De Rechtbank Amsterdam heeft onlangs prejudiciële vragen gesteld aan de Hoge Raad over wat de wettelijke grondslag is voor het verwerken van persoonsgegevens door financiële instellingen in het kader van BKR-registraties. In de praktijk wordt hier namelijk verschillend over geoordeeld. De vraag is wel of het onderscheid uiteindelijk nu zo'n groot verschil maakt.
Verzoek verwijdering BKR-registratie oude schuld
De kwestie is overzichtelijk. Een man wil dat een BKR-registratie van een oude schuld wordt verwijderd. De schuld moest in 2006 betaald worden en werd uiteindelijk, middels een betalingsregeling, in 2017 voldaan. De man stelt dat deze schuld hem nu anno 2021 belet een hypotheek te verkrijgen.
Herhaalde verzoeken, deels toegewezen
De man doet het verzoek bij de financiële instelling om zijn BKR-gegevens aan te passen. In reactie daarop wordt in juli 2020 de zogenaamde 3-codering bij het BKR verwijderd (een code die staat voor een afboeking groter dan 250 euro). De financiële instelling weigert andere aanpassingen door te voeren.
De man doet op 10 september 2020 opnieuw het verzoek andere aanpassingen door te voeren en dit wordt op 21 september 2020 opnieuw geweigerd.
Kort geding tot verwijdering BKR-registratie
De man start daarop bij dagvaarding van 16 december 2020 een kort geding. Op de zitting van 24 december 2020 heeft de rechter laten weten dat hij ertoe neigde te oordelen dat de man niet ontvankelijk was (omdat hij te laat was met zijn verzoek, zie toelichting hierna), maar in verband daarmee prejudiciële vragen aan de Hoge Raad wilde stellen. Beide partijen hebben zich vervolgens over dat laatste voornemen kunnen uitlaten.
Is de man op tijd of te laat?
De rechtbank gaat er voorlopig vanuit dat de man te laat is met zijn verzoek. Op grond van artikel 35 van de Uitvoeringswet AVG (UAVG) had hij namelijk binnen zes weken na de afwijzing van het verwijderverzoek een verzoekschriftprocdure bij de rechtbank moeten starten. En dat is niet gebeurd.
Onderliggende discussie: grondslag verwerking
De voorzieningenrechter constateert dat er in de rechtspraak verschillend over geoordeeld wordt wat de grondslag is voor de verwerking van BKR-registraties door financiële instellingen. Deels wordt geoordeeld dat financiële instellingen dat doen vanwege een op hen rustende wettelijke plicht (sub c), deels dat de wettelijke plicht niet zo ver strekt en de verwerking dus wordt verricht op grond van een gerechtvaardigd belang (sub f).
De voorzieningenrechter neigt naar die laatste uitleg:
8. De voorzieningenrechter is voorshands van oordeel dat de lijn van het hof Den Haag moet worden gevolgd. De wettelijke verplichting zoals bedoeld in artikel 6 lid 1 aanhef en onder c AVG betekent voor banken, die uit hoofde van artikel 4:32 Wft deelnemen aan het stelsel van kredietregistratie van de BKR, niet dat iedere concrete registratie ook beschouwd moet worden als ‘noodzakelijk om te voldoen aan een wettelijke verplichting’. De concrete registratie wordt gedaan ter uitvoering van de wettelijke verplichting, welke uitvoering is gegrond op het Algemeen Reglement CKI van de BKR. Dit reglement kan niet worden beschouwd als een ‘wettelijke’ regeling zoals bedoeld in artikel 6 lid 1 aanhef en onder c AVG.
Is de man dus te laat of op tijd?
De voorzieningenrechter gaat er dan ook vanuit dat de man in principe te laat is met het kort geding. Na het inroepen van zijn verwijderrecht had hij binnen zes weken de procedure uit artikel 35 UAVG moeten volgen. De rechter twijfelt echter of dat helemaal juist is en stelt prejudiciele vragen aan de Hoge Raad.
Prejudiciële vragen aan de Hoge Raad
De voorzieningenrechter stelt de volgende vragen aan de Hoge Raad:
1. Moet de verwerking van concrete persoonsgegevens door een kredietinstelling, door middel van een individuele registratie in het systeem van de BKR, worden getoetst aan het bepaalde in artikel 6 lid 1, aanhef en onder c, AVG, of aan artikel 6 lid 1 aanhef en onder f AVG, of aan beide bepalingen?
2. Betekent het antwoord op vraag 1
a. dat aan degene van wie de persoonsgegevens zijn geregistreerd, geen beroep toekomt op het recht van gegevenswissing als bedoeld in artikel 17 AVG?
b. dat aan diegene geen recht van bezwaar toekomt als bedoeld in artikel 21 AVG?
3. Indien het antwoord op vraag 2.b. meebrengt dat bij een BKR-registratie geen recht op bezwaar als bedoeld in artikel 21 AVG bestaat, leidt dat er dan toe dat artikel 35 UAVG in de gerechtelijke procedure tot verwijdering van die registratie geen rol speelt?
Slotopmerking
De onderliggende aanname in de procedure lijkt te zijn dat een verwerking onder sub f ("gerechtvaardigd belang") een andere procedure gevolgd moet worden dan bij een toetsing onder sub c ("wettelijke plicht"). De vraag is of dat juist is.
Op grond van artikel 17 lid 1 sub d AVG kan de betrokkene het recht van vergetelheid onder meer inroepen als de gegevens onrechtmatig zijn verwerkt. De Hoge Raad heeft eerder in het Santander-arrest al geoordeeld dat bij alle grondslagen moet worden getoetst aan noodzakelijkheid en proportionaliteit en dat de aanwezigheid van een wettelijke rechtvaardigingsgrond dat niet anders maakt. Een wettelijke verplichte verwerking kan dus een onrechtmatige verwerking zijn. En ik zou menen dat ook daarvoor dus (simpelweg) het recht van vergetelheid worden ingeroepen.
Dat laat natuurlijk onverlet dat de argumentatie wel anders kan uitpakken. Bij een verwerking op grond van het gerechtvaardigd belang zal er op de verwerkingsverantwoordelijke wel een zwaardere argumentatieplicht rusten om de verwerking te rechtvaardigen dan bij de nakoming van een wettelijke plicht.
In zoverre lijkt mij veeleer de vraag te zijn of de specifieke (verzoekschrift)procedure uit de UAVG als exclusieve procedure is bedoeld, of dat de route van een kort geding desondanks open blijft staan. Die vraag is thans niet gesteld. Wellicht leest de Hoge Raad deze er alsnog in. We houden u op de hoogte.
