De Commissie van Beroep van Kifid heeft in een vandaag gepubliceerde uitspraak geoordeeld dat de bank bij registratie van persoonsgegevens niet standaard mag uitgaan van een periode van acht jaar. Een dergelijke aantekening in waarschuwingsregisters volgt in de praktijk nadat een consument zich schuldig heeft gemaakt aan fraude of opzettelijke misleiding. Over de duur van deze registraties lopen de meningen echter uiteen, zoals blijkt in de betreffende zaak van de geschillencommissie.
Bij een registratie in waarschuwingsregisters moet de bank steeds een op het concrete geval toegesneden belangenafweging maken, aldus het Kifid in de bijbehorende persverklaring. Daarbij moeten onder meer het belang bij registratie en de mogelijk negatieve gevolgen hiervan voor de consument worden betrokken. De mogelijke uitkomst is dat een registratie van acht jaar proportioneel is, maar ook dat de registratieduur korter moet zijn.
De zaak waarop de uitspraak van het Kifid van toepassing is, is de volgende. In 2021 sluit een consument samen met een vriend een hypotheek af bij ABN AMRO voor de aankoop van een woning. In dezelfde periode hebben zij ook een andere woning gekocht met een hypotheek bij een andere geldverstrekker. Daarnaast heeft de consument nog een consumptief krediet. De consument heeft ABN AMRO bij het afsluiten van de hypotheek niet geïnformeerd over deze andere financiële verplichtingen.
Toen de bank van deze andere leningen kennis kreeg en bleek dat de consument verschillende, van elkaar afwijkende werkgeversverklaringen had verstrekt, heeft de bank vervolgens de persoonsgegevens van de consument voor acht jaar geregistreerd in interne en externe verwijzingsregisters, de zogenoemde waarschuwingsregisters.
De consument vindt de registratie onterecht en niet proportioneel en heeft zich hierover beklaagd bij Kifid. De Geschillencommissie heeft in 2023 geoordeeld dat de bank de persoonsgegevens van deze consument terecht heeft opgenomen in de interne en externe waarschuwingsregisters. De duur van de registratie in het externe verwijzingsregister vond de Geschillencommissie echter te lang en is door haar verkort tot vijf jaar.
Daaropvolgend is ABN AMRO tegen de uitspraak in beroep gegaan bij Kifid. De bank blijft van mening dat het uitgangspunt voor de registratieduur in het externe verwijzingsregister standaard acht jaar is. Alleen bijzondere omstandigheden kunnen maken dat het korter is, zo betoogt de bank. Ze verwijst daarbij naar de afspraken in het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen (PIFI 2021) en een besluit van de Autoriteit Persoonsgegevens.
In het besluit van de Autoriteit Persoonsgegevens en in het PIFI is vermeld dat voor de duur van de registratie van persoonsgegevens in beginsel het uitgangspunt acht jaar is. Dezelfde bronnen benadrukken echter ook dat een dubbele proportionaliteitstoets nodig is voorafgaand aan de uiteindelijke registratie. De bank moet voor zowel ‘de registratie van persoonsgegevens’ als voor ‘de duur van de registratie’ nagaan of het belang van opname in een verwijzingsregister zwaarder weegt dan de mogelijk nadelige gevolgen voor de betrokken consument.
De Commissie van Beroep concludeert om deze reden dat registratie in het externe verwijzingsregister voor de duur van acht jaar geen uitgangspunt is en dat dit niet als automatisme kan worden aangenomen. Het gebruiken van een standaardtermijn is in strijd met de privacywet, zo licht de commissie toe. De AVG (Algemene Verordening Gegevensbescherming) schrijft voor dat het opslaan van persoonsgegevens tot een minimum moet worden beperkt. De bank moet bij elke voorgenomen registratie een op de individuele zaak toegesneden belangenafweging maken en zo komen tot een zo beperkt mogelijke duur van de registratie, zo is te lezen in de uitspraak.
De Commissie van Beroep concludeert evenals de Geschillencommissie dat de bank de persoonsgegevens van deze consument mocht opnemen in het externe verwijzingsregister. Voor de duur van de registratie is de uitkomst van de belangenafweging dat vijf jaar proportioneel is. De bank moet de duur van de registratie van persoonsgegevens van deze consument verkorten tot vijf jaar. De uitspraak CvB 2024-0001 in een klacht van een consument tegen ABN AMRO Bank is bindend. De eerder gedane GC-uitspraak 2023-0032 over dezelfde klacht blijft overeind.
Bron: Kifid
