Uitspraak 2018-284 (Bindend)

Uitspraak Geschillencommissie Financiële Dienstverlening nr. 2018-284
(mr. J.S.W. Holtrop, voorzitter, mr. E.C. Ruinaard, mr. A.P. Luitingh, leden en
mr. A.C. Bek, secretaris)

Klacht ontvangen op : 25 augustus 2017
Ingediend door : Consument
Tegen : ING Bank N.V., gevestigd te Amsterdam, verder te noemen de Bank
Datum uitspraak : 7 mei 2018
Aard uitspraak : Bindend advies

Samenvatting

Consument heeft bij de Bank een inzageverzoek zoals bedoeld in artikel 35 Wet bescherming persoonsgegevens (Wbp) ingediend. Het inzageverzoek strekte enerzijds tot een overzicht van de verwerking van de persoonsgegevens van Consument door de Bank zelf. De Commissie heeft ter zitting vastgesteld dat Consument erkent dat zijn verzoek om een volledig overzicht te ruim is geformuleerd. De Commissie vertrouwt erop dat de Bank de toezegging om medewerking te zullen verlenen indien Consument een nader gespecificeerd verzoek indient, zal nakomen. Het inzageverzoek strekte anderzijds tot een overzicht van derde partijen, waaraan de Bank persoonsgegevens van Consument heeft verstrekt. Consument meent dat de Bank niet (volledig) aan zijn inzageverzoek heeft voldaan. De Bank heeft een beroep gedaan op artikel 43 Wbp waarin is bepaald dat in bepaalde gevallen niet aan artikel 35 Wbp hoeft te worden voldaan. De Commissie oordeelt ten aanzien van dit klachtonderdeel dat de Bank voldoende aannemelijk heeft gemaakt dat zij de geheimhoudingsplicht zou schenden, indien zij aan Consument meer gedetailleerde informatie zou verstrekken met betrekking tot de persoonsgegevens die zij aan derde partijen heeft verstrekt.

1. Procesverloop

De Commissie beslist met inachtneming van haar Reglement en op basis van de volgende stukken inclusief bijlagen:

· het door Consument (digitaal) ingediende klachtformulier;
· het verweerschrift van de Bank;
· de repliek van Consument;
· de dupliek van de Bank.

De Commissie stelt vast dat partijen hebben gekozen voor bindend advies.

Partijen zijn opgeroepen voor een hoorzitting op 13 april 2018 en zijn aldaar verschenen.

2. Feiten

De Commissie gaat bij de beoordeling van dit geschil uit van de volgende feiten:

2.1. Consument houdt een betaalrekening aan bij de Bank. Op de relatie tussen Consument en de Bank is onder andere het Privacy Statement van de Bank van toepassing.

2.2. Op 27 december 2016 heeft Consument bij de Bank een inzageverzoek, zoals bedoeld in artikel 35 Wet bescherming persoonsgegevens (Wbp), ingediend. Het inzageverzoek strekt enerzijds tot een overzicht van de verwerking van de persoonsgegevens van Consument door de Bank zelf en anderzijds tot een overzicht van derde partijen, waaraan de Bank persoonsgegevens van Consument heeft verstrekt.

2.3. De Bank heeft Consument op 21 februari 2017 verzocht een ondertekend inzageverzoek in te dienen, waaraan Consument op 25 februari 2017 heeft voldaan.

2.4. Op 3 maart 2017 heeft de Bank Consument een beknopt overzicht verstrekt en hem als volgt bericht:

“Uw verzoek van 1 maart 2017 is te ruim geformuleerd, om deze reden verstrekken wij u een overzicht van de persoonsgegevens die de ING Bank N.V. van u verwerkt. Wilt u specifiekere informatie over bijvoorbeeld een bepaald product? Dan verzoeken wij u om een aanvullend verzoek in te dienen, met daarin specifieker te formuleren welke informatie u wenst te ontvangen.

Ook vraagt u of ING Bank N.V. uw gegevens mogelijk aan derden verstrekt. ING Bank N.V. gaat zorgvuldig om met de (persoons)gegevens van haar klanten. Dit om redenen van privacy en vertrouwelijkheid. In ons Privacy Statement, die u kunt vinden op www.ing.nl, kunt u vinden waarvoor we uw persoonsgegevens gebruiken. (…)”

