Uitspraak Geschillencommissie Financiële Dienstverlening nr. 2017-436
(mr. R.J. Paris, voorzitter, mw. mr. J.W.M. Lenting en mr. A.P. Luitingh, leden en
mw. mr. M. Nijland als secretaris)
Klacht ontvangen op : 31 oktober 2016
Ingediend door : Consument
Tegen : ABN AMRO Bank N.V., gevestigd te Amsterdam, verder te noemen de Bank
Datum uitspraak : 10 juli 2017
Aard uitspraak : bindend advies
Samenvatting
Kredietaanvraag onder valse voorwendselen. Registratie Incidentenregister en IVR. Consument heeft ermee ingestemd dat zijn vriendin een krediet op zijn naam zou aanvragen. De bankafschriften welke in het kader van de aanvraag waren ingediend bleken vervalst. Consument heeft tegenstrijdige verklaringen afgelegd. De Commissie is van oordeel dat gelet op de door de Bank geschetse omstandigheden opzegging relatie en registratie in het Incidentenregister en in het IVR van de persoonsgegevens van Consument terecht en proportioneel zijn. Vordering afgewezen.
1. Procesverloop
De Commissie beslist met inachtneming van haar Reglement en op basis van de volgende stukken:
• de klachtbrief van Consument met bijlagen;
• het verweerschrift van de Bank met bijlagen;
• de repliek van Consument;
• de dupliek van de Bank;
• de verklaring van Consument met diens keuze voor bindend advies; en
• de ter zitting door de Bank overgelegde brief van juli 2016.
De Commissie stelt vast dat partijen hebben gekozen voor bindend advies.
Partijen zijn opgeroepen voor een hoorzitting op 6 juni 2017 en zijn aldaar verschenen.
Gelijktijdig is ook het geschil tussen Consument en Rabobank behandeld ([2017-435]).
2. Feiten
De Commissie gaat uit van de volgende feiten.
2.1 Medio juli 2016 heeft de Bank ontdekt dat voor de aanvraag van een krediet ten name van Consument bij een andere financiële instelling gebruik is gemaakt van vervalste bankafschriften van de Bank. Een vijftal bedragen zijn aangepast.
2.2 Op 20 juli 2016 heeft de Bank een brief van Consument ontvangen. Hierin wordt door Consument erkend dat zijn vriendin het krediet met zijn toestemming heeft aangevraagd.
2.3 Op basis van de gebeurtenissen heeft de Bank de persoonsgegevens van Consument opgenomen in de Gebeurtenissenadministratie en het daaraan gekoppelde Intern Verwijzingsregister (IVR) en het Incidentenregister.
2.4 In het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen van 23 oktober 2013 (hierna: het PIFI) is voor zover relevant het volgende bepaald:
“2 Begripsbepalingen
In dit Protocol wordt verstaan onder:
(…)
Incident: een gebeurtenis die als gevolg heeft, zou kunnen hebben of heeft gehad dat de belangen, integriteit of veiligheid van de cliënten of medewerkers van een Financiële Instelling, de Financiële Instelling zelf of de financiële sector als geheel in het geding zijn of kunnen zijn, zoals het falsificeren van nota’s, identiteitsfraude, skimming, verduistering in dienstbetrekking, phishing en opzettelijke misleiding.
(…)
Organisatie van de Deelnemer: de Deelnemer zelf, de dochtermaatschappijen van de Deelnemer (als bedoeld in artikel 2:24a BW) dan wel de groepsmaatschappijen waarmee een Deelnemer in een economische eenheid is verbonden (artikel 2:24a BW), als ook de bij de Rabobank Nederland aangesloten banken.
(…)
4 Incidentenregister
4.1 Doel Incidentenregister
4.1.1(…) Het geheel aan verwerkingen ten aanzien van het Incidentenregister heeft tot doel het ondersteunen van activiteiten gericht op het waarborgen van de veiligheid en de integriteit van de financiële sector, daaronder mede begrepen (het geheel van) activiteiten die gericht zijn:
– op het onderkennen, voorkomen, onderzoeken en bestrijden van gedragingen die kunnen leiden tot benadeling van de branche waar de financiële instelling deel van uitmaakt, van de economische eenheid (groep) waartoe de financiële instelling behoort, van de financiële instelling zelf, alsmede van haar cliënten en medewerkers;
– op het onderkennen, voorkomen, onderzoeken en bestrijden van oneigenlijk gebruik van producten, diensten en voorzieningen en/of (pogingen) tot strafbare of laakbare gedragingen en/of overtreding van (wettelijke) voorschriften, gericht tegen de branche waar de financiële instelling deel van uitmaakt, de economische eenheid (groep) waartoe de financiële instelling
behoort, de financiële instelling zelf, alsmede haar cliënten en medewerkers;
– op het gebruik van en de deelname aan waarschuwingssystemen.”
