Rb. Zwolle-Lelystad, 09-03-2005, nr. 103434 / HA RK 04-215

Vaststaande feiten

Op 7 oktober 1999 heeft [verzoeker] met Bank Labouchere N.V., handelende onder de handelsnaam "Legio-Lease", onder contractnummer 59106213 een effectenlease-overeenkomst gesloten met een leasesom van EUR 49.289,97. Dexia is de rechtsopvolger van Bank Labouchere N.V.

De door [verzoeker] (en diens echtgenote) bij brief van 12 februari 2003 ingeroepen (buitengerechtelijke) vernietiging van de overeenkomst is niet aanvaard.

[verzoeker] heeft bij brief van 30 juni 2003 verzocht hem te informeren over de door Dexia ingewonnen en verwerkte gegevens. Hierna is tussen partijen gecorrespondeerd, zoals in een brief van [verzoeker] van 10 september 2003, waarin verzocht is hem kopieën te verstrekken van het verzoek aan het BKR (Bureau Krediet Registratie) en de reactie daarop, alsmede een kopie van het aanmeldingsformulier.

Bij brief van 23 augustus 2004 heeft [verzoeker] verzocht kopieën toe te zenden van zowel de aankoop op 6 oktober 1999 als de verkoop op 25 november 2003 van de in het contract genoemde aandelen.

Dexia heeft bij brief van 21 oktober 2004 met een beroep op artikel 43 sub e Wet bescherming persoonsgegevens (Wbp) aan [verzoeker] bericht dat zij op de daarin aangegeven gronden niet gehouden is aan het verzoek om inzage te voldoen.

Hierna heeft [verzoeker] zich gewend tot het College Bescherming Persoonsgegevens (CBP) met verzoek in het geschil met Dexia te bemiddelen.

Naar aanleiding van een verzoek van het CBP heeft Dexia bij brief van 29 oktober 2004 geantwoord dat zij naar haar mening voldoet aan de geldende wetgeving en geen verder gevolg zal geven aan de uitspraken van het CBP van 3 september 2004 en 13 oktober 2004, waarin het CBP heeft aangegeven waaraan Dexia moet voldoen.

In de uitspraak van 3 september 2004 heeft het CBP aan Dexia zijn bevindingen bekend gemaakt uit een door het College ambtshalve ingesteld onderzoek naar de wijze waarop Dexia uitvoering heeft gegeven aan verzoeken op grond van artikel 35 Wbp. De conclusie van het CBP luidt dat Dexia haar werkwijze moet aanpassen. In reactie daarop heeft Dexia bij brief van 22 september 2004 aan het CBP bericht dat zij heeft besloten haar werkwijze aan te passen zoals in die brief aangegeven. In zijn uitspraak van 13 oktober 2004 heeft het CBP gemotiveerd vastgesteld dat de werkwijze die Dexia voor ogen heeft nog altijd in strijd is met de Wbp.

Het CBP heeft bij brief van 3 november 2004 aan [verzoeker] bericht dat bemiddeling niet meer zinvol is en heeft [verzoeker] gewezen op de mogelijkheid op grond van artikel 46 Wbp bij de rechtbank een verzoek in te dienen.

Standpunt van [verzoeker]

[verzoeker] stelt dat Dexia gehouden is hem inzage te geven in het dossier met nummer 59106213. Volgens [verzoeker] kan het verstrekken van inzage in de door hem verlangde gegevens voor Dexia geen enkel beletsel vormen en zal het slechts een te verwaarlozen minimum aan inspanning en kosten vragen. Uit de gevoerde correspondentie komt een duidelijk beeld naar voren van de onwil van Dexia om aan zijn gerechtvaardigde verzoek te voldoen en van de drogredenen die door Dexia worden aangevoerd om inzage te kunnen weigeren. Betwist wordt, zoals door Dexia bij herhaling in de correspondentie wordt betoogd, dat voor het verzoek om inzage geen argumenten zijn aangevoerd.

