Uitspraak 2016-188 (Bindend)

Uitspraak Geschillencommissie Financiële Dienstverlening nr. 2016-188
(prof. mr. M.L. Hendrikse, voorzitter en mr. L.T.A. van Eck, secretaris)

Klacht ontvangen op : 19 juni 2015
Ingesteld door : Consument
Tegen : Coöperatieve Rabobank Walcheren/Noord-Beveland, gevestigd te
Middelburg, verder te noemen de Bank
Datum uitspraak : 22 april 2016
Aard uitspraak : Bindend advies

Samenvatting

Consument vordert dat zijn persoonsgegevens worden verwijderd uit het incidentenregister en het daaraan gekoppelde EVR en de gebeurtenissenadministratie en het daaraan gekoppelde IVR. Zijn persoonsgegevens zijn daarin opgenomen omdat hij zonder toestemming van de leasemaatschappij een geleasde auto heeft verkocht aan een derde. De Commissie overweegt dat de persoonsgegevens van Consument in het incidentenregister, de gebeurtenissenadministratie en het IVR kunnen blijven staan. De bank dient de persoonsgegevens, gelet op de omstandigheden van het geval en op basis van artikel 5.2.1 sub c van het PIFI, wel te verwijderen uit het EVR.
1. Procesverloop

De Commissie beslist met inachtneming van haar reglement en op basis van de volgende stukken:
• het door Consument ondertekende klachtformulier met bijlagen;
• het verweerschrift van de Bank met bijlagen;
• de repliek van Consument;
• de dupliek van de Bank.

De Commissie stelt vast dat partijen haar advies als bindend zullen aanvaarden.

Partijen zijn opgeroepen voor een mondelinge behandeling op 18 december 2015 te Den Haag en zijn aldaar verschenen.
2. Feiten

Bij de beoordeling van de klacht gaat de Commissie uit van de volgende feiten.

2.1 Consument houdt een betaalrekening en een beleggingsrekening bij de Bank aan. Hij heeft bij een dochtermaatschappij van de Bank een overlijdensrisicoverzekering afgesloten. Verder heeft de Bank vijf leningen (van € 187.000,-, € 21.000,-, € 27.000,-, € 235.000,- en € 121.500,-) aan Consument verstrekt. De Bank heeft aan vier (aan Consument gelieerde) ondernemingen rekeningen op creditbasis voor Consument geopend.

2.2 Consument is op 13 maart 2013 met een leasemaatschappij, een zusteronderneming van de Bank, een leaseovereenkomst voor een auto aangegaan. Op de auto rustte een pandrecht ten gunste van de leasemaatschappij. Tijdens de looptijd van de leaseovereenkomst (in december 2013) heeft Consument de auto voor een bedrag van € 19.500,- aan een derde verkocht. De leasemaatschappij heeft op 24 juni 2014 aangifte van verduistering van een geleasede auto gedaan.

2.3 De Bank heeft de privé en zakelijke bancaire relatie met Consument gedeeltelijk opgezegd en Consument op 12 juli 2014 opgenomen in de interne registers (de Gebeurtenissenadministratie en het Interne Verwijzingsregister (hierna: IVR), het Incidentenregister en het Externe Verwijzingsregister (hierna: EVR).
3. Vordering, klacht en verweer

Vordering
3.1 Consument vordert onmiddellijke verwijdering van zijn persoonsgegevens uit de interne registers, het Incidentenregister en het EVR.

Grondslagen en argumenten daarvoor
3.2 Deze vordering steunt, kort en zakelijk weergegeven, op de volgende grondslag. Consument is door een zakelijk conflict in de financiële problemen geraakt. Hij heeft de geleasede auto verkocht om aan zijn maandelijkse verplichtingen te kunnen voldoen. Hij hoopte dat de leasemaatschappij de verkoop niet zou merken. Consument heeft niet de intentie gehad om de leasemaatschappij of de Bank te benadelen. Hij wist dat hij de auto niet mocht verkopen, maar begreep pas later dat hij zich door de verkoop schuldig maakte aan verduistering. Hij heeft de verkoop van de auto aan de Bank gemeld en voorgesteld om het geheel verschuldigde bedrag (in termijnen) aan de leasemaatschappij te voldoen. Consument verwacht een aanzienlijke schadevergoeding (van € 100.000,-) in een zakelijk geschil te ontvangen. Met dit bedrag kan hij de door de leasemaatschappij geleden schade vergoeden. Het is hem niet gelukt deze schade binnen de door de Bank gestelde termijn van eerst vier en later zes maanden te doen. Door met name de opname in het EVR wordt Consument ernstig benadeeld bij het aangaan van een bancaire relatie, zowel in privé aangelegenheden als bij het uitvoeren van werkzaamheden als zelfstandig ondernemer.

