Hof Den Haag, 10-11-2020, nr. 200.274.240/01

De grieven 1 tot en met 4 zijn gericht tegen rov. 4.15 van de bestreden beschikking. [appellant] klaagt dat de rechtbank daarin ten onrechte heeft geoordeeld dat de verwerking van de persoonsgegevens door het BKR valt onder de grondslag van art. 6 lid 1 sub c AVG. Verder heeft de rechtbank volgens hem ten onrechte overwogen dat het toetsingskader van art. 14 lid 10 sub b AR van toepassing is in plaats van de artikelen 17 en 21 AVG. Tot slot is [appellant] van mening dat de rechtbank ten onrechte heeft overwogen dat het Santander-arrest (HR 9 september 2011, ECLI:NL:HR:2011:BQ8097) dezelfde toets kent als art. 21 AVG.

Deze grieven falen omdat zij uitgaan van een onjuiste lezing van de beschikking van de rechtbank. De rechtbank heeft geoordeeld dat de verwerking van de persoonsgegevens in elk geval berust op art. 6 lid 1 onder f AVG (rov. 4.7) en dat art. 21 lid 1 AVG het toetsingskader vormt voor [appellant] verzoek om verwijdering (rov. 4.9). In rov. 4.24 concludeert de rechtbank dat het beroep op verwijdering van de BKR-registratie op grond van art. 17 lid 1 sub c AVG en art. 21 lid 1 AVG moet worden afgewezen omdat er dwingende gerechtvaardigde gronden zijn bij handhaving van de BKR-registratie die op dit moment zwaarder wegen dan de belangen van [appellant] bij verwijdering van de registratie. Rov. 4.15 is te beschouwen als een overweging ten overvloede, waarin de rechtbank toelicht dat waar de verwerking van de persoonsgegevens ook berust op art. 6 lid 1 sub c AVG, het toetsingskader voor verwijdering van deze persoonsgegevens inhoudelijk op hetzelfde neerkomt als het toetsingskader van art. 21 lid 1 AVG.

De grieven 5 en 6 strekken ertoe te betogen dat de rechtbank ten onrechte het verzoek van [appellant] heeft afgewezen. Volgens [appellant] legt de rechtbank te veel de nadruk op de schade die Hoist heeft geleden doordat zij een deel van het krediet heeft moeten afschrijven. Verder is [appellant] van mening dat hij wel degelijk gerechtvaardigde belangen heeft bij doorhaling van de BKR-registratie en dat zijn belangen zwaarder wegen dan de belangen van Hoist. [appellant] heeft de volgende beslispunten aan orde gesteld:

A) de grondslag voor de verwerking van de persoonsgegevens van [appellant]; dit is van belang voor het antwoord op de vraag of [appellant] ingevolge art. 21 lid 1 AVG bezwaar kan maken tegen de verwerking;

B) de verhouding tussen art. 21 lid 1 AVG en de Santander-beschikking van de Hoge Raad, alsmede de wijze waarop de proportionaliteits- en de subsidiariteitstoets moeten worden uitgevoerd;

C) de vraag of Hoist (nog steeds) een gerechtvaardigd belang heeft bij de verwerking van de persoonsgegeven van [appellant];

D) de vraag of de belangen van [appellant] bij verwijdering uit het BKR-register zwaarder wegen dan de belangen van Hoist bij handhaving van de BKR-registratie.

A. Art. 6 lid 1 sub f AVG vormt in dit geval de grondslag voor de verwerking van persoonsgegevens van [appellant]; [appellant] kan op grond van art. 21 AVG bezwaar maken

Partijen twisten over het antwoord op de vraag op welke grondslag de verwerking van persoonsgegevens in dit geval berust: art. 6 lid 1 sub c AVG (Hoist) of art. 6 lid 1 sub f AVG ([appellant]). Het hof overweegt als volgt. Een aanbieder van krediet is op grond van art. 4:32 lid 1Wft verplicht deel te nemen aan een stelsel van kredietregistratie. Het CKI is een zodanig stelsel van kredietregistratie, dat door het BKR wordt bijgehouden. Hoist is deelnemer aan het CKI en als deelnemer gebonden aan het AR, dat door het BKR is vastgesteld. Het AR noemt als doel van de kredietregistratie het bevorderen van een maatschappelijk verantwoorde financiële dienstverlening. Specifiek gaat het daarbij om het behoeden van consumenten voor overkreditering en andere financiële problemen (problematische schuldsituaties) en het voor kredietverleners beperken van de financiële risico’s bij kredietverlening en het voorkomen en bestrijden van misbruik en fraude.