Anders dan Dexia blijkbaar aanneemt, wordt geen inzage verlangd van notities van telefonische of persoonlijke gesprekken, reeds omdat deze gesprekken niet zijn gevoerd. Aan hetgeen daaromtrent in het verweerschrift is aangevoerd kan als niet ter zake doende voorbij worden gegaan.

Standpunt Dexia

Dexia stelt zich primair op het standpunt dat zij op grond van artikel 43 sub e Wbp niet gehouden is aan het verzoek tot inzage te voldoen. Subsidiair, voor het geval Dexia geen beroep op art. 43 sub e Wbp toekomt, dient het verzoek te worden afgewezen.

In beginsel is er geen beletsel een inzageverzoek in de verwerkte persoonsgegevens te honoreren, behoudens de situatie waarin een cliënt met Dexia in een conflictsituatie verkeert en via het inzagerecht zijn processuele positie wil verbeteren en/of indien het inzagerecht wordt gebruikt met het doel Dexia in haar bedrijfsvoering te schaden.

In geval van een conflictsituatie weigert Dexia met een beroep op artikel 43 sub e Wbp om aan het inzageverzoek te voldoen. Het inzageverzoek met betrekking tot alle persoonsgegevens vormt in zo'n situatie een "fishing expedition", waarmee [verzoeker] zijn (proces)positie ten nadele van Dexia probeert te versterken. Dit klemt te meer als het verzoek zich richt op onderwerpen waarover geprocedeerd wordt of waarop de correspondentie betrekking heeft, zoals het risicoprofiel, de aankoopbewijzen, telefoongesprekken e.d. Het inzagerecht is niet bedoeld om na te gaan of men al dan niet een contract heeft ondertekend, maar is bedoeld om na te gaan of een bepaalde gegevensverwerking onrechtmatig is. Een verzoek tot inzage in alle persoonsgegevens vormt in dit geval een doorkruising van art. 843a Rv. Het belang van [verzoeker] dient daarom te wijken voor het processuele belang van Dexia. Zij voelt zich op dit punt gesteund door de uitspraak van het Engelse Court of Appeal, waarin is geoordeeld dat inzage kan worden geweigerd indien het inzagerecht wordt gebruikt om informatie boven tafel te krijgen waar men normaliter niet toe gerechtigd is. Ook de Raad van de Centrale Ondernemingsorganisaties (RCO) meent dat het CBP een te ruim begrip hanteert. Het CBP miskent de verhouding tussen art. 843a Rv en art. 35 Wbp en gaat daarbij uit van een onjuiste definitie van het begrip "fishing expedition".

Het standpunt van het CBP dat Dexia verplicht is een kopie/afschrift te verstrekken van de verwerkte persoonsgegevens wordt niet door haar gedeeld. Volgens Dexia dient het begrip "overzicht" te worden beoordeeld in het licht van de Europese Richtlijn 95/46, waarop de Wbp is gebaseerd, de tekst van de wet en de daarbij behorende toelichting, alsmede de Gedragscode Verwerking Persoonsgegevens Financiële Instellingen (Gedragscode).

Uit art. 12 aanhef en sub a, tweede gedachtestreepje van de Richtlijn volgt niet de verplichting dat van de vastgelegde persoonsgegevens een afschrift/kopie moet worden verstrekt. De tekst van art. 35 lid 2 Wbp biedt evenmin een aanknopingspunt voor de opvatting dat een verzoek om inzage betekent dat een afschrift/kopie van de vastgelegde gegevens moet worden verstrekt. Uit de Memorie van Toelichting (MvT) blijkt niet dat onder een "volledig overzicht" het verstrekken van een kopie dient te worden verstaan. In artikel 7.1.1. van de Gedragscode, waarvan het CBP heeft verklaard dat deze een juiste uitwerking vormt van de Wbp, waarin sprake is van een "overzicht", kan evenmin een dergelijke verplichting worden gelezen.

