Uitspraak 2018-623 (Bindend)

Uitspraak Geschillencommissie Financiële Dienstverlening nr. 2018-623
(mr. E.L.A. van Emden, voorzitter, en mr. A.P. Luitingh en mr. A.M.T. Wigger, leden, en mr. R.E. van Lambalgen, secretaris)

Klacht ontvangen op        : 11 april 2017

Ingediend door               : Consument

Tegen                            : De Volksbank N.V., handelend onder de naam SNS Bank, gevestigd te Utrecht, verder te

noemen de Bank

Datum uitspraak             : 3 oktober 2018

Aard uitspraak                : Bindend advies

Samenvatting

Consument vordert dat zijn persoonsgegevens worden verwijderd uit het Interne Verwijzingsregister (IVR). De persoonsgegevens van Consument zijn door de Bank opgenomen in het IVR, omdat de Bank het vermoeden heeft dat Consument betrokken is geweest bij factuurfraude. Consument heeft namelijk geld op zijn rekening ontvangen dat van factuurfraude afkomstig is, en nog dezelfde dag heeft Consument dit geld opgenomen en aan een derde gegeven. De Commissie oordeelt dat de Bank de redelijke verdenking van betrokkenheid bij fraude dan wel het mogelijk maken van fraude mocht aanmerken als een ‘gebeurtenis’ in de zin van artikel 5.5.1 GVPFI. Voorts is de Commissie van oordeel dat Consument niet disproportioneel in zijn belangen wordt geraakt door de interne registratie van zijn persoonsgegevens voor de duur van acht jaar. De Commissie komt daarom tot de slotsom dat de registratie van de persoonsgegevens van Consument in het IVR gehandhaafd mag blijven voor een periode van acht jaar. De vordering van Consument wordt afgewezen.

1. Procesverloop

De Commissie beslist met inachtneming van haar Reglement en op basis van de volgende stukken:

• de klachtbrief van Consument met bijlagen,
• het verweerschrift van de Bank,
• de reactie van de Bank van 2 oktober 2017 en
• de reactie van Consument daarop.

De Commissie stelt vast dat partijen hebben gekozen voor bindend advies.

De Commissie stelt vast dat het niet nodig is de zaak mondeling te behandelen. De zaak kan daarom op grond van de stukken worden beslist.

2. Feiten en juridisch kader

Feiten

De Commissie gaat uit van de volgende feiten.

• Consument hield een betaalrekening (hierna: “de rekening”) aan bij de Bank.

• Op 3 februari 2017 heeft Consument een verhoging van zijn bankpaslimiet aangevraagd.

• Eveneens op 3 februari 2017 is er op de rekening van Consument een bedrag van € 3.872,02 gestort. Dezelfde dag is dit bedrag ook weer opgenomen van de rekening.

• Op 23 februari 2017 heeft de afdeling Fraudedetectie CFD van de Bank een transactie van € 10.081,72 ten gunste van de rekening van Consument onderschept.

• Op 24 februari 2017 heeft de Bank de persoonsgegevens van Consument opgenomen in de Gebeurtenissenadministratie en het daaraan gekoppelde Intern Verwijzingsregister (IVR). De duur van de registratie is acht jaar. Consument is per brief geïnformeerd over de registratie. Deze brief (hierna: “brief van 24 februari 2017”) vermeldt als reden van opname: “U bent geregistreerd omdat het voldoende aannemelijk is geworden dat u bij een gebeurtenis betrokken bent of bent geweest”.

• Op 28 februari 2017 heeft Consument per e-mail contact opgenomen met de Bank en gevraagd naar de aanleiding om zijn persoonsgegevens op te nemen in de registers. In het daaropvolgende e-mailcontact heeft de Bank vragen gesteld over de transactie van
  3 februari 2017.

• Op 7 maart 2017 heeft de Bank Consument het volgende e-mailbericht gestuurd:

“Betreffende betaling is van fraude afkomstig. De maatregelen tegen u zijn genomen omdat de gelden op uw rekening zijn ontvangen. U verklaart in uw email dat niet u maar een familielid de feitelijke begunstigde is van deze gelden. Indien dit waar is zou het kunnen zijn dat de getroffen maatregelen tegen u ten onrechte zijn genomen. Derhalve verzoek ik u om uw familielid te identificeren en met mij in contact te brengen.”