De registratie in het CKI vormt een verwerking van persoonsgegevens in de zin van de AVG. Partijen verschillen van mening over het antwoord op de vraag op welke grondslag Hoist gerechtigd is tot verwerking van de persoonsgegevens van [appellant]. In dat verband is art. 6 lid 1 AVG relevant. Deze bepaling luidt, voor zover van belang:

“1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

(…)

c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de

verwerkingsverantwoordelijke rust;

(…)

e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;

f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.”

Uit de woorden “ten minste een” in de aanhef van artikel 6 lid 1 AVG blijkt dat de verschillende onderdelen daarvan niet elkaar uitsluitende categorieën vormen. De grondslag voor de rechtmatige verwerking van persoonsgegevens kan dus bijvoorbeeld gelegen zijn zowel in art. 6 lid 1 onder c als in art. 6 lid 1 onder f AVG. Naar het oordeel van het hof levert art. 6 lid 1 onder f AVG in elk geval een grondslag op voor de gegevensverwerking door het BKR van de gegevens van [appellant]. Dat de gegevensverwerking daarnaast noodzakelijk is om te voldoen aan een wettelijke verplichting die op Hoist als verwerkingsverantwoordelijke rust, vindt het hof niet aannemelijk. De door Hoist in dit verband genoemde verplichting is immers de verplichting om deel te nemen aan een stelsel van kredietregistratie. Niet gezegd kan worden dat Hoist niet aan die deelnemingsverplichting voldoet als zij de verwerking van de gegevens van [appellant] in het CKI staakt. Het hof gaat er dan ook van uit dat de gegevensverwerking valt onder art. 6 lid 1 onder f AVG en niet tevens onder art. 6 lid 1 onder c AVG, en dat aan [appellant] het recht van bezwaar op grond van art. 21 lid 1 AVG toekomt.

Ingevolge art. 21 lid 1 AVG heeft de betrokkene te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende gegevens op basis van artikel 6 lid 1 onder e of f AVG. De

verwerkingsverantwoordelijke dient bij bezwaar van de betrokkene de verwerking van de persoonsgegevens te staken, tenzij de verwerkingsverantwoordelijke dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen van de betrokkene.

Het komt erop neer dat moet worden onderzocht of de belangen of de grondrechten en de fundamentele vrijheden van [appellant] die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan de gerechtvaardigde belangen van Hoist die noodzaken tot verwerking van persoonsgegevens. Nu [appellant] bezwaar maakt tegen de verwerking van zijn persoonsgegevens, dient Hoist deze verwerking te staken tenzij zij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen van [appellant].

B. Verhouding tussen art. 21 lid 1 AVG en de Santander-beschikking: geen dubbel toetsingskader; de proportionaliteits- en subsidiariteitstoets gelden altijd

[appellant] heeft de vraag opgeworpen hoe het beoordelingskader van art. 21 AVG zich verhoudt tot de zogenoemde Santander-beschikking van 9 september 2011 (ECLI:NL:HR:2011:BQ8097), die de Hoge Raad heeft gegeven onder de (toenmalige) Wet bescherming persoonsgegevens (Wbp). De Wbp komt, voor zover hier van belang, inhoudelijk overeen met de AVG. De wet implementeerde de richtlijn 95/46/EG betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van goederen (PbEG L281, hierna: richtlijn bescherming persoonsgegevens). Deze richtlijn is de voorganger van de AVG.

Art. 7 Wbp bepaalde dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld. Deze bepaling komt (voor zover hier van belang) inhoudelijk overeen met art. 5 lid 1 onder b AVG. Art. 8 Wbp noemde de zes grondslagen voor verwerking van persoonsgegevens. Deze bepaling komt (voor zover hier van belang) inhoudelijk overeen met art. 6 AVG (hiervoor onder rov. 3.5 gedeeltelijk geciteerd).

In de Santander-zaak had de betrokkene bezwaar gemaakt tegen de verwerking van persoonsgegevens door Bank Santander in het CKI. Partijen twistten over het antwoord op de vraag op welke grondslag de verwerking berustte. Volgens de bank was dat art. 8 lid 1 sub a, b of c Wbp, volgens de betrokkene was art. 8 lid 1 sub f Wbp de grondslag voor de verwerking. De bank had verder aangevoerd dat als de verwerking van persoonsgegevens onder art. 8 lid 1 sub a, b of c Wbp zou vallen, er geen belangenafweging meer zou hoeven plaats te vinden. De verplichting tot belangenafweging gold volgens de bank alleen als art. 8 lid 1 sub f de grondslag van de verwerking van persoonsgegevens zou zijn. Het hof heeft de bank op dit laatste punt in het ongelijk gesteld.