2.5. Consument heeft naar aanleiding van dit bericht verzocht om aanvullende informatie met betrekking tot de verstrekking van zijn gegevens aan derden. De Bank heeft hem bij brief van 23 maart 2017 als volgt geantwoord:
“(…) De ING zal niet zomaar gegevens van haar klanten aan derden verstrekken. Dit om redenen van privacy en vertrouwelijkheid. In bepaalde gevallen, bijvoorbeeld als dit onderdeel is van een overeenkomst of als wij dat wettelijk verplicht zijn, verstrekken wij wel gegevens van onze klanten aan derden.
Andere financiële instellingen
U hebt twee betaalrekeningen bij ons. Als u geld pint, geld overmaakt, geld overgemaakt krijgt of met uw pinpas betaalt dan zijn daar altijd andere banken en gespecialiseerde bedrijven uit de financiële sector bij betrokken. Als u geld overmaakt, geven wij via deze bedrijven uw persoonsgegevens door aan de bank van de ontvanger. Al deze partijen zijn verplicht zorgvuldig en veilig met uw persoonsgegevens om te gaan. U kunt in uw afschriften of Mijn ING zien naar welke banken u geld hebt overgemaakt of van welke banken u geld hebt ontvangen. (…)
De overheid
Nederlandse overheidsorganisaties hebben uw persoonsgegevens nodig voor hun taken. Bijvoorbeeld voor uw belastingaangifte. Maar ook tegen witwassen of terrorisme. Veel van deze taken zijn vastgelegd in aparte wetten zoals de ‘Wet ter voorkoming van witwassen en financieren terrorisme (Wwft). Daarom geven we sommige persoonsgegevens door aan de overheid als we daartoe wettelijk verplicht zijn.
Zo delen we informatie over betalingen of geldstortingen met de Finance Intelligence Unit Nederland als er een verdenking is van witwassen of terrorismefinanciering. Dat zijn we verplicht.”

2.6. Consument heeft de Bank vervolgens nogmaals verzocht om te voldoen aan zijn inzageverzoek en meer specifiek gericht op het delen van informatie met de overheid, omdat de Bank volgens Consument niet is ingegaan op zijn vraag of zijn gegevens zijn gedeeld met derden en zo ja, welke informatie het betreft en welke redenen daaraan ten grondslag hebben gelegen. In reactie hierop heeft de Bank op 28 maart 2017 aangegeven dat zij jaarlijks betaalrekeningen en saldi per 31 december aan de Belastingdienst verstrekt op grond van haar wettelijke verplichting daartoe. De Bank heeft meegedeeld dat zij soms wettelijk verplicht is om gegevens van klanten aan een overheidsinstantie door te geven zonder dat te mogen melden aan de klanten, omdat ten aanzien hiervan een geheimhoudingsplicht geldt. Op 7 april 2017 heeft de Bank Consument geadviseerd rechtstreeks contact op te nemen met de overheidsinstanties waarvan hij wil weten of zijn persoonsgegevens worden verwerkt.

2.7. Op 5 april 2017 heeft Consument de Bank nogmaals verzocht om hem mede te delen óf zijn persoonsgegevens zijn gedeeld met een overheidsinstantie waarop de geheimhoudingsplicht van toepassing is. De Bank heeft Consument op 7 april 2017 nogmaals geadviseerd contact op te nemen met een specifieke overheidsinstantie, indien hij wil weten of zijn persoonsgegevens door de betreffende overheidsinstantie worden verwerkt. Consument heeft zijn verzoek op 11 april 2017 nogmaals herhaald, waarna de Bank op 19 april 2017 hem er nogmaals op heeft gewezen dat op het moment dat er een geheimhoudingsplicht geldt voor een bank, zij niet aan de klant mag en kan doorgeven dat de gegevens van de betreffende klant zijn verstrekt aan een overheidsinstantie. Dit heeft zich meermaals herhaald, tot de Bank op 8 juni 2017 Consument heeft bericht dat zij reeds alle gegevens met Consument heeft gedeeld die binnen de reikwijdte van artikel 35 Wbp vallen. Als bijlagen bij de brief zijn de relatiegegevens van Consument, alsmede de contracten tussen Consument en de Bank, een overzicht van alle aanwezige documenten en een overzicht van de doeleinden, categorieën, ontvangers en herkomst van de persoonsgegevens van Consument toegevoegd.

2.8. Op 24 augustus 2017 heeft Consument de Autoriteit Persoonsgegevens verzocht om een schriftelijke toelichting ter ondersteuning van zijn standpunt. Op 4 september 2017 heeft de Autoriteit Persoonsgegevens aan dit verzoek voldaan en heeft in algemene bewoordingen de betekenis van artikel 35 en artikel 43 Wbp toegelicht.