Verweer van de Bank
3.3 De Bank heeft, kort en zakelijk weergegeven, de volgende verweren gevoerd. De leasemaatschappij heeft begin 2014 contact gezocht met Consument nadat betalingsachterstanden in de leasetermijnen ontstonden en de tenaamstelling van de auto was gewijzigd. Consument heeft desgevraagd in gesprekken met de Bank (op 13 maart 2014,
21 mei 2014 en 17 oktober 2014) erkend de auto zonder toestemming van de leasemaatschappij te hebben verkocht. Het is dus niet zo dat Consument de verkoop van de auto uit eigen beweging aan de leasemaatschappij heeft gemeld. De Bank heeft Consument voor een periode van acht jaar opgenomen in haar interne registers, het Incidentenregister en het EVR. Consument heeft de door de leasemaatschappij geleden schade (van € 31.985,88) tot op heden niet vergoed.

De betaal- en beleggingsrekening zijn op naam van de echtgenote van Consument gezet. De leningen worden gecontinueerd onder de voorwaarde dat Consument onherroepelijk voldoet aan zijn betalingsverlichtingen naar de Bank en zich inspant de financiering zo snel mogelijk af te lossen dan wel over te sluiten naar een andere geldverstrekker. De overlijdensrisicoverzekering blijft ongewijzigd doorlopen. Voorts zijn de rekening courant verhoudingen met de aan Consument gelieerde ondernemingen opgezegd.
4. Beoordeling

4.1 De klacht van Consument ziet op de opname van zijn persoonsgegevens in de interne registers van de Bank, het Incidentenregister en het EVR. De Commissie zal eerst de opname in het EVR beoordelen en vervolgens ingaan op de opname in het Incidentenregister en de interne registers.

De opname van de persoonsgegevens van Consument in het EVR
4.2 In het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen van 23 oktober 2013 (hierna: het PIFI) is voor zover relevant het volgende bepaald:

“2 Begripsbepalingen
In dit protocol wordt verstaan onder:
(…)
Incident een gebeurtenis die als gevolg heeft, zou kunnen hebben of heeft gehad dat de belangen, integriteit of veiligheid van de cliënten of medewerkers van een Financiële Instelling, de Financiële Instelling zelf of de financiële sector als geheel in het geding zijn of kunnen zijn, zoals het falsificeren van nota’s, identiteitsfraude, skimming, verduistering in dienstbetrekking, phishing en opzettelijke misleiding.
(…)
Organisatie van de Deelnemer de Deelnemer zelf, de dochtermaatschappijen van de Deelnemer (als bedoeld in artikel 2:24a BW) dan wel de groepsmaatschappijen waarmee de Deelnemer in een economische eenheid is verbonden (artikel 2:24a BW). Als ook de bij Rabobank Nederland aangesloten banken.
(…)
4 Incidentenregister
4.1 Doel Incidentenregister
4.1.1 Het geheel aan verwerkingen ten aanzien van het Incidentenregister heeft tot doel het ondersteunen van activiteiten gericht op het waarborgen van de veiligheid en de integriteit van de financiële sector, daaronder mede begrepen (het geheel van) activiteiten die gericht zijn:
– op het onderkennen, voorkomen, onderzoeken en bestrijden van gedragingen die kunnen leiden tot benadeling van de branche waar de financiële instelling deel van uitmaakt, van de economische eenheid (groep) waartoe de financiële instelling behoort, van de financiële instelling zelf, alsmede van haar cliënten en medewerkers;
– op het onderkennen, voorkomen, onderzoeken en bestrijden van oneigenlijk gebruik van producten, diensten en voorzieningen en/of (pogingen) tot strafbare of laakbare gedragingen en/of overtreding van (wettelijke) voorschriften, gericht tegen de branche waar de financiële instelling deel van uitmaakt, de economische eenheid (groep) waartoe de financiële instelling
behoort, de financiële instelling zelf, alsmede haar cliënten en medewerkers;
– op het gebruik van en de deelname aan waarschuwingssystemen.
5 Extern Verwijzingsregister
(…)
5.2 Vastlegging van gegevens in het Extern Verwijzingsregister
5.2.1 De Deelnemer dient de Verwijzingsgegevens van (rechts)personen die aan de hierna onder a en b vermelde criteria voldoen en na toepassing van het onder c genoemde proportionaliteitsbeginsel op te nemen in het Extern Verwijzingsregister.
a. De gedraging(en) van de (rechts)persoon vormden, vormen of kunnen een bedreiging vormen voor (I) de (financiële) belangen van cliënten en/of medewerkers van een Financiële instelling, alsmede de (Organisatie van de) Financiële instelling(en) zelf of (II) de continuïteit en/of de integriteit van de financiële sector.
b. In voldoende mate staat vast dat de betreffende (rechts)persoon betrokken is bij de onder a bedoelde gedraging(en). Deze vaststelling betekent dat van strafbare feiten in principe aangifte of klachten wordt gedaan bij een opsporingsambtenaar.
c. Het proportionaliteitsbeginsel wordt in acht genomen. Dit houdt in dat Veiligheidszaken vaststelt, dat het belang van opname in het Externe Verwijzingsregister prevaleert boven de mogelijk nadelige gevolgen voor de Betrokkene als gevolg van opname van zijn Persoonsgegevens in het Extern Verwijzingsregister.”