In cassatie betoogde de bank dat bij verwerking van persoonsgegevens op basis van art. 8 lid 1 onder a, b en c Wbp geen belangenafweging is vereist, althans dat bij een dergelijke verwerking van persoonsgegevens steeds, of in beginsel, de uitkomst van de belangenafweging is dat verwerking van persoonsgegevens gerechtvaardigd is.

De Hoge Raad heeft bij de beoordeling van het middel – voor zover van belang – het volgende vooropgesteld.

( a) De Wbp moet worden uitgelegd in overeenstemming met het bepaalde in art. 8 EVRM. De bedoeling van de wetgever was dat bij elke gegevensverwerking moet zijn voldaan aan de beginselen van proportionaliteit en subsidiariteit. Dit een en ander brengt mee dat de inbreuk op de belangen van de betrokkenen niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel en dat doel in redelijkheid niet op een andere, voor de betrokkenen minder nadelige wijze kan worden verwezenlijkt.

( b) Art. 7 Wbp bepaalt – overeenkomst art. 6 van richtlijn 95/46/EG – dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden dienen te worden verzameld. Gerechtvaardigd kunnen slechts zijn die doeleinden die worden nagestreefd met gegevensverwerking in een van de in art. 8 Wbp limitatief opgesomde gevallen.

( c) Ook als de gegevensverwerking in beginsel is toegestaan op een van de in art. 8 Wbp limitatief opgesomde gronden, blijft de eis gelden dat de verwerking in het concrete geval noodzakelijk moet zijn met het oog op het omschreven doel van de verwerking. De aanwezigheid van een wettelijke rechtvaardigingsgrond maakt derhalve een belangenafweging aan de hand van de hiervoor onder (a) vermelde beginselen niet overbodig. Bij deze afweging moeten de omstandigheden van het geval in aanmerking worden genomen.

( d) In verband met de praktische hanteerbaarheid van de Wbp is van belang dat van de verwerker slechts een belangenafweging verlangd mag worden aan de hand van de beschikbare gegevens. Als de betrokkene nadere gegevens verschaft, kan dit tot een nieuwe meer volledige afweging aanleiding geven.

Uit de Santander-beschikking volgt dat het onder de Wbp voor de toepassing van de proportionaliteits- en de subsidiariteitstoets geen verschil maakte op welke grondslag de gegevensverwerking was gebaseerd. In alle gevallen diende te worden onderzocht of de inbreuk op de belangen van de betrokkenen niet onevenredig was in verhouding tot het met de verwerking te dienen doel (proportionaliteitstoets) en of dat doel in redelijkheid niet op een andere, voor de betrokkenen minder nadelige wijze kon worden verwezenlijkt (subsidiariteitstoets).

Aangenomen moet worden dat ook onder de AVG – die voortbouwt op de richtlijn bescherming persoonsgegevens (preambule AVG, nr. 9) – bij alle in art. 6 lid 1 AVG genoemde grondslagen voor rechtmatige verwerking van persoonsgegevens een proportionaliteits- en een subsidiariteitstoets moeten worden uitgevoerd. Dit is in overeenstemming met het bepaalde in art. 8 lid 1 jo. art. 52 lid 1 van het Handvest van de grondrechten van de Europese Unie, waarnaar de AVG verwijst (preambule AVG, nr. 1). Verder bepaalt art. 5 lid 1, aanhef en onder c AVG: “Persoonsgegevens moeten: (…) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (“minimale gegevensverwerking”)”. Deze bepaling vormt een van de beginselen inzake de verwerking van persoonsgegevens. Meer specifiek geldt voor de rechtsgrond van art. 6 lid 1 onder c AVG dat de proportionaliteitstoets besloten ligt in art. 6 lid 3 AVG. Tot slot geldt voor de in art. 4:32 Wft neergelegde verplichting voor kredietaanbieders om deel te nemen aan een stelsel van kredietregistratie, dat moet worden aangenomen dat de wetgever daarmee niet beoogd kan hebben te verplichten tot gegevensverwerking anders dan in overeenstemming met wat voortvloeit uit art. 8 EVRM. Kortom, het maakt voor de toepasselijkheid van de proportionaliteits- en subsidiariteitstoets dus geen wezenlijk verschil of de grondslag voor de verwerking van de persoonsgegevens van [appellant] is te vinden in art. 6 lid 1 onder c AVG of in art. 6 lid 1 onder f AVG.

Voor het antwoord op de vraag hoe deze toets in het kader van art. 21 lid 1 AVG moet worden uitgevoerd, is een vergelijking tussen de Wbp en de AVG instructief.

