Uitspraak 2017-747 (Bindend)

Uitspraak Geschillencommissie Financiële Dienstverlening nr. 2017-747
(mr. B.F. Keulen, voorzitter, mr. J.W.M. Lenting en mr. A.M.T. Wigger, leden en
mr. M. Nijland, secretaris)
Hersteluitspraak van de Voorzitter van de Geschillencommissie nr. 2017-390 (mr. B.F. Keulen, voorzitter en mr. M. Nijland, secretaris)
Toepassing artikel 46.1 Reglement Ombudsman en Geschillencommissie Financiële Dienstverlening (Kifid)

Klacht ontvangen op : 21 november 2016
Ingediend door : Consument
Tegen : ING Bank N.V., gevestigd te Amsterdam, verder te noemen de Bank
Datum uitspraak : 8 november 2017
Aard uitspraak : bindend advies

Samenvatting

De klacht van Consument ziet op de opname van haar persoonsgegevens in het Incidentenregister en het IVR als gevolg waarvan de Bank tot beëindiging van de bancaire relatie is overgegaan. De Bank heeft aangevoerd dat sprake is van een gebeurtenis die als gevolg zou kunnen hebben dat zijn belangen of die van de financiële sector als geheel in het geding zijn en daarmee is voldaan aan de omschrijving van Incident zoals bedoeld in het Protocol. Op grond van de door de Bank geschetste en door Consument niet weersproken omstandigheden is de Commissie van oordeel dat sprake is van een Incident in de zin van artikel 2 van het PIFI. De Commissie is tevens van oordeel dat de omstandigheden kunnen worden aangemerkt als een Incident in de zin van artikel 2 PIFI. Met de in de omschrijving van het begrip Incident genoemde ‘gebeurtenis’ wordt bedoeld de ‘gebeurtenis’ in de zin van art. 5.5.1 GVPFI. Het bovenstaande brengt mee dat sprake is van een gebeurtenis en de Bank derhalve de gegevens ook heeft mogen opnemen in de Gebeurtenissenadministratie en het daaraan gekoppelde IVR. De vordering wordt afgewezen.

1. Procesverloop

De Commissie beslist met inachtneming van haar Reglement en op basis van de volgende stukken:

• de klachtbrief van Consument;
• het verweerschrift van de Bank;
• de repliek van Consument;
• de dupliek van de Bank;
• de brief van de Bank van 4 april 2017 waarin zij antwoordt op de aanvullende vragen van de Commissie;
• de reactie van Consument van 12 april 2017;
• het e-mailbericht van Consument van 10 maart jl. met haar keuze voor bindend advies;
• de brief van de Bank van 3 mei 2017 waarin zij antwoordt op de aanvullende vragen van de Commissie;
• het e-mailbericht van Consument van 6 juli 2017.
De Commissie stelt vast dat partijen hebben gekozen voor bindend advies.

De Commissie stelt vast dat het niet nodig is de zaak mondeling te behandelen. De zaak kan daarom op grond van de stukken worden beslist.

2. Feiten

De Commissie gaat uit van de volgende feiten.

2.1 Op 6 mei 2014 heeft Consument een jongerenrekening bij de Bank geopend.

2.2 Op 12 december 2015 is op deze rekening een bedrag van € 3.302,- bijgeschreven. De rekeninghouder van wie het bedrag afkomstig was heeft geen toestemming voor de overboeking gegeven.

2.3 Op 12, 13 en 14 december 2015 is het bedrag met behulp van de betaalpas en pincode van Consument in delen van de rekening opgenomen.

2.4 Voor de jongerenrekening geldt een daglimiet van € 250,- voor geldautomaten van de Bank en een daglimiet van € 250,- voor gastbanken. Voor betaalautomaten geldt een daglimiet van € 1.000,-.

2.5 Consument heeft aangifte van diefstal gedaan.

2.6 Uit de administratie van de Bank blijkt dat met de betaalpas van Consument op
29 november 2015 is getracht geld op te nemen. Dit is niet gelukt omdat onvoldoende saldo op de rekening aanwezig was. Tevens is tussen 30 november en 8 december 2015 met behulp van de betaalpas het saldo van de rekening diverse malen gecontroleerd.

2.7 Op basis van de gebeurtenissen heeft de Bank de persoonsgegevens van Consument opgenomen in het de Gebeurtenissenadministratie en het daaraan gekoppelde Intern Verwijzingsregister (IVR), het Incidentenregister en het Extern Verwijzingsregister (EVR).