Voor het geval Dexia geen beroep toekomt op art. 43 sub e Wbp wordt aangevoerd dat zij niet verplicht is om op grond van art. 28 van de Nadere Regeling toezicht effectenverkeer 1999 (NR) of enige ander wet of regeling bij het afsluiten van een effectenlease-overeenkomst te informeren naar beleggerservaring, beleggingsdoel- stellingen en de financiële positie van de (potentiële) cliënt. De verplichting van 28 NR geldt immers voor zover dat redelijkerwijs van belang is in verband met de aard van de te verrichten diensten. In effectenlease-overeenkomsten liggen de gegevens, die terug te vinden zijn in de overeenkomst, met betrekking tot de effecten, de aantallen, de koersen, de looptijd en de verplichtingen vast, zonder dat de belegger daar invloed op kan uitoefenen. Inzage in gegevens met betrekking tot het risicoprofiel is niet aan de orde.

Daargelaten dat aandelen gebundeld werden aangekocht en om die reden niet naar één natuurlijke persoon kunnen worden geïdentificeerd, zijn aankoopbewijzen van aandelen en afschriften van dividenduitkeringen geen persoonsgegevens als bedoeld in art. 1 sub a Wbp, maar objectgegevens. Deze gegevens vallen niet onder het bereik van de Wbp en dus ook niet onder het inzagerecht, nog daargelaten dat de eigendom van de effecten bij Dexia berust.

Voor een overzicht en kopie van de persoonsgegevens die bij het BKR geregistreerd staan, dient [verzoeker] zich te wenden tot genoemd bureau.

Beoordeling van het verzoek

Het verzoek is gegrond op artikel 46 jo. 35 Wbp. Gelet op de woonplaats van verzoeker is de rechtbank (relatief) bevoegd van het verzoek kennis te nemen. Het verzoek is ingediend binnen 6 weken nadat het CBP aan [verzoeker] kennis heeft gegeven van de resultaten van het bemiddelingsverzoek, zodat [verzoeker] daarin kan worden ontvangen. Indiening van het verzoekschrift door een procureur is niet vereist.

De rechtbank begrijpt het verzoek van [verzoeker] aldus dat inzage wordt verlangd van de na indiening van het aanmeldingsformulier bij (de rechtsvoorganger van) Dexia door laatstgenoemde (bij derden) ingewonnen en verwerkte persoonsgegevens op grond waarvan Dexia met [verzoeker] op 7 oktober 1999 een effectenlease-overeenkomst is aangegaan.

Voorop wordt gesteld dat de Richtlijn 95/46 EG van 24 oktober 1995 als doel heeft om de privacywetgeving van de verschillende lidstaten te harmoniseren, waarbij de lidstaten vrij zijn om binnen de grenzen van de richtlijn in de nationale wetgeving de algemene voorwaarden voor rechtmatige gegevensverwerking nader in te vullen (vgl. artikel 5 Richtlijn). De rechtbank dient het inzageverzoek te beoordelen aan de hand van de Wbp, waarbij het Nederlandse recht zoveel mogelijk richtlijnconform dient te worden geïnterpreteerd.

De Wbp kent de betrokkene van wie gegevens worden verwerkt bepaalde rechten toe waarmee hij in staat is zijn recht op privacy te effectueren. In artikel 35 lid 1 Wbp is aan betrokkene, kort gezegd, het recht toegekend om inzage te vragen in zijn gegevens en de verantwoordelijke te verzoeken de gegevens waar nodig te verbeteren, aan te vullen, te verwijderen of af te schermen. Het recht van inzage houdt in dat de betrokkene het recht heeft om op de hoogte te worden gesteld van hem betreffende persoonsgegevens die door de verantwoordelijk zijn verwerkt. Daarbij heeft hij ook recht op informatie over de herkomst van de gegevens. De Europese Richtlijn 95/46/EG van 24 oktober 1995 spreekt in artikel 12 van een "vrijelijk en zonder beperking" uit te oefenen recht van de betrokkene op toegang tot de gegevens. Het belang van de betrokkene bij het recht op kennisneming wordt voorondersteld. Inzage wordt in beginsel in schriftelijke vorm verleend door middel van een mededeling die een volledig overzicht bevat van de verwerkte persoonsgegevens. Indien een gewichtig belang van de verzoeker dit vereist, voldoet de verantwoordelijke aan een verzoek als bedoeld in artikel 35 in een andere dan de schriftelijke vorm, die aan dat belang is aangepast. Het inzagerecht is beperkt in die zin dat een betrokkene zijn verzoek om inzage slechts met redelijke tussenpozen mag doen. Kennisneming kan worden geweigerd indien de verantwoordelijke voldoende aannemelijk kan maken dat door inwilliging van een verzoek op kennisneming de administratieve lasten zodanig disproportioneel zijn dat hij in een van zijn rechten en vrijheden wordt aangetast of dreigt te worden aangetast (MvT 25 892, nr. 3 p., 171).