Ingevolge art. 40 lid 1 Wbp kon een betrokkene bij de verwerkingsverantwoordelijke verzet aantekenen tegen de verwerking van zijn persoonsgegevens in verband met zijn persoonlijke omstandigheden. Deze mogelijkheid tot verzet gold alleen als de grondslag voor de verwerking was gelegen in art. 8 aanhef onder e of f Wbp. Art. 21 lid 1, eerste zin AVG bevat (als gezegd) een soortgelijke mogelijkheid: een betrokkene kan bezwaar maken tegen de verwerking van zijn persoonsgegevens vanwege zijn specifieke situatie; deze mogelijkheid geldt alleen als de grondslag voor de verwerking is gelegen in art. 6 lid 1 onder e of f AVG.

Uit de wetsgeschiedenis van art. 40 lid 1 Wbp blijkt het volgende. De onder e en f genoemde verwerkingsgrondslagen zijn het meest onbepaald en algemeen. Zij laten een verwerkingsverantwoordelijke, meer dan bij de andere grondslagen, een zekere beoordelingsruimte waarbij beginselen van proportionaliteit en subsidiariteit een belangrijke rol spelen. Bij de beslissing om persoonsgegevens te verwerken kan de verwerkingsverantwoordelijke slechts rekening houden met de hem kenbare, normale omstandigheden van het geval. Deze omstandigheden afwegend kan hij tot de beslissing komen dat de gegevensverwerking gerechtvaardigd is. Het is echter mogelijk dat de bijzondere persoonlijke omstandigheden van een betrokkene de balans doen doorslaan naar de andere kant. Om deze reden is er bij deze grondslagen voorzien in de mogelijkheid voor de betrokkene, vanwege zijn of haar specifieke omstandigheden, bezwaar te maken tegen de verwerking (Kamerstukken II 1997/98, 25892, 3, p. 163). Uit dit een en ander volgt dat het recht op verzet (art. 40 lid 1 Wbp) en het recht op bezwaar (art. 21 lid 1, eerste zin, AVG) tot doel hebben dat de verwerkingsverantwoordelijke een belangenafweging maakt indien de betrokkene daarom vraagt vanwege persoonlijke omstandigheden dan wel zijn of haar specifieke situatie. De verwerkingsverantwoordelijke dient dan in ieder geval ook (opnieuw) te beoordelen of de proportionaliteit en/of de subsidiariteit in de weg staan aan de verwerking van de persoonsgegevens van de betrokkene.

Art. 21 lid 1, tweede zin, AVG bepaalt verder (voor zover hier van belang) dat de verwerkingsverantwoordelijke de verwerking van persoonsgegevens staakt, tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene. De verwerkingsverantwoordelijke moet aantonen dat zijn dwingende gerechtvaardigde belangen (of die van een derde) wellicht zwaarder wegen dan de belangen of de grondrechten en de fundamentele vrijheden van betrokkene (preambule AVG, nr. 69).

Uit het voorafgaande vloeit voort dat de belangenafweging die op grond van art. 21 lid 1 AVG moet plaatsvinden mede de proportionaliteits- en subsidiariteitstoets als bedoeld in de Santander-beschikking omvat. Deze toets moet iedere keer worden uitgevoerd wanneer een betrokkene vanwege zijn specifieke situatie verzoekt om de verwerking van persoonsgegevens te staken.

C. Hoist heeft een dwingend gerechtvaardigd belang bij de verwerking van de persoonsgegevens van [appellant]

[appellant] heeft aan de orde gesteld dat van (dwingende) gerechtvaardigde belangen van Hoist in dit geval geen sprake is, zodat er geen belangenafweging hoeft plaats te vinden, althans dat de belangenafweging in zijn voordeel uitpakt. Het hof overweegt als volgt. Het doel van de kredietregistratie is de bevordering van een maatschappelijk verantwoorde financiële dienstverlening (zie hiervoor, rov. 3.4). Enerzijds gaat het om het belang van consumenten om hen te behoeden voor overkreditering en andere financiële problemen (problematische schuldsituaties). Anderzijds gaat het om het belang voor kredietverleners om de financiële risico’s bij kredietverlening te beperken en om misbruik en fraude te voorkomen en bestrijden. Met het door het BKR in het leven geroepen stelsel van kredietregistratie worden deze belangen gediend.