• Op 7 maart 2017 heeft Consument hierop het volgende geantwoord:

“Indien mij bekend was dat het geld afkomstig was van fraude had ik mijn rekeningnummer nooit beschikbaar gesteld. Ik zou u dan ook graag de contactgegevens van betreffende persoon doorgeven echter ik ben bang voor represailles nu u stelt dat er waarschijnlijk sprake is van een strafbaar feit. Ik verzoek u dan ook aangifte te doen bij de politie en een afschrift van onze correspondentie bij de aangifte toe te voegen.
Indien de politie mij bescherming tegen represailles wilt bieden, dan zal ik eveneens overwegen aangifte te doen van oplichting. Daarbij zal ik er alles aan doen soortgelijke situaties in de toekomst te voorkomen. Ik hoop dan ook dat de op mijn naam staande bankrekening spoedig gedeblokkeerd kan worden zodat ik over mijn financiën kan beschikken.”

Juridisch kader

• In de Gedragscode Verwerking Persoonsgegevens Financiële Instellingen van 1 mei 2010 (hierna: de GVPFI) is – voor zover van belang – het volgende opgenomen:

“4. Beginselen van Verwerking van Persoonsgegevens

4.1 Persoonsgegevens worden in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze verwerkt.

[…]

4.3 Persoonsgegevens worden slechts verwerkt indien en voor zover is voldaan aan minimaal één van de volgende rechtmatige grondslagen:

1. de Betrokkene heeft voor de Verwerking van Persoonsgegevens zijn ondubbelzinnige toestemming verleend;
2. de Verwerking van Persoonsgegevens is noodzakelijk voor de uitvoering van een overeenkomst waarbij de Cliënt partij is, of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de Cliënt en die noodzakelijk zijn voor het sluiten van een overeenkomst;
3. de Verwerking van Persoonsgegevens is noodzakelijk om een wettelijke verplichting na te komen waaraan de Financiële instelling onderworpen is;
4. de Verwerking van Persoonsgegevens is noodzakelijk ter vrijwaring van een vitaal belang van de Betrokkene;
5. de Verwerking van Persoonsgegevens is noodzakelijk voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende bestuursorgaan dan wel het bestuursorgaan waaraan de gegevens worden verstrekt; of
6. de Verwerking van Persoonsgegevens is noodzakelijk voor de behartiging van het gerechtvaardigde belang van de Financiële instelling of van een Derde aan wie de Persoonsgegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de Betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert.

[…]

5. Doeleinden voor de Verwerking van Persoonsgegevens

5.1 Algemeen

5.1.1 Verwerking van Persoonsgegevens door Financiële instellingen vindt plaats, met inachtneming van de beginselen voor Verwerking van Persoonsgegevens ten behoeve van een efficiënte en effectieve bedrijfsvoering, in het bijzonder in het kader van het uitvoeren van de volgende activiteiten:

1. het beoordelen en accepteren van een Cliënt, het aangaan en uitvoeren van overeenkomsten met een Cliënt en het afwikkelen van het betalingsverkeer;
2. het verrichten van analyses van Persoonsgegevens ten behoeve van statistische en wetenschappelijke doeleinden;
3. het uitvoeren van (gerichte) marketingactiviteiten teneinde een relatie met een Betrokkene tot stand te brengen en/of met een Cliënt in stand te houden dan wel uit te breiden;

4. het waarborgen van de veiligheid en integriteit van de financiële sector, daaronder mede begrepen het onderkennen, voorkomen, onderzoeken en bestrijden van (pogingen tot) (strafbare of laakbare) gedragingen gericht tegen de branche waar een Financiële instelling deel van uitmaakt, de Groep waartoe een Financiële instelling behoort, de Financiële instelling zelf, haar Cliënten en medewerkers, alsmede het gebruik van en de deelname aan waarschuwingssystemen;
5. het voldoen aan wettelijke verplichtingen;
6. het beheren van de relatie met de Cliënt.

