De Hoge Raad heeft op 3 december geoordeeld dat de grondslag voor gegevensverwerking in het BKR het gerechtvaardigd belang is. Dat betekent dat betrokkene het recht van bezwaar heeft uit de AVG. Dit recht van bezwaar bestaat niet voor verwerkingen die uit een wettelijke plicht voortvloeien. De Hoge Raad wijst er volledigheidshalve op dat betrokkene bij die verwerkingen andere middelen kan aanwenden om verwerkingen die disproportioneel uitpakken aan te vechten. Verder geeft de Hoge Raad een aardig lesje privacyrecht.
Achtergronden
Over BKR-registraties wordt veel geprocedeerd. Bij procedures over BKR-registraties komt regelmatig de vraag op wat de wettelijke grondslag voor de BKR-registraties is. Is er sprake van een wettelijke verplichte verwerking, of van een verwerking op grond van het zogenaamde gerechtvaardigd belang? Dat is van belang omdat in de AVG is bepaald dat er bij wettelijk verplichte verwerkingen geen recht op gegevenswissing bestaat (artikel 17 lid 2 sub b AVG).
Tot op heden werd hier verschillend over geoordeeld door verschillende rechterlijke instanties. In een van de vele BKR-procedures stelde rechtbank Amsterdam dan ook direct vragen aan de Hoge Raad. Deze vragen zijn op 3 december 2021 door de Hoge Raad beantwoord.
Hoge Raad: Santander-kader staat onverkort overeind
De Hoge Raad heeft in 2011 al eens eerder een principieel arrest over BKR-registraties gewezen. In deze zogenaamde Santander-beschikking benadrukte de Hoge Raad o.m. dat bij iedere verwerking van persoonsgegevens, ongeacht de grondslag, altijd aan eisen van proportionaliteit en subsidiariteit moet worden voldaan. Bescherming van privacy is immers een grondrecht.
In de huidige uitspraak anno 2021 benadrukt de Hoge Raad allereerst dat dit kader van ruim 10 jaar geleden nog onverkort geldt. Dat ondertussen de AVG van kracht is geworden maakt dit niet anders. De AVG is immers simpelweg de opvolger van de privacyrichtlijn, die weer de basis vormde voor de toenmalige Wet bescherming persoonsgegevens.
3.1.2. Bescherming van persoonsgegevens is een grondrecht dat wordt beschermd door art. 8 EVRM, dat voorziet in het recht op eerbiediging van privé-, familie- en gezinsleven, art. 16 lid 1 van het Verdrag betreffende de werking van de Europese Unie en art. 8 lid 1 van het Handvest van de grondrechten van de Europese Unie, waarin is bepaald dat eenieder recht heeft op bescherming van zijn persoonsgegevens. In zijn beschikking van 9 september 2011 heeft de Hoge Raad onder vigeur van de inmiddels vervallen Wet bescherming persoonsgegevens (hierna: Wbp) en de inmiddels ingetrokken Richtlijn bescherming persoonsgegevens3 geoordeeld dat, mede in het licht van art. 8 EVRM, bij elke gegevensverwerking moet zijn voldaan aan de beginselen van proportionaliteit en subsidiariteit en dat dit meebrengt dat de inbreuk op de belangen van de betrokkene niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel en dat dit doel in redelijkheid niet op een andere, voor de betrokkene minder nadelige, wijze kan worden bereikt.4 Een en ander geldt ook onder de AVG, die in de plaats is gekomen van de Richtlijn bescherming persoonsgegevens en de Wbp.
Hoge Raad: grondslagen zijn alternatief en kunnen cumuleren
De Hoge Raad benadrukt in het arrest ook dat de zes grondslagen uit artikel 6 AVG alternatief zijn, maar ook kunnen cumuleren. Een verwerking kan dus onder één grondslag vallen, maar ook onder meerdere grondslagen tegelijkertijd.
Deze grondslagen voor de verwerking van persoonsgegevens sluiten elkaar niet uit, zo volgt uit de woorden ‘ten minste’ in art. 6 lid 1 AVG, zodat het mogelijk is dat een verwerking van persoonsgegevens onder meer dan één verwerkingsgrondslag valt.