De codering die [appellant] verwijderd wil zien, is een zogenoemde Code 3, die inhoudt dat een kredietverstrekker een bedrag van € 250,- of meer heeft moeten afboeken; deze codering wordt (in ieder geval) na verloop van vijf jaar verwijderd (vgl. art. 14 AR). Ter zake van de duur van deze codering heeft het BKR een (algemene) afweging gemaakt tussen het belang van een maatschappelijk verantwoorde financiële dienstverlening enerzijds en de belangen van personen met een BKR-registratie anderzijds. Hoist is in haar hoedanigheid van ‘zakelijke klant’ van het BKR in beginsel verplicht zich aan de regels van art. 14 AR te houden, tenzij dit na een zorgvuldige belangenafweging op basis van beschikbare gegevens over individuele omstandigheden disproportioneel blijkt (art. 14 lid 10 AR).

Hoist heeft aangevoerd dat de lengte van de termijn van vijf jaar zijn verklaring vindt in het feit dat er bij een Code 3 registratie sprake is geweest van een problematische schuldsituatie die voor de kredietgever tot negatieve gevolgen heeft geleid. Dit rechtvaardigt een overbruggingsperiode om de kredietnemer in de gelegenheid te stellen zijn financiële situatie duurzaam op orde te krijgen en te houden, zonder deze te belasten door het aangaan van nieuwe kredieten. De termijn van vijf jaar behelst een beleidsbeslissing van de representatieve organisaties die tezamen de stichting BKR beheren en heeft als zodanig gezag, aldus Hoist.

Naar het oordeel van het hof heeft Hoist voldoende aangevoerd om te kunnen aannemen dat zij in beginsel een dwingend gerechtvaardigd belang heeft bij het laten voortduren van een Code 3 registratie gedurende de duur van vijf jaar. Daarbij betrekt het hof dat deze codering, als gezegd, inhoudt dat een kredietverstrekker een bedrag van € 250,- of meer heeft moeten afboeken op het krediet. En Code 3 registratie betekent dus niet dat het krediet volledig is afbetaald, maar houdt (in dit geval) in dat de schuldeiser de schuld geheel of ten dele heeft afgeboekt. Dit rechtvaardigt in beginsel een overbruggingsperiode waarin de kredietnemer de gelegenheid krijgt zijn financiële situatie duurzaam op orde te krijgen en te houden, zonder deze te belasten door het aangaan van nieuwe kredieten.

D. De belangen van [appellant] wegen in dit geval niet zwaarder dan de belangen van Hoist

Het feit dat Hoist een dwingend gerechtvaardigd belang heeft bij de verwerking van de persoonsgegevens van [appellant] in het BKR-register, neemt niet weg dat [appellant] te allen tijde een verzoek tot doorhaling van de codering kan doen. Wanneer [appellant] specifieke omstandigheden aanvoert die nog niet zijn meegenomen in de (algemene) belangenafweging (als hiervoor omschreven), dient Hoist een nieuwe belangenafweging te maken en dient zij aan te tonen dat haar dwingende gerechtvaardigde belangen zwaarder wegen dan de belangen van [appellant]. Hoe specifieker [appellant] is in de omschrijving van zijn belangen, des te meer van Hoist verlangd kan worden dat zij haar beslissing met redenen omkleedt. Hoist heeft nog aangevoerd dat pas na drie jaar van haar mag worden verwacht zwaardere eisen ten aanzien van haar belangen te stellen in het kader van de belangenafweging (verweerschrift eerste aanleg, nr. 14), maar deze periode van drie jaar valt niet goed te rijmen met het afwegingskader dat op grond van de AVG geldt in het geval een betrokkene bezwaar maakt tegen de verwerking van zijn persoonsgegevens.

[appellant] heeft de volgende specifieke omstandigheden aangevoerd:

Naar het oordeel van het hof heeft [appellant] te weinig aangevoerd om tot het oordeel te kunnen komen dat de belangen van Hoist bij het handhaven van de BKR-notering in dit geval minder zwaar wegen dan de belangen van [appellant] bij verwijdering van die notering. Daarbij is het volgende van belang:

De conclusie is dat op grond van de thans beschikbare informatie niet kan worden vastgesteld dat de gerechtvaardigde belangen van Hoist voor de verwerking van de persoonsgegevens minder zwaar wegen dan de belangen van [appellant].

[appellant] heeft het hof ook nog gevraagd om een aantal prejudiciële vragen aan de Hoge Raad voor te leggen. Het hof ziet daarvoor in de gegeven omstandigheden onvoldoende aanleiding. De provisionele vordering van [appellant] behoeft daarom evenmin bespreking.

Het hof zal de bestreden beschikking bekrachtigen. [appellant] zal als de in het ongelijk gestelde partij worden veroordeeld, uitvoerbaar bij voorraad zoals verzocht, in de kosten van het hoger beroep.