2.8 In het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen van 23 oktober 2013 (hierna: het PIFI) is voor zover relevant het volgende bepaald:
“2 Begripsbepalingen
In dit protocol wordt verstaan onder:
(…)
Incident: een gebeurtenis die als gevolg heeft, zou kunnen hebben of heeft gehad dat de belangen, integriteit of veiligheid van de cliënten of medewerkers van een Financiële Instelling, de Financiële Instelling zelf of de financiële sector als geheel in het geding zijn of kunnen zijn, zoals het falsificeren van nota’s, identiteitsfraude, skimming, verduistering in dienstbetrekking, phishing en opzettelijke misleiding.
(…)
Organisatie van de Deelnemer: de Deelnemer zelf, de dochtermaatschappijen van de Deelnemer (als bedoeld in artikel 2:24a BW) dan wel de groepsmaatschappijen waarmee de Deelnemer in een economische eenheid is verbonden (artikel 2:24a BW). Als ook de bij Rabobank Nederland aangesloten banken.
(…)

4 Incidentenregister
4.1 Doel Incidentenregister
4.1.1 Het geheel aan verwerkingen ten aanzien van het Incidentenregister heeft tot doel het ondersteunen van activiteiten gericht op het waarborgen van de veiligheid en de integriteit van de financiële sector, daaronder mede begrepen (het geheel van) activiteiten die gericht zijn:
– op het onderkennen, voorkomen, onderzoeken en bestrijden van gedragingen die kunnen leiden tot benadeling van de branche waar de financiële instelling deel van uitmaakt, van de economische eenheid (groep) waartoe de financiële instelling behoort, van de financiële instelling zelf, alsmede van haar cliënten en medewerkers;
– op het onderkennen, voorkomen, onderzoeken en bestrijden van oneigenlijk gebruik van producten, diensten en voorzieningen en/of (pogingen) tot strafbare of laakbare gedragingen en/of overtreding van (wettelijke) voorschriften, gericht tegen de branche waar de financiële instelling deel van uitmaakt, de economische eenheid (groep) waartoe de financiële instelling
behoort, de financiële instelling zelf, alsmede haar cliënten en medewerkers;
– op het gebruik van en de deelname aan waarschuwingssystemen.”

2.9 In maart 2017 heeft de Bank coulance halve besloten de registratie van de personalia van Consument in het Externe Verwijzingsregister ongedaan te laten maken. Verder heeft de Bank de opnameduur van de personalia van Consument in de Gebeurtenissenadministratie en het IVR teruggebracht van acht jaar naar vier jaar.

2.10 De Bank heeft de bancaire relatie met Consument beëindigd.

2.11 In artikel 35 van de Voorwaarden en overige regelingen van de Bank is het volgende opgenomen:
“Zowel de cliënt als de bank kan de relatie tussen hen schriftelijk geheel of gedeeltelijk opzeggen. Als de bank de relatie opzegt, deelt zij desgevraagd de reden van de opzegging aan de cliënt mee. Na opzegging van de relatie worden de tussen de cliënt en de bank bestaande individuele overeenkomsten zo spoedig mogelijk afgewikkeld met inachtneming van de daarvoor geldende termijnen. Tijdens de afwikkeling blijven deze algemene bankvoorwaarden en de op de individuele overeenkomsten toepasselijke specifieke voorwaarden van toepassing.”

2.12 Ten tijde van de gebeurtenissen was Consument 15 jaar en 7 maanden oud.

3. Vordering, klacht en verweer

Vordering Consument
3.1 Consument vordert dat de Bank haar vordering op haar intrekt. Daarnaast vordert zij onmiddellijke verwijdering van haar persoonsgegevens uit de Gebeurtenissenadministratie, IVR en het Incidentenregister.

3.2 Aan deze vordering legt Consument nakoming van de rekening-courant overeenkomst ten grondslag. Consument is slachtoffer geworden van gehaaide criminelen die misbruik hebben gemaakt van haar jonge leeftijd. Voor zover zij tekort zou zijn geschoten in haar verplichtingen jegens de Bank is dat haar gezien haar jonge leeftijd niet aan te rekenen.

Verweer
3.3 De Bank heeft de stellingen van Consument gemotiveerd weersproken. Voor zover nodig zal de Commissie bij de beoordeling daarop ingaan.

