming bij het opstellen van de amvb en vragen de amvb voor te leggen aan het Adviescollege toetsing regeldruk (ATR) en de Autoriteit persoonsgegevens (AP).

Wat betreft het proces het volgende. De amvb zal zo snel mogelijk nadat het wetsvoorstel ter advisering is aangeboden aan de Raad van State openbaar worden geconsulteerd, zodat partijen op de uitwerking van de rapportageverplichting in de amvb kunnen reageren.⁶³ Natuurlijk zal de amvb ter advisering worden aangeboden aan ATR en de AP. Er zal een invoeringstermijn van zes maanden worden gehanteerd net zoals in de huidige situatie bij de uitvraag reeds staande praktijk is, zodat DNB en de rapportageplichtige partijen zich goed kunnen voorbereiden op rapportageverplichting.⁶⁴ Gekozen is eerst het wetsvoorstel met de rapportageverplichting te consulteren omdat daarin vanwege het primaat van de wetgever de hoofdelementen van de regeling zijn opgenomen.⁶⁵ De hoofdelementen van de rapportageverplichting zijn de reikwijdte van de rapportageverplichting waaruit volgt voor welke partijen de verplichting gaat gelden, welk type gegevens deze partijen moeten aanleveren, voor welk doel DNB de gegevens mag gebruiken en welke waarborgen daarbij gelden.⁶⁶ Door die hoofdelementen eerst te consulteren, ontstaat duidelijkheid daarover voordat de amvb wordt opgesteld. Dit zodat de wijzingen van de reikwijdte en andere hoofdelementen in het wetsvoorstel als gevolg de consultatie en de adviezen van de genoemde adviesorganen bij het opstellen van de amvb kunnen worden meegenomen. In voorhang voor de amvb, waar het Verbond om vraagt, wordt niet voorzien nu alle hoofdelementen van de verplichting op wetsniveau worden vastgelegd.⁶⁷ Overigens betekent uitwerking bij amvb, anders dan Privacy First en HRIF stellen, geen blanco cheque aan DNB. Integendeel, eigen invulling is voor DNB juist aan de orde bij gebruikmaking van de huidige uitvraagbevoegdheid.

Wat betreft de inhoud van de amvb het volgende. In de amvb worden de hoofdelementen van de rapportageverplichting zoals die op wetsniveau zijn neergelegd uitgewerkt. In de amvb zal gedetailleerd worden opgesomd welke gegevens per rapportageplichtige partij moeten worden gerapporteerd, wordt voorzien in de bijbehorende drempelwaarde (m.b.t. de omvang van de hypotheekportefeuille), de periodiciteit van de rapportage, de termijnen van aanlevering van de gegevens en de wijze waarop pseudonimisering van gegevens m.b.t. hypothecaire leningen voor woningen moet plaatsvinden. Hiervoor is het niveau van een amvb het meest passend.⁶⁸ Daarom leiden de verzoeken van DUFAS om de periodiciteit van de rapportage op wetsniveau vast te stellen, en van het Verbond om de drempelwaarden per partij op wetsniveau vast te stellen niet tot wijziging. De periodiciteit van aanlevering die wordt vastgelegd in de amvb zal dezelfde zijn als de periodiciteit van de huidige uitvragen. In de amvb zal ook rekening gehouden worden met verschillen in risicobeoordeling tussen banken en verzekeraars, zoals het Verbond vraagt. Er wordt niet gekozen voor het vastleggen van een minimale termijn van vijf jaar om wijzigingen in de gegevensset in de amvb door te voeren omdat daarmee geen recht wordt gedaan aan het doel van de rapportageverplichting om financiële stabiliteitsrisico’s van de hypotheekmark te kunnen identificeren. Stabiliteitsrisico’s kunnen op elk moment opdoemen en houden zich niet aan een vijfjaartermijn. Het uitgangspunt zal wel zijn de gegevens voor langere tijd vast te leggen, om de rapportageverplichting voor de rapportageplichtige partijen zo voorzienbaar mogelijk te maken. Verder zal van lastenverzwaring ten opzichte van de huidige uitvraag waarvoor sommige partijen vrezen geen sprake zijn nu met de amvb wordt aangesloten bij de werkwijze onder de bestaande uitvraagbevoegdheid, zowel wat betreft de partijen die moeten aanleveren als wat betreft de wijze waarop moet worden aangeleverd. Ook in de huidige situatie is elektronische wijze van verstrekking al gebruikelijk (echter nog niet wettelijk vastgelegd) en wordt door partijen al gewerkt met eHerkenning als inlogmethode. Ook de template waarin moet worden aangeleverd blijft gelijk en is – in reactie op een vraag die het Verbond hierover stelt – volledig gestandaardiseerd. Met de overige uitgangspunten van de Wmebv die gelden bij verplichte elektronische verzending van stukken aan een bestuursorgaan⁶⁹ is rekening gehouden nu de doelgroep waarop de rapportageverplichting betrekking heeft uitsluitend financiële ondernemingen betreft met grote hypotheekportefeuilles. Het gaat om rechtspersonen waarvoor verstrekking per post ondoelmatig zou zijn vanwege het detailniveau van de rapportage. Dit geldt ook voor DNB als ontvangende partij. De doelgroep is bovendien zeer digivaardig. Elektronische aanlevering is ook onder de huidige uitvraag de norm. DNB zorgt net als bij de huidige uitvraag voor passende ondersteuning bij het aanleveren van de gegevens, niet alleen door specifieke dienstverlening (hulp aan de telefoon of aan de balie), maar ook door het verschaffen van informatie daarover op haar website. Hier is ook alle informatie te vinden over informatiebeveiliging en aanleveringsvereisten. De suggestie van het Verbond om DNB zelf jonge en oude leningnemers uit de gegevensset te laten filteren kan niet worden overgenomen nu dit een waarborg betreft om de herleidbaarheid van de gegevens tegen te gaan (zie paragraaf 2.6 van deze toelichting).

Overigens is naar aanleiding van het advies van ATR de toezichthoudersregeling, waarvoor was gekozen om de wijze van verstrekking vast te leggen, vervangen door een ministeriële regeling (zie artikel 9db, tweede lid). Verder zal, zoals gezegd, in de amvb het aantal gegevens dat banken moet aanleveren flink worden teruggebracht ten opzichte van de huidige uitvraag. Indien een data-attribuut dat moet worden gerapporteerd niet beschikbaar is bij de rapportageplichtige partijen, is er net als onder de huidige uitvraag de optie «unknown» te rapporteren.⁷⁰ De precieze regeldrukberekening die de rapportageverplichting veroorzaakt zal in de toelichting van de amvb worden opgenomen omdat daarin de omvang van de rapportageverplichting in detail wordt vastgelegd. Lastenbeperking is daarbij, zoals DUFAS en het Verbond terecht opmerken, inderdaad het uitgangspunt, nu zo veel mogelijk wordt aangesloten bij de bestaande wijze van aanleveren van de gegevens en door zo veel mogelijk dataminimalisatie toe te passen. Naar aanleiding van de vraag van de NVB of in de amvb regels gesteld kunnen worden m.b.t. de kosten die in rekening kunnen worden gebracht bij DNB, is de wettekst aangepast zodat duidelijk wordt dat er geen kosten in rekening kunnen worden gebracht voor de gegevensverstrekking als gevolg van de nieuwe rapportageverplichting (zie het n.a.v. deze opmerking voorgestelde artikel 9db, vierde lid). Ook voor gegevensoverdracht op grond van de huidige uitvraagbevoegdheid en voor andere gegevensoverdrachten ten behoeve van statistiek is dat het uitgangspunt.⁷¹

Gebruik, interne deling en verdere verstrekking van de gegevens

De NVB, DUFAS, het Verbond, Privacy First en een anonieme inspreker vragen om verduidelijking en inperking van het gebruik van de gegevens voor andere doelen dan statistiek en economische analyses en het intern delen of verder verstrekken van de gegevens door DNB. De opmerkingen zien op interne deling met andere organisatieonderdelen van DNB en op het verder vertrekken van de gegevens aan andere partijen zoals andere toezichthoudende instanties (nationaal of internationaal), de internationale instanties bedoeld in artikel 9d van de Bankwet 1998 (het IMF, de FSB en het BIS) of andere partijen.

