Cheney merkt op dat er weinig cijfers met betrekking tot deze vorm van identiteits-diefstal zijn en dat de schattingen hoogst onbetrouwbaar zijn. Desondanks haalt zij een bedrijf aan dat gespecialiseerd is in identiteitsdiefstal, dat de frequentie van fictitious identity fraud hoog inschat. Het zou zo’n 88 procent van alle identiteits-fraudegevallen betreffen en zo’n 73% van het verlies van Amerikaanse bedrijven veroorzaken.
Er worden twee maatregelen voorgesteld, die beide preventief van aard zijn. Naast het attenderen van consumenten op betere bescherming van hun persoonsgegevens wordt genoemd: verbetering van de controle door kredietverstrekkers van aanvragen om leningen, vooral van individuen met een dossier met een summiere betalings-geschiedenis.206
D
EFINITIE6
B:‘P
AYMENT CARD FRAUD’
Payment card fraud wordt omschreven als:-
Payment card fraud (payment fraud) is committed when thieves steal payment cards or the account numbers (i.e. credit or debit card account numbers) of existing financial accounts and use them to purchase goods and services.207
Analyse
Een persoon
Een persoon wordt niet expliciet genoemd, maar het gaat uiteraard om een credit-cardhouder. Omdat er van dieven wordt gesproken, gaat Cheney er kennelijk vanuit dat zonder toestemming van de creditcardhouder diens identificatiemiddelen worden verkregen.
Identificatiemiddel en identiteit
De volgende identificatiemiddelen worden genoemd: betaalkaarten en kaartrekening-nummers. Deze vallen onder gegevensdragers (anders dan documenten) en gegevens. Cheney schetst hoe deze identificatiemiddelen afhankelijk van de context kunnen worden ingezet: de betaalkaartfraudeur kan de plastic kaart in een ‘in-person’ transactie gebruiken en de kaartgegevens gebruiken in ‘card-not-present’ omgevingen, zoals internet.
Handeling met betrekking tot identificatiemiddelen
In de omschrijving wordt stelen als gedraging met betrekking tot de identificatie-middelen genoemd.
Vervolggedraging
De vervolggedraging wordt omschreven als het gebruiken om goederen en diensten te verkrijgen. Dit wordt blijkens de benaming als fraude wordt aangeduid.
206
Ibid. p.6.
207
105
Horizontale verhouding
Omdat de creditcardfraude bedoeld is om goederen en diensten te verkrijgen is deze vorm van identiteitsfraude waarschijnlijk beperkt tot horizontale verhoudingen.
Kwantitatieve gegevens
In 2004 betekende deze vorm van identiteitsfraude een financieel verlies van $788.3 voor creditcardverstrekkers. Cheney merkt verder op dat de directe financiële schade voor de creditcardhouder erg meevalt. Zij meldt namelijk dat de frauduleuze
handelingen doorgaans beperkt zullen zijn tot een enkele rekening met slechts enkele transacties, voordat het ontdekt wordt en de rekening geblokkeerd wordt. Deze inschatting van de zeer beperkte gevolgen voor de consument, plaatst de omvang van het probleem van identiteitsfraude in perspectief: ook al is creditcardfraude een omvangrijk probleem, de (directe financiële) schade voor de consument zou erg meevallen.
Maatregelen
Naast de gevraagde alertheid van de consumenten om hun afrekeningen vaker te raadplegen, wordt vermeld dat de betaalkaartindustrie technische maatregelen in de vorm van software heeft genomen om betaalgedrag te monitoren en zo
ongebruikelijke transacties op te sporen. Reparatoire maatregelen van juridische aard bestaan uit maatregelen die de aansprakelijkheid van de consument beperken.208
D
EFINITIE6
C:‘A
CCOUNT TAKEOVER FRAUD’
Account takeover fraud wordt door Cheney omschreven als:-
Account takeover fraud establishes control over an existing financial account – either a deposit or credit account – without the authority of the legitimate account holder. To take over an account, thieves acquire consumers’ information (…). Unlike payment fraud (…) account takeover fraud is more intrusive: The thieves attempt to steal the entire balance in a consumer’s demand deposit account or to access the full credit line associated with a consumer’s credit account.209
Analyse
Een persoon
Er moet zonder de ‘authority’ van de legitieme (bestaande) rekeninghouder zijn gehandeld.