4.3 Het incident in verband waarmee de persoonsgegevens van Consument in het EVR zijn opgenomen, betreft het verduisteren van de van de dochtermaatschappij van de Bank geleasede auto (artikel 321 van het Wetboek van Strafrecht). De opname in het EVR is een maatregel met mogelijk verstrekkende gevolgen voor de betrokkene en kan tot gevolg hebben dat niet alleen de betreffende deelnemer (in dit geval de Bank), maar ook andere deelnemers hun (financiële) diensten aan de geregistreerde (in dit geval Consument) weigeren. Er moeten daarom hoge eisen worden gesteld aan de grond(en) van de Bank voor opname in het EVR. Zie onder andere r.o. 5.2 van Geschillencommissie Kifid 2011/146.

4.4 Artikel 5.2.1 onder a en b van het PIFI bepaalt onder welke voorwaarden persoonsgegevens mogen worden opgenomen in het EVR. In voldoende mate moet vaststaan dat de gedraging van de betreffende persoon (het incident) een bedreiging vormt voor de (financiële) belangen van een financiële instelling, alsmede voor de continuïteit en/of integriteit van de financiële sector. Dit houdt in dat de door de Bank gestelde feiten die de registratie dragen een gegronde verdenking moeten vormen van de betrokkenheid van Consument bij het in het EVR opgenomen incident: het verduisteren van de geleasede auto. Zie onder andere r.o. 4.3 van Geschillencommissie Kifid 2015-142 en r.o. 3.5 van Hof Amsterdam 30 november 2010 ECLI:NL:GHAMS:2010:BO7581. Het is niet in geschil dat Consument gedurende de looptijd van het leasecontract de door hem geleasede auto zonder toestemming van de leasemaatschappij heeft verkocht en deze dus heeft verduisterd.

Hieraan doet niet af de stelling die Consument ter zitting heeft ingenomen dat hij in 2013 in ernstige financiële problemen is gekomen en met de op zijn betaalrekening gestorte verkoopopbrengst onder meer de (achterstallige) hypotheektermijnen aan de Bank heeft voldaan. Dit bevestigt dat Consument opzettelijk heeft gehandeld en neemt niet het wederrechtelijke karakter daarvan weg. De Bank heeft zich dan ook terecht op het standpunt gesteld dat sprake was van een gegronde verdenking van verduistering. Door de verduistering van de auto zijn de financiële belangen van de leasemaatschappij (als zustermaatschappij een onderdeel van de organisatie van de Bank, zie de Begripsbepaling van “Organisatie van de Deelnemer in artikel 2 PIFI) geschaad, nu zij geen zekerheidsrecht voor de vordering op Consument meer heeft. Er is dan ook voldaan aan artikel 5.2.1 sub a en b van het PIFI.

