Uitspraak Geschillencommissie Financiële Dienstverlening nr. 2022-0135 (mr. J.L.M. Luiten, voorzitter, mr. dr. K. Engel, mr. P.G. Salvadori, leden en mr. D.W.Y. Sie, secretaris)

Uitspraak Geschillencommissie Financiële Dienstverlening nr. 2022-0135 (mr. J.L.M. Xxxxxx, voorzitter, xx. xx. X. Xxxxx, mr. P.G. Salvadori, leden en mr. D.W.Y. Sie, secretaris)

Klacht ontvangen op : 25 augustus 2021 Ingediend door : De consument

Tegen : Coöperatieve Rabobank U.A. h.o.d.n. Freo, gevestigd te Amsterdam, verder te noemen de bank

Datum uitspraak : 22 februari 0000

Xxxx uitspraak : Niet-bindend advies

Uitkomst : Vordering gedeeltelijk toegewezen

Bijlage : Relevante bepalingen uit wet- en regelgeving en relevante onderdelen uit de transcripties van de gesprekken van 27 en 28 oktober 2020

Samenvatting

Klacht over de opname van de persoonsgegevens van de consument in de interne en de externe registers. De consument heeft bij een kredietaanvraag een aangepast bankafschrift aan de bank verstrekt, waarvan onder meer zijn goktransacties en studieschuld zijn verwijderd. De bank heeft geconstateerd dat de consument betrokken is geweest bij een frauduleuze kredietaanvraag en zij heeft zijn persoonsgegevens voor de duur van acht jaar opgenomen in de interne en externe registers. Na aangifte van de bank bij de politie heeft de consument een taakstraf en boete opgelegd gekregen. Hij heeft vervolgens onder meer een behandeltraject bij een psycholoog afgerond vanwege zijn gokverslaving. De consument stelt dat de bank onvoldoende rekening heeft gehouden met zijn persoonlijke omstandigheden. De commissie is van oordeel dat een verkorting van de registratieduur in de externe registers van acht jaar naar zes jaar in dit geval proportioneel is. De registratieduur van de persoonsgegevens van de consument in de interne registers van acht jaar is naar het oordeel van de commissie wel proportioneel. De vordering van de consument wordt gedeeltelijk toegewezen.

1. De procedure

1.1 De commissie beslist op basis van haar reglement en op basis van de door partijen aan Kifid ingestuurde documenten inclusief bijlagen. Het gaat om: 1) het klachtformulier van de consument; 2) het verweerschrift van de bank; 3) de repliek van de consument en 4) de dupliek van de bank.

1.2 Partijen zijn opgeroepen voor een hoorzitting op 17 december 2021. Op de hoorzitting was de consument aanwezig samen met zijn vertegenwoordiger mevrouw mr. X.X. xxx Xxxxxxx (advocaat). De bank was eveneens aanwezig.

1.3 De consument heeft gekozen voor een niet-bindend advies. Dit betekent dat partijen elkaar niet aan de uitspraak kunnen houden.

2. Het geschil

Wat is er gebeurd?

2.1 Op 21 oktober 2020 heeft de consument een aanvraag ingediend bij de bank voor een krediet van € 5.000,-. Voor de kredietaanvraag heeft de consument op 25 oktober 2020 documenten aangeleverd bij de bank, waaronder een bankafschrift.

2.2 Op 21 oktober 2020 heeft de consument telefonisch aan de bank verklaard dat hij geen studieschuld heeft. Op 27 oktober 2020 heeft opnieuw een telefoongesprek plaatsgevonden tussen de bank en de consument. In dat gesprek heeft de consument aan de bank verklaard dat hij het bankafschrift een week vóór het indienen van de aanvraag bij de bank heeft aangepast. De consument heeft in dat gesprek de bank medegedeeld dat er sprake was van een vergissing, omdat het aangepaste afschrift voor zijn zus bedoeld was. De bank heeft de consument vervolgens ermee geconfronteerd dat het bankafschrift op basis van de technische gegevens van het document op 25 oktober 2020 is aangepast. Op 28 oktober 2020 heeft de consument telefonisch aan de bank verklaard dat hij de betaling van zijn studieschuld heeft weggelaten van het bankafschrift en dat hij om die reden het salaris heeft aangepast. In het telefoongesprek heeft de consument aan de bank benadrukt dat het niet zijn intentie was om de bank om de tuin te leiden.

2.3 Op 22 januari 2021 heeft de bank de consument per brief geïnformeerd dat zij de bancaire relatie met hem beëindigt en dat zij zijn persoonsgegevens voor de maximale duur van acht jaar opneemt in het Intern Verwijzingsregister (IVR), het Incidentenregister en het Extern Verwijzingsregister (EVR). Als reden voor de opname in de registers noemt de bank de betrokkenheid van de consument bij een frauduleuze kredietaanvraag bij haar instelling. Aansluitend heeft de bank op 8 februari 2021 de consument per brief geïnformeerd dat zij per 8 april 2021 de bancaire relatie met hem zal beëindigen.