2.9. Consument heeft de Autoriteit Persoonsgegevens op 11 september 2017 verzocht om te bevestigen dat de Bank dient aan te geven op grond van welke van de in artikel 43 Wbp genoemde gronden het inzageverzoek is geweigerd. In reactie hierop heeft de Autoriteit Persoonsgegevens Consument medegedeeld:
“Artikel 43 van de Wbp geeft inderdaad aan dat in die omstandigheden een verantwoordelijke inzage in de persoonsgegevens mag weigeren.”

2.10. Consument heeft aangegeven dat dit reeds duidelijk was en heeft zijn vraag als volgt verduidelijkt:

“Mijn vraag is juist of het correct is wat ik heb vernomen van {medewerkster Autoriteit Persoonsgegevens} waarbij ze aangaf dat wanneer volgens de verantwoordelijke artikel 43 van toepassing is, de verantwoordelijke ook moet aangeven op basis van welke van de 5 genoemde gronden in artikel 43 zij zich baseert?”

De medewerkster van de Autoriteit Persoonsgegevens heeft hem in reactie hierop bericht:
“De verantwoordelijk dient te motiveren waarom zij een inzageverzoek weigert in te willigen. Aangezien zij een dergelijk verzoek slechts mogen weigeren op grond van een van de gronden die artikel 43 Wbp noemt, lijkt het mij inderdaad logisch dat zij aangeven op grond van welke grond de verantwoordelijke zich beroept om geen inzage te verstrekken in de verwerking van de persoonsgegevens.”

3. Vordering, klacht en verweer

Vordering van Consument
3.1. Consument vordert dat de Bank alsnog voldoet aan zijn inzageverzoek ex artikel 35 Wbp.

Grondslagen en argumenten daarvoor
3.2. Deze vordering steunt, kort weergegeven, op de volgende grondslag. Consument heeft gesteld dat de Bank niet aan haar wettelijke verplichtingen heeft voldaan en heeft hiertoe de volgende argumenten aangevoerd:
· Consument heeft op grond van de Wbp het recht om inzage te verkrijgen in de verwerking van zijn persoonsgegevens, heeft het recht om na te gaan of de verwerking correct is en heeft het recht op correctie van de gegevens. De Bank heeft niet, althans niet volledig, aan het inzageverzoek van Consument voldaan en heeft daarmee in strijd met de wet- en regelgeving gehandeld. Consument kan hierdoor zijn rechten niet uitoefenen en wenst alsnog een volledig overzicht te ontvangen van zijn persoonsgegevens die door de Bank worden verwerkt;
· Consument heeft de toelichting van de Autoriteit Persoonsgegevens, zijnde een neutrale partij en tevens toezichthouder, geïnterpreteerd als een bevestiging van zijn visie, namelijk dat de Bank dient aan te geven op welke van de in artikel 43 Wbp genoemde gronden zij niet aan het inzageverzoek van Consument voldoet. De Bank weigert echter om hieraan gehoor te geven.

Verweer van de Bank
3.3. De Bank heeft, kort en zakelijk weergegeven, de volgende verweren gevoerd:
· Consument heeft een zeer ruim inzageverzoek ingediend.

De Bank heeft Consument verzocht zijn verzoek nader specificeren, echter heeft Consument hieraan geen gehoor gegeven. Bij dupliek heeft de Bank met betrekking tot de nadere specificatie van het inzageverzoek verwezen naar een uitspraak van 1 februari 2018 van het Gerechtshof ’s-Hertogenbosch (ECLI:NL:GHSHE:2018:363), waarin is geoordeeld dat sprake is van een zogenoemde ‘fishing expedition’ indien een inzageverzoek te algemeen is en zonder dat is verduidelijkt waarover de consument meer duidelijkheid wenst;
· het overzicht dat de Bank op 8 juni 2017 aan Consument heeft verstrekt, voldoet aan de vereisten van artikel 35 lid 2 Wbp, met uitzondering van het feit dat niet is vermeld of de Bank persoonsgegevens van Consument heeft gedeeld met overheidsinstanties, waarop de geheimhoudingsplicht van toepassing is. Op grond van hetgeen is bepaald in artikel 43 Wbp is de Bank hiertoe niet verplicht en mag zij zelfs geen mededelingen doen over eventuele verzoeken van overheidsinstanties. Ter zitting heeft de Bank dit nader onderbouwd door te stellen dat eventuele mededelingen met betrekking tot de situatie op dit moment ook van invloed kunnen zijn op toekomstige inzageverzoeken van Consument. Indien de Bank nu aangeeft dat er op dit moment geen verzoeken zijn gedaan door overheidsinstanties en zij een dergelijke mededeling in de toekomst niet kan doen, dan zou Consument hieruit kunnen concluderen dat er op dat toekomstige moment wel een verzoek door één of meerdere overheidsinstanties is gedaan. De Bank kan daarom ook op dit moment geen nadere mededelingen aan Consument doen;
· op de website van de Autoriteit Persoonsgegevens staat een toelichting op artikel 43 Wbp. Hierin is opgenomen dat het recht op bescherming van persoonsgegevens niet in absolute zin is geformuleerd en dat een uitzondering kan worden gemaakt. De gronden om een uitzondering te maken zijn opgenomen in artikel 43 Wbp, welke gronden zijn onderworpen aan het “noodzakelijkheids”-criterium. Hierbij dient een belangenafweging te worden gemaakt tussen de inbreuk op de belangen van de betrokkene in verhouding tot het met de verwerking te dienen doel. De Autoriteit Persoonsgegevens heeft in het antwoord aan Consument niet gesteld dat de Bank verplicht is om een van de gronden van artikel 43 Wbp aan te dragen, echter dat het haar logisch lijkt als de Bank dat wel doet. Dit is een essentieel verschil. Naar de mening van de Bank zou het vermelden van één van de gronden in strijd zijn met de geheimhoudingsplicht;
· de Bank heeft in haar (door de Autoriteit Persoonsgegevens goedgekeurde) Privacy Statement vastgelegd hoe zij omgaat met de persoonsgegevens van haar cliënten. Hieruit kan Consument afleiden aan welke derde partijen de Bank zijn gegevens kan verstrekken.

