Uitspraak 2016-495

Uitspraak Geschillencommissie Financiële Dienstverlening, nr. 2016-495
(prof. mr. M.L. Hendrikse, voorzitter en mr. A. Kanhai, secretaris)

Klacht ontvangen op : 27 mei 2015
Ingediend door : Consument
Tegen : ING Bank N.V., gevestigd te Amsterdam,
verder te noemen de Bank
Datum uitspraak : 19 oktober 2016
Aard uitspraak : Niet-bindend advies

Samenvatting

Naar het oordeel van de Commissie heeft de Bank, gelet op de haar tot beschikking staande gegevens, niet op goede gronden tot het oordeel kunnen komen dat Consument betrokken was bij de frauduleuze aanvraag. De stelling van de Bank dat Consument betrokken is bij de frauduleuze aanvraag is voornamelijk gebaseerd op het feit dat hierbij het legitimatiebewijs van Consument is overgelegd. Deze betwist echter hierbij betrokken te zijn (geweest) en voert aan dat mogelijk sprake is van identiteitsfraude waarbij iemand een kopie van zijn paspoort heeft gemaakt en deze heeft overgelegd. Voor een EVR-registratie geldt onder andere dat sprake moet zijn van een gegronde verdenking van fraude. De Commissie meent dat aan dit criterium niet is voldaan. Weliswaar zijn de gegevens van Consument op het wijzigingsformulier ingevuld, is daarbij een kopie van zijn legitimatiebewijs overgelegd en zijn ten name van Consument betaalinstrumenten aangevraagd, maar de Commissie is van oordeel dat deze feiten op zichzelf niet leiden tot een bewezenverklaring van de betrokkenheid van Consument bij het incident. Ook het bericht van de KMAR – in feite het fundament van de stelling van de Bank nu de Bank ter zitting heeft aangegeven dat met dit bericht het bewijs is geleverd van haar stelling – kan niet tot die conclusie leiden. Er wordt in dit bericht naar het oordeel van de Commissie enkel antwoord gegeven op de vraag of het identiteitsbewijs van Consument als vermist staat vermeld, hetgeen kennelijk niet het geval is. Het bericht levert derhalve geen bewijs voor het door de Bank gestelde feit dat Consument zelf een kopie van het identiteitsbewijs zou hebben overgelegd.

Naar het oordeel van de Commissie wordt niet voldaan aan het vereiste dat sprake is van een zwaardere verdenking dan een redelijk vermoeden van schuld. De Bank dient de persoonsgegevens van Consument uit het Incidentenregister en het Extern Verwijzingsregister te verwijderen

1. Procesverloop

De Commissie beslist met inachtneming van haar Reglement en op basis van de volgende stukken:
• de klachtbrief van Consument met bijlagen;
• de brief van 4 augustus 2015, waarin zij verwijst naar het standpunt dat zij eerder in haar interne klachtprocedure heeft ingenomen;
• de repliek van Consument;
• de dupliek van de Bank;
• De verklaring van Consument met diens keuze voor niet-bindend advies.

De Commissie stelt vast dat Consument heeft gekozen voor een niet-bindend advies. De uitspraak is daardoor niet-bindend.

Partijen zijn opgeroepen voor een hoorzitting op 25 mei 2016 en zijn aldaar verschenen.

2. Feiten

De Commissie gaat uit van de volgende feiten.
2.1 De Bank heeft op 5 december 2014 via internet een wijzigingsopdracht ontvangen waarbij Consument als gemachtigde, belanghebbende en vertegenwoordiger van een betaalrekening van een derde diende te worden aangemerkt. Deze derde heeft hiervoor geen opdracht gegeven. Bij de aanvraag is het rekeningnummer van Consument en een kopie van zijn identiteitsbewijs overgelegd.
2.2 Op 8 december 2014 heeft de Bank Consument bericht dat zijn persoonsgegevens naar voren zijn gekomen in een onderzoek naar fraude. De Bank heeft het volgende geschreven:

“[…]
Er is getracht om u als gemachtigde toe te voegen aan een zakelijke betaalrekening van ING. De houder van de betaalrekening heeft hiervoor geen opdracht gegeven. […]