Hoge Raad: wettelijke plicht veronderstelt voldoende duidelijke wetgeving
Voor de grondslag "wettelijke plicht" wijst de Hoge Raad in r/o 3.1.5 op diverse overwegingen uit de considerans van de AVG, alsmede de memorie van toelichting bij de UAVG, waaruit volgt dat onder een wettelijke plicht een voldoende duidelijk en voorspelbaar algemeen verbindend voorschrift moet worden verstaan. Er is niet voor iedere verwerking specifieke wetgeving vereist, maar er moet wel een onderliggende wet zijn die aan dit kader voldoet.
Hoge Raad: wetgeving verplichte BKR-registratie voldoet niet aan dit kader
In rechtsoverweging 3.1.9 stelt de Hoge Raad vervolgens vast dat de verplichting tot deelname aan een stelsel van kredietregistratie niet voldoet aan deze criteria die de AVG stelt:
Art. 4:32 lid 1 Wft en art. 4:34 lid 1 Wft, zoals nader uitgewerkt in art. 114 BGfo, verplichten kredietaanbieders weliswaar tot deelname aan en raadpleging van een stelsel van kredietregistratie, maar deze wettelijke bepalingen zijn niet voldoende duidelijk en nauwkeurig en de toepassing ervan is niet voldoende voorspelbaar voor degenen op wie deze wettelijke bepalingen van toepassing zijn, zoals art. 6 lid 3 AVG eist (zie hiervoor in 3.1.5). Uit die wettelijke bepalingen blijkt immers niet welke persoonsgegevens in het CKI geregistreerd moeten of mogen worden, wat de voorwaarden voor een dergelijke registratie zijn en onder welke voorwaarden en binnen welke termijnen tot verwijdering van persoonsgegevens moet worden overgegaan. Een en ander wordt wel geregeld in het CKI-reglement, maar dat reglement berust niet op een wettelijke grondslag; de registratie van persoonsgegevens in het CKI vindt plaats op grond van een overeenkomst tussen het BKR en kredietaanbieders (zie hiervoor in 3.1.8).
De Hoge Raad neemt hier bijna woordelijk overweging 3.8 van de Procureur Generaal over in de eerder over deze kwestie verschenen conclusie.
Hoge Raad: daarmee automatisch grondslag gerechtvaardigd belang
Vervolgens maakt de Hoge Raad heel snel de sprong naar de grondslag gerechtvaardigd belang: wanneer het geen wettelijke plicht is, en ook de andere grondslagen niet opgaan, moet het wel een verwerking ex. artikel 6 lid 1 sub f AVG zijn.
3.1.10 Bij gebreke van een wettelijke verplichting tot gegevensverwerking in de zin van art. 6 lid 1, aanhef en onder c, AVG kan die bepaling niet dienen als grondslag voor de rechtmatige verwerking van persoonsgegevens in het CKI van het BKR. Nu die gegevensverwerking evenmin berust op een van de grondslagen genoemd in art. 6 lid 1, onder a, b, d of e, AVG (zie hiervoor in 3.1.3), moet de vraag of die gegevensverwerking rechtmatig is, worden beoordeeld aan de hand van de maatstaf van art. 6 lid 1, aanhef en onder f, AVG.
Hoge Raad: dus recht op bezwaar en gegevenswissing
Na de conclusie dat de grondslag voor de verwerking het "gerechtvaardigd belang" is, is de vervolgconclusie ook snel getrokken: betrokkene heeft dus recht op bezwaar en het recht van gegevenswissing:
3.2.3. Uit art. 17 en art. 21 AVG volgt dat de betrokkene van wie persoonsgegevens zijn verwerkt op grond van art. 6 lid 1, aanhef en onder f, AVG, het recht op gegevenswissing en het recht van bezwaar heeft. Uit de beantwoording van de eerste prejudiciële vraag volgt dat art. 6 lid 1, aanhef en onder f, AVG de grondslag vormt voor de verwerking door de verwerkingsverantwoordelijke van de persoonsgegevens van de betrokkene in het CKI van het BKR. Het antwoord op de tweede prejudiciële vraag luidt dan ook dat aan de betrokkene van wie persoonsgegevens zijn geregistreerd bij het BKR (a) het recht op gegevenswissing toekomt als bedoeld in art. 17 AVG en (b) dat die betrokkene het recht van bezwaar toekomt als bedoeld in art. 21 AVG.