4. Beoordeling

Algemeen
4.1. Aan de Commissie ligt de vraag voor of de Bank in strijd met de wet- en regelgeving heeft gehandeld. De Commissie oordeelt dat deze vraag ontkennend dient te worden beantwoord en overweegt hiertoe als volgt.
4.2. In artikel 35 Wbp is bepaald:

“Artikel 35
1. De betrokkene heeft het recht zich vrijelijk en met redelijke tussenpozen tot de verantwoordelijke te wenden
met het verzoek hem mede te delen of hem betreffende persoonsgegevens worden verwerkt. (…)
2. Indien zodanige gegevens worden verwerkt, bevat de mededeling een volledig overzicht daarvan in begrijpelijke
vorm, een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop
de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers, alsmede de beschikbare
informatie over de herkomst van de gegevens.
(…)”

4.3. In artikel 43 Wbp is bepaald:

“Artikel 43
De verantwoordelijke kan de artikelen 9, eerste lid, 30, derde lid, 33, 34, 34a, tweede lid en 35 buiten toepassing laten voor zover dit noodzakelijk is in het belang van:
a. de veiligheid van de staat;
b. de voorkoming, opsporing en vervolging van strafbare feiten;
c. gewichtige economische en financiële belangen van de staat en andere openbare lichamen;
d. het toezicht op de naleving van wettelijke voorschriften die zijn gesteld ten behoeve van de belangen, bedoeld onder b en c, of
e. de bescherming van de betrokkene of de rechten en vrijheden van anderen.”

Overzicht van de verwerking van de persoonsgegevens
4.4. Consument heeft de Bank door middel van een inzageverzoek verzocht om een volledig overzicht van zijn persoonsgegevens, die door de Bank worden verwerkt. De Commissie stelt vast dat de Bank op 8 juni 2017 een uitgebreid overzicht heeft verstrekt, waarin de persoonsgegevens van Consument zijn opgenomen. Ter zitting heeft Consument aangegeven dat hij kennis heeft genomen van de door de Bank ingebrachte uitspraak van het Gerechtshof ’s-Hertogenbosch en heeft erkend dat zijn verzoek om een volledig overzicht erg ruim is geformuleerd. Consument heeft aangegeven dat hij zijn verzoek graag nader zal specificeren en dat hij – na zich hierover te hebben beraden – een aanvullend verzoek zal indienen bij de Bank. Als voorbeeld heeft hij een kopie van zijn contract met de Bank genoemd. De Bank heeft ter zitting aangegeven dat zij zal voldoen aan een specifiek verzoek van Consument, mits zij daarmee geen wet- en regelgeving zal schenden.

4.5. De Commissie gaat ervan uit dat Consument zijn verzoek nader zal specificeren en vertrouwt erop dat de Bank de door Consument verzochte documenten zal overleggen, mits daarmee geen wet- en regelgeving wordt geschonden. De Commissie zal dit klachtonderdeel daarom voor het overige buiten beschouwing laten.

Overzicht van persoonsgegevens die aan derden zijn verstrekt
4.6. Consument heeft de Bank door middel van zijn inzageverzoek tevens verzocht om een overzicht van zijn persoonsgegevens, die door de Bank zijn verstrekt aan derde partijen.