4. Beoordeling

4.1. Consument vordert dat dat de Bank haar vordering op haar intrekt en de
persoonsgegevens uit het Incidentenregister en het IVR verwijdert. Daarnaast is de Bank ten onrechte tot beëindiging van de bancaire relatie overgegaan.

4.2. Vordering van de Bank op Consument
De Commissie stelt vast dat het vermogen van Consument op 12 december 2015 is verrijkt met een bedrag van € 3.302,-. Daarnaast staat vast dat het bedrag op 12, 13 en 14 december 2015 met behulp van de betaalpas en pincode van Consument in delen van de rekening is opgenomen.

4.3. De Bank heeft betoogd dat zij een vordering uit hoofde van ongerechtvaardigde verrijking ex artikel 6:212 van het Burgerlijke Wetboek (hierna: BW) op Consument heeft; zij stelt verarmd te zijn omdat zij aan de benadeelde het bedrag van € 3.302,- heeft vergoed. Consument vordert dat de Bank deze vordering intrekt.

4.4. De Commissie overweegt als volgt. Het vermogen van Consument is op
12 december 2015 vergroot met een bedrag van € 3.302,- doordat dit bedrag op haar
rekening is bijgeschreven. Op dat moment heeft Consument een vordering op
de Bank verkregen. Dit betekent dat Consument op 12 december 2015 is
verrijkt met een bedrag van € 3.302,-. Consument heeft onvoldoende aannemelijk
gemaakt dat dit bedrag niet tot haar beschikking is gekomen. Gelet op het feit dat dit
bedrag op haar rekening was gestald, was het aan haar om aannemelijk te maken dat zij daarvan geen profijt heeft gehad. Nu het bedrag met behulp van haar betaalpas en pincode is opgenomen, is Consument daarin niet geslaagd. Vergelijk
Geschillencommissie Kifid 2012/87, 2012/219 en 2012/260.

4.5. Voorts is niet betwist dat sprake is van een verarming aan de zijde van de Bank. De Bank heeft als gevolg van de frauduleuze overboeking een bedrag van € 3.302,- aan de gedupeerde rekeninghouder vergoed. Hierdoor is de Bank verarmd. Er bestaat voldoende causaal verband tussen de verrijking van Consument en de verarming van de Bank. Zie Geschillencommissie Kifid 2012/87 en 2012/219.

4.6. Voorts is de verrijking ongerechtvaardigd. De overboeking van € 3.302,- is het gevolg van fraude. De gedupeerde rekeninghouder heeft immers geen toestemming gegeven voor het overboeken van dit bedrag. Daarnaast heeft Consument niet gesteld dat zij enige aanspraak op het overgeboekte bedrag kon maken. Voor de verrijking is dus geen redelijke grond aanwezig. Consument heeft de stelling van de Bank op dit punt onvoldoende weersproken. De Commissie concludeert derhalve dat in dit geval sprake is van een vordering van de Bank op Consument uit hoofde van ongerechtvaardigde verrijking ex art. 6:212 BW.
Vergelijk Hof Amsterdam, 17 mei 2011, LJN: BQ6852 en Geschillencommissie Kifid 2012/87 en 2012/219. De vordering van Consument is dus niet toewijsbaar.

4.7. Opname persoonsgegevens in Incidentenregister
Opname in het Incidentenregister is toegestaan wanneer sprake is van een Incident als
omschreven in artikel 2 van het Protocol en het doel van het Incidentenregister zoals
omschreven in artikel 4.1.1 van het Protocol is gediend bij registratie. Het ligt op de weg van de Bank om de feiten die zij aan de incidentenregistratie ten grondslag legt te
stellen en, bij gemotiveerde betwisting door Consument, te bewijzen.

4.8 Volgens de toelichting op het PIFI mogen de incidenteninformatie en de daarbij behorende persoonsgegevens bij het eerste signaal dat sprake is van een incident worden opgenomen in het Incidentenregister. Het (redelijk vermoeden van het) incident moet vervolgens worden onderzocht door de afdeling Veiligheidszaken. Van een gerechtvaardigde Incidentenregistratie is ingevolge artikel 4.1.1 PIFI in ieder geval sprake zolang het onderzoek door de afdeling Veiligheidszaken naar het incident loopt. De afdeling Veiligheidszaken van de registrerende Bank mag informatie uit het Incidentenregister delen met andere deelnemers aan het PIFI. Het Incidentenregister heeft daarmee een beperkte externe werking (Zie Geschillencommissie Kifid 2016-196 onder 4.5 en Rb. Midden-Nederland 11 januari 2017, ECLI:NL:RBMNE:2017:49, r.o. 4.10.)