Deze opmerkingen (en het advies van de AP, zie paragraaf 6.2) hebben aanleiding gegeven tot verduidelijking van het wetsvoorstel en deze toelichting (zie de voorgestelde wijzigingen van artikel 9e en zie paragraaf 2.3). Daarin is verhelderd dat de Bankwet 1998 als uitgangspunt een gesloten systeem kent op grond waarvan gegevens die worden verkregen voor de statistische en financiële stabiliteitstaak van DNB niet mogen worden gebruikt voor andere doeleinden dan statistiek en economische analyses. De uitzonderingen op het gesloten systeem zijn verhelderd in het wettelijk kader (zie paragraaf 2.3 van deze toelichting voor de voorwaarden van interne deling, zie het gewijzigde voorgestelde artikel 9e en de artikelsgewijze toelichting daarvan). Een van die voorwaarden is dat interne deling uitsluitend mogelijk is indien DNB de gegevens ook zelfstandig had kunnen verkrijgen van de financiële instellingen waarop toezicht wordt uitgeoefend. Hiermee wordt overigens niet bedoeld dat de gegevens door DNB alleen verkregen hadden kunnen worden op grond van rapportageverplichtingen uit de toezichtwetgeving maar wordt tevens gedoeld op algemene inlichtingenbevoegdheden (bijvoorbeeld zoals opgenomen in artikel 1:74 van de Wet op het financieel toezicht). Verder is aan het wettelijk kader toegevoegd dat interne deling van gegevens uitsluitend mogelijk is als de gegevens geanonimiseerd zijn (en dus ontdaan zijn van gegevens die herleidbaar zouden kunnen zijn naar de particuliere klanten van de rapportageplichtige partijen). Ook is verhelderd dat de gegevens door DNB niet verder mogen worden verstrekt aan andere partijen. In de wijziging van artikel 9f zoals geconsulteerd was voorzien in de waarborg dat niet-geanonimiseerde gegevens door de internationale organisaties als bedoeld in artikel 9d, eerste lid, (te weten: het IMF, de FSB en de BIS) uitsluitend ten kantore van de Bank zouden kunnen worden ingezien. Echter, naar aanleiding van de consultatiereacties (van de NVB en DUFAS) is besloten dat genoemde internationale organisaties geen toegang krijgen tot de gegevens die DNB verkrijgt op grond van de rapportageverplichting, ook niet uitsluitend ten kantore van DNB op de hardware van DNB. Het wetsvoorstel is dienovereenkomstig aangepast (zie paragraaf 2.3 en 2.6 van deze toelichting, de voorgestelde wijzigingen van de artikelen 9e en 9f en de artikelsgewijze toelichting daarvan). De rolverdeling tussen DNB en het CBS is n.a.v. de consultatiereacties op dit punt van de NVB en Privacy First verhelderd in het wetsvoorstel (zie artikel 9e, eerste lid) en in paragraaf 2.2 en 2.3 van deze toelichting.

Waarborgen

Verschillende partijen (de NVB, DUFAS, het Verbond, Privacy First en een anonieme inspreker) maken opmerkingen over de waarborgen m.b.t. bescherming van de persoonlijke levenssfeer vanwege de verwerking van (naar persoonsgegevens te herleiden) gegevens of doen suggesties op dit gebied. Privacy First vraagt om een grondrechtenafweging. De NVB vraagt⁷² rekening te houden met de risico’s die grootschalig gebruik van digitale data door toezichthouders oplevert voor onder toezicht staande instellingen. Meer partijen vragen om vastlegging van maatregelen (zoals beveiligings-en organisatorische eisen) die DNB moet nemen om risico’s op herleidbaarheid (door onvoorziene omstandigheden) te mitigeren. DUFAS en de NVB vragen om een evaluatiebepaling om de effectiviteit en noodzaak van de rapportageverplichting actueel te houden. De NVB en het Verbond vragen zich af of een bewaartermijn van 15 jaar wel passend is. Privacy First stelt dat er toezicht op DNB moet komen, dat DNB jaarlijkse onafhankelijke audits moet laten uitvoeren, publiek verantwoording moet afleggen en moet voorzien in een laagdrempelig klachtenloket. Het Verbond vraagt of een DPIA is uitgevoerd en of die openbaar kan worden gemaakt.

Voor de voorgestelde rapportageverplichting is voorzien in een grondrechten afweging (zie paragraaf 3.1 van deze toelichting) en in vele waarborgen om herleidbaarheid naar personen zo veel mogelijk tegen te gaan (zie voor een beschrijving van alle waarborgen paragraaf 2.6 van deze toelichting). Een van deze waarborgen is dat DNB uitsluitend gepseudonimiseerde gegevens ontvangt. Naar aanleiding van deze consultatie en het advies van de AP is in artikel 9db, derde lid, verhelderd dat de gegevens m.b.t. hypothecaire leningen voor woningen gepseudonimiseerd aan de Bank moeten worden verstrekt. Ook is daarbij bepaald dat bij algemene maatregel van bestuur regels worden gesteld omtrent de wijze van pseudonimisering van gegevens. Die wijze zal zoals het Verbond in de consultatiereactie vraagt inderdaad voor alle partijen gelijk zijn. Waarom is gekozen voor pseudonimiseren en niet voor anonimiseren is gemotiveerd in paragraaf 2.2 en 2.5 van deze toelichting. Het voorkomen van herleidbaarheid naar personen is een hoofdelement van de regeling. In het wettelijk kader is als waarborg tevens opgenomen dat DNB niet over mag gaan tot re-identificatie van gegevens (zie artikel 9dc, tweede lid). Dat betekent bijvoorbeeld dat DNB de gegevens niet mag koppelen met andere datasets (zoals openbare bronnen) indien de herleidbaarheid naar personen daarmee toeneemt (zie paragraaf 2.6 van deze toelichting). Ook is vastgelegd waarvoor DNB de gegevens mag gebruiken en dat DNB de gegevens niet verder mag verstrekken (zie artikel 9e, eerste lid). Er is dus reeds voorzien in maatregelen om koppeling van gegevens en function creep tegen te gaan. Beveiligings- en organisatorische maatregelen om risico’s te mitigeren, worden niet opgenomen nu DNB die als verwerkingsverantwoordelijke zelf moet nemen en actueel houden om te voldoen aan de AVG. De AVG verplicht niet tot onafhankelijke audits of publiekelijke verantwoording. De datakwaliteitsnormen waarom DUFAS vraagt zijn te vinden op de website van DNB. De suggestie van Privacy First om te voorzien in toezicht op DNB m.b.t. haar gegevensverwerkingen leidt niet tot aanpassing nu dergelijk toezicht op DNB al wordt gehouden door de AP op grond van de AVG. DNB beschikt ook reeds over een laagdrempelig klachtenloket nu een ieder zich met klachten inzake de gegevensbescherming door DNB kan richten tot de Functionaris Gegevensbescherming van DNB. Het verzoek van DUFAS en de NVB om te voorzien in een wettelijke evaluatiebepaling wordt niet overgenomen, nu wordt voorzien in een invoeringstoets (die zal worden uitgevoerd n.a.v. het advies van ATR, zie paragraaf 6.2 van deze toelichting). Voor de motivering waarom een relatief lange bewaartermijn (die overigens anders dan het Verbond lijkt te veronderstellen uitsluitend van toepassing is voor DNB, niet voor de rapportageplichtige partijen) noodzakelijk is, wordt verwezen naar (paragraaf 2.6 van deze toelichting). Er kan geen onderscheid worden gemaakt tussen de bewaartermijn voor statistische gegevens en gegevens m.b.t. de financiële stabiliteit omdat te rapporteren gegevens voor beide taken noodzakelijk zijn. Overigens is de bewaartermijn van 15 jaar verkort naar 12 jaar n.a.v. het advies van de AP (zie paragraaf 6.2 van deze toelichting). Met het verzoek van de NVB om rekening te houden met de risico’s die grootschalig gebruik van digitale data door toezichthouders oplevert voor onder toezicht staande instellingen is rekening gehouden. In het gebruik van algoritmen en automatische besluitvorming is niet voorzien. Bovendien is in het wettelijk kader opgenomen dat de gegevens door DNB niet verder mogen worden verstrekt aan andere partijen (en dus ook niet aan andere toezichthouders). Ook mogen de gegevens uitsluitend aan andere organisatieonderdelen van DNB worden vertrekt in geanonimiseerde vorm en indien de gegevens ook op grond van toezichtwetgeving verkregen hadden kunnen worden (zie paragraaf 2.3 van deze toelichting). Ter voorbereiding van dit wetsvoorstel is zoals het Verbond vraagt een DPIA uitgevoerd waarvan de uitkomsten integraal in deze toelichting zijn opgenomen (zie paragraaf 2.6 en paragraaf 3.1 van deze toelichting). DNB zal als verwerkingsverantwoordelijke partij ook een DPIA verrichten.