2.4 Op 17 februari 2021 heeft de consument per brief bezwaar gemaakt tegen de voorgenomen maatregelen van de bank. Op 25 maart 2021 heeft de bank de consument geïnformeerd dat zij de registraties zal handhaven.

2.5 Op enig moment heeft de bank aangifte gedaan tegen de consument wegens valsheid in geschrifte. Op 1 juli 2021 heeft de Rechtbank Zeeland-West-Brabant de consument veroordeeld voor valsheid in geschrifte en is hij veroordeeld tot het uitvoeren van een taakstraf van 100 uur, waarvan 50 uur voorwaardelijk met een proeftijd van twee jaar.

Daarnaast is de consument opgelegd dat hij een schadevergoeding van € 230,- moet betalen aan de bank als benadeelde partij.

De vordering en de klacht

2.6 Primair vordert de consument verwijdering van zijn persoonsgegevens uit de interne en externe registers alsmede herstel van de bancaire relatie. Subsidiair vordert de consument verkorting van de registratieduur in de interne registers naar één jaar en algehele verwijdering van de externe registraties. Meer subsidiair vordert de consument verkorting van de registratieduur in de interne en externe registers naar één jaar. Verder vordert de consument van de bank vergoeding van de proceskosten.

2.7 De consument stelt dat de bank niet gerechtigd was om zijn persoonsgegevens voor de maximale duur op te nemen in de interne en externe registers. De bank heeft de persoon- lijke omstandigheden van de consument onvoldoende in acht genomen. Allereerst erkent de consument dat hij onjuist heeft gehandeld door een rekeningafschrift aan te passen en hij heeft zijn spijt betuigd. De consument heeft nooit (bewust) fraude proberen te plegen en al helemaal niet op deze manier. De consument schaamde zich voor de goktransacties op zijn bankafschriften en deze durfde hij niet aan zijn zus te tonen. De consument heeft per ongeluk diezelfde dag met het aangepaste bankafschrift de kredietaanvraag bij de bank gedaan. Verder houden de registraties de consument tegen in het opbouwen van zijn toekomst, waaronder zijn toekomst in de financiële wereld. De consument is bang dat hij door de registraties belemmerd zal worden in het solliciteren bij een financiële instelling. De registraties belemmeren de consument om een lening te krijgen om een woning te kopen, waarin hij met zijn partner een gezin kan stichten. Ook strekken de genomen maatregelen van de bank verder dan enkel het opzeggen van de bancaire relatie. De consument is strafrechtelijk veroordeeld voor zijn handelen en hij heeft berust in de veroordeling. Daarnaast kan de consument niet meer volledig deelnemen aan het reguliere financiële verkeer. Diverse verzekeringen van de consument, die bij de bank liepen, zijn opgezegd. De registraties belemmeren de consument in het afsluiten van nieuwe verzekeringen, zoals een nieuwe autoverzekering. Het autoleasecontract van de consument loopt over circa een jaar af. Doordat de consument doorgaans moet melden dat hij staat opgenomen in een van de diverse registers, is opname in het IVR te vergelijken als opname in het EVR.

Het verweer

2.8 De bank heeft verweer gevoerd tegen de stellingen van de consument. Voor zover relevant zal de commissie bij de beoordeling daarop ingaan.

3. De beoordeling

Waar gaat het om?

3.1 De commissie ziet zich voor de vraag gesteld of de bank de persoonsgegevens van de consument mocht opnemen in de interne en externe registers voor de maximale duur van acht jaar.

Het juridisch kader voor de beoordeling van de externe registraties

3.2 Ten tijde van de registratie van de persoonsgegevens van de consument waren het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen van 23 oktober 2013 (hierna: PIFI, zie de bijlage voor de relevante artikelen), Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) van kracht (zie de bijlage voor de relevante artikelen). De opname van persoonsgegevens in het Incidentenregister en het EVR is slechts gerechtvaardigd indien de registratie in overeen- stemming is met deze regelgeving.

3.3 Er gelden zware eisen voor de grond(en) van de bank bij opname van de persoonsgegevens van de consument, omdat opname van persoonsgegevens in het Incidentenregister en het EVR – en met name het EVR – voor de consument vergaande gevolgen kan hebben.1 Artikel 5.2.1 van het PIFI bepaalt onder welke voorwaarden persoonsgegevens mogen worden opgenomen in het EVR. Uit een uitspraak van de Hoge Raad volgt dat voor het registreren van persoonsgegevens op grond van artikel 5.2.1 onder a en b van het PIFI vereist is dat de vastgestelde gedragingen een zwaardere verdenking dan een redelijk

vermoeden van schuld aan een strafbaar feit opleveren. Een strafrechtelijke veroordeling van de betrokkene is niet vereist.2 Vervolgens moet op grond van artikel 5.2.1 sub c van het PIFI worden beoordeeld of op grond van een en ander opname in het Incidentenregister en het EVR gerechtvaardigd is en voor welke duur.