(…)

5.5 Verwerking van Persoonsgegevens in het kader van de veiligheid en integriteit van de Financiële sector alsmede het gebruik van waarschuwingssystemen

5.5.1 Ten behoeve van de veiligheid en integriteit van de Financiële sector kunnen gegevens, waaronder Persoonsgegevens, die betrekking hebben op: (i) gebeurtenissen die gelet op het bijzondere karakter van de Financiële sector de zorg en aandacht behoeven van de Financiële instelling; (ii) (potentiële) vorderingen onder meer ten aanzien van een met de Financiële instelling gesloten overeenkomst; (iii) het niet nakomen van contractuele verplichtingen of andere (toerekenbare) tekortkomingen; of (iv) handelingen van Financiële instellingen, waaronder onderzoek als bedoeld in artikel

5.6.1 Gedragscode, worden opgenomen in een Gebeurtenissenadministratie gehouden door Veiligheidszaken of een daartoe aangewezen afdeling van de betreffende Financiële instelling. Op deze Gebeurtenissenadministratie is de Gedragscode van toepassing.”

• In de toelichting op artikel 5.5 van de GVPFI staat – onder meer – het volgende vermeld:

“Binnen een Financiële instelling vormt Veiligheidszaken, die zich bezig houdt met de bestrijding van fraude en criminaliteit, vaak een afgezonderde eenheid. Deze afdeling legt onder meer gebeurtenissen vast die van belang zijn voor de veiligheid en integriteit van de Financiële sector en om die reden speciale aandacht behoeven. Het kan daarbij gaan om uiteenlopende gebeurtenissen als de melding van een gestolen laptop tot het vermoeden dat een bepaald persoon betrokken is bij een vorm van fraude of criminaliteit. Deze Persoonsgegevens worden vastgelegd in een zogeheten Gebeurtenissenadministratie. De Persoonsgegevens opgenomen in de Gebeurtenissenadministratie mogen in beginsel alleen gebruikt worden binnen de Financiële instelling of de Groep waartoe de Financiële instelling behoort. Om een oncontroleerbaar gebruik van deze Persoonsgegevens te voorkomen wordt een beperkte set aan gegevens (naam, adres, woonplaats en geboortedatum) opgenomen in een Intern Verwijzingsregister (IVR) dat in het kader van onder meer acceptatie en schadeafhandeling door de betreffende afdelingen geraadpleegd mag worden. Indien blijkt dat een Betrokkene in dit IVR voorkomt moet contact worden opgenomen met Veiligheidszaken, die vervolgens adviseert over de beslissing die moet worden genomen. Op deze Verwerking van Persoonsgegevens is de Gedragscode van toepassing en is een separate melding gedaan bij het CBP.”

3. Vordering, klacht en verweer

Vordering Consument

• Consument vordert dat de Bank de registratie van zijn persoonsgegevens in de Gebeurtenissenadministratie en het IVR verwijdert. Tevens vordert Consument herstel van de bancaire relatie.

Grondslagen en argumenten daarvoor

• Deze vordering steunt, kort en zakelijk weergegeven, op de grondslag dat de registratie in het IVR onterecht is. Consument voert daartoe de volgende argumenten aan:
  • Consument was te goeder trouw. Hij wist namelijk niet dat het geld van fraude afkomstig was. Het geld was ontvangen voor een familielid dat zelf niet over een bankrekening beschikte.
  • Er heeft geen proces of veroordeling plaatsgevonden. Er is dus ook geen bewezenverklaring met betrekking tot fraude uitgesproken.
  • Consument is bereid om de vragen van de Bank te beantwoorden, indien hij formeel verhoord wordt en de politie hem bescherming biedt tegen mogelijke represailles.

Verweer van de Bank

• De Bank heeft de stellingen van Consument gemotiveerd weersproken. Voor zover nodig zal de Commissie bij de beoordeling daarop ingaan.

4. Beoordeling

Registratie IVR

• Ter beoordeling ligt de vraag voor of de Bank de persoonsgegevens van Consument dient te verwijderen uit de Gebeurtenissenadministratie en het IVR.

