Uitspraak 2018-405 (Bindend)

Uitspraak Geschillencommissie Financiële Dienstverlening nr. 2018-405
(prof. mr. M.L. Hendrikse, voorzitter, mr. M.C.M van Dijk en mr. E.C. Ruinaard, leden 

 en mr. F. Faes, secretaris)

Klacht ontvangen op        : 30 augustus 2016

Ingediend door               : Consument

Tegen                            : Coöperatieve Rabobank U.A., gevestigd te Amsterdam, verder te noemen de Bank

Datum uitspraak             : 9 juli 2018
Aard uitspraak                : Bindend advies

Samenvatting

Nadat Consument onjuiste gegevens heeft verstrekt in het kader van de aanvraag van een geldlening, heeft de Bank de persoonsgegevens van Consument o.a. opgenomen in het Incidentenregister en het EVR. Ook heeft Consument in verband met deze gebeurtenis een taakstraf van 60 uur gekregen, welke hij heeft voltooid. Consument vordert verwijdering van de gegevens, althans verkorting van de opnameduur. De Commissie oordeelt dat de Bank de opnameduur in het Incidentenregister en het EVR dient te verkorten.

• Procesverloop

   

1. De Commissie beslist met inachtneming van haar Reglement en op basis van de volgende stukken:

• het door Consument (digitaal) ingediende klachtformulier;
• het verweerschrift van de Bank;
• de repliek van Consument;
• de dupliek van de Bank;
• de aanvullende stukken van Consument;
• het e-mailbericht van de Bank van 22 juni 2018. De Bank heeft geen gebruik gemaakt van de mogelijkheid om te reageren op de aanvullende stukken van Consument. De Commissie stelt vast dat partijen hebben gekozen voor bindend advies.De Commissie stelt vast dat het niet nodig is de zaak mondeling te behandelen. De zaak kan daarom op grond van de stukken worden beslist.

• Feiten

   