Beoordeling van de externe registraties

3.4 De commissie is van oordeel dat de bank de persoonsgegevens van de consument extern mocht registreren. Er is immers sprake van een zwaardere verdenking dan een redelijk vermoeden van schuld aan een strafbaar feit.

3.5 Tussen partijen staat namelijk niet ter discussie dat de consument het bankafschrift heeft aangepast dat hij aan de bank heeft gestuurd voor zijn kredietaanvraag. Na aangifte door de bank, is de consument strafrechtelijk veroordeeld voor valsheid in geschrifte.

1 Xxx Xxxxxx-Xxxxxxxxxx 00 januari 2016, ECLI:NL:GHARL:2016:494 (overweging 4.3), te vinden op xxx.xxxxxxxxxxx.xx.

2 Hoge Raad 29 mei 2009, ECLI:NL:HR:2009:BH4720 (overweging 4.4), te vinden op xxx.xxxxxxxxxxx.xx.

De consument is een taakstraf opgelegd van 100 uur, waarvan 50 uur voorwaardelijk opgelegd met een proeftijd van twee jaren. Daarnaast diende de consument de bank een schadevergoeding te betalen van € 230,-.

3.6 Wel staat voor de vraag of de externe registraties terecht zijn ter discussie of meespeelt dat de consument heeft verklaard dat het niet de bedoeling was om dit aangepaste bankafschrift aan de bank te sturen. Het aangepaste bankafschrift was volgens de consument eigenlijk bedoeld voor zijn zus. De commissie trekt de verklaring van de consument in twijfel en zij overweegt dat deze verklaring niet aannemelijk is. Dit licht de commissie als volgt toe.

3.7 Op basis van de transcripties van de gesprekken tussen de consument en de bank op 27 en 28 oktober 2020 is de commissie er niet van overtuigd geraakt dat de consument de bank volledige openheid van zaken heeft gegeven. De consument heeft niet direct aan de bank gemeld dat hij mogelijk een verkeerd bankafschrift heeft gestuurd dat eigenlijk voor zijn zus bedoeld was. Gelet op het korte tijdsverloop, tussen het sturen van de stukken en het telefoongesprek op 27 oktober 2020, mocht van de consument verwacht worden dat hij direct zou beseffen wat er aan de hand was en aan de bank zou melden wat er was voorgevallen. De consument heeft in het gesprek echter meerdere malen aangeven dat hij niet begreep dat de bank een aangepast bankafschrift heeft ontvangen. Verder neemt de commissie mee dat de consument geen duidelijke en geloofwaardige verklaring heeft verstrekt omtrent het tijdstip waarop hij het bankafschrift heeft aangepast en de reden dat zijn zus over zijn bankafschriften zou moeten beschikken. Ook de verklaringen die de consument ter zitting heeft gegeven voor het niet opgeven van de betalingen aan DUO voor zijn studieschuld lijken naar het oordeel van de commissie dubbelzinnig. Zo zou de consument de betalingen aan DUO niet aan de bank hebben gemeld, omdat hij de terug- betaling voor de duur van vijf jaar stop kon zetten. Maar feitelijk had hij dat niet gedaan en waren de betalingen nog steeds op zijn bankafschrift vermeld en heeft de consument verklaard dat hij dacht dat de maandelijkse aflossing van € 70,- niet het probleem zou zijn bij de inkomens- en lastentoets. Xxxxxxx is begrijpelijk waarom de consument de bank in de gegeven omstandigheden vooraf niets heeft medegedeeld over de mogelijkheid van het tijdelijk pauzeren van zijn betalingen aan DUO of zijn voornemen daartoe.

3.8 Gezien het voorgaande is voldaan aan het eerste vereiste voor opname in het EVR.

De proportionaliteit van de externe registraties

3.9 Op grond van artikel 5.2.1 sub c van het PIFI dient de bank bij de registratie van de persoonsgegevens van de consument in het EVR een proportionaliteitsafweging te maken bij de beoordeling van de vraag of zij gegevens in het EVR registreert, en zo ja, voor welke duur; de bank dient daarbij de belangen van de consument mee te wegen.

De consument moet vervolgens onderbouwen op grond waarvan hij disproportioneel wordt geraakt in zijn belangen en waarom zijn belang prevaleert boven dat van de bank.

3.10 De bank heeft gemotiveerd aangevoerd waarom haar belang en dat van de financiële sector als geheel, zwaarder weegt dan dat van de consument bij het niet-registreren. De commissie is echter van oordeel dat de bank de persoonlijke omstandigheden van de consument onvoldoende heeft meegenomen in haar afweging ten aanzien van de duur van de registratie van de persoonsgegevens van de consument in het EVR. Zo is het de commissie tijdens de hoorzitting gebleken dat de consument een gokverslaving had, waarvoor hij een behandeling bij een psycholoog heeft doorlopen en afgerond. Ook neemt de commissie mee dat de consument door de strafrechter is gestraft voor het vervalsen van het bankafschrift, naast de opname van zijn persoonsgegevens in de interne en externe registers. Daarnaast heeft de consument aangetoond dat hij opleidingen heeft gevolgd om in de financiële wereld werk- zaam te kunnen zijn. Hoewel de registratie van de persoonsgegevens van de consument een belemmering voor hem kan vormen, zal de consument waarschijnlijk ook door de straf- rechtelijke veroordeling belemmerd worden in het vinden van werk in de financiële sector. Gelet op de belangen van de consument en zijn persoonlijke omstandigheden, acht de commissie verkorting van de registratieduur in het EVR naar zes jaar proportioneel.