Overige opmerkingen van HRIF

De meeste overige opmerkingen en vragen van HIRF hebben geen betrekking op dit wetsvoorstel. Daarom worden zij hier buiten beschouwing gelaten. Ook de door HRIF aangehaalde arresten⁷³ missen relevantie voor de voorgestelde rapportageverplichting. De stelling dat DNB een expliciet beroep zou moeten doen op artikel 5:16 van de Algemene wet bestuursrecht is voor de rapportageverplichting niet aan de orde nu die niet ziet op de toezichtstaak van DNB. Het combineren van de gegevens met andere datasets waardoor de herleidbaarheid naar personen zou kunnen worden vergroot is anders dan HRIF veronderstelt niet toegestaan gezien het verbod op re-identificatie en op verdere verstrekking van de gegevens (zie het voorgestelde artikel 9dc, tweede lid, en het gewijzigde artikel 9e, eerste lid). Ook de stelling dat de rapportageverplichting een eufemisme is voor bulkinterceptie of een sleepnetconstructie die strijd oplevert met het EU-recht, is niet juist. Die termen zien op het ongericht intercepteren van grote hoeveelheden gegevens (meestal communicatiegegevens) van personen die geen onderwerp zijn van onderzoek meestal in het kader van strafrechtelijk onderzoek of het inlichtingenwerk. Daarvan is in dit geval geen sprake.

§ 6.2 Andere adviezen

Europese Centrale Bank (ECB)

Het wetsvoorstel is op 23 mei 2024 voorgelegd aan de ECB voor advies.⁷⁴ De ECB spreekt steun uit voor het wetsvoorstel.⁷⁵

Volgens de ECB is voor analyse van de doorwerking van het monetaire beleid via de financiële sector naar de reële economie toegang tot gedetailleerde gegevens over hypothecaire leningen voor niet-woningen en zakelijk vastgoed zeer waardevol. Deze gegevens maken een gedetailleerde beoordeling van de transmissie van het monetaire beleid mogelijk. Ook juicht de ECB toe dat de rapportageverplichting ziet op banken, beleggingsinstellingen, pensioenfondsen en verzekeraars hetgeen een holistische karakterisering van de transmissiemechanismen van het monetair beleid mogelijk maakt. De ECB stelt verder dat toegang tot gedetailleerde gegevens over hypothecaire leningen van essentieel belang is voor een macroprudentiële autoriteit zoals DNB om haar taken op het gebied van financiële stabiliteit adequaat uit te voeren. Schokken op de woningmarkt zijn vaak een bepalende factor voor het materialiseren of versterken van kwetsbaarheden in het financiële stelsel, met negatieve effecten op de reële economie. Deze risico’s zijn bijzonder belangrijk voor Nederland met zijn krappe huizenmarkt, hoge huizenprijzen en genereuze hypotheeknormen, zo stelt de ECB. Een gedetailleerde en structurele monitoring van de ontwikkelingen van de huizenprijzen, de schuldenlast van particulieren en bedrijven en de kredietkwaliteit van hypotheekportefeuilles is daarom van cruciaal belang voor het in kaart brengen en aanpakken van potentiële risico’s voor de financiële stabiliteit. Ook zijn de gegevens volgens de ECB nodig om de risico’s van de klimaatverandering voor de financiële stabiliteit te beoordelen. Verder wijst de ECB erop dat het IMF in het recente verslag over de financiële stabiliteit in Nederland⁷⁶ ook heeft aanbevolen te voorzien in versterking van de rechtsgrondslag voor de toegang tot deze gegevens. De ECB constateert dat de lasten van de rapportage zo veel mogelijk zijn beperkt door te werken met drempels en gegevens uit de AnaCredit-rapportage te hergebruiken. Tot slot wijst de ECB op het in voorbereiding zijnde geïntegreerde rapportagekader (Integrated Reporting Framework – IReF) en vraagt dat te betrekken bij de amvb. Zoals reeds in paragraaf 3.1 toegelicht, zal bij de uitwerking van de rapportageverplichting zo veel mogelijk worden aangesloten bij deze standaarden – voor zover deze dan al bekend zijn – indien dat lasten voor rapportageplichtige partijen beperkt.

Autoriteit persoonsgegevens (AP)

Het wetsvoorstel is op 24 mei 2024 voorgelegd aan de AP. De AP heeft op 26 november 2024 advies uitgebracht. De AP heeft drie bezwaren tegen het wetvoorstel en daarnaast nog enkele aanmerkingen die om aanpassing van het concept en de toelichting vragen.

De AP merkt op dat in het wetsvoorstel een voorschrift ontbreekt dat de rapportageplichtige partijen verplicht de gegevens gepseudonimiseerd aan DNB te verstrekken. Naar aanleiding van deze opmerking is een dergelijk voorschrift toegevoegd aan het wettelijk kader (zie het gewijzigde voorgestelde artikel 9db, derde lid).⁷⁷

Ook merkt de AP op dat het secundaire gebruik van de gegevens m.b.t. hypothecaire leningen voor woningen binnen DNB door organisatieonderdelen met een andere taak (dan de statistische en financiële stabiliteitstaken) bijvoorbeeld in het kader van het prudentieel toezicht, een ander doel dient dan het doel waarvoor deze gegevens zijn verzameld (statistische doeleinden en economische rapportages) zodat ofwel deze doorverstrekking uit het concept moet worden geschrapt, ofwel de doelstelling moet worden verruimd.

Naar aanleiding van deze opmerking (en mede n.a.v. enkele consultatiereacties) zijn het wetsvoorstel en deze toelichting aangepast. In de toelichting is verhelderd dat het gesloten systeem van de Bankwet 1998 eraan in de weg staat dat de gegevens die worden verzameld op grond van de Bankwet 1998 door DNB voor iets anders dan statistische doeleinden en economische analyses worden gebruikt (zie paragraaf 2.3 van deze toelichting). Voor interne deling of verdere verstrekking van de gegevens of gebruik voor andere taken is een wettelijke grondslag vereist. De Bankwet 1998 voorziet in artikel 9e, tweede lid, in een grondslag die interne deling van de gegevens mogelijk maakt met andere organisatieonderdelen van DNB die zich bezig houden met de andere taken⁷⁸ van DNB, zoals bijvoorbeeld het organisatieonderdeel dat zich bezig houdt met prudentieel toezicht. Dat kan alleen onder strikte voorwaarden. Die voorwaarden zijn mede n.a.v. de opmerking van de AP, maar ook n.a.v. de consultatiereactie van de NVB en het advies van de Raad van State verder aangescherpt. Interne deling van gegevens kan alleen indien de gegevens ook zelfstandig verkregen hadden kunnen worden van de financiële instellingen waarop toezicht wordt uitgeoefend,⁷⁹ de deling geen structureel karakter heeft en de gegevens volledig zijn geanonimiseerd.⁸⁰ Ook wordt ieder verzoek om hergebruik van de gegevens (op grond van de AVG) eerst getoetst op doelbinding en evenredigheid (zie voor alle waarborgen om herleidbaarheid naar personen zo veel mogelijk tegen te gaan paragraaf 2.6 van deze toelichting).

Ook heeft de AP bezwaar tegen de bewaartermijn van 15 jaar. Volgens de AP wordt de «op het eerste gezicht lange» termijn niet dragend gemotiveerd. Naar aanleiding van dit bezwaar is de termijn nog eens tegen het licht gehouden. Voor het bestuderen van ontwikkelingen van de hypotheekmarkt is het belangrijk terug in de tijd te kunnen kijken. De woningmarkt beweeg cyclisch en is verweven met de bewegingen van de woningbouwproductie, het woningtekort en de economie in het algemeen. Omdat ontwikkelingen die problematisch zijn voor de financiële stabiliteit heel divers van aard kunnen zijn en veroorzaakt kunnen zijn door ontwikkelingen die jaren gelden hebben plaatsgevonden, blijft een relatief langere bewaartermijn van de gegevens noodzakelijk om n.a.v. ontwikkelingen die zich voor doen terug te kunnen kijken naar de oorzaken daarvan in ontwikkelingen die in het verleden plaats hebben gevonden. De toelichting is op dit punt aangevuld (zie paragraaf 2.6). Daarnaast is gekozen de bewaartermijn nog iets te verlagen. Een bewaartermijn van 12 jaar is het minimum om betekenisvol terug te kunnen kijken. Deze wijziging van de bewaartermijn is in het wetsvoorstel (zie artikel 9dc, derde lid) en de toelichting verwerkt (zie paragraaf 2.6).