4.9 Het voorgaande brengt mee dat voor handhaving van de registratie in het Incidentenregister na afloop van het incidentenonderzoek voldoende bewijs moet bestaan dat voldaan is aan de vereisten van artikel 5.2.1 sub a en b van het PIFI. Kort gezegd houden de vereisten van artikel 5.2.1 sub a en b van het PIFI in dat in voldoende mate vaststaat dat de door de Bank gestelde feiten die de registratie dragen een gegronde verdenking van fraude (opzet te misleiden) vormen (zie Geschillencommissie Kifid 2016-069). Zonder nadere toelichting en onderbouwing kan dan ook niet worden aangenomen dat het doel van het Incidentenregister met handhaving van registratie nog is gediend indien na het onderzoek naar het incident niet is gebleken dat een gegronde verdenking van fraude bestaat.

4.10 De Bank heeft aangevoerd dat sprake is van een gebeurtenis die als gevolg zou kunnen hebben dat zijn belangen of die van de financiële sector als geheel in het geding zijn en daarmee is voldaan aan de omschrijving van Incident zoals bedoeld in het Protocol. De Bank heeft toegelicht dat de gedupeerde rekeninghouder geen toestemming heeft gegeven voor de betwiste overboeking. Consument heeft niet gesteld dat zij enige aanspraak op het bedrag kon maken. Daarbij werd de betaalpas van Consument langere tijd vermist. Met deze pas is op 29 november 2015 geld getracht op te nemen. Dit is niet gelukt omdat er op dat moment geen saldo op de rekening stond. Tevens is tussen 30 november en 8 december 2015 met behulp van de betaalpas het saldo van de rekening diverse malen gecontroleerd. Pas op
12, 13 en 14 december 2015 hebben de frauduleuze opnames plaatsgevonden. Het saldo werd dus voorafgaand aan de fraude nauwlettend in de gaten gehouden en toen het bedrag eenmaal was bijgeschreven werd het vervolgens vrijwel direct opgenomen. Consument heeft wisselende verklaringen afgelegd over de gebeurtenissen en zij bewaarde de pincodebrief in strijd met de veiligheidsvoorschriften in haar handtas en had de pincode in haar telefoon opgeslagen.

Op grond van de door de Bank geschetste en door Consument niet weersproken omstandigheden is de Commissie van oordeel dat sprake is van een Incident in de zin van artikel 2 van het PIFI. De persoonsgegevens van Consument mochten daarom ook na afloop van het incidentenonderzoek in het Incidentenregister blijven staan.

4.12 De Bank heeft de registratie in het EVR om haar moverende redenen doorgehaald. Doorhaling van een EVR-registratie brengt niet zonder meer mee dat ook de Incidentenregistratie dient te worden doorgehaald. Hiertoe dient een zelfstandige afweging van belangen te worden gemaakt. De Commissie is van oordeel dat Consument door de registratie van haar persoonsgegevens in het Incidentenregister niet disproportioneel in haar belangen wordt geschaad. De Commissie neemt daarbij in aanmerking dat de duur van deze registratie is teruggebracht tot vier jaar en de externe werking van het Incidentenregister beperkt is. Alleen onder beperkte voorwaarden kan informatie uit het Incidentenregister worden uitgewisseld met de veiligheidsafdeling van een andere financiële instelling. Consument kan derhalve elders een bankrekening openen. De registratie van de persoonsgegevens van Consument in het Incidentenregister mag dan ook gehandhaafd blijven.

4.13 Ten aanzien van de stelling van Consument dat zij zelf slachtoffer is en rekening dient te worden gehouden met haar jonge leeftijd, met name als het gaat om de veiligheidsvoorschriften van de Bank, overweegt de Commissie als volgt. De door de Bank gehanteerde veiligheidsvoorschriften zijn niet onredelijk bezwarend. Te meer nu geen sprake is van een situatie waarin Consument slechts enkele dagen heeft verzuimd deze voorschriften na te leven, maar sprake is van een situatie waarin zij gedurende langere periode verzuimd heeft deze na te leven. Dit is een omstandigheid die voor haar rekening en risico dient te komen. Een andere regel zou de Bank voor onaanvaardbare risico’s plaatsen.