3.11 Het EVR is gekoppeld aan het Incidentenregister (artikel 5.1.1 van het PIFI). Dit brengt mee dat zolang registratie in het EVR terecht en proportioneel is, de gegevens ook in het Incidentenregister blijven staan. Gelet op het bovenstaande dient ook de registratie in het Incidentenregister te worden verkort naar zes jaar.

Beoordeling van de interne registraties

3.12 Wat betreft de beantwoording van de vraag of de bank op terechte gronden tot registratie in het IVR (dat aan de Gebeurtenissenadministratie is gekoppeld) mocht overgaan wordt het volgende overwogen.

3.13 De hiervoor genoemde registers vormen het interne waarschuwingssysteem van de bank en de groep financiële ondernemingen waarvan de bank deel uitmaakt. Opname van de persoonsgegevens van de consument in het IVR brengt mee dat die gegevens ook in de Gebeurtenissenadministratie zijn opgenomen. Dit heeft als gevolg dat de commissie de vordering van de consument tot verwijdering van haar gegevens uit het IVR aldus begrijpt dat daaronder ook de verwijdering van de gegevens uit de Gebeurtenissenadministratie moet worden begrepen.

3.14 Op registratie in deze registers zijn de AVG en de UAVG van toepassing. Hiervóór is vastgesteld dat tegen de consument een zwaardere verdenking dan een redelijk vermoeden van betrokkenheid bij fraude bestaat. Een vaststelling die, op grond van artikel 33 lid 2 sub b UAVG, ook voldoende is om de registratie in de onderhavige registers te handhaven.3

3.15 De commissie is van oordeel dat de bank voldoende heeft gemotiveerd wat haar belang is bij het intern registreren van de persoonsgegevens van de consument. Volgens de bank is het doel van de interne registraties het waarschuwen van de eigen organisatie. Volgens de bank is geen lichtere maatregel voor handen om dat doel te bereiken. Daarnaast heeft de bank naar het oordeel van de commissie voldoende gemotiveerd dat de belangen van de consument niet disproportioneel worden geschaad door de interne registratie van zijn persoonsgegevens. Financiële instellingen die geen deel uitmaken van de groep waarvan de bank deel uitmaakt hebben immers geen toegang tot de persoonsgegevens van de consument in het IVR en de Gebeurtenissenadministratie. De consument wordt hierdoor volgens de bank niet belemmerd om met een andere financiële instelling een bancaire relatie aan te gaan.

3.16 De commissie is van oordeel dat de consument onvoldoende heeft onderbouwd waarom de bank tot verkorting van de duur van de interne registraties over zou moeten gaan. De consument heeft expliciet aangegeven dat hij niet betwist dat de bank gerechtvaardigd mocht overgaan tot het registreren van zijn persoonsgegevens in de interne registers. Volgens de consument kunnen de interne registraties hem echter ook belemmeren in het reguliere financiële verkeer, doordat financiële instellingen hem alsnog kunnen weigeren als hij moet aangeven dat hij staat vermeld in een register. De consument heeft nagelaten aan te tonen bij welke financiële dienstverleners dit het geval is en wat zijn belang is bij het af te sluiten product. De consument heeft daarmee onvoldoende onderbouwd waarom de opname van zijn persoonsgegevens in de interne registraties voor de duur van acht jaar disproportioneel is.

3.17 De commissie concludeert zodoende dat de registratieduur van de persoonsgegevens van de consument van acht jaar in de interne registers proportioneel is.

De bank is niet gehouden de bancaire relatie te herstellen

3.18 Vervolgens komt de commissie toe aan de beoordeling van de vraag of de bank verplicht is om de bancaire relatie met de consument te herstellen. De bank is op grond van artikel 35 van de ABV bevoegd de contractuele relatie met de consument op te zeggen.

3 Zie ook Kifid GC 2021-0636, te vinden op xxx.xxxxx.xx.

Dit neemt niet weg dat de omstandigheden van het geval kunnen meebrengen dat het naar maatstaven van redelijkheid en billijkheid onaanvaardbaar is dat de overeengekomen bevoegdheid tot opzegging wordt uitgeoefend.

3.19 In de onderhavige omstandigheden heeft de bank de bancaire relatie schriftelijk opgezegd en haar beweegredenen hiervoor toegelicht. Het is de commissie duidelijk geworden dat door toedoen van de consument tussen partijen geen vertrouwensband meer bestaat. Gelet op wat de commissie hiervoor heeft vastgesteld over de gedragingen van de consument, is dat geen onaanvaardbaar standpunt. De bank is daarom niet gehouden tot herstel van de bancaire relatie, zoals door de consument is gevorderd.