Voorst merkt de AP nog op dat in de DPIA een risico-inventarisatie ontbreekt voor het geval dat onverhoopt re-identificatie van de gepseudonimiseerde gegevens plaats vindt. De AP vaagt deze voor de totstandkoming van de amvb uit te voeren. Deze risico-inventarisatie heeft plaatsgevonden en aan de uitkomsten daarvan zal aandacht worden besteed in de toelichting van de amvb waarin de uitwerking van de rapportageverplichting en verschillende waarborgen plaats zal vinden. Verder is op aandragen van de AP de term «granulair» uit het eerste lid van artikel 9da van het wetsvoorstel verwijderd. Met de term, die overigens voor statistische gegevens vaker wordt gebruikt, werd aangeduid dat de gegevens onder de rapportageverplichting een hoog detailniveau hebben. Dit wordt nu vermeld in de toelichting.

Tot slot stelt de AP dat het voorgestelde zal nopen tot een beperkte extra inzet die nog niet is verdisconteerd in de financiering van de AP. Nu de inzet van de AP m.b.t. het voorgestelde een bestaande taak van de AP betreft binnen de werkingssfeer van de AVG, valt de financiering daarvan binnen de begroting van JenV. In het kader van de begrotingscyclus spreekt de AP frequent met het Ministerie van JenV. De wens en noodzaak voor een aanpassing van het budget voor het geheel aan AVG-taken komt in die gesprekken reeds aan de orde. Overigens kan nog worden opgemerkt dat het verwerken van (meer) persoonsgegevens niet automatisch leidt tot meer klachten bij of tot meer toezichtactiviteiten van de AP.

Met de hier geschetste wijzigingen van het wetsvoorstel en de toelichting is tegemoet gekomen aan de bezwaren en de aanmerkingen van de AP.

Adviescollege toetsing regeldruk (ATR)

Het wetsvoorstel is op 31 mei 2024 voorgelegd aan ATR ter advisering. ATR heeft op 12 juli 2024 advies uitgebracht met als dictum het wetsvoorstel niet in te dienen tenzij met de adviespunten rekening worden gehouden.

ATR merkt allereerst over de noodzaak op dat de DNB nu ook al veel gegevens opvraagt en op basis daarvan statistieken samenstelt terwijl de toelichting niet duidelijk maakt waarom deze statistieken niet zouden volstaan. ATR vraagt dit punt nader te onderbouwen.

Die onderbouwing volgt onder meer uit de aangevulde paragrafen 2.1 en 2.2 van deze toelichting, waaruit naar voren komt dat de huidige uitvraagbevoegdheid die wordt gebruikt om de noodzakelijke gegevens te verkrijgen om de statistieken op te stellen niet meer voldoet, omdat die het niet mogelijk maakt dat naar personen herleidbare gegevens worden verkregen en verwerkt terwijl dergelijke gegevens wel (deel uitmaken van de hypotheekgegevens die zien op woninghypotheken die) noodzakelijk zijn voor DNB voor de uitvoering van haar statistische taak en financiële stabiliteitstaak. In de versterking van de grondslag wordt overigens voorzien mede op aandringen van de AP.⁸¹

Voorts adviseert ATR om het dubbel aanleveren van data-attributen door rapportageplichtige partijen al bij het opstellen van de amvb te voorkomen. ATR refereert aan de passage in de toelichting die ziet op dubbel aanleveren van enkele data-attributen vanwege het wetsvoorstel Wet toezichtondersteunende rapportage AFM. In de toelichting is verhelderd dat het gesloten systeem van de Bankwet 1998 en het belang van zorgvuldige gegevensbescherming maakt dat doorgiftemogelijkheden zijn beperkt (zie het n.a.v. het advies van de AP ingevoegde paragraaf 2.3 en zie paragraaf 3.3 van deze toelichting). Ook het advies van de AP en de consultatiereacties van rapportageplichtige partijen onderstrepen het belang van gegevensbescherming. Daarom verzoeken verschillende rapportageplichtige partijen te waarborgen dat de gegevens niet verder worden verstrekt (bijvoorbeeld aan de AFM). Het belang van deugdelijke gegevensbescherming weegt in dit geval zwaarder dan de lasten die dubbel aanleveren van enkele data-attributen met zich zou kunnen brengen.

Ook vraagt ATR te onderbouwen waarom drempels nodig zijn voor representatieve statistieken. ATR doelt op de passage in deze toelichting (paragraaf 5.2) waarin is opgenomen dat in de amvb wordt vastgelegd dat alleen gerapporteerd hoeft te worden door partijen die een hypotheekportefeuille hebben boven een bepaalde drempel waardoor uitsluitend partijen met grote hypotheekportefeuilles rapportageplichtig worden. Dat is voldoende om te borgen dat een percentage van 95–98% van de markt inzichtelijk wordt, hetgeen een uitgangspunt is voor de financiële statistieken die DNB opstelt. Dat voor andere statistieken lagere drempels worden gehanteerd doet daar niet aan af. Met de drempels wordt overigens juist voorzien in proportionaliteit, nu die ervoor zorgen dat de lasten en dus de regeldruk uitsluitend landt bij enkele partijen met grote hypotheekportefeuilles en niet bij vele partijen met kleinere portefeuilles.

Voor de reden waarom de bestaande uitvraagbevoegdheid niet wordt geschrapt wordt verwezen naar paragraaf 2.3 van deze toelichting. Verhelderd is daarin dat de bestaande uitvraagbevoegdheid natuurlijk niet meer zal worden gebruikt voor de uitvraag van gegevens waarop de rapportageverplichting ziet. Het advies van ATR om de sector te raadplegen bij het opstellen van de amvb wordt opgevolgd, nu de amvb net als het wetsvoorstel openbaar zal worden geconsulteerd. Ook het advies van ATR om op het niveau van een ministeriële regeling (en niet bij toezichthoudersregeling) te voorzien in (nadere, werkbare) regels omtrent de wijze van elektronische verstrekking van de gegevens wordt overgenomen. Het wetsvoorstel en deze toelichting zijn dienovereenkomstig aangepast (zie artikel 9db, tweede lid, en de artikelsgewijze toelichting). De aanbeveling om een invoeringstoets uit te voeren waarmee (een jaar na inwerkingtreding van de verplichting) wordt getoetst of de rapportageverplichting voldoende werkbaar is voor de doelgroep, wordt ook overgenomen. Overigens zal de werkbaarheid van de rapportageverplichting op reguliere basis worden besproken tussen DNB en de aanleverende partijen (zoals dat ook gebeurt voor de bestaande uitvragen) zodat eventuele knelpunten snel kunnen worden geadresseerd. In de amvb zal worden voorzien in een kwantificering van de regeldrukgevolgen van de rapportageverplichting zoals ook volgt uit deze toelichting (zie paragraaf 5.3). De amvb ook voor advies aan ATR worden voorgelegd.

Gezien het voorgaande is met alle adviespunten van ATR rekening gehouden.

§ 7. Inwerkingtreding

Inwerkingtreding is voorzien bij koninklijk besluit, waarbij het de intentie is om het wetsvoorstel zo mogelijk met ingang van 1 januari 2027 in werking te laten treden waarbij een invoeringstermijn van 6 maanden zal worden aangehouden.

ARTIKELSGEWIJS

ARTIKEL I

A

Met dit onderdeel wordt de nieuwe rapportageverplichting opgenomen in het hoofdstuk uit de Bankwet 1998 dat ziet op verwerving, gebruik en verstrekking van gegevens. Er worden daartoe vier nieuwe artikelen ingevoegd.