4.14 De opname van de persoonsgegevens van Consument in de Gebeurtenissenadministratie (IVR)
Vervolgens zal de Commissie de vraag bespreken of de Bank gerechtigd was de persoonsgegevens van Consument in de Gebeurtenissenadministratie en het IVR op te nemen. Het toetsingskader voor deze registratie wordt gevormd door de Gedragscode Verwerking Persoonsgegevens Financiële Instellingen (verder GVPFI). Ingevolge artikel 4.1 GVPFI worden persoonsgegevens in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze verwerkt. Van een zorgvuldige gegevensverwerking is sprake als de desbetreffende gegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verwerkt. Dit vereiste is nader uitgewerkt in artikel 4.3 en artikel 5 GVPFI. Ingevolge artikel 5.5.1 GVPFI kunnen, ten behoeve van de veiligheid en integriteit van de financiële sector, persoonsgegevens die betrekking hebben op (onder meer) gebeurtenissen die de zorg en aandacht behoeven van de financiële instelling, worden opgenomen in de Gebeurtenissenadministratie. Het gaat daarbij om zaken die de veiligheid en integriteit van de instelling, die haar werknemers, klanten, overige relaties maar ook de financiële sector als geheel (kunnen) raken. Gebeurtenissen die een kleine impact, maar ook grote gevolgen kunnen hebben.

4.15 De Commissie heeft onder 4.5 overwogen dat de omstandigheden kunnen worden aangemerkt als een Incident in de zin van artikel 2 PIFI.
Met de in de omschrijving van het begrip Incident genoemde ‘gebeurtenis’ wordt bedoeld de ‘gebeurtenis’ in de zin van art. 5.5.1 GVPFI. Het bovenstaande brengt mee dat sprake is van een gebeurtenis en de Bank derhalve de gegevens ook heeft mogen opnemen in de Gebeurtenissenadministratie en het daaraan gekoppelde IVR.

4.16 Gelet op het voorgaande stond het de Bank vrij haar relatie met Consument overeenkomstig artikel 35 van de toepasselijke voorwaarden op te zeggen.

4.17 Dit alles brengt mee dat de vorderingen niet voor toewijzing in aanmerking komen.

4.18 Bij beslissing van 20 juni 2017 heeft de Commissie de vordering van Consument aldus omschreven: “…onmiddellijke verwijdering van haar persoonsgegevens uit de Gebeurtenissenadministratie, IVR en het Incidentenregister” en de aldus omschreven
vordering afgewezen.
Bij voormeld e-mailbericht van 6 juli 2017 heeft Consument er terecht op gewezen dat deze omschrijving van de klacht te beperkt en dat de Commissie daardoor niet heeft beslist op de volledige door haar ingediende klacht. Consument heeft op dit punt het gelijk aan haar zijde. Daarom is de eerdere beslissing, die hiermee komt te vervallen, door deze beslissing herzien, waarmee het door Consument geconstateerde verzuim is hersteld.

5. Beslissing

De Commissie wijst de vorderingen af.

De Commissie bepaalt dat deze hersteluitspraak in de plaats treedt van de eerdere uitspraak 2017-390.

In artikel 5 van het Reglement van de Commissie van Beroep Financiële Dienstverlening is bepaald in welke gevallen beroep openstaat van bindende beslissingen van de Geschillencommissie Financiële Dienstverlening bij de Commissie van Beroep Financiële Dienstverlening. Daarbij geldt een termijn van zes weken na verzending van deze uitspraak. Op de website van Kifid vindt u praktische informatie over het instellen van beroep. Zie hiervoor www.kifid.nl/consumenten/hoe-wordt-uw-klacht-behandeld.

Tegen deze uitspraak staat hoger beroep open bij de Commissie van Beroep Financiële Dienstverlening. U kunt de zaak ook aan de rechter voorleggen.

U kunt, binnen twee weken na de verzenddatum van deze uitspraak, bij de Voorzitter van de Geschillencommissie Financiële Dienstverlening schriftelijk een verzoek indienen tot herstel van kennelijke vergissingen in de uitspraak. U moet daarbij met name denken aan correctie van reken- of schrijffouten en verbetering van namen en data. De volledige procedure met de termijnen die daarbij in acht moeten worden genomen staat beschreven in artikel 46 van het Reglement.