Gevorderde proceskosten

3.20 Nu de commissie tot een gedeeltelijke toewijzing komt, zal zij de helft van de proceskosten toewijzen. Nu sprake is van een vordering van onbepaalde waarde, sluit de commissie volgens haar beleid aan bij het liquidatietarief voor vorderingen van € 10.000,00 - € 20.000,-. Volgens het liquidatietarief van Kifid bedragen de toe te wijzen proceskosten € 200,-.4

Conclusie

3.21 Het voorgaande leidt tot de conclusie dat de commissie van oordeel is dat de klacht van de consument gedeeltelijk wordt toegewezen.

4. De beslissing

De commissie beslist dat de bank een bedrag van € 200,- aan de consument dient te vergoeden. Daarnaast beslist de commissie dat de bank binnen vier weken nadat deze beslissing aan partijen is verstuurd de registratieduur van de persoonsgegevens van de consument in het Incidentenregister en het EVR van acht jaar dient te verkorten naar zes jaar. De bank dient schriftelijk aan de consument te bevestigen dat de registratieduur in de genoemde registers is verkort. Voor zover de bank niet beschikt over de huidige bankgegevens van de consument, dient de bank dit in deze brief aan de consument te verzoeken. Het overige wat door de consument is gevorderd wordt afgewezen.

4 Zie het document ‘Toepassing Liquidatietarief Kifid’, te vinden op xxx.xxxxx.xx.

Deze uitspraak is een niet-bindend advies. Tegen deze uitspraak staat geen hoger beroep open bij de Commissie van Beroep Financiële Dienstverlening. U kunt de zaak nog wel aan de rechter voorleggen.

Binnen twee weken na de verzenddatum van deze uitspraak kunt u een schriftelijk verzoek indienen tot herstel van vergissingen in de uitspraak zoals schrijffouten, een verkeerde naam/datum of rekenfouten. De beslissing van de geschillencommissie in de uitspraak kan hiermee niet ter discussie worden gesteld. Binnen een maand na de verzenddatum van de uitspraak kunt u een schriftelijk verzoek indienen om de uitspraak aan te vullen als u vindt dat de geschillencommissie niet heeft beslist over alle onderdelen van uw vordering. Dit ziet niet op de situatie waarin u meent dat de geschillencommissie in haar uitspraak niet uitdrukkelijk al uw argumenten, ter onderbouwing van uw vordering, heeft behandeld. Meer informatie hierover staat in artikel 40 van het reglement van de geschillencommissie, te vinden op de website xxx.xxxxx.xx/xxxxxxxxxxx-xx-xxxxxxxx.

Bijlage

Relevante bepalingen uit wet- en regelgeving

Relevante artikelen uit het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen van 23 oktober 2013

In het toepasselijke Protocol Incidentenwaarschuwingssysteem Financiële Instellingen van 23 oktober 2013 zijn de volgende relevante bepalingen opgenomen:

2. Begripsbepalingen

In dit protocol wordt verstaan onder:

Incident: een gebeurtenis die als gevolg heeft, zou kunnen hebben of heeft gehad dat de belangen, integriteit of veiligheid van de cliënten of medewerkers van een Financiële Instelling, de Financiële Instelling zelf of de financiële sector als geheel in het geding zijn of kunnen zijn, zoals het falsificeren van nota’s, identiteitsfraude, skimming, verduistering in dienstbetrekking, phishing en opzettelijke misleiding.

3 Algemeen

3.1 Incidentenregister en Extern Verwijzingsregister

3.1.1 Iedere Deelnemer heeft een Incidentenregister, waarin door de betreffende Deelnemer gegevens van (rechts)personen worden vastgelegd ten behoeve van het in artikel 4.1.1 Protocol genoemde doel, naar aanleiding van of betrekking hebbend op een (mogelijk) Incident. (…)

3.1.2 Aan het Incidentenregister is een Extern Verwijzingsregister gekoppeld. (…)

4 Incidentenregister

4.1 Doel Incidentenregister

4.1.1 Met het oog op het kunnen deelnemen aan het Waarschuwingssysteem is iedere Deelnemer gehouden de volgende doelstelling voor het vastleggen van gegevens in het Incidentenregister te hanteren: “Het geheel aan verwerkingen ten aanzien van het Incidentenregister heeft tot doel het ondersteunen van activiteiten gericht op het waarborgen van de veiligheid en de integriteit van de financiële sector, daaronder mede begrepen (het geheel van) activiteiten die gericht zijn:

- op het onderkennen, voorkomen, onderzoeken en bestrijden van gedragingen die kunnen leiden tot benadeling van de branche waar de financiële instelling deel van uitmaakt, van de economische eenheid (groep) waartoe de financiële instelling behoort, van de financiële instelling zelf, alsmede van haar cliënten en medewerkers;

- op het onderkennen, voorkomen, onderzoeken en bestrijden van oneigenlijk gebruik van producten, diensten en voorzieningen en/of (pogingen) tot strafbare of laakbare gedragingen en/of overtreding van (wettelijke) voorschriften, gericht tegen de branche waar de financiële instelling deel van uitmaakt, de economische eenheid (groep) waartoe de financiële instelling behoort, de financiële instelling zelf, alsmede haar cliënten en medewerkers;

- op het gebruik van en de deelname aan waarschuwingssystemen.”