Consument heeft dit verzoek in de loop van zijn correspondentie met de Bank aangepast naar een verzoek om een verklaring óf zijn gegevens zijn gedeeld met derden en daarnaast op welke grond van artikel 43 Wbp de Bank geen verdere informatie aan Consument verstrekt. De Bank heeft gemotiveerd verweer gevoerd.

4.7. De Commissie stelt vast dat uit de Toelichting op beide artikelen (zie de Kamerstukken II, 1997-1998, 25 892, nr. 3) blijkt dat het recht op bescherming van persoonsgegevens niet in absolute zin kan worden geformuleerd. De samenleving kan niet functioneren wanneer niet onder bepaalde omstandigheden op de vastgestelde beginselen een uitzondering kan worden gemaakt. Op grond van artikel 43 Wbp is het mogelijk om een uitzondering te maken op artikel 35 Wbp. De toepasselijkheid van de gronden zijn onderworpen aan het “noodzakelijkheids”-criterium. De Afdeling Bestuursrechtspraak van de Raad van State heeft op 4 oktober 2017 een uitspraak gedaan over de toepassing van artikel 43 Wbp (ECLI:NL:RVS:2017:2680). Hierin is uitgemaakt dat artikel 35 Wbp niet zonder meer buiten beschouwing kan worden gelaten als een in artikel 43 Wbp genoemd belang kan worden geraakt. Het is vereist dat een in artikel 43 Wbp genoemde grond het buiten beschouwing laten van artikel 35 Wbp noodzakelijk maakt. Daarbij dient een belangenafweging te worden gemaakt.

4.8. De Commissie oordeelt ten aanzien van dit klachtonderdeel dat de Bank voldoende aannemelijk heeft gemaakt dat zij de geheimhoudingsplicht zou schenden, indien zij aan Consument meer gedetailleerde informatie zou verstrekken met betrekking tot de persoonsgegevens die zij aan derde partijen heeft verstrekt. Uit hetgeen ter zitting door de Bank is verklaard, blijkt dat een afweging is gemaakt tussen de belangen van Consument en de belangen die gemoeid zijn met het beroep van de Bank op artikel 43 Wbp. Niet aannemelijk is geworden dat Consument enig nadeel zou ondervinden door de weigering van de Bank om te vermelden op welke van de in artikel 43 genoemde gronden zij haar beslissing heeft gebaseerd. Naar het oordeel van de Commissie volgt uit de toelichting van de Autoriteit Persoonsgegevens niet dat de Bank verplicht kan worden om specifiek een van de in artikel 43 Wbp genoemde gronden te vermelden. Mede gezien de hiervoor genoemde uitspraak van de Afdeling bestuursrechtspraak van de Raad van State acht de Commissie zich niet gebonden aan de inhoud van de e-mail van de medewerkster van de Autoriteit Persoonsgegevens
d.d. 19 september 2017. Tot slot merkt de Commissie op dat Consument uit het Privacy Statement van de Bank kan afleiden aan welke derde partijen zijn persoonsgegevens zouden kunnen worden verstrekt.

Conclusie
4.9. De Commissie oordeelt op grond van de voorgaande overwegingen dat de Bank Consument voor zo ver mogelijk is tegemoetgekomen in zijn inzageverzoek.
Niet is komen vast te staan dat de Bank in strijd met wet- en regelgeving heeft gehandeld. De klacht is ongegrond en de Commissie wijst de vordering af.

5. Beslissing

De Commissie wijst de vordering af.

In artikel 5 van het Reglement van de Commissie van Beroep Financiële Dienstverlening is bepaald in welke gevallen beroep openstaat van bindende beslissingen van de Geschillencommissie Financiële Dienstverlening bij de Commissie van Beroep Financiële Dienstverlening. Daarbij geldt een termijn van zes weken na verzending van deze uitspraak. Op de website van Kifid vindt u praktische informatie over het instellen van beroep. Zie hiervoor www.kifid.nl/consumenten/hoe-wordt-uw-klacht-behandeld.

U kunt, binnen twee weken na de verzenddatum van deze uitspraak, bij de Voorzitter van de Geschillencommissie Financiële Dienstverlening schriftelijk een verzoek indienen tot herstel van kennelijke vergissingen in de uitspraak. U moet daarbij met name denken aan correctie van reken- of schrijffouten en verbetering van namen en data. De volledige procedure met de termijnen die daarbij in acht moeten worden genomen staat beschreven in artikel 40 van het Reglement.