Identificatiemiddelen en identiteit
De omschrijving van een (of meer) identificatiemiddel(en) wordt aangeduid als de informatie van de consument. Er wordt niet nader ingegaan op het begrip identiteit. Handeling met betrekking tot identificatiemiddelen
Er wordt in de omschrijving slechts aangegeven dat dieven de informatie van de consument verwerven. In de toelichting wordt vermeld dat Account takeover fraud meer voorkomt naarmate internetbankieren toeneemt. De manieren om persoonlijke
208
Ibid., p. 7-8.
209
106
informatie te verkrijgen zijn daardoor namelijk toegenomen. Hierbij kan worden gedacht aan: phishing, keystroke-logging en andere spyware.210
Vervolggedraging
De vervolggedraging is fraude en wordt in de omschrijving gespecificeerd als het controleren van een bestaande rekening bestaande uit het stelen van de gehele rekening of het benutten van de maximale kredietruimte. Cheney licht toe wat de criminele methode ten aanzien van een deposit-account (een spaarrekening) is: het zo snel mogelijk leeg te halen, voordat het ontdekt wordt. De methode met betrekking tot een credit-account is het benutten van de maximale kredietruimte. Daarbij wordt ontdekking door de rechtmatige creditcardhouder vaak vertraagd door een verhuis-bericht te sturen naar de creditcardmaatschappij, zodat de afschriften niet onder ogen van het slachtoffer komen en door vervolgens een vervangende of extra kaart aan te vragen.211
Horizontale verhouding
Ook deze vorm van financiële identiteitsfraude speelt zich af in horizontale verhoudingen.
Maatregelen
Cheney meldt dat preventieve maatregelen van technologische aard door diverse betrokkenen wordt aanbevolen. Men denkt dan aan verbetering van de autentificatie technieken om toegang te krijgen tot de rekening, zoals ‘two-factor’ autentificatie-technieken en biometrie. Opgemerkt wordt echter, dat hierover door de stakeholders geen algemene overeenstemming is bereikt. Juridische maatregelen met een
preventief karakter bestaan onder meer uit de procedureregels rond verhuisberichten, zoals opgenomen in de FACTA. Maatregelen om het probleem te beheersen bestaan uit onder meer de instelling van limieten wat betreft de dagelijkse opname van geld door consumenten, genomen op initiatief van de banken. Tevens geldt er op grond van federale wetgeving een beperkte aansprakelijkheid voor consumenten.212
D
EFINITIE6
D:‘T
RUE NAME FRAUD’
True name fraud is:-
True name fraud is the wholesale assumption of another person’s identity in an effort to gain access to new credit. In this case, identity thieves steal personal information – such as name, address and Social Security Number – that allows them to use the victim’s credit record when applying for new loans. As such, these identity thieves create access to new credit facilities, unbeknownst to the real consumer. (…) As part of the criminal pattern, the identity thief will submit contact information for the fraudulent accounts that are not, and have never been, associated by the real
consumer. Therefore, the victim never receives communications, such as statements, that would indicate the existence of these accounts and the incidence of fraud. Often, true name identity theft involves creating multiple credit accounts in the name of the victim, and the thief fully draws on them before busting out. (…) As a result, this form of identity theft incurs not only direct financial losses for its victims but also
210 Ibid., p.10-11. 211 Ibid., p. 10. 212 Ibid., p.12.
107
other damaging effects, such as deterioration in credit scores, higher interest rates, and an inability to access new loans (e.g. a mortgage.).213
Analyse
Deze meest ernstige vorm van identiteitsfraude krijgt veel aandacht in de Verenigde Staten. Het lijkt erop dat deze vorm als prototype van identiteitsfraude wordt gezien. Zo noemt stelt LoPucki in een artikel onder het kopje ‘Prototypical Theft of Identity’:-
Identity thieves typically obtain money by borrowing it. The most prevalent type of identity theft is ‘true name theft’.214
Op deze vorm past misschien nog het beste de term identiteitsdiefstal, omdat iemands identiteit kennelijk geheel wordt overgenomen.