Artikel 9da bevat de nieuwe rapportageverplichting. Die wordt opgelegd aan banken, beleggingsinstellingen, pensioenfondsen en verzekeraars als bedoeld in artikel 1:1 van de Wet op het financieel toezicht met zetel in Nederland. Met zetel wordt bedoeld de plaats waar een onderneming volgens haar statuten of reglementen is gevestigd of, indien zij geen rechtspersoon is, de plaats waar die onderneming haar hoofdvestiging heeft. Om te zorgen dat over het overgrote deel van alle hypothecaire leningen in Nederland wordt gerapporteerd betrekken banken bij de verplichting de hypothecaire leningen waarvan hun Nederlandse niet-bancaire dochterondernemingen de schuldeiser zijn en die door hen worden beheerd. Om dezelfde reden gaat de verplichting tevens gelden voor banken en verzekeraars met zetel buiten Nederland die via hun in Nederland gevestigde bijkantoren de schuldeiser zijn van hypothecaire leningen voor woningen gelegen in Nederland of die leningen beheren. En voor de moederholding met zetel in Nederland van een verzekeringsrichtlijngroep die daarbij de hypothecaire leningen betrekt waarvan groepsentiteiten met zetel in Nederland de schuldeiser zijn of die zij in beheer hebben, maar die zelf geen verzekeraar zijn. Indien een beleggingsinstelling een beheerder heeft rapporteert de beheerder namens de beleggingsinstelling. Een beheerder van een beleggingsinstelling met zetel in Nederland hoeft zelf niet in Nederland gezeteld te zijn en kan meerdere beleggingsinstellingen beheren. In dat geval verricht zij de rapportage per beleggingsinstelling. Ook is in dit artikel bepaald dat de gegevens die genoemde partijen moeten rapporteren bij amvb worden vastgelegd. De gegevensset zal per rapportageplichtige partij en per type hypotheek (woninghypotheek of hypotheek voor zakelijk vastgoed) worden bepaald.

In artikel 9db staat op welke wijze de rapportage moet plaatsvinden. De regels over hoe vaak en op welk moment de rapportage moet plaatsvinden zijn daarin gedelegeerd naar amvb. Ook zal bij amvb worden voorzien in drempelwaarden waardoor alleen partijen met grote hypotheekportefeuilles rapportageplichtig worden waarbij leidend is dat de rapportageverplichting 95% tot 98% van de hypotheekmarkt inzichtelijk wordt voor DNB. Verder is in dit artikel bepaald dat gegevens via elektronische weg aan DNB moeten worden verstrekt. Dat betekent een afwijking van de Algemene wet bestuursrecht nu daaruit volgt dat berichten aan een bestuursorgaan ook via de reguliere post kunnen worden verstuurd.⁸² Ook is voorzien in een grondslag voor een ministeriële regeling, waarin nadere regels gesteld worden over de wijze van elektronische verstrekking, de vorm waarin de gegevens moeten worden aangeleverd en de bij de verstrekking te gebruiken inlogmethode. Ook bevat dit artikel een belangrijke waarborg in het kader van de gegevensbescherming, namelijk dat de rapportageplichtige partijen de gegevens bedoeld in artikel 9da, eerste lid, over hypothecaire leningen voor woningen gepseudonimiseerd aan de Bank verstrekken. Bij amvb zal de wijze waarop pseudonimisering moet plaatsvinden worden vastgelegd. Tot slot is bepaald dat bij DNB geen kosten in rekening kunnen worden gebracht om aan de rapportageverplichting te voldoen.

Artikel 9dc bevat de waarborgen voor de gegevensbescherming die de Bank in acht moet nemen. Het artikel regelt in dat kader de doelbinding van de rapportageverplichting. DNB verwerkt de gegevens in het kader van haar financiële stabiliteitstaak en haar statistische taak en tevens mag verwerken om te voldoen aan informatieverzoeken van internationale organisaties (het IMF, de FSB en de BIS). Een andere belangrijke waarborg in het artikel is het verbod voor de Bank om over te gaan tot re-identificatie van de gegevens, Ook is de bewaartermijn van de gegevens voor zover het herleidbare persoonsgegevens betreft voor de Bank in dit artikel vastgelegd. Die termijn is bepaald op ten hoogste 12 jaar.

In artikel 9dd is, om de rapportageverplichting zo lastenluw mogelijk te maken, voorzien in een vrijstellingsmogelijkheid bij ministeriële regeling. Hiermee kan de rapportageverplichting tijdelijk even worden «uitgezet» voor bepaalde partijen. Dit zou aan de orde kunnen zijn als, bijvoorbeeld door plotselinge sterke groei van hypotheekportefeuilles of grote verplaatsingen van hypotheekportefeuilles (bijvoorbeeld door verkoop of securitisatie) tussen rapportageplichtige partijen, ineens een te grote groep ondernemingen door de rapportageverplichting zou worden geraakt, waardoor meer dan (de noodzakelijke bandbreedte van 95%-) 98% van de hypotheekmarkt in beeld komt. Natuurlijk wordt in zulke gevallen direct een wijziging van de amvb voorbereid die recht doet aan de nieuwe situatie (waarna de vrijstelling wordt ingetrokken). Omdat het wijzigen van een amvb meer tijd kost, wordt voorzien in een vrijstellingsmogelijkheid om toch snel te kunnen reageren als een dergelijke situatie van plotselinge groei zich voordoet. Daarmee wordt beoogd ervoor te zorgen dat partijen niet onnodig geconfronteerd worden met de rapportageverplichting. Het is nadrukkelijk alleen mogelijk partijen vrij te stellen. Voor situaties waarbij het nodig is de rapportageverplichting op te leggen aan meer partijen of andere partijen kan de vrijstelling niet worden gebruikt.

B

De introductie van de rapportageverplichting noopt tevens tot enkele wijzigingen in bestaande artikelen. In artikel 9e wordt artikel 9da toegevoegd, zodat ook voor de gegevens die DNB ontvangt op grond van de nieuwe rapportageverplichting uitsluitend worden gebruikt voor statistische doeleinden en economische analyses. Datzelfde uitgangspunt geldt voor gegevens die DNB ontvangt op grond van de uitvraagbevoegdheid van artikel 9d Bankwet 1998. Verder wordt verhelderd dat het gesloten systeem van de Bankwet eraan in de weg staat dat de ontvangen gegevens door DNB verder (aan andere partijen) worden verstrekt. Dit m.u.v. verstrekking aan het CBS op grond van de Wet op het CBS. In het tweede lid van artikel 9e wordt (wederom net als voor de gegevens die DNB ontvangt op grond van de uitvraagbevoegdheid) bepaald dat de gegevens die DNB ontvangt op grond van de nieuwe rapportageverplichting mogen worden verstrekt aan organisatieonderdelen van DNB belast met een andere taak. Dit mag uitsluitend als de gegevens geanonimiseerd zijn (en dus ontdaan zijn van gegevens die herleidbaar zouden kunnen zijn naar de klanten van de rapportageplichtige partijen)en indien de gegevens ook zelfstandig verkregen hadden kunnen worden van de financiële instellingen waarop toezicht wordt uitgeoefend. Dit laatste is reeds onderdeel van het bestaande wettelijke kader zoals ook naar voren komt uit de toelichting van dit artikel⁸³ maar de wettekst zelf was enigszins onduidelijk op dit punt. In de voorgestelde bepaling is de wettekst verhelderd. Aan het derde lid is toegevoegd dat DNB ook geen gegevens over natuurlijke personen openbaar mag maken nu de rapportageverplichting ook ziet op naar natuurlijke personen te herleiden gegevens. Ook is verhelderd dat gegevens uitsluitend in geaggregeerde vorm openbaar gemaakt mogen worden. Dit laatste was al staande praktijk en volgde ook uit de toelichting.⁸⁴ Nu wordt dit element ook opgenomen in de wettekst.

C

Met dit onderdeel wordt artikel 9f van de Bankwet 1998 toegespitst op gegevens die op grond van de bestaande uitvraagbevoegdheid worden verkregen (artikel 9d). Het bestaande regime voor verstrekking van de gegevens aan de aangewezen internationale organisaties (IMF, BIS en FSB) wordt daarmee gehandhaafd voor de gegevens die worden verkregen op grond van de bestaande uitvraagbevoegdheid (opgenomen in artikel 9d). Voor de gegevens die worden verkregen op grond van de nieuwe rapportageverplichting (het nieuwe artikel 9da) is voorzien in een strenger regime, omdat deze gegevens naar personen herleidbare gegevens kunnen betreffen. DNB kan gegevens verkregen op grond van de nieuwe rapportageverplichting niet aan de internationale organisaties verstrekken. Dat volgt uit (het algemene verbod de gegevens verder te verstrekken opgenomen in) artikel 9e. Wel kunnen zij n.a.v. hun informatieverzoeken rapporten of analyses ontvangen (daarin zijn uitsluitend gegevens opgenomen in geaggregeerde vorm) ontdaan van herkenbare gegevens over afzonderlijke (rechts)personen e.a. partijen.

