Binance deelt klantgegevens met Moskou, twee jaar na zijn vertrek uit Rusland

Binance leverde Russische opsporingsdiensten in 2025 de identiteitsgegevens en de volledige transactiehistorie van een klant, blijkt uit documenten die Reuters inzag, twee jaar nadat het bedrijf zei uit Rusland te zijn vertrokken.

Dat maakt dit geen cryptoverhaal, maar een verhaal over waar je gegevens juridisch thuishoren. Een leverancier kan een land publiekelijk verlaten en er tegelijk nog steeds data naartoe sturen, omdat de vraag niet is waar het kantoor staat maar welke entiteit jouw gegevens houdt en welke overheid die entiteit kan dwingen. Voor elke Nederlandse organisatie die diensten afneemt van een partij met vestigingen in meerdere rechtsgebieden geldt daarom: de mededeling dat een leverancier ergens vertrokken is, zegt niets over waar klantgegevens alsnog kunnen belanden.

Wat Binance precies afgaf

De zaak draait om Yuri Belenkiy, een 49-jarige IT-specialist met een Russisch paspoort en een Bulgaarse verblijfsvergunning, die sinds 2015 in Bulgarije woont. Hij werd in september 2025 aangehouden op de luchthaven Sjeremetjevo bij Moskou, eerst voor kleine baldadigheid en daarna op verdenking van het financieren van terrorisme. Volgens de onderzoekers maakte hij tussen januari 2023 en maart 2024 in totaal ruim 700 dollar over aan Oekraïense inzamelingsacties, na een oproep van de uitgeweken Kremlincriticus Arkadi Babtsjenko. Het geld ging naar het Oekraïense leger en naar een groep rond het Azov-regiment, dat Moskou als terroristische organisatie aanmerkt.

In oktober 2025 stuurde de Russische Onderzoekscommissie een informatieverzoek naar Binance. Het antwoord kwam van het e-mailadres case@binanceholdings.ru en bevestigde dat Belenkiy de rekeninghouder was. Daarbij zaten zijn geboortedatum, adres, telefoonnummer, paspoortnummer en kopieën van zijn Russische paspoort en zijn Bulgaarse verblijfsvergunning, plus de complete geschiedenis van de rekening vanaf de registratie: saldi, interne overboekingen, stortingen en opnames.

Die levering veranderde de zaak van omvang. De onderzoekers kenden zes transacties; na het antwoord van Binance telde het dossier vijftien transacties, samen goed voor ruim 60.000 roebel. Niet de donaties zelf brachten de negen extra overboekingen aan het licht, maar het rekeningoverzicht van de beurs.

Wat Binance zelf zegt

Binance gaat niet in op de individuele zaak. Het bedrijf stelt dat het de wetten van geen enkel rechtsgebied maakt of handhaaft en dat het, zoals andere wereldwijde financiële instellingen, meewerkt aan rechtmatige informatieverzoeken van opsporingsdiensten, met inachtneming van de geldende juridische, privacy- en regelgevingseisen.

Dat staat op gespannen voet met het beeld dat de beurs zelf naar buiten bracht. Binance verkocht zijn Russische activiteiten in september 2023 aan handelsplatform CommEX met als reden dat opereren in Rusland niet te verenigen was met zijn compliancestrategie. Het informatieverzoek dat wel werd beantwoord, kwam twee jaar na die aankondiging.

De AVG-vraag die open blijft

Of hier Europees recht is geschonden, is niet vastgesteld. Belenkiy had onder de AVG beschermd kunnen zijn als hij bij Binance als EU-inwoner geregistreerd stond, zegt Mike Bystrov, oprichter van adviesbureau Stellar Consulting en oud-jurist bij Binance. Rusland heeft in de ogen van de EU geen passend beschermingsniveau, waardoor doorgifte aan strikte eisen gebonden is. Of Belenkiy zich met zijn Bulgaarse adres registreerde, kon Reuters niet achterhalen. De Bulgaarse privacytoezichthouder reageerde niet, het Europees Comité voor gegevensbescherming wilde niet ingaan op de zaak, en Binance bestrijdt de lezing van Bystrov.

Dat juridische vacuüm is precies waarom dit meer is dan een incident bij één beurs. Een toezichthouder kan pas optreden als duidelijk is welke entiteit welke gegevens onder welk regime verwerkt, en bij een wereldwijd platform is dat zelden op één pagina terug te vinden. Binance worstelt in Europa sowieso met zijn juridische inbedding: het bedrijf beloofde in Europa actief te blijven terwijl het zijn MiCA-vergunningsaanvraag in Griekenland introk.

Waar dit patroon eerder opdook

De Nederlandse Autoriteit Persoonsgegevens legde in mei taxi-app Yango een boete van 100 miljoen euro op omdat gegevens van klanten en chauffeurs naar Russische servers gingen zonder afdoende bescherming. De kern van die zaak was dat contractuele afspraken een buitenlandse overheid niet tegenhouden. De Binance-documenten laten de volgende stap in dezelfde redenering zien: ook een leverancier die zich uit een land heeft teruggetrokken, kan er nog een kanaal naartoe openhouden.

De praktische conclusie ligt bij de inkoopvraag, niet bij de techniek. Bij software waar identiteits- en transactiegegevens doorheen lopen, koop je geen functie maar een jurisdictie. Wie dat vertaalt naar een concrete vraag aan een leverancier, vraagt niet of het bedrijf ergens vertrokken is, maar welke juridische entiteit de gegevens bewaart, welke andere entiteiten in de groep erbij kunnen, en welke autoriteiten daar een verzoek kunnen indienen. Die drie antwoorden horen op papier te staan voordat de handtekening eronder gaat.