  1. Consument houdt een betaalrekening aan bij de Bank.
  3. Op 28 mei 2016 heeft Consument bij Freo, onderdeel van De Lage Landen Internationaal B.V., een krediet ter hoogte van € 10.000,- aangevraagd. Voor de beoordeling van de kredietwaardigheid van Consument, heeft Freo onder andere een kopie van zijn salarisstrook en een dagafschrift van de Bank met salarisgegevens opgevraagd. Consument heeft deze documenten verstrekt aan Freo. Freo heeft vastgesteld dat het dagafschrift van de Bank en de salarisstrook waren vervalst.
  5. Freo is hierover met Consument in gesprek gegaan en Consument heeft erkend dat de documenten vervalst waren. Freo heeft aangifte gedaan tegen Consument vanwege het plegen van een strafbaar feit.
  7. Freo heeft de Bank over genoemde gebeurtenissen geïnformeerd. De Bank heeft aan Consument medegedeeld dat zij op basis van deze gebeurtenissen de persoonsgegevens van Consument met ingang van 6 juli 2016 voor acht jaar heeft opgenomen in het Intern Verwijzingsregister (hierna: IVR), het Incidentenregister en het daaraan gekoppelde Extern Verwijzingsregister (hierna: ‘EVR’). Tijdens de procedure bij Kifid heeft de Bank de opnameduur in het Incidentenregister en het Extern Verwijzingsregister (hierna: EVR) verlaagd naar vier jaar. Ook heeft de Bank bij brief van 3 augustus 2016 de bancaire relatie met Consument opgezegd.
  9. Consument is heeft d.d. 3 april 2017 een strafbeschikking opgelegd gekregen voor poging tot oplichting en het valselijk opmaken van een geschrift. Consument heeft de strafbeschikking, inhoudende een taakstraf van 60 uur gekregen, geaccepteerd. Consument heeft deze taakstraf voltooid, zoals bevestigd in een brief van 2 oktober 2017 van de officier van justitie.
  11. In het toepasselijke ‘Protocol Incidentenwaarschuwingssysteem Financiële Instellingen van
      23 oktober 2013’ (hierna: ‘het Protocol’) is – voor zover van belang – het volgende opgenomen:“2. Begripsbepalingen  3.1.1 Iedere Deelnemer heeft een Incidentenregister, waarin door de betreffende Deelnemer gegevens van (rechts)personen worden vastgelegd ten behoeve van het in artikel 4.1.1 Protocol genoemde doel, naar aanleiding van of betrekking hebbend op een (mogelijk) Incident.3.1.2 Aan het Incidentenregister is het Extern Verwijzingsregister gekoppeld.4 Incidentenregister4.1.1 Met het oog op het kunnen deelnemen aan het Waarschuwingssysteem is iedere Deelnemer gehouden de volgende doelstelling voor het vastleggen van gegevens in het Incidentenregister te hanteren:“Het geheel aan verwerkingen ten aanzien van het Incidentenregister heeft tot doel het ondersteunen van activiteiten gericht op het waarborgen van de veiligheid en de integriteit van de financiële sector, daaronder mede begrepen (het geheel van) activiteiten die gericht zijn:– op het onderkennen, voorkomen, onderzoeken en bestrijden van oneigenlijk gebruik van producten, diensten en voorzieningen en/of (pogingen) tot strafbare of laakbare gedragingen en/of overtreding van (wettelijke) voorschriften, gericht tegen de branche waar de financiële instelling deel van uitmaakt, de economische eenheid (groep) waartoe de financiële instelling behoort, de financiële instelling zelf, alsmede haar cliënten en medewerkers; 5.1 Functie van het Extern Verwijzingsregister 5.2.1 De Deelnemer dient de Verwijzingsgegevens van (rechts)personen die aan de hierna onder a en b vermelde criteria voldoen en na toepassing van het onder c genoemde proportionaliteitsbeginsel op te nemen in het Extern Verwijzingsregister.b) In voldoende mate staat vast dat de betreffende (rechts)persoon betrokken is bij de onder a bedoelde gedraging(en). Deze vaststelling betekent dat van strafbare feiten in principe aangifte of klachten wordt gedaan bij een opsporingsambtenaar.
  12. c) Het proportionaliteitsbeginsel wordt in acht genomen. Dit houdt in dat Veiligheidszaken vaststelt, dat het belang van opname in het Externe Verwijzingsregister prevaleert boven de mogelijk nadelige gevolgen voor de Betrokkene als gevolg van opname van zijn Persoonsgegevens in het Extern Verwijzingsregister.”
  13. a) De gedraging(en) van de (rechts)persoon vormden, vormen of kunnen een bedreiging vormen voor (I) de (financiële) belangen van cliënten en/of medewerkers van een Financiële instelling, alsmede de (Organisatie van de) Financiële instelling(en) zelf of (II) de continuïteit en/of de integriteit van de financiële sector.
  14. 5.2 Vastlegging van gegevens in het Extern Verwijzingsregister
  15. 5.1.1 Volledige en ongecontroleerde toegang tot het Incidentenregister van een Deelnemer door de overige Deelnemers is niet wenselijk. Daarom is er voor gekozen aan het Incidentenregister een Extern Verwijzingsregister te koppelen. In het Extern Verwijzingsregister zijn uitsluitend Verwijzingsgegevens opgenomen. Het Extern Verwijzingsregister is raadpleegbaar door de (Organisaties van de) Deelnemers. Nadat door een Deelnemer wordt vastgesteld dat een (rechts)persoon is opgenomen in het Externe Verwijzingsregister, zijn volgens het bepaalde in artikel 4.2 Protocol gegevens uit het Incidentenregister voor de Deelnemer beschikbaar. Op deze wijze worden gegevens uit het Incidentenregister op een zorgvuldige en gecontroleerde wijze beschikbaar voor de (Organisaties van de) Deelnemers.
  16. 5 Extern Verwijzingsregister
  17. – op het gebruik van en de deelname aan waarschuwingssystemen.”
  18. – op het onderkennen, voorkomen, onderzoeken en bestrijden van gedragingen die kunnen leiden tot benadeling van de branche waar de financiële instelling deel van uitmaakt, van de economische eenheid (groep) waartoe de financiële instelling behoort, van de financiële instelling zelf, alsmede van haar cliënten en medewerkers;
  19.  
  20. 4.1 Doel Incidentenregister
  21.  
  22. […]
  23. 3.1 Incidentenregister en Extern Verwijzingsregister
  24. Incident: een gebeurtenis die als gevolg heeft, zou kunnen hebben of heeft gehad dat de belangen, integriteit of veiligheid van de cliënten of medewerkers van een Financiële Instelling, de Financiële Instelling zelf of de financiële sector als geheel in het geding zijn of kunnen zijn, zoals het falsificeren van nota’s, identiteitsfraude, skimming, verduistering in dienstbetrekking, phishing en opzettelijke misleiding.
  25. In dit Protocol wordt verstaan onder:

1. 1. De Commissie gaat uit van de volgende feiten.

• Vordering, klacht en verweerVordering Consument
  1. Consument vordert verwijdering van zijn persoonsgegevens uit het Incidentenregister en het EVR, althans verkorting van de duur van de opname. Grondslagen en argumenten daarvoor
  3. Deze vordering steunt, kort en zakelijk weergegeven, op de volgende grondslag:
  4. De opname voor de duur van acht jaar alsook de verkorting naar vier jaar in het Incidentenregister en het EVR zijn om verschillende redenen disproportioneel, te weten:

• Consument begrijpt de registratie van zijn gegevens in het IVR en het beëindigen van de bancaire relatie; echter volgens Consument is de registratie in het EVR te zwaar. De EVR-registratie heeft een grote impact op zijn leven. Hij staat aan het begin van zijn carrière. Door de EVR-registratie kan Consument niet bij een andere financiële aanbieder terecht; hierdoor kan hij, na jaren sparen, geen huis kopen voor zijn gezin. Ook heeft de registratie veel invloed op zijn (geestelijke) gezondheid.
• Consument heeft blijk gegeven van inzicht in de onjuistheid van zijn handelen ter zake de vervalste documenten. Consument is zich bewust van zijn misstap en heeft meerdere malen spijt betuigd over de gang van zaken. Hij heeft er veel van geleerd.
• Consument is heeft een strafbeschikking voor de gebeurtenissen geaccepteerd en in dat kader een taakstraf van 60 uur voltooid. De IVR-registratie en de taakstraf zijn al meer dan voldoende straf voor het feit dat hij gepleegd heeft. Verweer van de Bank

1. 1. 1. De Bank heeft de stellingen van Consument gemotiveerd weersproken. Voor zover nodig zal de Commissie bij de beoordeling daarop ingaan.