4.5 De Bank dient bij een opname in het EVR het onder c van artikel 5.2.1 van het PIFI genoemde proportionaliteitsbeginsel in acht te nemen. Het belang van de Bank en de financiële sector dient daarbij te worden afgewogen tegen de nadelige gevolgen voor Consument. Doel van het PIFI is onder meer de continuïteit en de integriteit van de financiële sector te waarborgen. De dreiging van registratie kan daaraan – al dan niet als preventief middel – een positieve bijdrage leveren, doch alleen indien in betreffende gevallen ook daadwerkelijk tot registratie wordt overgegaan. Desalniettemin kunnen, ook indien aan de voorwaarden voor registratie – zoals omschreven in artikel 5.2.1 sub a en b van het PIFI – is voldaan, de belangen van Consument daardoor dusdanig zwaar worden geraakt dat in het concrete geval registratie achterwege zal moeten blijven. Het is in eerste instantie aan de Bank om die afweging te maken. Consument die verwijdering van een registratie wenst, zal evenwel moeten onderbouwen op grond waarvan hij disproportioneel wordt geraakt in zijn belangen en waarom zijn belang prevaleert boven dat van de Bank.

4.6 Bij bepaalde omstandigheden kan van een EVR registratie worden afgezien of juist daartoe worden overgegaan. Een omstandigheid om af te zien van een EVR registratie is spijtbetuiging van Consument bij confrontatie met de onderzoeksresultaten. Het is niet in geschil dat Consument spijt heeft betuigd op het moment dat de leasemaatschappij hem confronteerde met haar bekendheid met de verkoop, hetgeen de proportionaliteitsafweging in het voordeel van Consument zou doen uitslaan. Een andere omstandigheid om af te zien van een EVR registratie, is het uit eigen beweging doen van melding aan de Bank van de verduistering van de auto. Dat Consument dit daadwerkelijk heeft gedaan, is na betwisting daarvan door de Bank niet voldoende aannemelijk gemaakt. Een laatste omstandigheid die een belangrijke rol speelt bij deze belangenafweging en in deze procedure aan de orde is gekomen, zijn de aanzienlijke gevolgen die de registratie heeft voor de bedrijfsvoering van Consument. Consument is een zelfstandige ondernemer. Hij kan door (met name) de registratie van zijn persoonsgegevens in het EVR geen bankrekening voor zakelijk gebruik openen. Dit terwijl Consument, als zelfstandig ondernemer, voor zijn broodwinning afhankelijk is van een bankrekening voor zakelijk gebruik. Consument kan, ondanks de registratie in het EVR, wel een basis betaalrekening openen. Deze basis betaalrekening is echter, zoals nader omschreven in het Convenant inzake een pakket primaire betaaldiensten, niet bedoeld voor zakelijk gebruik.
De hiervoor omschreven nadelige gevolgen van de externe werking van het EVR voor Consument wegen zwaarder dan de belangen van de Bank en de financiële sector bij registratie van de persoonsgegevens in het EVR. Om deze reden is de Commissie van oordeel dat de proportionaliteitsafweging van artikel 5.2.1 sub c van het PIFI meebrengt dat de persoonsgegevens van Consument niet in het EVR mogen worden geregistreerd. Bij voornoemde afweging is tevens van belang dat Consument niet werkzaam is binnen de financiële sector. Zie r.o. 5.11 van Hof Leeuwarden 7 november 2014 ECLI:NL:GHARL:2014:8710 en Rechtbank Zwolle 26 september 2012 ECLI:NL:RBZLY:2012:BX8370.