Gelet op de frauduleuze aanvraag, waarbij uw legitimatiebewijs is overlegd, staat uw
betrokkenheid bij voornoemde fraude voor de ING in voldoende mate vast. Vanwege het belang van de ING bij het handhaven van de integriteit van het financiële stelsel en het voorkomen en bestrijden van fraude achten wij het noodzakelijk om uw persoonsgegevens voor de duur van 8 jaar op te nemen in het incidentenregister en het Extern Verwijzingsregister. Het belang van opname van uw gegevens in het incidentenregister is naar ons oordeel groter dan de mogelijk voor u nadelige gevolgen van de plaatsing

Door uw betrokkenheid bij fraude hebben wij verder besloten dat wij de relatie met u zullen beëindigen. Uw betaalpas(en) eventuele andere producten als Creditcards, en/of Saldolijn zijn inmiddels door ons geblokkeerd. Tevens hebben wij uw rekening(en) geblokkeerd voor afschrijvingen. ”

2.3 Bij brief van 19 december 2014 heeft Consument bezwaar aangetekend tegen de beslissing van de Bank om zijn persoonsgegevens in de registers op te nemen en tegen de beëindiging van de bancaire relatie. Consument betwist in zijn brief betrokkenheid bij de frauduleuze aanvraag. Verder geeft hij aan dat hij zich tot twee maal toe tot de politie heeft gewend maar dat deze geen aangifte wilde opnemen. Daar is hij weer terugverwezen naar de Bank.
2.4 Bij brief van 23 december 2014 heeft de Bank Consument bericht dat zij de in haar brief van 8 december 2014 genoemde maatregelen zal doorvoeren.
2.5 De Bank heeft het bezwaar van Consument met haar brief van 29 december 2014 ongegrond verklaard:

“[…]Het onderzoek dat door ons is ingesteld, is gericht op het vaststellen van feiten en wordt zeer zorgvuldig uitgevoerd. Feit is dat uw gegevens zijn gebruikt om een valse machtiging aan te vragen. Hiervoor is onder andere een legitimatiebewijs gebruikt. U verzoekt ons om daar bewijs van te overleggen. Daarom sluiten wij hier een kopie van bij. De opname van uw gegevens in de registers blijven dan ook onverkort van kracht.”

2.6 In het kader van het fraudeonderzoek heeft de Bank per e-mail van 9 februari 2015 om 11:13 uur bij de Koninklijke Marechaussee (hierna: KMAR) navraag gedaan over het paspoort van Consument. De medewerker van de Bank heeft het volgende geschreven:

“In een onderzoek naar fraude geeft de klant aan dat er een kopie paspoort van hem in omloop zou zijn en dat er daarmee getracht wordt fraude te plegen op zijn ING
rekening. Bij een valse aanvraag voor gemachtigde op de rekening wordt ook een kopie legitimatie meegezonden van een mogelijke katvanger, die echter ontkent iets met de fraude te maken te hebben.
Mijn vraag is: Kunnen jullie aan de hand van bijgevoegde kopie Paspoort van dhr. X vaststellen of dit echt dan wel vervalst is?
Kunnen jullie nagaan of het legitimatiebewijs van Consument als vermis staat vermeld?[…]”

Om 14:33 uur heeft een medewerker van de KMAR het volgende geantwoord:

“Er is nader onderzoek nodig aan het paspoort, het lijkt erop dat er een scan is gemaakt waarbij de OCRB functie aan stond, waarbij het lettertype afwijkt. Het advies is dan ook om contact op te nemen met de heer X, graag zien wij een nieuwe scan van het paspoort tegemoet.
Over de identiteitskaart zijn geen bijzonderheden aangetroffen. […]”

2.7 ¬¬¬¬¬¬In het ten tijde van de registratie toepasselijke Protocol Incidentenwaarschuwings-systeem Financiële Instellingen van 23 oktober 2013 (hierna: het Protocol) is, voor zover van belang, bepaald:

“2. Begripsbepalingen
In dit protocol wordt verstaan onder:
Incident een gebeurtenis die als gevolg heeft, zou kunnen hebben of heeft gehad dat de
belangen, integriteit of veiligheid van de cliënten of medewerkers van een Financiële
Instelling, de Financiële Instelling zelf of de financiële sector als geheel in het geding zijn of kunnen zijn, zoals het falsificeren van nota’s, identiteitsfraude, skimming, verduistering in dienstbetrekking, phishing en opzettelijke misleiding.
(…)
3.1 Incidentenregister en Extern Verwijzingsregister
3.1.1 Iedere Deelnemer heeft een Incidentenregister, waarin door de betreffende Deelnemer gegevens van (rechts)personen worden vastgelegd ten behoeve van het in artikel 4.1.1
Protocol genoemde doel, naar aanleiding van of betrekking hebbend op een (mogelijk)
Incident.
(…)
3.1.2 Aan het Incidentenregister is een Extern Verwijzingsregister gekoppeld.
(…)
4 Incidentenregister
4.1 Doel Incidentenregister
4.1.1 Met het oog op het kunnen deelnemen aan het Waarschuwingssysteem is iedere
Deelnemer gehouden de volgende doelstelling voor het vastleggen van gegevens in het
Incidentenregister te hanteren:
“Het geheel aan verwerkingen ten aanzien van het Incidentenregister heeft tot doel het
ondersteunen van activiteiten gericht op het waarborgen van de veiligheid en de integriteit van de financiële sector, daaronder mede begrepen (het geheel van) activiteiten die gericht zijn:
– op het onderkennen, voorkomen, onderzoeken en bestrijden van gedragingen die kunnen leiden tot benadeling van de branche waar de financiële instelling deel van uitmaakt, van de economische eenheid (groep) waartoe de financiële instelling behoort, van de financiële instelling zelf, alsmede van haar cliënten en medewerkers;
– op het onderkennen, voorkomen, onderzoeken en bestrijden van oneigenlijk gebruik van producten, diensten en voorzieningen en/of (pogingen) tot strafbare of laakbare gedragingen en/of overtreding van (wettelijke) voorschriften, gericht tegen de branche waar de financiële instelling deel van uitmaakt, de economische eenheid (groep) waartoe de financiële instelling behoort, de financiële instelling zelf, alsmede haar cliënten en medewerkers;
– op het gebruik van en de deelname aan waarschuwingssystemen.
(…)

5 Extern Verwijzingsregister
(…)
5.2 Vastlegging van gegevens in het Extern Verwijzingsregister
5.2.1 De Deelnemer dient de Verwijzingsgegevens van (rechts)personen die aan de hierna
onder a en b vermelde criteria voldoen en na toepassing van het onder c genoemde
proportionaliteitsbeginsel op te nemen in het Extern Verwijzingsregister.
a) De gedraging(en) van de (rechts)persoon vormden, vormen of kunnen een bedreiging
vormen voor (I) de (financiële) belangen van cliënten en/of medewerkers van een Financiële
instelling, alsmede de (Organisatie van de) Financiële instelling(en) zelf of (II) de continuïteit
en/of de integriteit van de financiële sector.
b) In voldoende mate staat vast dat de betreffende (rechts)persoon betrokken is bij de onder
a bedoelde gedraging(en). Deze vaststelling betekent dat van strafbare feiten in principe
aangifte of klachten wordt gedaan bij een opsporingsambtenaar.
c) Het proportionaliteitsbeginsel wordt in acht genomen. Dit houdt in dat Veiligheidszaken
vaststelt, dat het belang van opname in het Externe Verwijzingsregister prevaleert boven de
mogelijk nadelige gevolgen voor de Betrokkene als gevolg van opname van zijn
Persoonsgegevens in het Extern Verwijzingsregister.”
5.3 Verwijdering van gegevens uit het Extern Verwijzingsregister
(…)
5.3.2 Verwijdering van Verwijzingsgegevens uit het Extern Verwijzingsregister moet
plaatsvinden uiterlijk 8 jaar na opname van het betreffende gegeven in het
Incidentenregister, tenzij zich ten aanzien van de betreffende (rechts)persoon een nieuwe
aanleiding heeft voorgedaan en opname
in het Extern Verwijzingsregister conform artikel 5.2.1 Protocol heeft plaatsgevonden.”

3. Vordering, klacht en verweer

Vordering Consument
3.1 Consument vordert verwijdering van zijn gegevens uit het Incidentenregister en het Extern Verwijzingsregister.