4.2 Toegang tot het Incidentenregister (…)

4.2.3 De gegevens uit het Incidentenregister van de Deelnemer mogen tevens worden uitgewisseld met functionarissen werkzaam bij de daartoe ingerichte, coördinatiefuncties van de NVB, Verbond, VFN, ZN, FOV en SFH (de fraudeloketten).

(…)

4.3 Verwijdering van gegevens uit het Incidentenregister (…)

4.3.2 Verwijdering van gegevens uit het Incidentenregister moet plaatsvinden uiterlijk 8 jaar na opname van het betreffende gegeven in het Incidentenregister, tenzij zich ten aanzien van de betreffende (rechts)persoon een nieuwe aanleiding heeft voorgedaan die opnamen in het Incidentenregister rechtvaardigt.

5 Extern Verwijzingsregister

5.1 Functie van het Extern Verwijzingsregister

5.1.1 Volledige en ongecontroleerde toegang tot het Incidentenregister van een Deelnemer door de overige Deelnemers is niet wenselijk. Daarom is er voor gekozen aan het Incidentenregister een Extern Verwijzingsregister te koppelen. In het Extern Verwijzingsregister zijn uitsluitend Verwijzingsgegevens opgenomen. Het Extern Verwijzingsregister is raadpleegbaar door de (Organisaties van de) Deelnemers. Nadat door een Deelnemer wordt vastgesteld dat een (rechts)persoon is opgenomen in het Externe Verwijzingsregister, zijn volgens het bepaalde in artikel 4.2 Protocol gegevens uit het Incidentenregister voor de Deelnemer beschikbaar. Op deze wijze worden gegevens uit het Incidentenregister op een zorgvuldige en gecontroleerde wijze beschikbaar voor de (Organisaties van de) Deelnemers.

5.2 Vastlegging van gegevens in het Extern Verwijzingsregister

5.2.1 De Deelnemer dient de Verwijzingsgegevens van (rechts)personen die aan de hierna onder a en b vermelde criteria voldoen en na toepassing van het onder c genoemde proportionaliteitsbeginsel op te nemen in het Extern Verwijzingsregister.

a) De gedraging(en) van de (rechts)persoon vormden, vormen of kunnen een bedreiging vormen voor (I) de (financiële) belangen van cliënten en/of medewerkers van een Financiële instelling, alsmede de (Organisatie van de) Financiële instelling(en) zelf of (II) de continuïteit en/of de integriteit van de financiële sector.

b) In voldoende mate staat vast dat de betreffende (rechts)persoon betrokken is bij de onder a bedoelde gedraging(en). Deze vaststelling betekent dat van strafbare feiten in principe aangifte of klachten wordt gedaan bij een opsporingsambtenaar.

c) Het proportionaliteitsbeginsel wordt in acht genomen. Dit houdt in dat Veiligheidszaken vaststelt, dat het belang van opname in het Externe Verwijzingsregister prevaleert boven de mogelijk nadelige gevolgen voor de Betrokkene als gevolg van opname van zijn Persoonsgegevens in het Extern Verwijzingsregister.

5.3 Verwijdering van gegevens uit het Extern Verwijzingsregister (…)

5.3.2 Verwijdering van Verwijzingsgegevens uit het Extern Verwijzingsregister moet plaatsvinden uiterlijk 8 jaar na opname van het betreffende gegeven in het Incidentenregister, tenzij zich ten aanzien van de betreffende (rechts)persoon een nieuwe aanleiding heeft voorgedaan en opname in het Extern Verwijzingsregister conform artikel 5.2.1 Protocol heeft plaatsgevonden.

Relevante artikelen uit de AVG Artikel 6

Rechtmatigheid van de verwerking

1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

(…)

f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

Artikel 10

Verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten

Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen mogen op grond van artikel 6, lid 1, alleen worden verwerkt onder toezicht van de overheid of indien de verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden.

Omvattende registers van strafrechtelijke veroordelingen mogen alleen worden bijgehouden onder toezicht van de overheid.

Relevante artikelen uit de UAVG

Artikel 33. Overige uitzonderingsgronden inzake gegevens van strafrechtelijke aard

(…)

2 Persoonsgegevens van strafrechtelijke aard mogen worden verwerkt door de verwerkingsverantwoordelijke die deze gegevens ten eigen behoeve verwerkt:

a. ter beoordeling van een verzoek van betrokkene om een beslissing over hem te nemen of aan hem een prestatie te leveren; of

b. ter bescherming van zijn belangen, voor zover het gaat om strafbare feiten die zijn of op

grond van feiten en omstandigheden naar verwachting zullen worden gepleegd jegens hem of jegens personen die in zijn dienst zijn.