D

Ook voor de rapportageverplichting wordt (net als voor de verplichting die ontstaat als DNB gebruik maakt van de bestaande uitvraagbevoegdheid opgenomen in artikel 9d van de Bankwet 1998) geregeld dat DNB kan handhaven als de rapportageplichtige partijen niet voldoen aan de rapportageverplichting en de uitwerking daarvan in lagere regels. Er wordt aangesloten bij het boetemaximum voor handhaving van de verplichting op grond van de uitvraagbevoegdheid in de Bankwet 1998, van € 10.000. Ook wordt voorzien in de mogelijkheid een last onder dwangsom op te leggen.

ARTIKEL II

De inwerkingtreding van deze wet is voorzien bij koninklijk besluit. Het tijdstip van inwerkingtreding kan voor de verschillende artikelen en onderdelen daarvan verschillend worden vastgesteld. Het streven is erop gericht deze wet met ingang van 1 januari 2027 in werking te laten treden.

De Minister van Financiën,
E. Heinen

---

1. Zie paragraaf 2.1 van deze toelichting.↩︎

2. In de huidige situatie worden deze rapportages aangeduid als Residential Real Estate (RRE) en Commercial Real Estate (CRE).↩︎

3. In de Bankwet 1998 bestaat onderscheid tussen enerzijds de ESCB (Europees Stelsel van Centrale Banken) doelstelling en -taken van DNB (de stelseltaken, opgenomen in artikel 3) en anderzijds de nationale doelstellingen en -taken van DNB (opgenomen in artikel 4). Nationaal heeft DNB naast het uitoefenen van toezicht op financiële instellingen, het bevorderen van de goede werking van het betalingsverkeer en het uitoefenen van afwikkelingstaken voor bepaalde financiële ondernemingen ook tot taak de stabiliteit van het financiële stelsel te bevorderen en statistische gegevens te verzamelen en statistieken te vervaardigen, zie artikel 4, eerste lid, onderdelen c en d, van de Bankwet 1998.↩︎

4. Zie artikel 4 van de AVG. Pseudonieme gegevens zijn persoonsgegevens die niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld.↩︎

5. Zie verder paragraaf 2.2 en 2.3 van deze toelichting en zie ook het voorgestelde artikel 9e, eerste lid, van de Bankwet 1998.↩︎

6. De onderdelen van DNB die zich bezig houden met het prudentieel toezicht, resolutie of betalingsverkeer, bedoeld in artikel 4, eerste lid, onderdelen a, b en e van de Bankwet 1998.↩︎

7. Anonieme gegevens zijn gegevens die geen betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon of persoonsgegevens die zodanig zijn bewerkt of geaggregeerd dat de betrokkene niet meer identificeerbaar is, zelfs niet met aanvullende gegevens. Anonieme gegevens zijn geen, of niet langer persoonsgegevens en vallen buiten de reikwijdte van de AVG. Anonimiseren maakt anders dan pseudonimiseren herleidbaarheid (zonder onredelijke inspanning) onmogelijk. Zie ook overweging 26 van de AVG.↩︎

8. Zie bijvoorbeeld de Beleidsreactie op het onderzoek «De invloed van (technische) ontwikkelingen op het begrip persoonsgegevens» van 8 april 2024 van de Minister voor Rechtsbescherming, Kamerstukken II 2023/24, 32 761, nr. 296.↩︎

9. Inmiddels is de aanlevering van gegevens door partijen weer hervat. De naar personen te herleiden gegevens worden geanonimiseerd aangeleverd.↩︎

10. De gegevens die op grond van de uitvraagbevoegdheid kunnen worden uitgevraagd zijn omschreven als gegevens van financiële ondernemingen over «balansposten en financiële transacties met derden» en niet nader gespecificeerd of vastgelegd.↩︎

11. Zie voor alle statistieken die DNB opstelt over de Nederlandse financiële sector en de betalingsbalans https://www.dnb.nl/statistieken/.↩︎

12. Zie bijvoorbeeld artikel 1, eerste en tweede lid, van Verordening (EU) 2016/867 van de Europese Centrale Bank van 18 mei 2016 betreffende de verzameling van gedetailleerde kredietgegevens en kredietrisicogegevens (ECB/2016/13), verder: AnaCredit-verordening.↩︎

13. Bij de uitvoering van de statistische taak richt DNB zich op de financiële sector en het CBS richt zich bij de statistische taak op de niet-financiële sectoren.↩︎

14. Verordening (EU) 2019/1700 van het Europees Parlement en de Raad van 10 oktober 2019 tot vaststelling van een gemeenschappelijk kader voor Europese statistieken betreffende personen en huishoudens, op basis van gegevens die op individueel niveau worden verzameld door middel van steekproeven, tot wijziging van Verordeningen (EG) nr. 808/2004, (EG) nr. 452/2008 en (EG) nr. 1338/2008 van het Europees Parlement en de Raad, en tot intrekking van Verordening (EG) nr. 1177/2003 van het Europees Parlement en de Raad en Verordening (EG) nr. 577/98 van de Raad.↩︎

15. Zie voor de meest recente publicaties https://www.dnb.nl/publicaties/publicaties-dnb/ofs/overzicht-financiele-stabiliteit-voorjaar-2025/.↩︎

16. Zie bijvoorbeeld https://www.dnb.nl/media/k5npzww1/working_paper_no-796.pdf en https://www.dnb.nl/en/publications/research-publications/occasional-study/nr-2-2022-real-estate-and-climate-transition-risk-a-financial-stability-perspective/.↩︎

17. Het macroprudentieel beleid richt zich op het beperken van systeemrisico’s in de financiële sector.↩︎

18. DNB heeft bijvoorbeeld op 1 januari 2022 een ondergrens aan de risicoweging van hypothecaire leningen door banken met een intern risicomodel ingevoerd. De maatregel zorgt ervoor dat banken beter in staat zijn de gevolgen van een eventuele prijscorrectie op de woningmarkt en de economische gevolgen daarvan op te vangen en blijft in ieder geval tot 30 november 2026 van kracht. Verder gebruikt DNB deze gegevens om contra-cyclische kapitaalbuffers op te leggen.↩︎

19. https://www.belastingdienst.nl/wps/wcm/connect/nl/schenken/content/belastingvrije-schenkingen-voor-koopwoning.↩︎

20. Geaggregeerde gegevens zijn samengevoegde gegevens, bijvoorbeeld door onderliggende gegevens op te tellen en totalen of subtotalen weer te geven. Daarmee worden de gegevens minder gedetailleerd. Hoe meer aggregatie hoe minder gegevens herleidbaar zijn naar individuen.↩︎

21. Zie hoofdstuk IIb van de Bankwet 1998.↩︎

22. Zie voor de taken van DNB artikel 4 van Bankwet 1998.↩︎

23. Zie de memorie van toelichting van de Wijzigingswet financiële markten 2015 waarmee hoofdstuk IIb aan de Bankwet 1998 is toegevoegd, Kamerstukken II 2013/14, 33 918, nr. 3, paragraaf 3 van het algemeen deel en de artikelsgewijze toelichting van artikel 9e, p. 74.↩︎

24. Deze organisaties zijn in het Uitvoeringsbesluit Bankwet 1998 aangewezen.↩︎

25. Het rapport dat dateert van 8 april 2024 is te downloaden via https://www.imf.org/en/Publications/CR/Issues/2024/04/05/Kingdom-of-the-NetherlandsThe-Netherlands-Financial-System-Stability-Assessment-547346.↩︎

26. Zie artikel 9d van de Bankwet 1998.↩︎

27. Deze waarborg komt wel naar voren uit de toelichting maar was niet in de wettekst beland, zie de memorie van toelichting van de Wijzigingswet financiële markten 2015 waarmee hoofdstuk IIb aan de Bankwet 1998 is toegevoegd, Kamerstukken II 2013/14, 33 918, nr. 3, paragraaf 3 van het algemeen deel en de artikelsgewijze toelichting van artikel 9e, p. 74–75.↩︎

28. Zie de memorie van toelichting van de Wijzigingswet financiële markten 2015 waarmee hoofdstuk IIb aan de Bankwet 1998 is toegevoegd, Kamerstukken II 2013/14, 33 918, nr. 3, paragraaf 3 van het algemeen deel.↩︎

29. In de amvb wordt vastgelegd dat de rapportageverplichting ziet op zakelijk vastgoed van rechtspersonen en van personenvennootschappen (maatschap, vennootschap onder firma of commanditaire vennootschap) met uitsluitend rechtspersonen als vennoten.↩︎