Een persoon
Uit de omschrijving blijkt dat bij deze vorm van identiteitsfraude niet alleen
identificatiemiddelen van een ander persoon worden gemanipuleerd, maar dat diens identiteit in sterke mate wordt gecompromitteerd: het gaat in zekere zin om het over-nemen van de identiteit van een andere persoon, zonder dat de persoon dit weet of kan weten. De gevolgen voor deze andere persoon kunnen ernstig zijn.
Identificatiemiddelen en identiteit
De identificatiemiddelen die worden genoemd zijn gegevens. Het lijkt erop dat er niet volstaan kan worden met één gegeven om deze ernstige vorm van identiteitsfraude te plegen. In ieder geval worden meerdere identificatiemiddelen opgesomd. De
genoemde identificatiemiddelen – naam, adres en SSN – zijn gemakkelijk
toegankelijk. Er lijkt bovendien een nieuwe dimensie van identiteit te worden belicht: de goede naam of reputatie, zoals blijkt uit het kredietrapport. Dit kan ook als
profielinformatie worden opgevat.215
Handeling met betrekking tot identificatiemiddelen
Er wordt als gedraging slechts genoemd het stelen van persoonlijke informatie. Vervolghandelingen
In de omschrijving worden meerdere vervolghandelingen genoemd, die als crimineel patroon worden aangeduid. Het betreft vaak het aanvragen van meerdere nieuwe leningen in naam van een andere persoon en het volledig benutten van deze kredieten, waarbij de ontdekking van deze vorm van fraude uitgesteld wordt door
contact-informatie op te geven, die niet geassocieerd wordt met het slachtoffer. De gevolgen voor het slachtoffer zijn ernstig en niet gemakkelijk te herstellen, mede omdat er doorgaans enige tijd overheen gaat voordat het wordt ontdekt en het slachtoffer moet bewijzen dat hij de rekeningen niet heeft geopend.
Horizontale verhouding
Omdat True Name Fraud zich voordoet in sfeer van de financiële dienstverlening, vindt het plaats in horizontale verhoudingen.
213 Ibid., p. 13-14. 214 LoPucki, t.a.p., p. 102. 215 Profielinformatie, zie § 2.2.
108
Kwantitatieve gegevens
Cheney verwijst hiervoor naar het ‘Identity Theft Survey Report’van de FTC uit 2003. Daaruit zou blijken dat over het voorgaande jaar de financiële schade in verband met het openen van nieuwe rekening geschat wordt op $ 32.9 miljard verlies voor het bedrijfsleven en $ 3.8 miljard verlies voor consumenten. Verder wordt vermeld dat True name fraud grofweg eenderde van alle slachtoffers van identiteits-diefstal treft, maar dat het om tweederde van alle financiële kosten gaat. Bovendien zijn slachtoffers met het herstel van het probleem ook de meeste tijd kwijt: 60 uur.216
Maatregelen
Cheney meent dat deze vorm van fraude op twee manieren tegengegaan moet worden. Kredietverleners moeten betere verificatiemethoden bij de aanvraag van nieuwe rekeningen hanteren en consumenten moeten een manier hebben om te controleren of er nieuwe rekeningen in hun naam zijn geopend en opgenomen in hun
krediet-waardigheidsrapport. Cheney meent dat de slachtoffervoorzieningen in de FACTA/ FCRA hier gedeeltelijk in voorzien. Daarbij denkt zij aan het verkrijgen van een gratis kopie van een kredietwaardigheidsrapport per jaar, het plaatsen van een ‘fraud alert’ en het blokkeren van rekeningen.217
4.11. D
EFINITIE7:‘I
DENTITEITSDIEFSTAL ALS VOORTGEZETTEHANDELING
’ (S
OLOVE)
Hieronder volgen twee omschrijvingen van Solove, die in samenhang bezien, identiteitsdiefstal karakteriseren en onderscheiden van creditcard fraude.-
Identity theft is not the same as ordinary credit card fraud, where a thief steals and uses a person’s credit card. In identity theft, the culprit obtains personal information and uses it in a variety of fraudulent ways to impersonate the victim. The thief obtains personal information from database companies and public records, or by stealing wallets, pilfering mail, or rooting through thrash to find data and discarded documents.218
The victim cannot readily recover the personal information the way stolen property can be recovered. The victim must constantly defend against the identity thief’s next move. Even after the victim cleans up her credit reports, if the identity thief remains at large, there may be further pollution. This is another way in which identity theft differs from credit card fraud or the theft of an ATM card or access card. Once the card is cancelled, the crime ends. With identity theft, the crime can continue, for personal information works like an ‘access card’ that cannot be readily deactivated.219
Analyse
Deze omschrijving van identiteitsdiefstal lijkt neer te komen op ‘true name fraud’, die als de meest ernstige vorm van financiële identiteitsdiefstal volgens Cheney, is opgenomen als omschrijving 6d in par. 4.10. Terwijl Cheney ‘Payment Card Fraud’ (zie 6b in par. 4.10) als minder ernstige variant van fraude nog wel rekent tot identiteitsdiefstal, sluit Solove dat echter van de omschrijving van identiteitsdiefstal
216
Cheney, ta.p., p.14.