(…)

4 Persoonsgegevens van strafrechtelijke aard mogen ten behoeve van derden worden verwerkt: (…)

c. indien de Autoriteit persoonsgegevens met inachtneming van het vijfde lid een vergunning voor de verwerking heeft verleend.

5 Een vergunning als bedoeld in het vierde lid, onderdeel c, kan slechts worden verleend, indien de verwerking noodzakelijk is met het oog op een zwaarwegend belang van derden en bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad. Aan de vergunning kunnen voorschriften worden verbonden.

Burgerlijk Wetboek Boek 6 Artikel 248

1. Een overeenkomst heeft niet alleen de door partijen overeengekomen rechtsgevolgen, maar ook die

welke, naar de aard van de overeenkomst, uit de wet, de gewoonte of de eisen van redelijkheid en billijkheid voortvloeien.

2. Een tussen partijen als gevolg van de overeenkomst geldende regel is niet van toepassing, voor zover dit in de gegeven omstandigheden naar maatstaven van redelijkheid en billijkheid onaanvaardbaar zou zijn.

Relevante onderdelen uit de transcripties van de gesprekken tussen de bank en de consument van 27 en 28 oktober 2020

“TRANSCRIPTIE

(…)

[De medewerker van de bank] : En nou hebben mijn collega’s van de afdeling acceptatie die stukken beoordeeld en toen is uw dossier bij mij terechtgekomen, bij de afdeling speciale zaken.

[De consument]: Ja

[De medewerker van de bank]: Dat zij de indruk hadden dat er iets niet klopte. Zegt u dat wat?

[De consument]: Oké. Nee, wat zou er niet kloppen?

[De medewerker van de bank]: Nou, zij hadden de indruk dat eh het rekeningafschrift van uw rekening bij [de bank] dat dat niet juist zou zijn. Enne, die vermoedens deel ik.

[De consument]: Oké, dank.

[De medewerker van de bank]: Nou wij hebben de indruk dat deze niet op deze wijze door [de bank]

verstrekt is. Zou dat kunnen kloppen?

[De consument]: Geen idee, ik heb hem gewoon opgevraagd van eh de website zelf.

[De medewerker van de bank]: Ja, eh, wij hadden dusdanige twijfels aan het afschrift dat wij [de bank] gevraagd hebben dat afschrift te controleren en zij hebben ons bevestigd dat dat afschrift niet overeenkomt met hun administratie.

[De consument]: He!

[De medewerker van de bank]: Dus ik bel eigenlijk even om dat met u te bespreken wat hier nu precies aan de hand is.

[De consument]: Ik heb geen idee.

[De medewerker van de bank]: Naar uw idee zou dat gewoon juist moeten zijn? Als ik u begrijp.

[De consument]: Ik heb gewoon een rekeningafschrift opgevraagd, dus eh….

[De medewerker van de bank]: Maar ja, u zult begrijpen dat een rekeningafschrift dat u opvraagt op de website van [de bank] te allen tijde overeen zal komen met wat er in hun administratie staat.

[De consument]: Ja, dat, dat snap ik ja.

[De medewerker van de bank]: En dat is dus niet het geval. Want er blijkt een zeer groot aantal betalingen te missen op het afschrift. En dan komen wij toch tot de conclusie dat hier sprake is van het aanpassen van een afschrift en dat betitelen wij dan wel als fraude. En daar zullen wij dan ook verdere stappen op ondernemen. Dus de reden dat ik u bel is eh

[De consument]: Maar hoe kan dat nou?

[De medewerker van de bank]: … Omdat met u door te nemen, wat hier nou aan de hand is en u uit te leggen van eh wat er nu verder mee gaat gebeuren.

[De consument]: Ja, maar zal ik hem. Ik snap het niet helemaal. Ik kan ook niet inzien wat ik heb doorgestuurd of niet?

[De medewerker van de bank]: Nee, dat kunt u naderhand inderdaad niet meer zien, maar ik veronderstel dat u wel weet welke documenten u bij ons heeft aangeleverd.

[De consument]: Ja, dat is gewoon…

[De medewerker van de bank]: En wat er op uw rekening gebeurt.

[De consument]: Ja die heb ik, maar ik heb….

[De medewerker van de bank]: Wij hadden natuurlijk zelf al afwijken geconstateerd in de opmaak van het afschrift….

[De consument]: Oké

[De medewerker van de bank]: ….waardoor wij de indruk hadden dat het niet klopte en als [de bank] het naast het daadwerkelijke rekeningverloop legt dan blijkt gewoon dat er een zeer groot aantal transacties mist. En dat gebeurt niet zomaar natuurlijk. Dus ik neem toch aan dat u daar van op de hoogte ben.

[De consument]: Nee, voor zover ik weet niet, maar….

[De medewerker van de bank]: Maar wie zou daar anders van op de hoogte van zijn. Het is toch uw rekening en uw kredietaanvraag?

[De consument]: Ja, maar ik heb toch gewoon een afschrift ingediend en opgevraagd? Ja, ik snap het niet helemaal.