30. Afhankelijk van onder meer het inkomensniveau van de leningnemer, het energielabel van de woning en het type rente.↩︎

31. Verordening (EU) 2016/867 van de Europese Centrale Bank van 18 mei 2016 betreffende de verzameling van gedetailleerde kredietgegevens en kredietrisicogegevens (ECB/2016/13).↩︎

32. De artikelen 2:7, tweede lid, en 2:8 komen op grond van de Wet modernisering elektronisch bestuurlijk verkeer in de plaats van artikel 2:15 van de Algemene wet bestuursrecht. De Wet modernisering elektronisch bestuurlijk verkeer zal in werking treden op 1 januari 2026.↩︎

33. Bij hypothecaire leningen voor zakelijk vastgoed speelt dit niet omdat in de amvb wordt vastgelegd dat uitsluitend over zakelijk vastgoed van rechtspersonen of personenvennootschappen met rechtspersonen als vennoten moet worden gerapporteerd.↩︎

34. Het uitvoeren van een Data Protection Impact Assessment (DPIA) is een verplichting die geldt voor projecten, regelgeving en beleid. Deze verplichting vloeit voort uit de AVG.↩︎

35. DNB neem hiernaast allerlei andere technische en organisatorische maatregelen ter passende beveiliging van de gegevens tegen verlies of aantasting en tegen onbevoegde kennisneming, wijziging en verstrekking van die gegevens op grond van de Kaderwet zelfstandige bestuursorganen en specifieke voorschriften voor statistische verwerkingen.↩︎

36. In dit kader is nog relevant te vermelden dat indien gegevens worden gedeeld met het organisatieonderdeel van DNB dat zich bezig houdt met prudentieel toezicht, deze gegevens gelet op de noodzaak van een deugdelijk motivering op zichzelf nooit als voldoende basis voor handhavend optreden kunnen dienen. In geval van signalering van een potentiële overtreding zal te allen tijde onderzoek noodzakelijk zijn in het kader van het toezicht op de desbetreffende onderneming voordat wordt overgegaan op eventuele handhaving in de vorm van formele of informele maatregelen. Het handhavingsbeleid van DNB is hiervoor leidend.↩︎

37. Daarvan is naar verwachting in beginsel sprake bij de statistische taak van DNB op grond waarvan de gegevens zijn verzameld en de statistische taak van het CBS. Ook zijn de taken van de organisatieonderdelen van DNB onderling en die van DNB en de aangewezen internationale organisaties naar verwachting niet-onverenigbaar omdat zij allen samenhangen met de economische en financiële stabiliteit van het stelsel.↩︎

38. Het wetsvoorstel geeft tevens een grondslag voor de verwerking van financiële gegevens m.b.t. verstrekte hypothecaire leningen voor zakelijk vastgoed aan zakelijke klanten (uitsluitend rechtspersonen of personen vennootschappen met rechtspersonen als vennoten). Voor rechtspersonen geldt het recht op zorgvuldige gegevensverwerking en de persoonlijke levenssfeer niet.↩︎

39. Verordening (EU) nr. 575/2013 van het Europees Parlement en de Raad van 26 juni 2013 betreffende prudentiële vereisten voor kredietinstellingen en tot wijziging van Verordening (EU) nr. 648/2012, ofwel de verordening kapitaalvereisten.↩︎

40. Het Solvency II kader wordt gevormd door Richtlijn 2009/138/EG van het Europees Parlement en de Raad van 25 november 2009 betreffende de toegang tot en uitoefening van het verzekerings- en het herverzekeringsbedrijf (Solvabiliteit II), ofwel de richtlijn solvabiliteit II en de gedelegeerde verordening (EU) 2015/35 van de Commissie van 10 oktober 2014 tot aanvulling van Richtlijn 2009/138/EG van het Europees Parlement en de Raad betreffende de toegang tot en uitoefening van het verzekerings- en het herverzekeringsbedrijf ofwel de gedelegeerde verordening Solvabiliteit II.↩︎

41. Richtlijn (EU) 2016/2341 van het Europees Parlement en de Raad van 14 december 2016 betreffende de werkzaamheden van en het toezicht op instellingen voor bedrijfspensioenvoorziening (IBPV’s).↩︎

42. Verordening (EG) Nr. 1073/2013 van de Europese Centrale Bank (d.d. 18 oktober 2013) houdende statistieken betreffende de activa en passiva van beleggingsfondsen (ECB/2013/38).↩︎

43. Verordening (EU) nr. 1073/2013 van de Europese Centrale Bank van 18 oktober 2013 houdende statistieken betreffende de activa en passiva van beleggingsfondsen (ECB/2013/38).↩︎

44. Zie https://www.ecb.europa.eu/ecb-and-you/explainers/tell-me-more/html/anacredit.nl.html#:~:text=AnaCredit%20is%20een%20database%20met,centrale%20banken%20buiten%20het%20eurogebied. En zie de AnaCredit-verordening.↩︎

45. De artikelen 2:7, tweede lid, en 2:8 komen op grond van de Wet modernisering elektronisch bestuurlijk verkeer in de plaats van artikel 2:15 van de Algemene wet bestuursrecht. De Wet modernisering elektronisch bestuurlijk verkeer zal in werking treden op 1 januari 2026.↩︎

46. De uitvoeringstoets van DNB m.b.t. het wetsvoorstel Wet rapportage hypotheekmarkt DNB van 5 december 2024 is gepubliceerd op de wetgevingskalender, zie https://wetgevingskalender.overheid.nl/Regeling/WGK026610.↩︎

47. Zie https://www.internetconsultatie.nl/rapportagehypotheekmarkt/b1.↩︎

48. De NVB noemt gegevens uit de Household survey en gegevens die het CBS onder zich heeft.↩︎

49. Op grond van de uitvraagbevoegdheid opgenomen in artikel 9d van de Bankwet 1998 vraagt DNB private partijen pas in laatste instantie om gegevens en wendt zich eerst tot registraties van «overheids- en semi-overheidspartijen» genoemd in het artikel.↩︎

50. Een risico dat minder vaak voorkomt dan 1 op de 750 huishoudens, komt helemaal niet voor in de surveydata. Fenomenen zoals betalingsachterstanden, die slechts bij 1% tot 2% van de bevolking voorkomen, zouden in de surveydata slechts betrekking hebben op minder dan vijf waarnemingen. Dat is onvoldoende als statistische basis voor betrouwbare analyses.↩︎

51. Er zit meer dan een jaar tussen het uitbrengen van de DHS en het moment waarop de respondenten de inschattingen hebben gedaan. Bovendien wordt de DHS maar eens in de 3 à 4 jaar uitgevoerd.↩︎

52. De rapportageverplichting heeft ook geen overlap met of gevolgen voor de MER/Mesrap rapportage of de fiscale staten.↩︎

53. Voor het onderscheid met het wetsvoorstel Wet toezichtondersteunende rapportage AFM, dat de NVB noemt, en dat juist wel voorziet in een rapportageverplichting waarmee door de AFM datagedreven toezicht gehouden kan worden, wordt verwezen naar paragraaf 3.3 van deze toelichting).↩︎

54. Implementatie van een EU-richtlijn met een extra nationale verplichting of een strengere eis bovenop de Europese normstelling op dat terrein.↩︎

55. De NVB bedoelt hier vermoedelijk de richtlijn kapitaalvereisten die samen met de bijbehorende verordening op het gebied van rapportageverplichtingen m.b.t. prudentiële kapitaaleisen inderdaad maximumharmonisatie betreft. Richtlijn 2013/36/EU van het Europees Parlement en de Raad van 26 juni 2013 betreffende toegang tot het bedrijf van kredietinstellingen en het prudentieel toezicht op kredietinstellingen en beleggingsondernemingen, tot wijziging van Richtlijn 2002/87/EG en tot intrekking van de Richtlijnen 2006/48/EG en 2006/49/EG en Verordening (EU) nr. 575/2013 van het Europees Parlement en de Raad van 26 juni 2013 betreffende prudentiële vereisten voor kredietinstellingen en beleggingsondernemingen en tot wijziging van Verordening (EU) nr. 648/2012.↩︎

56. De NVB vraagt om de relatie met het IReF, de BIRD en een Commissievoorstel over verslaggevingsverplichtingen. Het IReF is een initiatief om de verschillende statistische verplichtingen in één raamwerk te vatten om definities en verplichtingen beter op elkaar te laten aansluiten. Uitgangspunt is minimalisatie van rapportagelasten. Er worden standaarden ontwikkeld voor gegevensverzameling. Zie https://www.ecb.europa.eu/press/pr/date/2024/html/ecb.pr241204~18b9ac26a0.en.html. De uitrol wordt verwacht eind 2029. Zie https://www.ecb.europa.eu/stats/ecb_statistics/reporting/IReF/html/index.en.html.