De opname van de persoonsgegevens van Consument in het Incidentenregister
4.7 Voorts is aan de orde de vraag of de Bank de persoonsgegevens van Consument heeft mogen registreren in haar Incidentenregister. Zoals hiervoor is gebleken, is de verduistering door Consument een incident in de zin van artikel 2 van het PIFI. Opname van persoonsgegevens betreffende een incident in het Incidentenregister is toegestaan zolang het onderzoek naar het incident loopt (met een maximum van acht jaar) en indien uit dit onderzoek is gevolgd dat voldaan is aan de onder 5.2.1 onder a en b PIFI genoemde vereisten voor opname van de gegevens in het EVR. Zie r.o. Geschillencommissie Kifid
2016-131. Zoals hiervoor is overwogen, is voldaan aan de vereisten van artikel 5.2.1 sub a en b PIFI, nu sprake is van een gegronde verdenking van de betrokkenheid van Consument bij het incident verduistering. De persoonsgegevens van Consument mochten daarom ook na afloop van het incidentenonderzoek in het Incidentenregister blijven staan. Indien de proportionaliteitsafweging van artikel 5.2.1 onder c van het PIFI ertoe aanleiding geeft de persoonsgegevens niet op te nemen in het EVR, betekent dit niet dat deze tevens uit het Incidentenregister verwijderd dienen te worden. Vergelijk r.o. 4.8 Geschillencommissie Kifid 2016-131. Verwijdering van de persoonsgegevens van Consument uit het Incidentenregister kan gerechtvaardigd zijn als de nadelige gevolgen daarvan voor Consument zwaarder wegen dan het belang van de Bank en de financiële sector daarbij en de registratie dus disproportioneel is. Aangezien Consument, ondanks de opname van zijn persoonsgegevens in het Incidentenregister, in beginsel een zakelijke betaalrekening kan openen bij een andere bank en door deze registratie dus niet beperkt wordt in het genereren van inkomsten als zelfstandig ondernemer, is de Commissie van oordeel dat Consument door de registratie van zijn persoonsgegevens in het Incidentenregister niet disproportioneel in zijn belangen wordt geschaad. De registratie van de persoonsgegevens van Consument in het Incidentenregister mag dan ook gehandhaafd blijven.

De opname van de persoonsgegevens van Consument in de interne registers
4.8 Vervolgens zal de Commissie de vraag bespreken of de Bank gerechtigd was de persoonsgegevens van Consument intern te registreren. Op interne registraties is de Gedragscode Verwerking Persoonsgegevens Financiële Instellingen (GVPFI) van toepassing. Ingevolge artikel 4.1 GVPFI worden persoonsgegevens in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze verwerkt. Gegevensverwerking is zorgvuldig, indien de persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verwerkt.

Dit vereiste wordt nader uitgewerkt in artikel 4.3 en artikel 5 GVPFI. Ingevolge artikel 5.5.1 GVPFI kunnen, ten behoeve van de veiligheid en integriteit van de financiële sector, persoonsgegevens die betrekking hebben op (onder meer) gebeurtenissen die de zorg en aandacht behoeven van de financiële instelling, worden opgenomen in de gebeurtenissenadministratie. Het gaat daarbij om zaken die de veiligheid en integriteit van de instelling, diens werknemers, klanten, overige relaties maar ook de financiële sector als geheel (kunnen) raken. Gebeurtenissen kunnen een kleine impact, maar ook grote gevolgen hebben. Het varieert van een klant die een medewerker heeft uitgescholden tot aan de medewerker en zijn eventuele medeplegers die miljoenen hebben verduisterd. Vergelijk de ‘Handreiking ten behoeve van toepassing van interne en externe waarschuwingssystemen conform de bindende zelfregulering voor verzekeraars’ van het Verbond van Verzekeraars, p. 17 en Geschillencommissie Kifid 2016-072 en 2016-138.

4.9 De Commissie is van oordeel dat de Bank de omstandigheid dat Consument de geleasede auto heeft verkocht, als een gebeurtenis in de zin van artikel 5.5.1 GVPFI heeft mogen aanmerken en aldus heeft mogen overgegaan tot interne registratie van de persoonsgegevens van Consument in de gebeurtenissenadministratie en het daaraan gekoppelde IVR.
5. Beslissing

De Commissie beslist dat de Bank de registratie van de persoonsgegevens van Consument:
– in de Gebeurtenissenadministratie en het daaraan gekoppelde IVR, alsmede in het Incidentenregister, kan handhaven;
– uit het EVR dient te verwijderen.

In artikel 5 van het Reglement van de Commissie van Beroep Financiële Dienstverlening is bepaald in welke gevallen beroep openstaat van bindende beslissingen van de Geschillencommissie Financiële Dienstverlening bij de Commissie van Beroep Financiële Dienstverlening. Daarbij geldt een termijn van zes weken na verzending van deze uitspraak. Op de website van Kifid vindt u praktische informatie over het instellen van beroep.