217
Ibid., p. 15. LoPucki, die een vergelijkbare omschrijving van identiteitsdiefstal hanteert, legt echter de nadruk op de eerste soort maatregel: een betere identificatie en verificatie. LoPucki, t.a.p., p. 114 e.v.
218
D.J.Solove, t.a.p., p. 16.
219
109
uit. Solove denkt niet in gradaties van identiteitsdiefstal, maar acht het typerend voor identiteitsdiefstal, dat er – in de sfeer van vervolggedragingen - op gevarieerde wijze gefraudeerd wordt met identificatiemiddelen van een ander, dat herstel van
gecompromitteerde identiteitsgegevens – in krediet rapporten - moeilijk is en dat de misdaad kan voortduren. Credit card fraude (of payment card fraud) kent kennelijk deze variaties van fraude niet en de misdaad kan gemakkelijk(er) beëindigd worden. Hieronder worden als verdere analysekader alleen de items behandeld die een nieuw element bevatten.
Identiteit
In andere omschrijvingen van identiteitsfraude wordt de functie van persoonlijke gegevens vaak aangeduid als identificatiemiddelen of identificerende informatie etc. Deze benamingen belichten vooral de functie van het vaststellen of een bepaalde persoon rechten of plichten heeft. Dit vaststellen gebeurt door anderen. In genoemde omschrijving wordt de vaststellingsfunctie overgeslagen en de functie van toegang tot goederen en diensten geaccentueerd: ‘personal information works like an “access card” that cannot readily be deactivated’.220
Handeling met betrekking tot identificatiemiddelen
Persoonlijke informatie kan zowel wederrechtelijk (door diefstal), rechtmatig (uit openbare bestanden en afval) worden verkregen.
Maatregelen
Solove gaat er van uit dat identiteitsdiefstal in de hand wordt gewerkt door de
Amerikaanse ‘architectuur’ van persoonsgegevens. Hij staat een nieuwe ‘architectuur’ voor die uitgaat van participatie en verantwoordelijkheid. Met participatie bedoelt hij dat mensen beter geïnformeerd worden over het verzamelen en gebruik van hun persoonlijke informatie. Met verantwoordelijkheid heeft hij het over een grotere verantwoordelijkheid van organisaties ten opzichte van mensen ten aanzien van het verzamelen, beheren en verspreiden van (correcte) informatie. Hiertoe behoren het beveiligen van persoonlijke informatie en het op de hoogte stellen van inbreuken op databestanden. Solove stelt dus een preventief privacy beleid voor.