[De medewerker van de bank]: Ja, goed dat zullen wij noteren als uw verklaring, maar ik zal even toelichten wat hier verder mee gaat gebeuren. Wij zullen om deze reden in ieder geval de aanvraag afwijzen en daarnaast zullen wij hiervan ook aangifte doen bij de politie en uiteindelijk wordt door [de bank] of uw gegevens ook opgenomen worden in het zogeheten interne of externe verwijzingsregister. Daar ontvangt u van hen dan te zijner tijd een brief over.

[De consument]: Oké, maar wacht even allemaal hoor. Ik eh, wat is dit nou? Ik eh heb…

[De medewerker van de bank]: Het lijkt mij heel simpel, wij krijgen een afschrift van u wat aangepast blijkt te zijn. U zegt daar niets van te weten, maar wij ontvangen dat afschrift wel van u en het heeft betrekking op uw rekening dus veronderstellen wij toch echt dat u daar betrokken bij bent geweest.

[De consument]: Ja, maar wat heb jij dan ontvangen, want…

[De medewerker van de bank]: Wij hebben een afschrift ontvangen van u over de maand september van uw Rabobankrekening bestaande uit 2 pagina’s.

(…)

[De consument]: Nou, dat lijkt mij niet. He, ik snap er effe echt geen snars van hoor, want…

[De medewerker van de bank]: Maargoed, kunt u mij dan uitleggen hoe het kan dat wij dit document van u ontvangen?

[De consument]: Ja, dan zit ik even zelf na te denken, maar, het zou sowieso ook niet logisch zijn dat ik dat bewust loop te doen, want ik weet ook dat jullie onderdeel zijn van [de bank], dus jullie hebben daar toch sowieso volgens mij inzicht in, dus er is geen logica om dat te doen.

(…)

[De medewerker van de bank]: Dus tenzij u ons verder nog iets wilt doorgeven op dit moment stel ik voor dat wij toewerken aan de afronding van het gesprek.

[De consument]: Ik vind dit gewoon bizar, want of ik heb het verkeerde bestand doorgestuurd, maar ja, ik heb niet bewust op die knop geduwd in ieder geval

[De medewerker van de bank]: Waarom zou u dan een bestand hebben waar transacties in missen?

[De consument]: Ja, ik denk dat dan eh, ja ik denk dat ik dan de verkeerde naar jullie heb doorgestuurd en dat ik een nieuwe heb aangemaakt om eh hoe heet het ana mijn zus te laten zien. OM de schade beperkt te houden, maar…

[De medewerker van de bank]: Aan uw zus te laten zien? En de schade beperkt te houden? (…)

[De consument]: Ja, het komt erop neer dat zij eh ik haar niet de paniek wilde veroorzaken van hoe mijn huidige banksaldo eruit ziet. Maar dat…

[De medewerker van de bank]: Waarom moet u dat aan uw zus tonen dan?

[De consument]: Ja, omdat zij vroeg of ik hulp nodig had financieel. Maar dat wilde ik niet, dus ik heb gezegd, nee dat hoeft niet. Ja, dat is een beetje een persoonlijk verhaal, maar dat moet het dan zijn geweest, anders weet ik het ook echt niet.”

“TRANSCRIPTIE 28-10-2020

(…)

[De consument]: Ja, want waar het feitelijk op neer komt is dat ik heb het afschrift van februari van mijzelf gepakt en eh dat zo aangepast dat het klopte met redelijk september voor mijn zus. Ehm, ja volgens mij heb ik maar 2 dingen op aangepast of 3 dingen dan, dat zijn de bedragen van het saldo, maar dat is ook niet echt een positief saldo of zo, dus ik heb mijzelf niet lopen verrijken.

[De medewerker van de bank]: Nou ja, en er staat op dat het een afschrift van september zou zijn.

[De consument]: Ja, klopt, maar het niet zo dat ik of van iemand anders of weet ik wat. Het is eigenlijk een ouder afschrift van mijzelf die ik heb aangepast naar september en ehm, dat was niet voor jullie he? Laat ik dat echt duidelijk zijn dat was ja was om aan mijn zus te laten zien. En daar heb ik volgens mij mijn loon op aangepast want in februari zat ik nog bij [naam werkgever 1] en u zit ik bij [naam werkgever 2], dus ja, dat klopte dan niet en eh volgens mij heb ik alleen maar het saldo aangepast, want in februari was mijn saldo veel positiever dan in september.

Dus het is niet, het is helemaal geen kwade bedoelingen of zo, weet je, ik heb ook mijn eindsaldo va het moment gewoon laten zien, het is niet mijn banksaldo is niet fleurig en ik heb het niet fleuriger gemaakt.

(…)

[De consument]: Misschien heb ik, misschien heb ik dan eh, ik denk dat ik de DUO-lening, of ja, de studiefinanciering ook eraf heb gehaald, maar that is it. Dus ik heb het salaris aangepast volgens mij, in plaats van eh [naam werkgever I] is dat [naam werkgever 2] geworden, maar ja dat klopte niet meer.”