Iets verkopen via Vinted? Daar gaat je privacy

Door een nieuwe richtlijn moeten digitale platforms als Airbnb en Vinted op grote schaal burgerservicenummers (BSN) gaan opslaan. Wat mij betreft een zeer onwenselijke situatie. Daarom schreef ik onderstaand opiniestuk, dat vandaag is gepubliceerd in het landelijke dagblad Trouw.  

Door een nieuwe Europese richtlijn moeten honderden digitale platforms en marketplaces informatie over hun verkopers verzamelen en uitwisselen met de lokale belastingdienst. Het is een nieuwe maatregel tegen belastingontduiking. De richtlijn, DAC7 genaamd, geldt in de hele Europese Unie en wordt per land in de nationale wetgeving opgenomen. Zo ook in Nederland.

De nieuwe richtlijn richt zich op digitale platforms en marketplaces die in Europa actief zijn en waar gebruikers inkomsten genereren. Onder die gebruikers zijn ook veel consumenten. Denk bijvoorbeeld aan mensen die hun woning of auto verhuren, hun diensten via internetplatforms aanbieden of tweedehands kleding verkopen. Iedereen die minstens € 2.000 per jaar aan omzet maakt, krijgt met deze rapportage te maken.

Is de oplossing proportioneel?

Het idee achter de richtlijn is duidelijk, maar is de oplossing proportioneel? Dat is zeer de vraag. De wet lijkt in Nederland zo te worden uitgevoerd dat ons BSN wordt geregistreerd, omdat dat ook het fiscaal nummer van de consument is. Verhuur je je huis via Airbnb (een bedrijf in Ierland en de VS) of verkoop je je tweedehands kleding via Vinted (Litouwen), dan leggen die bedrijven jouw BSN vast. Dat geldt voor honderden platforms in Nederland en Europa, die op grote schaal databases met burgerservicenummers moeten gaan bijhouden. De vraag is of dat overal goed en veilig gebeurt, zeker in deze tijd waarin cybercriminaliteit en identiteitsfraude welig tieren.

In Nederland hechten we altijd veel waarde aan de privacy rond het BSN. Als deze wetgeving er komt, komt die in het gedrang. Het is volkomen onduidelijk waarom deze grootschalige gegevensverzameling nodig is en waarom het principe van dataminimalisatie niet is toegepast. Waarom niet gewoon bankrekeningen vastleggen en verifiëren? Minder makkelijk voor de Belastingdienst, maar miljoenen keren veiliger. En de Autoriteit Persoonsgegevens? Die heeft het beschermen van het BSN blijkbaar ook opgegeven, want ze heeft geen noemenswaardige reactie op het wetsvoorstel gegeven. De wetgeving ging vrij geruisloos door de Kamer en moet vanuit Europees perspectief per 1 januari 2023 in werking treden.