In een geschil over de verwijdering van (persoons)gegevens, heeft het Hof Amsterdam zich bij arrest van 2 februari 2021 (ECLI:NL:GHAMS:2021:312) opnieuw uitgelaten over hoe de procedure in kort geding zich verhoudt tot de bijzondere rechtsingang van artikel 35 Uitvoeringswet AVG (‘UAVG’). Het Hof herhaalt dat de rechtsingang van artikel 35 UAVG daartoe de geëigende weg is.
Hoewel het arrest is gewezen tussen een verzekeraar en een verzekeringnemer, heeft het een bredere toepassing, die ook relevant is voor banken. In deze bijdrage bespreek ik het arrest aan de hand van een fictief voorbeeld uit onze praktijk.
Fraude met een betaalrekening
Neem het volgende voorbeeld: een rekeninghouder wordt betrapt op fraude via zijn of haar betaalrekening, waarbij verschillende gedupeerden duizenden euro’s schade lijden. De fraude in kwestie betreft een ernstige zaak. De bank beschouwt de betrokkenheid van de rekeninghouder bij de fraude als een ernstig incident en neemt daarom de volgende maatregelen:
- de klantrelatie wordt per direct opgezegd en beëindigd; en
- de (persoons)gegevens van de rekeninghouder worden, vanwege de betrokkenheid, voor de duur van acht jaar geregistreerd in het eigen Incidentenregister, met daaraan gekoppeld een intern register en een extern register – het zogenaamde Externe Verwijzingsregister (het ‘EVR’).
Doorgaans is het van deze twee maatregelen de EVR-registratie die voor de rekeninghouder de meest vergaande consequenties heeft. De EVR-registratie kan er namelijk acht jaar aan in de weg staan dat de rekeninghouder bij een andere bank een nieuwe betaalrekening kan openen en/of nieuw krediet aangaan. Daarmee beknot de EVR-registratie de rekeninghouder in zijn/haar toegang tot de financiële markt, behalve als het gaat om de toegang tot het betaalverkeer. Via een basisbankrekening kan de rekeninghouder zijn dagelijkse bankzaken regelen; een EVR-registratie vormt geen belemmering voor een basisbankrekening.
Gelet op de vergaande consequenties die een EVR-registratie kan hebben, komt het geregeld voor dat de rekeninghouder de door de bank genomen maatregelen (lees: de EVR-registratie) via de rechter ongedaan wil krijgen.
Aanvechten van de registratie
Vooropgesteld is dat een registratie in het Incidentenregister en het EVR een verwerking van (persoons)gegevens inhoudt, waarop de Algemene verordening gegevensverwerking (‘AVG’) van toepassing is. De bank mag bij fraude alleen de gegevens van de rekeninghouder in het EVR registreren onder de voorwaarde dat dit geschiedt volgens de regels van het Protocol Incidentenwaarschuwingssysteem Financiële instellingen (het ‘Protocol’). Het is vaste rechtspraak dat het Protocol wordt beschouwd als een regeling die voldoende waarborgen biedt voor een verwerking van persoonsgegevens zoals de AVG die voorschrijft.
Een EVR-registratie kan echter om uiteenlopende redenen niet in overeenstemming met het Protocol zijn gedaan, bijvoorbeeld omdat de vereiste betrokkenheid bij het incident niet voldoende vaststaat. Wordt de bank door de rekeninghouder hierop aangesproken en blijft een passende reactie uit, dan resteert voor de rekeninghouder nog de gang naar de rechter of het KiFid.
Het recente arrest gaat in op de gang naar de rechter, via de volgende twee wegen:
(i) de procedure in kort geding; of
(ii) de verzoekschriftprocedure, op de voet van artikel 35 UAVG.
Het arrest maakt duidelijk dat de weg van artikel 35 UAVG de geëigende weg is. Wie de verwijdering van persoonsgegevens via kort geding wil bewerkstelligen, dient steeds oog te houden voor de geëigende weg van artikel 35 UAVG. De regels die voor die procedure gelden, kunnen namelijk in kort geding spelbreker zijn. Dat zit zo.