2.5 De Bank heeft de bancaire relatie met Consument beëindigd.
2.6 In artikel 35 van de Algemene Voorwaarden van de Bank is het volgende opgenomen:
“Zowel de cliënt als de bank kan de relatie tussen hen schriftelijk geheel of gedeeltelijk opzeggen. Als de bank de relatie opzegt, deelt zij desgevraagd de reden van de opzegging aan de cliënt mee. Na opzegging van de relatie worden de tussen de cliënt en de bank bestaande individuele overeenkomsten zo spoedig mogelijk afgewikkeld met inachtneming van de daarvoor geldende termijnen. Tijdens de afwikkeling blijven deze algemene bankvoorwaarden en de op de individuele overeenkomsten toepasselijke specifieke voorwaarden van toepassing.”
3. Vordering, klacht en verweer
Vordering Consument
3.1 Consument vordert dat zijn personalia uit de Gebeurtenissenadministratie en het daaraan gekoppelde Intern Verwijzingsregister (IVR) en het Incidentenregister worden verwijderd.
Grondslagen en argumenten daarvoor
3.2 Deze vordering steunt kort en zakelijk weergegeven, op de volgende grondslagen:
Gedurende de schriftelijke procedure bij Kifid heeft Consument zich op het standpunt gesteld geen kredietaanvraag te hebben gedaan. Hij heeft geen rekeningafschriften vervalst. Het handschrift en de handtekening op het aanvraagformulier zijn aantoonbaar niet van Consument. Consument is door het voorval ernstig in zijn belangen geschaad. Ten tijde van het voorval was hij werkzaam bij een andere bank, welke zijn contract niet heeft voortgezet en ook een hypotheekaanvraag is op grond van de registratie afgewezen.
3.3 De Bank heeft de stellingen van Consument gemotiveerd weersproken. Voor zover nodig zal de Commissie bij de beoordeling daarop ingaan.
4. Beoordeling
4.1 De klacht van Consument ziet op de opname van zijn persoonsgegevens in het Incidentenregister en het IVR.
4.2 Opname persoonsgegevens in Incidentenregister
Opname in het Incidentenregister is toegestaan wanneer sprake is van een Incident als
omschreven in artikel 2 van het Protocol en het doel van het Incidentenregister zoals
omschreven in artikel 4.1.1 van het Protocol is gediend bij registratie. Het ligt op de weg van de Bank om de feiten die zij aan de incidentenregistratie ten grondslag legt te
stellen en, bij gemotiveerde betwisting door Consument, te bewijzen.
4.3 Volgens de toelichting van het PIFI mogen de incidenteninformatie en de daarbij behorende persoonsgegevens bij het eerste signaal dat sprake is van een incident worden opgenomen in het Incidentenregister. Het (redelijk vermoeden van het) incident moet vervolgens worden onderzocht door de afdeling Veiligheidszaken. Van een gerechtvaardigde Incidentenregistratie is ingevolge artikel 4.1.1 PIFI in ieder geval sprake zolang het onderzoek door de afdeling Veiligheidszaken naar het incident loopt. De afdeling Veiligheidszaken van de registrerende Bank mag informatie uit het Incidentenregister delen met andere deelnemers aan het PIFI. Het Incidentenregister heeft daarmee een beperkte externe werking (Zie Geschillencommissie Kifid 2016-196 onder 4.5 en Rb. Midden-Nederland 11 januari 2017, ECLI:NL:RBMNE:2017:49, r.o. 4.10.)
4.4 Het voorgaande brengt mee dat voor handhaving van de registratie in het Incidentenregister na afloop van het incidentenonderzoek voldoende bewijs moet bestaan dat voldaan is aan de vereisten van artikel 5.2.1 sub a en b van het PIFI. Kort gezegd houden de vereisten van artikel 5.2.1 sub a en b van het PIFI in dat in voldoende mate vaststaat dat de door de Bank gestelde feiten die de registratie dragen een gegronde verdenking van fraude (opzet te misleiden) vormen (zie Geschillencommissie Kifid 2016-069). Zonder nadere toelichting en onderbouwing kan dan ook niet worden aangenomen dat het doel van het Incidentenregister met handhaving van registratie nog is gediend indien na het onderzoek naar het incident niet is gebleken dat een gegronde verdenking van fraude bestaat.
