CKI, BKR en AVG: niet altijd even simpel om van een registratie af te komen

Maar toen ging het mis. Per 1 augustus 2013 werd de arbeidsovereenkomst met de man beëindigd. De man heeft geen ander werk gevonden. De woning moest worden verkocht. Er bleef een restschuld over van € 250.000,00 voor de hypotheek en bij de Rabobank een schuld van € 71.000,00. Hij heeft aan alle schuldeisers een akkoord aangeboden dat uiteindelijk geaccepteerd is. De schulden zijn betaald.

Het zal bekend zijn dat financieringsinstellingen, zoals de Rabobank en Aegon, een aantal bijzondere coderingen (bijvoorbeeld bij een betalingsachterstand) kan laten registeren in het Centraal Krediet Informatiesysteem (kortweg: CKI) van het Bureau Krediet Registratie (BKR). Achtergrond van dat systeem is het voorkomen van overkreditering ter bescherming van de consument en derden. De bij het CKI en BKR geregistreerde gegevens van een natuurlijk persoon zijn persoonsgegevens in de zin van de AVG (de Algemene Verordening Gegevensbescherming). De financiële instellingen die persoonsgegevens laten registreren bij de BKR zijn in de terminologie van de AVG “verwerkingsverantwoordelijke”.

In die vermelde zaak verzocht de man in 2019 de Rabobank te bevelen de bijzonderheidscoderingen te verwijderen en verwijderd te houden. Hij wilde weer verder met zijn leven. De Rabobank weigerde dit. Daardoor kwam het tot een procedure die heeft geleid tot het arrest van de Hoge Raad van 23 december 2022. De rechtbank wees het verzoek van de man af. Het Hof bekrachtigde dat vonnis.

Op grond van artikel 6 lid 1 AVG is de verwerking van gegevens alleen rechtmatig als deze zijn gebaseerd op een van de in dat artikel genoemde verwerkingsgronden. In cassatie bij de Hoge Raad ging het erom of er sprake was van een wettelijke verplichting (grond c) of van een noodzakelijke verwerking voor de behartiging van de belangen van derden en/of de verwerkingsverantwoordelijke (grond f).

De Rabobank stelde dat de verwerking gebaseerd was op de c-grond. In dat geval heeft een natuurlijk persoon niet het in de AVG verankerde recht van bezwaar of het recht om zijn gegevens te laten wissen.

Als er geen sprake is van de f-grond heeft de natuurlijk persoon dat wel.

In dit geval bestond er tussen partijen geen discussie over het feit dat de Rabobank destijds op goede gronden is overgegaan tot registratie. Het ging er om of nu nog steeds die registratie gerechtvaardigd is.

De Hoge Raad heeft in een arrest van 3 december 2021 uitgemaakt dat de Rabobank zich niet kan baseren op een wettelijke verplichting. Het Hof was daarvan nog wel uitgegaan in zijn beschikking van 17 december 2020.

Wanneer de verwerking van persoonsgegevens gebaseerd is op de c-grond verplichting rechtvaardigt dit niet zonder meer iedere gegevensverwerking. Ook dan moet rekening gehouden worden met de belangen van de natuurlijke persoon in kwestie. De inbreuk mag niet onevenredig zijn in verhouding tot het met de verwerking te dienen doel. Daarnaast moet beoordeeld worden of dit doel niet op een minder nadelige wijze kan worden bereikt.

Als er geen sprake is van een wettelijke verplichting, heeft de natuurlijke persoon het recht om bezwaar te maken en het recht om te eisen dat zijn gegevens worden gewist. De verwerkingsverantwoordelijke moet dan in beginsel de verwerking van de persoonsgegevens staken (dus de registratie verwijderen). Dit is slechts anders als de verwerkingsverantwoordelijke kan aantonen dat zijn belangen veel zwaarder wegen dan de belangen van de natuurlijke persoon. De bewijslast rust op de verwerkingsverantwoordelijke.

In deze zaak was het Hof volgens de Hoge Raad ten onrechte uitgegaan van een wettelijke verplichting van de Rabobank. Het Hof had bovendien niet onderkend dat het de Rabobank was die moest aantonen dat haar belangen bij handhaving veel zwaarder wogen dan die van de man bij verwijdering van de kredietgegevens. De Hoge Raad heeft de beslissing van het Hof vernietigd. Het is op dit moment nog niet bekend of de Rabobank de kredietgegevens van de man heeft verwijderd.