Toegang tot cryptogegevens in strafrechtelijk onderzoek: het Aanvullend Protocol bij de Warschau-conventie

Op 22 en 23 september 2026 kwamen in Straatsburg opsporings-, vervolgings- en rechterlijke autoriteiten uit de lidstaten van de Raad van Europa bijeen voor een rondetafel over crypto-assets en DeFi bij witwassen, terrorismefinanciering en andere vormen van financieel-economische criminaliteit. De bijeenkomst werd georganiseerd door de Economic Crime and Cooperation Division (ECCD) van de Raad van Europa. Zo'n praktijkuitwisseling verandert het strafrecht niet. Wat wel interessant is, staat in de slotalinea van het persbericht: de verwijzing naar het recent aangenomen Aanvullend Protocol bij de Warschau-conventie.

Crypto en DeFi in strafrechtelijk onderzoek

Crypto-assets laten zich gebruiken om criminele opbrengsten te verhullen, om geld snel over grenzen te verplaatsen en om transnationale netwerken te bedienen. Het misbruik raakt aan cybercrime, informele waardeoverdrachtsystemen, sanctieontwijking en terrorismefinanciering.

DeFi voegt daar een eigen laag aan toe. Toegang zonder poortwachter, geautomatiseerde transacties en het ontbreken van klassieke tussenpersonen maken het lastig om te bepalen wie er achter een transactie zit, welke rechtsmacht geldt, waar de assets naartoe stromen en hoe je betrouwbaar bewijs veiligstelt. Voor rechters en officieren komt daar de opgave bij om complex digitaal bewijs in een strafzaak te beoordelen en te presenteren. Expertise en middelen zijn ongelijk verdeeld over de lidstaten, en autoriteiten moeten bovendien de kosten, transparantie en betrouwbaarheid van blockchain-analysetools tegen elkaar afwegen.

De rondetafel ging over de vraag hoe onderzoeks-, vervolgings- en rechtssystemen zich hierop kunnen aanpassen: grensoverschrijdende samenwerking versterken, betere toegang tot relevante informatie, en het verzamelen, bewaren en gebruiken van digitaal bewijs.

Het Aanvullend Protocol bij CETS 198

De samenwerking krijgt een juridische basis in het Aanvullend Protocol bij het Verdrag van de Raad van Europa inzake het witwassen, de opsporing, de inbeslagneming en de confiscatie van opbrengsten van misdrijven en de financiering van terrorisme, beter bekend als de Warschau-conventie (CETS nr. 198, aangenomen op 16 mei 2005).

Het Comité van Ministers van de Raad van Europa nam het Protocol aan op 15 mei 2026 en besloot het op 14 oktober 2026 open te stellen voor ondertekening. Het Protocol treedt in werking op de eerste dag van de maand na een periode van drie maanden nadat vijf ondertekenaars, waaronder ten minste drie lidstaten van de Raad van Europa, zich eraan gebonden hebben verklaard.

Het Protocol moderniseert de Warschau-conventie en bevat onder meer bepalingen over confiscatiemaatregelen, onderzoeks- en voorlopige maatregelen, financiële inlichtingeneenheden (FIU's), de instelling van asset recovery offices, vermogensbeheer, beginselen van internationale samenwerking, onderzoeksbijstand, en waarborgen en rechtsmiddelen voor personen die door de maatregelen worden geraakt.

Voor de cryptopraktijk is één functie bepalend: het Protocol maakt de toegang van bevoegde autoriteiten tot gegevens bij aanbieders van cryptodiensten (virtual asset service providers, VASP's) eenvoudiger. Daarnaast regelt het onder meer de bevoegdheid van FIU's om verdachte transacties op te schorten en de internationale samenwerking daarover, en de mogelijkheid om gezamenlijke onderzoeksteams op te zetten voor het terugvorderen van vermogen dat vatbaar is voor confiscatie (artikel 23 van het Protocol).

De Europese Unie ondertekende de Warschau-conventie al op 2 april 2009 maar ratificeerde die nog niet. Op 13 juli 2026 stelde de Europese Commissie voor dat de Raad haar machtigt het Protocol namens de Unie te ondertekenen (COM(2026) 367 final).

Het advies van de EDPS

De Europese Toezichthouder voor gegevensbescherming (EDPS) bracht op 10 september 2026 advies 23/2026 uit over het Commissievoorstel. Hij steunt het voorstel, met voorbehoud.

De EDPS erkent dat georganiseerde en financiële criminaliteit een reële bedreiging vormt en dat het ontnemen van crimineel vermogen daartegen essentieel is. Positief noemt hij dat het Protocol de partijen verplicht de toepasselijke gegevensbeschermingsregels na te leven en waarborgen in te richten, en dat artikel 19, derde lid, een partij toestaat doorgifte van persoonsgegevens te weigeren wanneer die niet in overeenstemming met het eigen recht kan plaatsvinden, of wanneer de ontvangende partij niet gebonden is aan Verdrag 108+ zonder gelijkwaardige bescherming toe te zeggen.

Het voorbehoud zit in de doorgifte naar derde landen. De EDPS wijst erop dat de Warschau-conventie en het Protocol wel een rechtsgrond voor verwerking kunnen bieden, maar niet de passende waarborgen die nodig zijn om als grondslag voor internationale doorgifte te dienen in de zin van artikel 46, tweede lid, onder a, AVG (en de overeenkomstige bepalingen in de EUDPR en de Richtlijn gegevensbescherming opsporing). Wie gegevens naar een derde land wil doorgeven, moet dus altijd een afzonderlijke grondslag onder Hoofdstuk V vinden. De EDPS herinnert er ook aan dat uitwisseling van persoonsgegevens binnen een gezamenlijk onderzoeksteam met autoriteiten van derde landen een doorgifte blijft en aan dezelfde eisen moet voldoen. Zijn concrete aanbeveling: laat de EU en de lidstaten de verklaring van artikel 19, vijfde lid, afleggen, zodat doorgegeven gegevens niet zonder voorafgaande toestemming voor andere doeleinden worden gebruikt.

De EDPS verwijst daarbij naar vaste rechtspraak: doorgifte naar een derde land mag alleen als dat land een bescherming biedt die in wezen gelijkwaardig is aan die binnen de Unie (HvJ EU 26 juli 2017, advies 1/15, ECLI:EU:C:2017:592, PNR Canada, punt 214). Ook wijst hij op EHRM 8 januari 2026, Ferrieri en Bonassisa/Italië, waarin het Hof een schending van artikel 8 EVRM aannam omdat het nationale kader de autoriteiten bij toegang tot bankgegevens onbegrensde beoordelingsruimte liet zonder rechterlijke of onafhankelijke toetsing.

Wat dit betekent voor de strafrechtpraktijk

Als het Protocol de drempel voor grensoverschrijdende toegang tot VASP-gegevens verlaagt, verschuift de discussie in de zittingszaal. Niet langer alleen naar de vraag of gegevens verkregen konden worden, maar naar de vraag onder welke voorwaarden ze zijn doorgegeven en of de doorgifte-eisen van Hoofdstuk V zijn nageleefd. Het spanningsveld tussen effectieve asset recovery en de eisen van artikel 8 EVRM en de artikelen 7, 8 en 52 van het Handvest wordt daarmee een terugkerend verweer.

Het openstellen voor ondertekening op 14 oktober 2026 is het volgende ijkpunt. Daarna bepalen ratificaties het tempo waarin het Protocol in werking treedt en de nationale wetgever aan zet komt.