Het arrest en de voorgeschreven weg van artikel 35 UAVG
Ingevolge artikel 21 AVG heeft een rekeninghouder te allen tijde het recht om bezwaar te maken tegen de verwerking van zijn/haar persoonsgegevens. Een bezwaar wordt gezien als een verzoek in de zin van artikel 12 lid 3 AVG. Als de rekeninghouder bij de bank bezwaar maakt, dient de bank binnen een maand na ontvangst van het bezwaar de beslissing op het bezwaar aan de rekeninghouder toe te sturen. Deze termijn kan overigens door de bank worden verlengd.
Wanneer de bank het bezwaar van de rekeninghouder afwijst, heeft de rekeninghouder de mogelijkheid om de rechtbank te verzoeken de bank te bevelen het bezwaar alsnog te honoreren. Dit kan via de rechtsingang van artikel 35 UAVG. Strikte voorwaarde is dat het verzoekschrift waarmee die procedure wordt ingesteld, wordt ingediend binnen zes weken na ontvangst van het antwoord van de bank. Het Hof oordeelt dat deze termijn ook in kort geding een rol speelt, bij de beoordeling van het spoedeisend belang.
Neem de situatie waarbij de bank wél tijdig op het bezwaar gereageerd heeft, maar de rekeninghouder vervolgens later dan zes weken na het antwoord van de bank een kort geding is gestart. Daarvan zegt het Hof: op zichzelf mag dit. Maar, in die situatie zal ambtshalve getoetst worden of de rekeninghouder wel een spoedeisend belang heeft bij de gevraagde voorziening. Het laten verstrijken van de zes weken termijn vormt een aanwijzing die op het tegenovergestelde duidt.
Ambtshalve toetsing vindt plaats tegen de achtergrond van de bijzondere rechtsingang die artikel 35 UAVG vormt. De bijzonderheid van deze rechtsingang heeft te maken met het volgende:
- het wettelijk stelsel van de AVG strekt er mede toe te voorkomen dat de bank rauwelijks of lange tijd nadat het bezwaar is afgewezen, wordt gedagvaard;
- de rechtsingang van artikel 35 UAVG vormt een laagdrempelige manier voor de rekeninghouder om voor de rechter op te komen tegen beslissingen van de bank. Voor het starten van een procedure is geen advocaat nodig. Een verzoek op grond van artikel 21 AVG kan meermaals worden ingesteld – en daarmee ook de procedure van artikel 35 UAVG;
- voor behandeling met spoed is een kort geding niet per se nodig, want de procedure van artikel 35 UAVG kan óók met spoed worden behandeld. Bij spoedeisende gevallen kan de verzoeker om een voorlopige voorziening vragen;
- de beoordeling in kort geding is naar haar aard een voorlopige. Er bestaat dus altijd de mogelijkheid dat er na een kort geding alsnog een bodemprocedure wordt gestart, die zowel door de bank als door de rekeninghouder kan worden ingesteld. Dat is anders bij de procedure van artikel 35 UAVG, aangezien die procedure geen ingang kent voor de bank, maar alleen voor de rekeninghouder.
Met andere woorden, de rekeninghouder die de bank gedagvaard heeft nadat de termijn van zes weken is verstreken, zal nog beter het spoedeisende belang bij de verlangde voorziening moeten aantonen. De rekeninghouder zal aan de hand van feiten en omstandigheden moeten stellen, en zo nodig bewijzen, waaruit het spoedeisend belang is af te leiden. De enkele stelling dat “de vordering naar haar aard spoedeisend is”, zoals in lagere rechtspraak nog wel eens voetstoots wordt aangenomen, is daarbij niet afdoende.
Belang voor de praktijk
Banken worden regelmatig betrokken in kort gedingen, waarin de gevraagde voorziening strekt tot verwijdering van persoonsgegevens. Dit kan een EVR-registratie zijn, maar ook een BKR-registratie.
In de gevallen waarbij de eisende partij de termijn van artikel 35 lid 3 UAVG heeft laten verstrijken, maar niettemin een kort geding is gestart, zal de eisende partij het spoedeisend belang tegen de achtergrond van het stelsel van artikel 35 UAVG nadrukkelijk moeten onderbouwen, op straffe van niet-ontvankelijkheid. Dit werpt een extra drempel voor de eisende partij op, waar banken rechters nadrukkelijk op kunnen wijzen – ook al behoren zij dit ambtshalve te toetsen.
Slot
Heeft u als bank(medewerker) of andere financiële instelling vragen over dit artikel, of andere vraagstukken die raken aan de registratie en verwijdering van persoonsgegevens? Aarzel dan niet om contact met mij op te nemen.