Grondslagen en argumenten daarvoor
3.2 Deze vordering steunt, kort en zakelijk weergegeven, op de volgende grondslagen:
– het bij de wijzigingsopdracht c.q. machtigingsaanvraag overgelegde identiteitsbewijs is vals;
– indien en voor zover het wel een kopie van zijn identiteitsbewijs zou zijn, dan betekent dat nog niet dat Consument betrokken is geweest bij:
a) de opzettelijke benadeling van Bank, oneigenlijk gebruik van haar producten, diensten en voorzieningen en/of een poging daartoe;
b) het plegen van strafbare of laakbare gedragingen en/of een overtreding van (wettelijke) voorschriften dan wel pogingen daartoe, gericht tegen (organisatie van) de Bank, dan wel tegen haar cliënten en medewerkers.

Verweer van de Bank
3.3 De Bank heeft, kort en zakelijk weergegeven, de volgende verweren gevoerd:
• De betrokkenheid van Consument staat voor haar in voldoende mate vast, nu bij de aanvraag voor de machtiging voor de rekening van de heer X:
– een kopie van het legitimatiebewijs van Consument is overgelegd;
– het bankrekeningnummer van Consument is opgegeven;
– betaalinstrumenten zijn aangevraagd voor Consument.

4. Beoordeling

Registratie in het Extern Verwijzingsregister
4.1 Voor wat betreft de vraag of de Bank de persoonsgegevens van Consument in het EVR mocht opnemen, overweegt de Commissie het volgende.
4.2 De Bank heeft zich verplicht bij de verwerking van persoonsgegevens in het Incidentenregister en het EVR te handelen conform het hierboven genoemde
Protocol. Vermelding van de persoonsgegevens in het EVR wegens verdenking van
(poging tot) fraude is een maatregel met mogelijk verstrekkende gevolgen voor de
betrokkene. Deze vermelding kan tot gevolg hebben dat niet alleen de deelnemer die
tot opname in het EVR is overgegaan, maar ook andere deelnemers hun (financiële)
diensten aan de geregistreerde weigeren. Er moeten daarom hoge eisen worden
gesteld aan de grond(en) van de Bank voor opname van de persoonsgegevens van
Consument in het EVR. Zie ook de uitspraak van de Geschillencommissie Kifid 2015-142 d.d. 12 mei 2015.

4.3 Artikel 5.2.1 onder a en b van het Protocol bepaalt onder welke voorwaardenpersoonsgegevens mogen worden opgenomen in het EVR. In voldoende mate moet vaststaan dat de gedraging van de betreffende persoon een bedreiging vormt voor de (financiële) belangen van een financiële instelling, alsmede voor de continuïteit en integriteit van de financiële sector. Dit houdt in dat de gestelde feiten die de registratie dragen een gegronde verdenking moeten vormen van fraude (“opzet te misleiden”). Zie ook Hof Amsterdam 30 november 2010, ECLI:NL:GHAMS:2010:BO7581, r.o. 3.5, alsmede de uitspraak van de Geschillencommissie Kifid van 12 mei 2015, nr. 2015-142. De financiële instelling moet in het dossier van het incident ten opzichte van betrokkene genoeg bewijsmiddelen hebben op grond waarvan kan worden gesteld dat sprake is van een zware verdenking of bewezenverklaring. De informatie in het dossier moet van dien aard zijn dat voor de rechter genoeg bewijs beschikbaar is om tot een bewezenverklaring van het strafbare of onoorbare feit te kunnen komen. Er moet dus sprake zijn van een zwaardere verdenking dan een redelijk vermoeden van schuld. Zie HR 29 mei 2009, ECLI:NL:HR:2009:BH4720, r.o. 4.4. Daarbij is van belang dat enkele ‘verdachte omstandigheden’ onvoldoende zijn voor een EVR-registratie. Zodra er een andere plausibele verklaring voor de omstandigheden kan worden gegeven, zal geen sprake zijn van een gegronde verdenking van fraude. Vgl. GC Kifid 2015-142 en GC Kifid 2015-143.
4.4 Ingevolge artikel 5.2.1. onder c van het Protocol dient de Bank bij de registratie van persoonsgegevens in het EVR het proportionaliteitsbeginsel in acht te nemen.
Dat wil zeggen dat het belang van de Bank bij registratie moet worden afgewogen tegen de nadelige gevolgen daarvan voor de consument. Doel van het Protocol is onder meer de continuïteit en de integriteit van de financiële sector te waarborgen. De dreiging van registratie kan daaraan – al dan niet als preventief middel – een positieve bijdrage leveren, doch alleen indien in betreffende gevallen ook daadwerkelijk tot registratie wordt overgegaan. Desalniettemin kunnen, ook indien overigens aan de voorwaarden voor registratie is voldaan, de belangen van een consument daardoor zodanig zwaar worden geraakt dat in het concrete geval registratie achterwege zal moeten blijven. Het is in eerste instantie aan de Bank die afweging te maken. De consument die verwijdering van een registratie wenst, zal evenwel moeten onderbouwen op grond waarvan hij disproportioneel wordt geraakt in zijn belangen en waarom zijn belang prevaleert boven dat van de Bank.
4.5 Indien komt vast te staan dat mag worden overgegaan tot registratie in het EVR, kan het proportionaliteitsbeginsel vervolgens een rol spelen bij de duur van de registratie. In artikel 5.3.2 van het Protocol is immers opgenomen dat de duur van de registratie maximaal acht jaar is. Het is ook hier aan consument die beperking van de duur van de registratie wenst, te onderbouwen op grond waarvan zij disproportioneel wordt geraakt in zijn belangen.
4.6 In de onderhavige zaak staat vast dat de Bank de persoonsgegevens van Consument in het EVR heeft opgenomen en dat zij zich daarbij heeft gebaseerd op de uitkomst van het door haar uitgevoerde fraudeonderzoek. De vraag die beantwoord moet worden is of de gestelde feiten een gegronde verdenking vormen van opzet aan de zijde van
Consument om de Bank te misleiden en de Bank derhalve in redelijkheid tot het besluit van de registratie heeft kunnen komen.