    De Banks Integrated Reporting Dictionary (BIRD) is een samenwerkingsproject tussen centrale banken van het Europees Stelsel van Centrale Banken en commerciële banken met als doel te ondersteunen bij het voorbereiden van datasets voor rapportageverplichtingen waaraan zij zijn onderworpen. Het helpt banken bij nieuwe Europese statistische, prudentiële of andere rapportageverplichtingen de rapportagevereisten te interpreteren, gegevens uit hun interne systemen halen en de gegevens vervolgens te bewerken tot de gegevens die door de regelgeving worden vereist. Zie https://bird.ecb.europa.eu/cm.

    Het Commissievoorstel over verslaggevingsverplichtingen voorziet in een grondslag om de uitwisseling van toezichtgegevens tussen Europese toezichthoudende autoriteiten (de ESA’s, ESMA, EBA, EIOPA), de ESRB en de bevoegde autoriteiten te verbeteren en de lasten voor de onder toezicht staande entiteiten te verminderen. Zie COM/2–23/593 final, via https://eur-lex.europa.eu/legal-content/NL/ALL/?uri=COM%3A2023%3A593%3AFIN.↩︎

57. Ten opzichte van de huidige uitvraag die wel geldt voor hypothecaire leningen voor woningen buiten Nederland als onderpand betekent dit een lastenverlichting.↩︎

58. Deze gegevens verkrijgt DNB ook in de huidige situatie onder de uitvraagbevoegdheid van de banken op grond van de Commercial Real Estate-uitvraag (CRE) die wordt vervangen door de voorgestelde rapportageverplichting en in omvang flink wordt teruggebracht zodat geen sprake is van lastenverzwaring ten opzichte van de huidige uitvraag. Zie tevens paragraaf 2.5 van deze toelichting.↩︎

59. Hierbij is ook de opmerking van het Verbond meegenomen dat het niet klopt dat de meeste hypothecaire leningen worden verstrekt door banken, nu verzekeraars en pensioenfondsen de meeste lang vast hypothecaire leningen verstrekken. Overigens staat het grootste gedeelte van de uitstaande hypotheekschuld in Nederland nog steeds op de balans van banken.↩︎

60. Voor representatieve statistieken is het noodzakelijk 95% tot 98% van de hypotheekmarkt in beeld te hebben, zie verder paragraaf 2.3 van deze toelichting.↩︎

61. De bewaarstichting is in een dergelijk geval weliswaar de juridische rechthebbende maar heeft niet het economische eigendom, zie WPNR 2024, nr. 7464.↩︎

62. Zie het vierde lid van het voorgestelde artikel 9da van de Bankwet 1998.↩︎

63. De openbare consultatie maakt dat de door HRIF genoemde belangenorganisaties die zich bezig houden met de bescherming van het recht op privacy en gegevensbescherming de mogelijkheid hebben hun standpunten m.b.t. de voorgestelde rapportageverplichting en de uitwerking daarvan naar voren kunnen brengen tijdens de voorbereiding van de regelgeving. Nu genoemde partijen geen verplichte adviesorganen zijn, is er geen verplichting deze partijen te betrekken.↩︎

64. Invoering per 2024 waarvoor het Verbond vreest, is niet aan de orde.↩︎

65. Zie Aanwijzingen voor de regelgeving, aanwijzing 2.19.↩︎

66. Dit volgt uit de voorgestelde artikelen. Zie ook paragraaf 2.6 van deze toelichting.↩︎

67. Zie de Aanwijzingen voor de regelgeving, aanwijzing 2.35.↩︎

68. Idem.↩︎

69. Zie de memorie van toelichting van de Wet modernisering elektronisch bestuurlijk verkeer, Kamerstukken II 2019/19, 35 261, nr. 3, paragraaf 3.↩︎

70. De rapportageverplichting noopt dus niet tot rapportage van gegevens die niet beschikbaar zijn bij de rapportageplichtige partijen of tot uitvragen bij hun klanten.↩︎

71. Zie de memorie van toelichting van de Wijzigingswet financiële markten 2015 waarmee hoofdstuk IIb aan de Bankwet 1998 is toegevoegd, Kamerstukken II 2013/14, 33 918, nr. 3, paragraaf 3 van het algemeen deel en zie de memorie van toelichting van de Wet op het Centraal bureau voor de statistiek, paragraaf 5.5, Kamerstukken II 2013/14, 28 277, nr. 3, p. 22.↩︎

72. Onder verwijzing naar de publicatie van de Raad van State over digitalisering in wetgeving en bestuursrechtspraak, zie https://www.raadvanstate.nl/@125918/publicatie-digitalisering/.↩︎

73. HRIF.EU wijst op de zaken Centrum för Rättvisa v. Sweden (application no. 35252/08) en de zaak Big Brother Watch v. het VK, (application nos. 58170/13, 62322/14 and 24960/15) en het Prokuratuur-arrest. De eerst genoemde zaken gaan over bulkinterceptie van telecommunicatiedata en de eisen die daaraan moeten worden gesteld in relatie tot artikel 8 van het EVRM en het Prokuratuur-arrest ziet op gerichte interceptie van telecommunicatiedata in het kader van de opsporing van strafbare feiten.↩︎

74. De adviesbevoegdheid van de ECB is gebaseerd op artikel 127, vierde lid, en artikel 282, vijfde lid, van het Verdrag betreffende de werking van de Europese Unie en artikel 2, eerste lid, derde, vierde en zesde streepje van Beschikking 98/415/EG1, aangezien het wetsvoorstel betrekking heeft op De Nederlandsche Bank (DNB), het verzamelen, opmaken en verspreiden van monetaire, financiële en bankstatistieken, statistieken betreffende betalingssystemen en betalingsbalansstatistieken en voorschriften voor financiële instellingen, voor zover die wezenlijk van invloed zijn op de stabiliteit van de financiële instellingen en markten.↩︎

75. Zie voor het advies van de ECB van 15 juli 2024 https://eur-lex.europa.eu/legal-content/NL/TXT/PDF/?uri=CELEX:52024AB0025.↩︎

76. Zie IMF Staff Country Reports, «Kingdom of the Netherlands-The Netherlands: Financial System Stability Assessment», 8 april 2024, beschikbaar op de website van het IMF onder: www.imf.org.↩︎

77. Dit in aanvulling op de AVG, op grond waarvan pseudonimisering van dergelijke gegevens het uitgangspunt moet zijn, zie onder meer artikel 32 van de AVG.↩︎

78. Zie voor de taken van DNB, artikel 4 van Bankwet 1998.↩︎

79. Dit met het oog op het tegengaan van regeldruk bij de sector, zodat DNB niet twee maal dezelfde gegevens hoeft uit te vragen. Zie de memorie van toelichting van de Wijzigingswet financiële markten 2015, Kamerstukken II 2013/14, 33 918, nr. 3, paragraaf 3 van het algemeen deel en de artikelsgewijze toelichting van artikel 9e, p. 74.↩︎

80. Anonieme gegevens zijn geen, of niet langer persoonsgegevens en vallen buiten de reikwijdte van de AVG. Anonimiseren maakt anders dan pseudonimiseren herleidbaarheid (zonder onredelijke inspanning) onmogelijk. Zie ook overweging 26 van de AVG.↩︎

81. Zie het persbericht van de AP van 12 december 2024, te vinden via https://www.autoriteitpersoonsgegevens.nl/actueel/wetsvoorstel-over-hypotheekgegevens-moet-scherper-worden-afgebakend.↩︎

82. Er wordt in dit artikel verwezen naar de artikelen 2:7, tweede lid, en 2:8 en niet meer naar artikel 2:15 van de Algemene wet bestuursrecht. Dit gezien de Wet modernisering elektronisch bestuurlijk verkeer die in werking zal treden op 1 januari 2026.↩︎

83. Zie de memorie van toelichting van de Wijzigingswet financiële markten 2015 waarmee hoofdstuk IIb aan de Bankwet 1998 is toegevoegd, Kamerstukken II 2013/14, 33 918, nr. 3, paragraaf 3 van het algemeen deel en de artikelsgewijze toelichting van artikel 9e, p. 74.↩︎

84. Idem.↩︎