4.5 De Bank heeft aangevoerd dat sprake is van een gebeurtenis die als gevolg zou kunnen hebben dat haar belangen of die van de financiële sector als geheel in het geding zijn en daarmee is voldaan aan de omschrijving van Incident zoals bedoeld in het Protocol. Bij beoordeling van de vraag of de feiten een gegronde verdenking van fraude door Consument opleveren neemt de Commissie het volgende in overweging. Tegenover de onderzoeker van de fraudeafdeling van de Bank heeft Consument aanvankelijk erkend dat hij een kredietaanvraag had ingediend en het ingezonden bankafschrift zelf had gedownload en geprint. Gedurende de schriftelijke procedure bij Kifid heeft Consument dit betwist en ontkend op de hoogte te zijn geweest van de kredietaanvraag. Ter zitting heeft Consument erkend dat hij van de kredietaanvraag op de hoogte was. Hij heeft desgevraagd toegelicht dat zijn vriendin geld nodig had en dat hij ermee heeft ingestemd dat zij uit zijn naam een krediet aan zou vragen. Zij had volledige toegang tot zijn rekeninggegevens. Zelf had hij voldoende spaargeld en helemaal geen lening nodig. Hij heeft het aanvraagformulier niet gezien. Na het voorval heeft hij zijn, inmiddels ex-, vriendin niet meer gesproken. De Bank heeft toegelicht dat gelet op het voorgaande sprake is van een gegronde verdenking dat Consument betrokken is geweest of aansprakelijk is voor de kredietaanvraag met valse rekeningafschriften. Bovendien heeft Consument wisselende verklaringen afgelegd over de gebeurtenissen. Op grond van de door de Bank geschetste omstandigheden is de Commissie van oordeel dat sprake is van een Incident in de zin van artikel 2 van het PIFI. De persoonsgegevens van Consument mochten daarom ook na afloop van het incidentenonderzoek in het Incidentenregister blijven staan.
4.6 De Bank heeft de persoonsgegevens van Consument niet opgenomen in het EVR. Dit brengt niet zonder meer mee dat de Incidentenregistratie dient te worden doorgehaald. Hiertoe dient een zelfstandige afweging van belangen te worden gemaakt. De Commissie is van oordeel dat Consument door de registratie van zijn persoonsgegevens in het Incidentenregister niet disproportioneel in zijn belangen wordt geschaad. Alleen onder beperkte voorwaarden kan informatie uit het Incidentenregister worden uitgewisseld met de veiligheidsafdeling van een andere financiële instelling. Consument kan derhalve elders een bankrekening openen. De registratie van de persoonsgegevens van Consument in het Incidentenregister mag dan ook gehandhaafd blijven.
4.7 Opname persoonsgegevens in de Gebeurtenissenadministratie (IVR)
Vervolgens zal de Commissie de vraag bespreken of de Bank gerechtigd was de persoonsgegevens van Consument in de Gebeurtenissenadministratie en het IVR op te nemen. Het toetsingskader voor deze registratie wordt gevormd door de Gedragscode Verwerking Persoonsgegevens Financiële Instellingen (verder GVPFI). Ingevolge artikel 4.1 GVPFI worden persoonsgegevens in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze verwerkt. Van een zorgvuldige gegevensverwerking is sprake als de desbetreffende gegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verwerkt. Dit vereiste is nader uitgewerkt in artikel 4.3 en artikel 5 GVPFI. Ingevolge artikel 5.5.1 GVPFI kunnen, ten behoeve van de veiligheid en integriteit van de financiële sector, persoonsgegevens die betrekking hebben op (onder meer) gebeurtenissen die de zorg en aandacht behoeven van de financiële instelling, worden opgenomen in de Gebeurtenissenadministratie.
Het gaat daarbij om zaken die de veiligheid en integriteit van de instelling, die haar werknemers, klanten, overige relaties maar ook de financiële sector als geheel (kunnen) raken.
4.8 De Commissie heeft onder 4.5 overwogen dat de omstandigheden kunnen worden aangemerkt als een Incident in de zin van artikel 2 PIFI. Met de in de omschrijving van het begrip Incident genoemde ‘gebeurtenis’ wordt bedoeld de ‘gebeurtenis’ in de zin van artikel 5.5.1 GVPFI. Het bovenstaande brengt mee dat sprake is van een gebeurtenis en de Bank derhalve de gegevens ook heeft mogen opnemen in de Gebeurtenissenadministratie en het daaraan gekoppelde IVR.
4.9 Gelet op het voorgaande stond het de Bank vrij haar relatie met Consument overeenkomstig artikel 35 van de toepasselijke voorwaarden op te zeggen.
4.10 Dit alles brengt mee dat de vordering niet voor toewijzing in aanmerking komt.
5. Beslissing
De Commissie wijst de vordering af.
In artikel 5 van het Reglement van de Commissie van Beroep Financiële Dienstverlening is bepaald in welke gevallen beroep openstaat van bindende beslissingen van de Geschillencommissie Financiële Dienstverlening bij de Commissie van Beroep Financiële Dienstverlening. Daarbij geldt een termijn van zes weken na verzending van deze uitspraak. Op de website van Kifid vindt u praktische informatie over het instellen van beroep. Zie hiervoor www.kifid.nl/consumenten/hoe-wordt-uw-klacht-behandeld.
U kunt, binnen twee weken na de verzenddatum van deze uitspraak, bij de Voorzitter van de Geschillencommissie Financiële Dienstverlening schriftelijk een verzoek indienen tot herstel van kennelijke vergissingen in de uitspraak. U moet daarbij met name denken aan correctie van reken- of schrijffouten en verbetering van namen en data. De volledige procedure met de termijnen die daarbij in acht moeten worden genomen staat beschreven in artikel 46 van het Reglement.
Bekijk de volledige uitspraak