• Het IVR is gekoppeld aan de Gebeurtenissenadministratie. Deze registers vormen het interne waarschuwingssysteem van de Bank en de groep financiële ondernemingen waarvan de Bank deel uitmaakt. De Gebeurtenissenadministratie is een register van (persoons)gegevens, die daarin zijn verwerkt omdat zij van belang zijn voor de veiligheid en integriteit van de financiële instelling en om die reden speciale aandacht behoeven. De Gebeurtenissenadministratie wordt beheerd en is in te zien door de Afdeling Veiligheidszaken van de Bank. In het IVR kunnen de verwijzingsgegevens van de betrokkene worden opgenomen zodat de eigen organisatie opmerkzaam wordt gemaakt op de persoon die was betrokken bij een ‘gebeurtenis’.

• Op de verwerking van persoonsgegevens in deze registers is de Gedragscode Verwerking Persoonsgegevens Financiële Instellingen (GVPFI) van toepassing. Opname in deze registers is toegestaan indien aan de vereisten die de GVPFI daarvoor stelt, is voldaan. Ingevolge artikel 4.1 GVPFI worden persoonsgegevens in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze verwerkt. Van een zorgvuldige gegevensverwerking is sprake als de desbetreffende gegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verwerkt. Dit is nader uitgewerkt in artikel 4.3 en artikel 5 GVPFI. In essentie zijn er twee vereisten. In de eerste plaats moet er sprake zijn van een gebeurtenis in de zin van artikel 5.5.1 GVPFI. In de tweede plaats moet zijn voldaan aan de beginselen van subsidiariteit en proportionaliteit (die voortvloeien uit artikel 4.3 sub f GVPFI).

• De Commissie is van oordeel dat aan deze vereisten is voldaan en dat de Bank dus heeft mogen overgaan tot registratie in de Gebeurtenissenadministratie en het daaraan gekoppelde IVR. De Commissie overweegt daartoe als volgt.

Gebeurtenis

• Op grond van artikel 5.5.1 GVPFI kunnen persoonsgegevens die betrekking hebben op (onder meer) gebeurtenissen die de zorg en aandacht behoeven van de financiële instelling, worden opgenomen in de Gebeurtenissenadministratie. Het gaat daarbij om zaken die de veiligheid en integriteit van de instelling, haar werknemers, klanten en overige relaties maar ook de financiële sector als geheel (kunnen) raken. Gebeurtenissen kunnen een kleine impact, maar ook grote gevolgen hebben. Het varieert van een klant die een medewerker heeft uitgescholden tot aan de medewerker en zijn eventuele medeplegers die miljoenen hebben verduisterd.

• In eerdere uitspraken heeft de Commissie overwogen dat een bank de omstandigheid dat sprake is van een redelijke verdenking van betrokkenheid bij fraude dan wel het mogelijk maken van fraude, als een ‘gebeurtenis’ in de zin van artikel 5.5.1 GVPFI mag aanmerken. Zie Geschillencommissie Kifid 2017-267 en 2017-694.

• In het onderhavige geval is er sprake van een redelijke verdenking van betrokkenheid bij fraude dan wel het mogelijk maken van fraude. Dit blijkt overigens niet duidelijk uit de brief van 24 februari 2017 (waarin de Bank Consument informeert over de registratie). Door enkel te spreken van een ‘gebeurtenis’ zonder uit te leggen waar deze gebeurtenis uit bestaat, blinkt deze brief niet uit in helderheid. Uit het daaropvolgende e-mailverkeer tussen de Bank en Consument blijkt echter wel duidelijk dat de Bank het vermoeden heeft dat Consument betrokken is geweest bij factuurfraude. In haar verweerschrift heeft de Bank aangegeven welke omstandigheden hiertoe redengevend zijn geweest:
  • Op 23 februari 2017 heeft de afdeling Fraudedetectie CFD van de Bank een bedrag van € 10.081,72 ten gunste van de rekening van Consument onderschept. Uit nader onderzoek bleek dat deze transactie het resultaat was van factuurfraude.
  • Deze transactie hoorde bij de transactie van 3 februari 2017, waarbij een bedrag van € 3.872,02 op de rekening van Consument is gestort en diezelfde dag weer opgenomen.
  • Op 3 februari 2017 had Consument een verhoging van zijn bankpaslimiet aangevraagd.
  • Door de benadeelde partij is aangifte gedaan bij de politie.

