De afgifte van klantinformatie door Binance aan de Russische autoriteiten onderstreept het standpunt van de beurs dat zij bij het reageren op rechtmatige verzoeken van opsporingsdiensten een mondiaal compliancekader hanteert, ongeacht de betrokken jurisdictie. De zaak, waarover Reuters berichtte, illustreert de spanning tussen samenwerking met opsporingsdiensten en gegevensbeschermingsverplichtingen waarmee mondiale beurzen moeten navigeren — een spanning die is aangescherpt door de terugtrekking van Binance uit de Russische markt in 2023 en de grootschalige herziening van het compliancebeleid die volgde op de Amerikaanse schikking. Het dilemma is niet uniek voor Binance: onder de anti-witwasnormen van de Financial Action Task Force wordt van bedrijven in virtuele activa verwacht dat zij vergunning hebben, onder toezicht staan en meewerken met autoriteiten in de jurisdicties waar zij actief zijn, ook al blijven zij gebonden aan de privacywetgeving van de landen waar hun gebruikers wonen.

De Belenkiy-zaak

Volgens Reuters heeft Binance Russische onderzoekers persoonlijke gegevens en transactiegegevens overhandigd van Yuri Belenkiy, een Russische IT-specialist die ervan wordt beschuldigd meer dan 700 dollar aan cryptocurrency te hebben verzonden naar het Oekraïense leger en de Azov-brigade, ook wel het Azov-regiment genoemd — een eenheid die Moskou als terroristische organisatie bestempelt.

Binance liet weten wereldwijd samen te werken met opsporingsdiensten, onder voorbehoud van de toepasselijke wettelijke, privacy- en regelgevingsvereisten. Het huidige privacybeleid van de beurs laat op vergelijkbare wijze afgifte van klantinformatie toe naar aanleiding van juridisch geldige verzoeken van opsporings- en toezichthoudende diensten, met de vereiste dat een dergelijke afgifte voldoet aan de toepasselijke gegevensbeschermingswetten en een interne juridische toets doorstaat.

Exit uit Rusland, niet uit verplichtingen

De zaak is opvallend omdat Binance in 2023 een volledige exit uit Rusland aankondigde, met de mededeling dat het opereren in het land niet verenigbaar was met de compliancestrategie van de beurs. Die exit vond plaats in de vorm van een verkoop van de Russische activiteiten van Binance aan een platform genaamd CommEX, aangekondigd in september 2023; CommEX is vervolgens opgehouden te bestaan. De terugtrekking betekent niet per se dat de beurs haar complianceverplichtingen jegens de Russische autoriteiten heeft laten varen.

De zaak belicht juist de bredere aanpak van Binance: compliance-eisen worden over jurisdicties heen toegepast, waarbij klantinformatie mogelijk wordt gedeeld wanneer de beurs oordeelt dat een verzoek voldoet aan de toepasselijke wettelijke en regelgevingsnormen.

Compliance-hervorming na de schikking

Het complianceregime van Binance heeft sinds de schikking met de Amerikaanse autoriteiten in november 2023 een grote herziening ondergaan. In het kader van die schikking bekende de beurs zich schuldig aan overtredingen van anti-witwasregels en Amerikaanse sanctievorschriften en trad oprichter-CEO Changpeng Zhao af. De schikking omvatte een boete van 4,3 miljard dollar, versterkte anti-witwascontroles en een onafhankelijke monitoring van vijf jaar.

De Amerikaanse autoriteiten zeiden dat de hervormingen onder meer sterkere sanctiecontroles, speciaal toegewijde teams voor wetshandhaving en uitgebreide compliance-middelen hebben opgeleverd.

Overwegingen rond gegevensbescherming in de EU

Een op cryptoregulering gespecialiseerd advocaat zei tegen Reuters dat Binance mogelijk beperkingen zou hebben ondervonden onder Europese gegevensbeschermingsregels indien Belenkiy was ingeschreven als EU-bewoner. Rusland wordt onder het EU-recht niet geacht een adequaat niveau van bescherming van persoonsgegevens te bieden, en de Algemene verordening gegevensbescherming van de unie staat doorgiften naar dergelijke landen alleen toe onder strikte waarborgen of nauw omschreven uitzonderingen — de juridische achtergrond waartegen beurzen verzoeken uit niet-adequate jurisdicties moeten afwegen.

De kernvraag

Tegen deze achtergrond is de kernvraag in de Russische zaak niet of Binance in verschillende landen verschillende compliancenormen volgt, maar of de specifieke afgifte voldeed aan de met elkaar concurrerende wettelijke vereisten die gelden voor samenwerking met opsporingsdiensten en gegevensbescherming. Die vraag heeft aan gewicht gewonnen nu de verordening Markets in Crypto-Assets van de EU, waarvan de regels voor aanbieders van crypto-activadiensten eind 2024 volledig in werking traden, de beurzen onder een geharmoniseerd Europees regime heeft gebracht — een regime waarvoor Binance sindsdien een autorisatie heeft verkregen.

Binance heeft geweigerd te reageren op de individuele zaak, met de mededeling dat de beurs geen vertrouwelijke verzoeken van opsporingsdiensten bespreekt. Voor Binance illustreert de episode het kader dat de beurs na haar Amerikaanse schikking heeft herbouwd: een kader waaronder zij naar eigen zeggen rechtmatige verzoeken honoreert, waar ter wereld ze ook vandaan komen, terwijl de details van individuele zaken vertrouwelijk blijven.