• Beoordeling De opname van de persoonsgegevens van Consument in het EVR
  1. Tussen partijen staat niet ter discussie dat Consument bij de kredietaanvraag bij Freo een vervalste salarisstrook en een vervalst dagafschrift heeft verstrekt. Daarnaast heeft Consument de juistheid van het door de Bank genomen besluit om zijn persoonsgegevens in het Intern Verwijzingsregister op te nemen onderschreven. Consument stelt zich echter op het standpunt dat de registratie in het Incidentenregister en het EVR, ook voor de verminderde duur van vier jaar, disproportioneel is. Die vraag ligt ter beoordeling aan de Commissie voor.
  3. De Bank is verplicht bij de verwerking van persoonsgegevens in het EVR te handelen conform het Protocol.
     Opname van persoonsgegevens in deze registers, en met name de registratie in het EVR, kan voor de betrokkene verstrekkende consequenties hebben. Alle deelnemende financiële instellingen kunnen immers door toetsing in het EVR vaststellen dat sprake is van opname van een betrokkene in het Incidentenregister van (een) andere deelnemer(s). Het gevolg hiervan kan zijn dat niet alleen de deelnemer die tot opname in het EVR is overgegaan, maar ook andere deelnemers hun (financiële) diensten aan de betrokkene zullen weigeren of deze slechts zullen aanbieden tegen hogere tarieven. Tegen deze achtergrond is de Commissie van oordeel dat hoge eisen moeten worden gesteld aan de grond(en) van de Bank voor opname van de persoonsgegevens van Consument in de genoemde registers. Zie o.a. Hof Arnhem-Leeuwarden 26 januari 2016, ECLI:NL:GHARL:2016:494, rechtsoverweging 4.3 en uitspraak GC Kifid 2017-717 onder 4.2 en 2018-377 onder 4.2.
  5. Ten tijde van de registratie van de persoonsgegevens van Consument waren het Protocol en Wet Bescherming persoonsgegevens (hierna: Wbp, thans de Algemene Verordening Gegevensbescherming (AVG) die ten aanzien van de toepasselijke bepalingen niet afwijkt van de Wbp) van kracht. De opname van persoonsgegevens in het Incidentenregister en het EVR is slechts gerechtvaardigd indien zij in overeenstemming is met de Wbp en het Protocol. Blijkens de Memorie van Toelichting bij het wetsvoorstel van de Wbp is daarbij gedacht aan gegevens in verband met strafbaar of hinderlijk gedrag, die tot gevoelige gegevens behoren omdat de betrokkene in verband wordt gebracht met strafrechtelijk verwijtbaar gedrag. Artikel 5.2.1 onder a en b van het Protocol bepaalt onder welke voorwaarden persoonsgegevens mogen worden opgenomen in het EVR. Het moet gaan om gedragingen van de betrokkene die een bedreiging vormden, vormen of kunnen vormen voor de (financiële) belangen van een financiële instelling, alsmede voor de continuïteit en integriteit van de financiële sector. De strafrechtelijke aard van de te verwerken gegevens brengt mee dat deze gegevens in voldoende mate moeten vaststaan. Het moet gaan om zodanig concrete feiten en omstandigheden dat zij een als strafbaar feit te kwalificeren bewezenverklaring in de zin van artikel 350 van het Wetboek van Strafvordering kunnen dragen. Een strafrechtelijke veroordeling is niet vereist, maar anderzijds is de enkele verdenking van betrokkenheid bij een strafbaar feit in de zin van een vermoeden van schuld, zoals dat kan blijken uit een aangifte, niet voldoende. Als maatstaf heeft te gelden of de vastgestelde gedragingen een zwaardere verdenking dan een redelijk vermoeden van schuld opleveren, in die zin dat de te verwerken strafrechtelijke persoonsgegevens in voldoende mate moeten vaststaan. Zie rechtsoverweging 4.4. van HR 29 mei 2009, ECLI:NL:HR:2009:BH4720.
  7. Consument heeft erkend dat hij de salarisstrook en het dagafschrift heeft vervalst voor het aanvragen van het krediet.

     Dit maakt dat de Commissie van oordeel is dat aan de vereisten voor registratie in het EVR genoemd in art. 5.2.1 onder a en b van het Protocol is voldaan, nu de gedragingen van Consument een bedreiging vormen voor de (financiële) belangen van cliënten en/of medewerkers van de Bank alsmede de continuïteit en/of integriteit van de financiële sector.