Naar het oordeel van de Commissie kunnen deze omstandigheden inderdaad een redelijke verdenking opleveren van betrokkenheid bij fraude dan wel het mogelijk maken van fraude.

• De Commissie stelt overigens vast dat de Bank op 24 februari 2017 is overgegaan tot registratie en pas in maart 2017 onderzoek heeft verricht door Consument vragen te stellen over de bewuste transactie. Het onderzoek dat de Bank in maart 2017 heeft verricht, werpt evenwel geen ander licht op de zaak. De Bank had Consument gevraagd om aan te geven wie de uiteindelijke ontvanger was van het bedrag van € 3.872,02. Consument heeft enkel verklaard dat dit geld voor een familielid was dat zelf niet over een bankrekening beschikte. Consument heeft de naam van dit familielid niet willen noemen. Consument heeft weliswaar aangegeven dat hij bereid is om de vragen van de Bank te beantwoorden, maar hij stelt daarbij allerlei eisen, onder meer dat de Bank eerst aangifte doet bij de politie en dat hij eveneens aangifte zal doen indien de politie hem bescherming biedt tegen mogelijke represailles. Door het stellen van dergelijke eisen kan niet gesproken worden van een serieuze en oprechte medewerking van Consument. Als Consument wel aan het onderzoek had meegewerkt, dan had Consument wellicht kunnen aantonen dat hem niets te verwijten viel. Nu Consument ervoor gekozen heeft om niet mee te werken aan het onderzoek, heeft Consument deze kans laten liggen. Kortom: op 24 februari 2017 was er al een verdenking van betrokkenheid bij fraude, en uit het onderzoek van maart 2017 is – mede doordat Consument hieraan niet wilde meewerken – niets gebleken dat deze verdenking zou kunnen wegnemen.

• De argumenten van Consument kunnen niet tot een andere conclusie leiden. Consument stelt weliswaar dat hij niet wist dat het geld dat hij op zijn rekening ontving, afkomstig was van factuurfraude, maar dit neemt niet weg dat Consument, door op zijn rekening gelden te ontvangen en vervolgens op te nemen en aan een “familielid” te geven, de factuurfraude wel mogelijk heeft gemaakt. Daarnaast stelt Consument dat er geen proces of veroordeling heeft plaatsgevonden en dat er dus ook geen bewezenverklaring met betrekking tot fraude is uitgesproken. Het is weliswaar juist dat de fraude niet bewezen is, maar een bewezenverklaring is ook niet vereist voor een interne registratie. Een redelijke verdenking is immers al voldoende voor een interne registratie. Zoals hierboven in rechtsoverweging 4.7 overwogen is een dergelijke redelijke verdenking hier aanwezig.

• Kortom: er is sprake van een redelijke verdenking van betrokkenheid bij fraude dan wel het mogelijk maken van fraude, en dus van een ‘gebeurtenis’ in de zin van artikel 5.5.1 GVPFI.

Subsidiariteit en proportionaliteit

• Hoewel er dus sprake is van een ‘gebeurtenis’, is het voor de vraag of de registratie in dit geval gerechtvaardigd is, ook van belang of is voldaan aan de beginselen van subsidiariteit en proportionaliteit. Beide beginselen vloeien voort uit artikel 4.3, aanhef en sub f GVPFI.

• Het rechtsbeginsel van de subsidiariteit houdt in dat een maatregel alleen is toegestaan als met een lichtere maatregel niet kan worden volstaan. De Commissie overweegt in dit verband dat een lichtere andere maatregel dan registratie in de Gebeurtenissenadministratie en het daaraan gekoppelde IVR, om het beoogde doel te bereiken (namelijk het waarschuwen van de eigen organisatie) niet voorhanden is, zodat voldaan is aan het beginsel van subsidiariteit.