Hoge Raad: ook bij wettelijk verplichte verwerkingen zijn er waarborgen
Volledigheidshalve wijst de Hoge Raad er ook op dat - anders dan de tekst van de AVG wellicht doet denken - er ook bij wettelijk verplichte verwerkingen mogelijkheden bestaan om zich te verzetten tegen de verwerking van persoonsgegevens. Het is immers vaste rechtspraak (zie de Santander beschikking uit 2011) dat iedere verwerking van persoonsgegevens moet voldoen aan eisen van proportionaliteit en subsidiariteit. Een betrokkene die zich wil verzetten tegen wettelijk verplichte verwerkingen kan dus een andere ingang kiezen dan een in de AVG genoemde procedure:
3.2.4 Opmerking verdient dat de betrokkene van wie persoonsgegevens zijn verwerkt op grond van art. 6 lid 1, aanhef en onder c, AVG niet de rechten op gegevenswissing en van bezwaar heeft die zijn opgenomen in art. 17 AVG respectievelijk art. 21 AVG. Dit betekent niet dat de betrokkene in dat geval verstoken is van rechtsbescherming. Zo kan hij zich bij de burgerlijke rechter met een beroep op art. 6:162 BW, al dan niet in verbinding met art. 8 EVRM, verzetten tegen de verwerking van zijn persoonsgegevens (vgl. hetgeen hiervoor in 3.1.2 is overwogen).
Slotopmerkingen
De Hoge Raad geeft een duidelijk en ook vrij volledig oordeel dat voor de praktijk bruikbaar is.
Het arrest van de Hoge Raad is opvallend uitgebreid. Het is mooi om te zien dat de Hoge Raad het leerstuk in historische context plaatst, helder maakt dat wat onder de Wbp gold nu onder de AVG ook geldt en dat grondslagen kunnen cumuleren.
Ook de overweging over wat onder een wettelijke plicht in de zin van de AVG is verstaan is helder. De lat om te voldoen aan die eis van "wettelijke plicht" ligt best hoog. Dat is wellicht niet verrassend (legaliteitsbeginsel); het zal in de praktijk echter wel betekenen dat vrij veel verwerkingen onder het gerechtvaardigd belang zullen vallen, zelfs wanneer die verwerkingen voortvloeien uit wettelijke plichten.
Voor de lezer die zich nu "rijkt rekent" en denkt dat het (dus) heel gemakkelijk is geworden BKR-registraties ongedaan te maken: dat is niet het geval. Het recht van bezwaar en gegevenswissing is in deze context weinig meer dan een recht op een heroverweging over de gegevensverwerking. De financiële instelling die de registratie heeft gedaan zal dus moeten motiveren waarom de registratie is gedaan en waarom deze wordt gehandhaafd. In veel gevallen zal dat niet zo moeilijk zijn: op de financiële instelling rust immers een wettelijke plicht dergelijke registraties te verrichten. Het doel daarvan is mede ter bescherming van de consument zelf (o.a. voorkomen overcreditering). Dat belang zal snel gerechtvaardigd zijn.
Anders dan sommige bedrijfjes (soms tegen het misleidende aan) beweren is het ook helemaal niet zo eenvoudig een BKR-registratie aan te passen. Grosso modo geldt tot op heden in de rechtspraak dat een correcte BKR-registratie blijft staan en dat alleen incorrecte registraties of registraties die disproportioneel uitpakken moeten worden aangepast.
De vraag die nog wel "zweeft" is hoe de verzoekschriftprocedure uit de UAVG zich verhoudt tot een kort geding of bodemprocedure. In de praktijk zien we regelmatig dat eerst na het verstrijken van de termijn uit de UAVG om een verzoekschrift aanhangig te maken er een kort geding aanhangig wordt gemaakt. De vraag is of betrokkene dan ontvankelijk is bij de kort geding rechter (er had immers ook een verzoekschrift ingediend kunnen worden). Een deel van de rechters stelt dat de verzoekschriftprocedure er niet voor niets is (en betrokkene volgens de AVG desnoods herhaald een verzoek kan indienen en zo een nieuwe termijn kan krijgen), een ander deel stelt dat de kort geding rechter nu eenmaal de "restrechter" is en dat betrokkene dus ontvankelijk is. Zie over die discussie ook randnummer 2.41 van de conclusie van de PG.