  9. Overeenkomstig artikel 8 onder f van de Wbp, thans artikel 6 onder f van de AVG, en artikel 5.2.1 sub c van het Protocol, dient de Bank bij de registratie van persoonsgegevens in het EVR het proportionaliteitsbeginsel in acht te nemen. Dat wil zeggen dat het belang van de financiële sector bij registratie moet worden afgewogen tegen de nadelige gevolgen voor Consument. Doel van het Protocol is onder meer de continuïteit en de integriteit van de financiële sector te waarborgen. De dreiging van registratie kan daaraan – al dan niet als preventief middel – een positieve bijdrage leveren, doch alleen indien in de betreffende gevallen ook daadwerkelijk tot registratie wordt overgegaan. Desalniettemin kunnen, ook indien overigens aan de voorwaarden voor registratie is voldaan, de belangen van Consument zodanig zwaar worden geraakt dat in het concrete geval registratie achterwege zal moeten blijven. Het is in eerste instantie aan de Bank die afweging te maken. Een consument die verwijdering van de registratie wenst, zal evenwel moeten onderbouwen op grond waarvan hij disproportioneel wordt geraakt in zijn belangen en waarom zijn belang prevaleert boven dat van de Bank. Vergelijk Geschillencommissie Kifid 5 juli 2016, 2016-302, onder 4.9. Het proportionaliteitsbeginsel kan vervolgens een rol spelen bij de duur van de registratie. In artikel 5.3.2 van het Protocol is opgenomen dat de duur van de registratie maximaal acht jaar is.
  11. De Bank heeft gemotiveerd aangevoerd waarop het belang van de financiële sector bij registratie zwaarder weegt dan het belang van Consument bij het niet registreren van zijn persoonsgegevens. De Bank heeft de omstandigheden van het geval meegewogen in haar afweging ten aanzien van de duur van de registratie. Dit heeft ertoe geleid dat de Bank de persoonsgegevens van Consument voor een registratieduur van vier jaar heeft opgenomen in het Incidentenregister en het EVR. De Commissie is van oordeel dat de gebleken omstandigheden in dit geval registratie in het EVR niet disproportioneel maken. Dit betekent dat ook aan het in artikel 5.2.1 sub c genoemde vereiste voor registratie is voldaan en de gegevens in het EVR mogen worden opgenomen. De Commissie is evenwel van oordeel dat de door Consument aangevoerde omstandigheden ook de door de Bank verkorte registratietermijn van vier jaar de grenzen van proportionaliteit overschrijden. Daarbij neemt de Commissie in aanmerking dat Consument heeft erkend onjuist te hebben gehandeld, zijn spijt heeft betuigd en een taakstraf van 60 uur heeft voltooid en zijn belang – de verkrijging van een hypotheek (als starter) – voldoende heeft onderbouwd. De Commissie acht een registratie in het EVR voor de duur van twee jaar in het onderhavige geval proportioneel. Zij zal aan de Bank opleggen de registratie in het EVR tot die termijn te beperken. De opname van de persoonsgegevens van Consument in het Incidentenregister
  13. Gelet op het bovenstaande dient ook de registratie in het Incidentenregister te worden gehandhaafd. Het EVR is gekoppeld aan het Incidentenregister (artikel 5.1.1 van het Protocol). Dit brengt mee dat zolang registratie in het EVR terecht en proportioneel is, de gegevens ook in het Incidentenregister blijven staan. De Commissie is niet gebleken van omstandigheden die een langere duur van de Incidentenregistratie dan de duur van de EVR rechtvaardigen. Dit leidt tot de conclusie dat de Bank de registratie in het Incidentenregister op de hiervoor aangegeven gronden dient te beperken tot twee jaar.

• BeslissingDe Commissie beslist dat de Bank binnen vier weken na de dag waarop een afschrift van deze beslissing aan partijen is verstuurd, de registratie van Consument in het EVR en het Incidentenregister verkort van vier jaar naar twee jaar en Consument dat schriftelijk bevestigt.In artikel 5 van het Reglement van de Commissie van Beroep Financiële Dienstverlening is bepaald in welke gevallen beroep openstaat van bindende beslissingen van de Geschillencommissie Financiële Dienstverlening bij de Commissie van Beroep Financiële Dienstverlening. Daarbij geldt een termijn van zes weken na verzending van deze uitspraak. Op de website van Kifid vindt u praktische informatie over het instellen van beroep. Zie hiervoor www.kifid.nl/consumenten/hoe-wordt-uw-klacht-behandeld.U kunt, binnen twee weken na de verzenddatum van deze uitspraak, bij de Voorzitter van de Geschillencommissie Financiële Dienstverlening schriftelijk een verzoek indienen tot herstel van kennelijke vergissingen in de uitspraak. U moet daarbij met name denken aan correctie van reken- of schrijffouten en verbetering van namen en data. De volledige procedure met de termijnen die daarbij in acht moeten worden genomen staat beschreven in artikel 46 van het Reglement.