• Het rechtsbeginsel van proportionaliteit houdt in dat het belang van de financiële sector bij registratie moet worden afgewogen tegen de nadelige gevolgen voor de betrokken consument. Ook mag de duur van de registratie niet disproportioneel zijn.

• Wat betreft de belangenafweging oordeelt de Commissie dat het belang van de Bank bij registratie van de gegevens van Consument in het IVR zwaarder weegt dan het mogelijk nadelige effect dat de registratie voor Consument heeft. Daarbij is van belang dat de registratie in het IVR zuiver intern is. De registratie heeft tot gevolg dat Consument niet langer gebruik kan maken van de diensten van de groep financiële ondernemingen waarvan de Bank deel uitmaakt. Financiële instellingen die geen deel uitmaken van deze groep hebben geen toegang tot de persoonsgegevens van Consument in het IVR. Consument wordt dus niet belemmerd in zijn mogelijkheden om met een andere financiële instelling een bancaire relatie aan te gaan.

• Wat betreft de duur van de registratie overweegt de Commissie dat haar niet is gebleken van omstandigheden die tot de conclusie leiden dat de duur van acht jaar disproportioneel is. Gelet hierop is de Commissie van oordeel dat Consument niet disproportioneel in zijn belangen wordt geraakt door de interne registratie van zijn persoonsgegevens voor de duur van acht jaar. Overigens merkt de Commissie op dat de brief van 24 februari 2017 de duur van registratie niet vermeldt en dat de Bank de duur van acht jaar ook nergens nader onderbouwd heeft. Van de Bank had dit wel verwacht mogen worden.

Conclusie ten aanzien van de registratie

• Aangezien er voldaan is aan de doelstelling van artikel 5.5.1 GVPFI en aan het subsidiariteitsbeginsel en proportionaliteitsbeginsel van artikel 4.3 sub f GVPFI, mag de registratie van de persoonsgegevens van Consument in het IVR gehandhaafd blijven voor een periode van acht jaar. Gelet hierop dient de vordering van Consument te worden afgewezen.

Beëindiging bancaire relatie

• Tot slot dient de Commissie zich nog te buigen over de vraag of de Bank gehouden is tot herstel van de bancaire relatie. De Commissie overweegt dat overeenkomsten als onderhavige in beginsel kunnen worden opgezegd.

  Het staat de Bank vrij de bancaire relatie met Consument op te zeggen indien daartoe voldoende aanleiding bestaat en de reden van opzegging aan Consument is medegedeeld. Of er voldoende aanleiding bestaat, staat in beginsel ter beoordeling van de Bank. In het onderhavige geval heeft de Bank de bancaire relatie opgezegd vanwege de betrokkenheid van de betaalrekening van Consument bij fraude. Gezien de voorliggende feiten en omstandigheden kan de aangevoerde reden voor opzegging naar het oordeel van de Commissie niet worden aangemerkt als onredelijk. De vordering van Consument tot herstel van de bancaire relatie dient dan ook te worden afgewezen.

5. Beslissing

De Commissie wijst de vordering af.

In artikel 5 van het Reglement van de Commissie van Beroep Financiële Dienstverlening is bepaald in welke gevallen beroep openstaat van bindende beslissingen van de Geschillencommissie Financiële Dienstverlening bij de Commissie van Beroep Financiële Dienstverlening. Daarbij geldt een termijn van zes weken na verzending van deze uitspraak. Op de website van Kifid vindt u praktische informatie over het instellen van beroep. Zie hiervoor www.kifid.nl/consumenten/hoe-wordt-uw-klacht-behandeld.

U kunt, binnen twee weken na de verzenddatum van deze uitspraak, bij de Voorzitter van de Geschillencommissie Financiële Dienstverlening schriftelijk een verzoek indienen tot herstel van kennelijke vergissingen in de uitspraak. U moet daarbij met name denken aan correctie van reken- of schrijffouten en verbetering van namen en data. De volledige procedure met de termijnen die daarbij in acht moeten worden genomen staat beschreven in artikel 40 van het Reglement.