De verantwoordelijke kan artikel 35 buiten toepassing laten voor zover dit noodzakelijk is in het belang van de bescherming van de betrokkene of van de rechten en vrijheden van anderen (art. 43 sub e), waaronder begrepen de rechten en vrijheden van de verantwoordelijke. Dit zogenaamde noodzakelijkheidscriterium vereist een belangenafweging aan de hand van de omstandigheden van het concrete geval.

Het belang van Dexia om in verband met mogelijke schade aan haar processuele positie in reeds aanhangige of nog volgende gerechtelijke procedures het inzageverzoek te weigeren, zonder daarbij aan te geven op welke gegevensverwerking en/of welk document zij zich in het bijzonder wenst te beroepen om haar rechten en vrijheden in dat verband te beschermen weegt niet op tegen het belang van [verzoeker] bij handhaving van het inzage- verzoek. Anders ook dan Dexia betoogt, kan het inzageverzoek niet als een "fishing expedition" worden aangemerkt. Door [verzoeker] is voldoende aannemelijk gemaakt dat het inzageverzoek alleen betrekking heeft op in het kader van zijn contractuele relatie met Dexia (bij derden) opgevraagde en verwerkte persoonsgegevens (waarbij [verzoeker] met name inzage wenst in de door Dexia verwerkte gegevens met betrekking tot vraag waaraan Dexia het aanvraagformulier van [verzoeker] heeft getoetst, waaronder de kredietwaardigheid en het beleggersprofiel, alsmede in de aan- en verkoopbewijzen van de aandelen), waarbij wordt aangeknoopt bij de door Dexia in de correspondentie en ten dele ook in de brochure aangegeven procedure die aan de sluiting van de overeenkomst vooraf is gegaan. Dat [verzoeker] met het inzageverzoek erop uit is om vertrouwelijke, in het algemeen niet voor anderen dan Dexia beschikbare informatie te verkrijgen is niet aangetoond. Evenmin is aangetoond dat het inzageverzoek wordt gebruikt om Dexia in haar bedrijfsvoering te schaden. Nog daargelaten de vraag of een inzageverzoek waarbij gebruik wordt gemaakt van een in september 2004 door het televisieprogramma Radar op een internetsite beschikbaar gestelde voorbeeldbrief reeds als het toebrengen van schade kan worden aangemerkt, hetgeen niet voor de hand ligt, kan in dit geval worden vastgesteld dat [verzoeker] reeds in een vroeg stadium (het eerste verzoek dateert van 30 juni 2003) een inzageverzoek heeft ingediend. Evenmin heeft Dexia aannemelijk gemaakt dat het verstrekken van een overzicht van de door haar verwerkte gegevens, anders dan inzage in (transscripties van) bandopnamen van gevoerde telefoongesprekken, op onoverkomelijke bedrijfstechnische en/of financiële problemen dient af te stuiten. Uit de stellingen van Dexia volgt immers dat een overzicht van de door haar verwerkte gegevens, welk overzicht volgens Dexia voldoet aan de vereisten van art. 35 lid 2 Wbp, zonder meer op eerste verzoek van een cliënt kan worden verstrekt.

Het beroep van Dexia op een uitspraak van het Engelse Court of Appeal inzake het inzagerecht op grond van de op de Richtlijn gegronde Data Protection Act (Durant vs. FSA Case No B2/2002/2636 van 8 december 2003) faalt. Anders dan in het door de Engelse rechter beoordeelde geschil kan niet gezegd kan worden dat [verzoeker] het inzagerecht gebruikt om informatie boven tafel te brengen waar hij normaliter niet toe gerechtigd is.