4.7 Naar het oordeel van de Commissie heeft de Bank, gelet op de haar tot beschikking staande gegevens, niet op goede gronden tot het oordeel kunnen komen dat Consument betrokken was bij de frauduleuze aanvraag. Redengevend is het volgende. De stelling van de Bank dat Consument betrokken is bij de frauduleuze aanvraag is voornamelijk gebaseerd op het feit dat hierbij het legitimatiebewijs van Consument is overgelegd. Deze betwist echter hierbij betrokken te zijn (geweest) en voert aan dat mogelijk sprake is van identiteitsfraude waarbij iemand een kopie van zijn paspoort heeft gemaakt en deze heeft overgelegd. Zoals reeds overwogen in r.o. 4.3 geldt voor een EVR-registratie onder andere dat sprake moet zijn van een gegronde verdenking van fraude. De Commissie meent dat aan dit criterium niet is voldaan. Weliswaar zijn de gegevens van Consument op het wijzigingsformulier ingevuld, is daarbij een kopie van zijn legitimatiebewijs overgelegd en zijn ten name van Consument betaalinstrumenten aangevraagd, maar de Commissie is van oordeel dat deze feiten op zichzelf niet leiden tot een bewezenverklaring van de betrokkenheid van Consument bij het incident. Ook het bericht van de KMAR – in feite het fundament van de stelling van de Bank nu de Bank ter zitting heeft aangegeven dat met dit bericht het bewijs is geleverd van haar stelling – kan niet tot die conclusie leiden. Er wordt in dit bericht naar het oordeel van de Commissie enkel antwoord gegeven op de vraag of het identiteitsbewijs van Consument als vermist staat vermeld, hetgeen kennelijk niet het geval is. Het bericht levert derhalve geen bewijs voor het door de Bank gestelde feit dat Consument zelf een kopie van het identiteitsbewijs zou hebben overgelegd.
Naar het oordeel van de Commissie wordt niet voldaan aan het vereiste dat sprake is van een zwaardere verdenking dan een redelijk vermoeden van schuld.
4.8 Gelet op de door de Bank aangevoerde argumenten die de EVR registratie dragen, is er derhalve geen gegronde verdenking van fraude en staat aldus niet vast dat Consument opzet had haar te misleiden in de zin van artikel 5.2.1 sub a en b van het Protocol. Aan het proportionaliteitsbeginsel van artikel 5.2.1 sub c wordt aldus niet toegekomen.
4.9 De conclusie is dat de Bank ten onrechte is overgegaan tot registratie van de persoonsgegevens van Consument in het EVR. De Commissie wijst de vordering van
Consument tot verwijdering van zijn gegevens uit het EVR daarom toe.