4.12.D
EFINITIE8:‘D
E OVERKOEPELENDE TERM VANP
ERL’
De hiervoor besproken omschrijvingen uit de wetenschappelijke literatuur beperken zich tot identiteitsfraude met een financieel motief. Perl doet dat nadrukkelijk niet. Hij geeft een brede omschrijving, om vervolgens drie deelomschrijvingen te geven. Deze drie deelomschrijvingen zijn: financiële en niet-financiële identiteitsfraude, alsmede ‘criminal record fraud’ De laatste twee deelomschrijvingen worden weergegeven en geanalyseerd als 8a en 8b. Financiële identiteitsfraude wordt niet afzonderlijk weergegeven, omdat deze nauwelijks iets nieuws toevoegt aan voorgaande omschrijvingen. De brede omschrijving luidt:-
Identity theft is ‘the theft of identity information such as name, date of birth, Social Security Number, … credit card number’ or any other personal identification information in order to obtain ‘loans in the victim’s name, steal money from the victim’s bank accounts, illegally secure professional licenses, drivers licenses, and
220
110
birth certificates’ or other unauthorized use of the victim’s personal information for financial or other activity.221
Analyse
Een persoon
In het analysekader, zoals opgenomen in par. 2.4 wordt bij de item ‘Een persoon?’ verondersteld dat de bescherming van een bestaande natuurlijke en rechtspersoon als slachtoffer een reden kan zijn voor het in een omschrijving opnemen van een persoon wiens identificatiemiddelen zonder diens toestemming worden gemanipuleerd. In de omschrijving van Perl wordt echter geen neutrale aanduiding ‘persoon’ gehanteerd; er wordt gesproken van slachtoffer. Diens identificatiemiddelen moet worden gestolen en ‘unauthorized’ worden gebruikt.
Identificatiemiddelen en identiteit
De omschrijving van Perl bestaat voor een deel uit citaten. Dat verklaart
waarschijnlijk waarom er eerst gesproken wordt van ‘identity information’, waarvan enkele genoemd worden, en vervolgens van: ‘any other personal identification information’. In beide gevallen gaat het om informatie, dus om gegevens en één gegeven lijkt voldoende voor identiteitsdiefstal. Het begrip identiteit wordt niet nader belicht.
Handeling met betrekking tot identificatiemiddelen
Er wordt slechts gesproken van diefstal van identificatiemiddelen. In het artikel van Perl volgt echter een paragraaf over de methoden waarmee identificatiemiddelen worden verkregen. Er worden de klassieke methoden genoemd, zoals het doorzoeken van vuilnis naar gegevens en het stelen van post, het ontfutselen van informatie van het slachtoffer via de telefoon door zich een bepaalde hoedanigheid aan te meten, het meekijken over de schouder van het slachtoffer in een winkel om diens naam en SSN te weten te komen. Daarnaast worden skimming en de mogelijkheden van internet technologie genoemd. Er worden dus wederrechtelijke en rechtmatige methoden van verkrijgen van identificatiemiddelen genoemd. Verrassend is dat er gewezen wordt op het misbruik maken van een ‘inside job’, waarbij gebruik gemaakt wordt van
informatie van personen (in databestanden) die beschikbaar is in de werkomgeving. Perl merkt naar aanleiding hiervan op dat door deze methode de alertheid van de consument nooit voldoende zal zijn om identiteitsfraude te voorkomen en bovendien kan resulteren in identiteitsfraude op grote schaal.222
Vervolggedraging
De vervolggedraging hoeft niet voltooid te zijn; er hoeft slechts het motief te zijn van een of andere vorm van onbevoegd gebruik van identificatiemiddelen van het slacht-offer. Daarbij doet het er niet toe of het motief is ingegeven door financiële of andere redenen. Onder de genoemde vormen van onbevoegd gebruik worden voorbeelden gegeven van het valselijk doen opmaken van documenten.
221
M.W. Perl, It’s not always about the money: why the state identity theft laws fail to adequately address criminal record identity theft, The Journal of Criminal Law & Criminology, Vol. 94, No. 1, 2003, p.173.
222
111
Horizontaal en verticaal
Uit de voorbeelden die worden gegeven van ongeautoriseerd gebruik, blijkt dat de omschrijving van toepassing is op horizontale en verticale verhoudingen. Tot slot: omdat Perl het probleem van identiteitsfraude in de strafrechtsketen centraal stelt in zijn artikel, ontbreken maatregelen bij de overkoepelende omschrijving. Ook geeft hij geen nieuwe cijfers.