De vraag of alle door Dexia verwerkte en vervolgens in het dossier verzamelde gegevens (waaronder van derden verkregen documenten) onderworpen zijn aan het inzagerecht zal hierna worden besproken.

Aan Dexia kan worden toegegeven dat een inzageverzoek waarin verzocht wordt alle in het kader van een privaatrechtelijke verhouding in een dossier verzamelde documenten in kopie ter beschikking stellen een onevenredig nadeel kan toebrengen aan haar (eventuele) processuele positie. De regeling van de Wbp gaat er van uit dat de betrokkene die van zijn rechten gebruik maakt, aangeeft op welke hem betreffende persoonsgegevens het verzoek betrekking heeft. Het is om die reden niet mogelijk om in algemene zin toezending te vragen van een kopie van een dossier. Het is het spiegelbeeld van de verplichting van Dexia (vgl. 4.5) om haar weigering om inzage te verschaffen per afzonderlijk document te motiveren. Ook het bepaalde in artikel 843a Rv, dat naast de Wbp toepassing vindt, staat hieraan in de weg. Voor het overige volgt die bepaling en de toepassing ervan in voorkomende gevallen een eigen traject. Het moet gaan om een rechtmatig belang en (ook daar) om bepaalde bescheiden.

Anders dan Dexia is de rechtbank van oordeel dat in het recht op informatie als bedoeld in artikel 35 Wbp het recht op kopieën besloten ligt. De omstandigheid dat de betrokkene recht heeft op een volledig overzicht, waarbij voorbijgegaan wordt aan de door Dexia gesignaleerde discrepantie tussen artikel 35 lid 2 Wbp en het bepaalde in de Gedragscode, ten aanzien waarvan het CBP heeft verklaard dat deze een juiste uitwerking vormt van de Wbp, staat er niet aan in de weg dat betrokkene zijn verzoek op bepaalde, niet in het overzicht verwerkte gegevens, kan toespitsen. Dat zal met name het geval zijn indien het door de verantwoordelijke ter beschikking gestelde overzicht slechts summierlijk melding maakt van de verwerking van gegevens van een of meer bepaalde documenten, zonder dat de zakelijke inhoud wordt weergegeven. In dat geval is de betrokkene immers niet, althans niet behoorlijk in staat om na te gaan of de in het overzicht vermelde gegevens juist zijn (verwerkt). De omvang van het document (bijvoorbeeld een uitgebreid rapport) kan meebrengen dat inzage wordt verleend in schriftelijke vorm door middel van een kopie (vgl. Hoge Raad 2 december 1988, NJ 1989, 752). Het is denkbaar dat daarbij onderscheid wordt gemaakt tussen gegevens die zonder meer en gegevens die, omdat zij moeilijker beschikbaar zijn, alleen op daartoe strekkend verzoek worden verstrekt. Daarover zal dan voldoende openheid moeten bestaan, zonder dat aan de rechten van de betrokkene afbreuk wordt gedaan. Uiteraard is niet voor de betrokkene bestemde (vertrouwelijke) bedrijfsinformatie hiervan uitgesloten. De verantwoordelijke is gerechtigd om de daaraan verbonden (extra) kosten in rekening te brengen aan de betrokkene (vgl. artikel 39 jo. Besluit kostenvergoeding rechten betrokkene van 13 juni 2001, Stb. 2001, 305).

De door Dexia verwerkte gegevens met betrekking tot beleggerservaring, beleggingsdoelstellingen en de financiële positie van [verzoeker] kunnen, voor zover herleidbaar tot zijn persoon, worden aangemerkt als persoonsgegevens. De hierop betrekking hebbende gegevens dienen in het door Dexia te verstrekken overzicht te worden vermeld. Hieraan doet niet af dat Dexia (naar haar stellingen blijkens de meer genoemde NR; zie 3.5) niet verplicht is bij het afsluiten van een effectenlease-overeenkomst naar die gegevens te vragen. Uitgangspunt is dat Dexia in beginsel gehouden is een volledig overzicht in begrijpelijke vorm van de verwerkte en tot een bepaalde persoon herleidbare gegevens te verstrekken.