Registratie in het Incidentenregister
4.10 Voor zover met de interne registratie wordt bedoeld dat de persoonsgegevens van Consument zijn opgenomen in het Incidentenregister van Bank geldt het volgende. Opname in het Incidentenregister is toegestaan wanneer sprake is van een Incident zoals omschreven in artikel 2 van het PIFI en het doel van het Incidentenregister zoals omschreven in artikel 4.1.1. van het PIFI is gediend bij de registratie. Het Incidentenregister heeft externe werking. De ernst van de zaak moet (de mogelijkheid van) het delen van incidenteninformatie met andere instellingen rechtvaardigen. Voorvallen waarbij niet genoeg bewijs voor aantoonbare fraude voor handen is, dienen immers niet al te lichtzinnig buiten de muren van een verzekeraar bekend te worden. Zaken waarbij gedurende het onderzoek een redelijk vermoeden van fraude bestaat, maar waarin het bewijs van fraude na afloop van het onderzoek niet afdoende kan worden geleverd, zijn niet zwaar genoeg om in een register met externe werking te blijven staan.

Gelet op de kennelijke bedoeling van het PIFI zoals die uit de Handreiking blijkt en de verstrekkende consequenties voor de betrokkenen van registratie van diens persoonsgegevens in een register met externe werking (het Incidentenregister), is de Commissie van oordeel dat een incidentenregistratie na afronding van het onderzoek naar dit Incident alleen dan gehandhaafd kan blijven wanneer uit dit onderzoek is gebleken dat voldoende bewijs bestaat om fraude aan te tonen.
4.11 Dit brengt mee dat de incidentenregistratie na afloop van het onderzoek alleen kan worden gehandhaafd indien voldoende bewijs bestaat dat voldaan is aan de vereisten van artikel 5.2.1 sub a en b van het PIFI. Zoals hierboven, onder 4.7 en 4.8, is overwogen is daarvan onder de gegeven omstandigheden geen sprake. Zonder nadere toelichting en onderbouwing van de Bank kan dan ook niet worden aangenomen dat het doel van het Incidentenregister met handhaving van registratie nog is gediend indien na het onderzoek naar het Incident niet is gebleken dat een gegronde verdenking van fraude bestaat (vgl. GC Kifid 2016-329). De persoonsgegevens van Consument dienen dus ook uit het Incidentenregister te worden verwijderd.
4.12 Indien is voldaan aan de vereisten van een EVR-registratie, mogen de gegevens in het Incidentenregister vermeld blijven staan: het EVR is immers aan het Incidentenregister gekoppeld (artikel 3.1.2 PIFI). Indien evenwel – zoals in het onderhavige geval – onvoldoende bewijs voor een EVR-registratie bestaat, dienen de persoonsgegevens óók uit het Incidentenregister verwijderd te worden.

Dit om te voorkomen dat voorvallen, waarbij niet genoeg bewijs voor aantoonbare fraude voor handen is, al te lichtzinnig buiten de muren van de Bank bekend worden. Nu geen sprake is van een gegronde verdenking van fraude (zie r.o. 4.7 en 4.8) moeten de persoonsgegevens van Consument dus ook uit het Incidentenregister verwijderd worden.

5. Beslissing

De Commissie beslist dat de Bank binnen vier weken na de dag waarop een afschrift van deze beslissing aan partijen is verstuurd, de persoonsgegevens van Consument uit het Incidentenregister en het Extern Verwijzingsregister zal verwijderen.

De uitspraak heeft de vorm van een niet-bindend advies. Tegen deze uitspraak staat geen hoger beroep open bij de Commissie van Beroep Financiële Dienstverlening. U kunt de zaak nog wel aan de rechter voorleggen.

U kunt, binnen twee weken na de verzenddatum van deze uitspraak, bij de Voorzitter van de Geschillencommissie Financiële Dienstverlening schriftelijk een verzoek indienen tot herstel van kennelijke vergissingen in de uitspraak. U moet daarbij met name denken aan correctie van reken- of schrijffouten en verbetering van namen en data. De volledige procedure met de termijnen die daarbij in acht moeten worden genomen staat beschreven in artikel 46 van het Reglement.