Aan- en verkoopbewijzen, waarmee kennelijk effectennota's worden bedoeld, van de in de overeenkomst vermelde aandelen zijn geen persoonsgegevens als bedoeld in artikel 1 aanhef en sub a Wbp. Door Dexia is onweersproken gesteld dat aandelen gebundeld op enig moment van de dag tegen een niet openbare koers worden gekocht en verkocht, waaruit volgt dat effectennota's uitsluitend betrekking hebben op aandelen die voor meerdere contracten gebundeld zijn aangekocht of verkocht. Dexia beschikt dus kennelijk niet over effectennota's die specifiek betrekking hebben op de voor [verzoeker] bestemde aandelen. Effectennota's kunnen mitsdien niet als gegevens worden aangemerkt die een geïdentificeerde of identificeerbare natuurlijke persoon betreffen en vallen derhalve buiten het bereik van de Wbp. Indien en voor zover deze gegevens echter tevens informatie bevatten die betrekking heeft op identificeerbare of geïdentificeerde personen, dienen zij als persoonsgegevens te worden beschouwd (MvT, p. 46/47). In dat geval dient hiervan melding te worden gemaakt in het te verstrekken overzicht.

De gegevens die Dexia heeft verwerkt met betrekking tot de kredietwaardigheid zijn eveneens aan te merken als persoonsgegevens, nu deze herleidbaar zijn tot de persoon [verzoeker]. Dexia kan niet volstaan met verwijzing van [verzoeker] naar het BKR. Indien en voor zover Dexia bij het BKR informatie heeft ingewonnen en verwerkt en/of aan het BKR informatie heeft verstrekt (waaronder opgave van de hoofdsom van de overeenkomst), valt deze informatie binnen het bereik van de Wbp en dienen de aldus verwerkte gegevens in het overzicht te worden vermeld.

De door [verzoeker] gevraagde veroordeling van Dexia tot vergoeding van de gemaakte kosten is niet toewijsbaar, reeds omdat de Wbp hierin niet voorziet.

Slotsom

Het inzageverzoek is toewijsbaar voor zover het betrekking heeft op de tot de persoon van [verzoeker] herleidbare gegevens omtrent het risicoprofiel, de aan- en verkoop van aandelen zoals vermeld in de overeenkomst, voor zover herleidbaar tot zijn persoon, en de inventarisatie van zijn kredietwaardigheid. Als na te melden zal bepaald worden dat Dexia een kopie zal verstrekken van een of meer verwerkte documenten. Voor het overige zal het verzoek worden afgewezen. Gelet op de aard van de procedure is voor een proceskostenveroordeling geen plaats.

beveelt Dexia om aan [verzoeker] -in begrijpelijke vorm- een volledig overzicht te verstrekken van de door Dexia verwerkte gegevens (waaronder in ieder geval gegevens met betrekking tot het risicoprofiel, de aan- en verkoop van de aandelen zoals vermeld in de overeenkomst, voor zover herleidbaar tot de persoon van [verzoeker], en de kredietwaardigheid van [verzoeker]), een omschrijving van het doel of de doeleinden van deze verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën ontvangers, alsmede de beschikbare informatie over de herkomst van de gegevens;

bepaalt dat, indien en voor zover het door Dexia verstrekte overzicht niet de benodigde informatie bevat op grond waarvan [verzoeker] zich op behoorlijke wijze een oordeel kan vormen over de rechtmatigheid daarvan, Dexia op eerste, gemotiveerd verzoek van [verzoeker], een kopie van het aan de door Dexia verwerkte gegevens van derden ten grondslag liggende document aan [verzoeker] zal verstrekken, een en ander met inachtneming van het bepaalde bij of krachtens artikel 39 Wbp met betrekking tot de vergoeding van kosten.

wijst af hetgeen meer of anders is verzocht.

Gegeven door mr. Th.A. Ariëns en uitgesproken ter openbare terechtzitting van woensdag 9 maart 2005, in tegenwoordigheid van de griffier.